Colpa grave dell’utente per pagamento POS con chip e PIN e onere probatorio sull’autorizzazione (ABF Collegio di Bologna n. 4634 del 22.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento eseguite con carta, qualora l’utente neghi di averle autorizzate, il prestatore di servizi di pagamento deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione. L’utilizzo dello strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione né la colpa dell’utente. Tuttavia, quando l’operazione avviene mediante lettura del microchip e corretto inserimento del codice PIN, in assenza di anomalie tecniche, e il ricorrente non allega alcunché sulle modalità di custodia della carta e del PIN, la reticenza e l’assenza di una dinamica alternativa integrano la colpa grave dell’utente ai sensi degli artt. 7, comma 2, e 12, comma 4, del D.lgs. n. 11/2010, con esclusione della responsabilità dell’intermediario.

Il Fatto

Il ricorrente, in vacanza all’estero, rileva tramite APP un pagamento di € 325,40, pari a BRL 2.000,00, eseguito il 17 agosto 2025 presso un negozio di telefonia della città in cui soggiornava. Sostiene di non essersi mai recato in quel punto vendita, di non aver prestato la carta a terzi e di averla sempre custodita personalmente. Alla vista dell’addebito contatta la banca e annulla la carta temendo una truffa o una clonazione.

L’intermediario, dopo un primo accredito, riaddebita l’importo il 18 settembre 2025. Eccepisce che l’operazione risulta autorizzata alle ore 19:47 mediante lettura del microchip della carta fisica e inserimento del PIN, senza anomalie, e che il ricorrente non ha osservato gli obblighi di custodia della carta e del codice segreto.

La motivazione del Collegio

Il Collegio richiama la disciplina del D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della PSD 2. L’art. 7 impone all’utente di proteggere le credenziali di sicurezza; l’art. 8 pone sul prestatore obblighi speculari di sicurezza. Sul piano probatorio, l’art. 10, comma 1, impone alla banca di provare autenticazione, registrazione e contabilizzazione; il comma 2 chiarisce che la registrazione della carta non basta a dimostrare l’autorizzazione, essendo onere del prestatore provare frode, dolo o colpa grave dell’utente.

Dall’evidenza documentale emerge che l’operazione è stata eseguita con Pos entry mode 05 e Uso PIN 1, quindi mediante il corretto abbinamento di due elementi distinti: la carta fisica con microchip e il codice segreto. Il Collegio ritiene che il ricorrente abbia offerto una ricostruzione lacunosa: non ha indicato dove e con quali cautele conservasse carta e PIN, se il codice fosse annotato, né come terzi avrebbero potuto accedere simultaneamente a entrambi.

Questa reticenza, in presenza della prova della corretta autenticazione, costituisce indice di colpa grave. Il Collegio richiama l’orientamento dei Collegi arbitrali (Collegio di Bologna n. 3888 del 2023 e n. 6676 del 2024) che valuta negativamente la mancata contestualizzazione dei fatti. L’ipotesi della sottrazione temporanea con successivo ricollocamento, lungi dall’escludere la responsabilità, ne conferma la colpa.

Quanto alla clonazione, il Collegio richiama il Collegio di Coordinamento n. 897 del 2014: l’impiego del microchip rende l’ipotesi altamente improbabile. Nel caso concreto la lettura è avvenuta sul chip e non sulla banda magnetica, il che esclude lo skimming. La clonazione hardware richiederebbe strumentazioni e tempi incompatibili con un utilizzo occasionale durante un soggiorno turistico.

In conclusione, il Collegio non accoglie il ricorso, ravvisando la colpa grave dell’utente ai sensi degli artt. 7, comma 2, e 12, comma 4, del D.lgs. n. 11/2010, con sopportazione di tutte le perdite da parte del ricorrente.