Disconoscimento bonifico e prova SCA: colpa grave cliente irrilevante senza autenticazione forte (ABF Collegio di Palermo n. 620 del 23.01.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento ha l’onere di provare l’autenticazione forte (SCA), la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti. La prova dell’autenticazione costituisce il prius logico rispetto alla prova della colpa grave dell’utilizzatore: solo una volta dimostrata la SCA il Collegio esamina il comportamento del cliente. La comunicazione colposa del codice OTP ricevuto via SMS integra colpa grave e consente all’intermediario di sottrarsi all’obbligo di rimborso. In materia di spese di assistenza professionale, il loro ristoro presuppone la prova del danno e un comportamento gravemente scorretto o dilatorio dell’intermediario.

Il Fatto

Il ricorrente, titolare di una rivendita di tabacchi con posizione di home banking per l’attività commerciale, ha convenuto l’intermediario davanti all’ABF chiedendo la restituzione di € 2.126,00, importo di un bonifico istantaneo disconosciuto perché eseguito da terzi non autorizzati, oltre a € 300,00 per spese di assistenza difensiva.

Secondo la ricostruzione del ricorrente, il 26 maggio 2025 un sedicente operatore dell’intermediario lo aveva contattato telefonicamente chiedendogli il codice OTP ricevuto via SMS, con la scusa di un aggiornamento del sito: il codice, comunicato in buona fede, era stato usato per disporre il bonifico. L’intermediario ha resistito sostenendo la regolarità formale dell’operazione, l’avvenuta autenticazione del nuovo dispositivo e la colpa grave del cliente, che non avrebbe provato né la telefonata né la frode.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile: le operazioni sono state eseguite sotto il vigore del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366. Ai sensi dell’art. 10 del d.lgs. 11/2010, il prestatore di servizi di pagamento deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, nonché il dolo o la colpa grave dell’utilizzatore.

La questione centrale riguarda la strong customer authentication, disciplinata dagli artt. 97 e 98 della PSD2, dall’art. 10-bis del d.lgs. 11/2010 e dal Regolamento Delegato UE 2018/389. L’autenticazione forte richiede almeno due fattori indipendenti tra conoscenza, possesso e inerenza. Il Collegio esamina i log prodotti dall’intermediario per ciascuna fase: la certificazione del nuovo dispositivo, il log-in sull’app, l’accesso al portale web e la disposizione del bonifico. In ogni passaggio emergono l’uso di username e password, del codice PIN, del device certificato e della notifica push, con invio dell’OTP sul numero registrato.

Su queste evidenze il Collegio ritiene correttamente provata la SCA, richiamando precedenti con log similari (Coll. di Palermo n. 5938 del 20 giugno 2025, Coll. di Bari n. 8276 del 17/09/2025, Coll. di Roma n. 4064/2025 e Coll. di Palermo n. 6117/2024). Superato il vaglio dell’autenticazione, diventa esaminabile la colpa grave, secondo il principio del Collegio di Coordinamento n. 22745/2019: la prova dell’autenticazione è antecedente logico rispetto alla valutazione della condotta dell’utente.

Quanto alla frode, il Collegio la qualifica come verosimile caso di vishing: il ricorrente ha ammesso, in sede di denuncia, di aver comunicato al truffatore il codice OTP ricevuto via SMS. Tali dichiarazioni confessorie assumono valore di prova legale ai sensi dell’art. 2730 c.c. Il numero chiamante non risulta riconducibile all’intermediario e non è prodotta alcuna prova della telefonata. La mancata attivazione del servizio di SMS-alert è ritenuta irrilevante, trattandosi di un’unica operazione.

Il Collegio rigetta infine la domanda di ristoro delle spese di assistenza professionale, richiamando il Collegio di Coordinamento n. 4580 del 12 maggio 2025: il riconoscimento presuppone la prova del danno e un comportamento gravemente scorretto o dilatorio dell’intermediario. Nel caso concreto l’intermediario ha riscontrato il reclamo nei termini, la materia ha orientamento consolidato e il ricorrente non ha prodotto documentazione: il ricorso è quindi rigettato.