Colpa grave dell’utilizzatore per mancata lettura della notifica push antifrode (ABF Collegio di Bari n. 2308 del 12.03.2026)

Principi di diritto (Massima)
Nei servizi di pagamento a distanza il rischio di utilizzazione illecita grava in prima battuta sull’intermediario, che può sottrarsi all’obbligo di rimborso provando il dolo o la colpa grave dell’utilizzatore. L’onere probatorio dell’intermediario è assolto quando i tracciati elettronici dimostrano che le operazioni sono state autenticate mediante autenticazione forte del cliente, con validazione dei fattori di conoscenza, possesso e inerenza. Accertata la regolarità formale delle transazioni, il Collegio può sindacare la condotta dell’utilizzatore. Integra colpa grave la mancata lettura della notifica push “parlante” che segnala in modo esplicito l’abbinamento di un nuovo dispositivo all’utenza di home banking, quando residui un margine di tempo sufficiente per impedire le operazioni fraudolente. La mancanza di un sistema di alert ex post resta irrilevante se il messaggio recante il codice OTS autorizzativo è stato inviato al cliente.

Il Fatto

La ricorrente, titolare di un conto corrente abilitato all’operatività on line con carta di debito associata, chiede il rimborso di € 431,88 sottratti da terzi. Secondo la denuncia del 16.06.2025, il 12.06.2025, durante il rinnovo di un servizio di posta elettronica certificata per conto di un parente, inseriva il numero della propria carta su un sito apparentemente identico a quello del gestore. Riceveva poi sull’app bancaria notifiche di accesso al conto e di due pagamenti online da € 206,94 ciascuno, che disconosceva, ottenendo dalla banca il blocco della carta per movimenti sospetti.

La banca nega il rimborso. Sostiene che le operazioni sono avvenute in regime di commercio elettronico sicuro, con inserimento del CVV, e che la truffa è stata possibile per la negligenza della cliente, che avrebbe comunicato al terzo il codice OTS necessario all’enrollment del nuovo dispositivo. La ricorrente replica invocando l’art. 18 del Regolamento Delegato UE 2018/389, lamentando il mancato monitoraggio delle anomalie, e qualifica la propria condotta come colpa semplice.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 218/2017 di attuazione della PSD2, letto con il Regolamento Delegato UE 2018/389. Il rischio dell’uso illecito ricade sull’intermediario, tenuto a garantire affidabilità e sicurezza del servizio; la banca si libera solo provando dolo o colpa grave dell’utilizzatore, ai sensi degli artt. 7, 10 e 12, comma 4, d.lgs. n. 11/2010.

L’art. 10 del decreto impone al prestatore di servizi di pagamento di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata. L’uso di uno strumento registrato non basta, di per sé, a dimostrare l’autorizzazione: è sempre la banca a dover provare la frode, il dolo o la colpa grave dell’utente.

Nel caso concreto l’intermediario produce cinque fogli di tracciatura. I log mostrano la sostituzione del device tra le 10:29:23 e le 10:30:12 del 12.06.2025, autorizzata con corretta immissione del PIN e del codice OTS inviato via Sms al cellulare certificato. Alle 10:30:11 la notifica di abbinamento raggiunge il device originario con l’avviso: “SE QUESTO DISPOSITIVO NON È IN TUO POSSESSO È UNA FRODE!”. Alle 10:33 e 10:35 due notifiche push segnalano i pagamenti, confermati con riconoscimento biometrico. L’intermediario ha quindi assolto l’onere probatorio sulla regolarità formale delle operazioni.

Su questo presupposto il Collegio esamina la condotta dell’utilizzatrice. Rileva l’assenza di anomalie nell’autenticazione, avvenuta in ambiente conforme ai requisiti di strong customer authentication, e la mancata attenzione al testo della notifica push “parlante” ricevuta sul device certificato, manifestamente esplicita nel segnalare l’abbinamento in corso. Residuava un margine di circa sette minuti per inibire le transazioni.

L’invio del messaggio contenente il codice OTS rende poi ininfluente la lamentata assenza di un sistema di alert ex post e consente di escludere un apporto causale dell’intermediario. L’utilizzatrice è pertanto incorsa in colpa grave, per non aver adottato le ragionevoli misure di protezione delle credenziali richieste dall’art. 7, commi 1 e 2, d.lgs. n. 11/2010. Il ricorso è non accolto.