Doppio fattore di possesso e prova della SCA: rimborso delle operazioni disconosciute (ABF Collegio di Milano n. 132 del 12.01.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che invochi la strong customer authentication deve provarne il rispetto in tutte le fasi dell’operazione, sin dall’accesso al sistema. Il CVV dinamico costituisce fattore di possesso e non di conoscenza, secondo le indicazioni dell’EBA recepite nell’art. 10-bis d. Lgs. n. 11/2010: due fattori della stessa categoria non integrano la SCA. La mancanza, anche parziale, di tale prova è dirimente e precede logicamente ogni valutazione sulla colpa grave del cliente. Il reclamo preventivo può essere validamente proposto anche mediante i canali ufficiali messi a disposizione dall’intermediario, purché consentano l’univoca identificazione del cliente e contengano una specifica contestazione.

Il Fatto

Il ricorrente, insoddisfatto dell’esito del reclamo, adisce l’Arbitro deducendo che in data 29.07.2025, dalle 19:33 alle 19:38, mentre si trovava in vacanza a Mallorca, con la propria carta di debito fossero stati eseguiti a Barcellona tre pagamenti mai autorizzati, per complessivi € 1.250,00. Sostiene di non aver ricevuto alcun messaggio con codice OTP per autorizzare le operazioni e chiede il rimborso dell’importo.

L’intermediario eccepisce in via preliminare l’inammissibilità del ricorso per assenza di preventivo reclamo. Nel merito rileva che la carta era stata associata a un wallet in data 24.07.2025, con avviso al cliente tramite notifica push ed e-mail, e che le operazioni erano state autenticate con il corretto inserimento delle credenziali, senza malfunzionamenti o intrusioni nei sistemi. Il ricorrente replica ricostruendo le segnalazioni antifrode e il reclamo del 01.08.2025, nonché l’episodio del parcheggio a pagamento e del QRcode che lo avrebbe indirizzato a una pagina contraffatta.

La motivazione del Collegio

Sull’eccezione preliminare il Collegio osserva che le Disposizioni della Banca d’Italia qualificano il reclamo come ogni atto con cui un cliente chiaramente identificabile contesta in forma scritta un comportamento dell’intermediario, anche omissivo, e che la sua presentazione è condizione di procedibilità del ricorso. Nel caso concreto risulta documentalmente lo scambio di e-mail del 07.08.2025 avente a oggetto “reclamo segnalazione frode carta”, cui l’intermediario ha dato riscontro negativo; parimenti rilevano le comunicazioni del 30.07.2025, riferibili alle singole transazioni, effettuate su un canale ufficiale idoneo all’identificazione dell’utenza. L’eccezione è quindi infondata.

Nel merito il Collegio richiama il d. Lgs. n. 11/2010, come modificato dal d. Lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE (PSD2), e il riparto degli oneri probatori che grava sul prestatore in caso di disconoscimento delle operazioni. La SCA richiede almeno due fattori reciprocamente indipendenti e appartenenti a categorie diverse: conoscenza, inerenza e possesso. Il criterio di imputazione della responsabilità all’impresa presuppone però, sul piano fattuale, che l’utilizzo non autorizzato derivi da furto, smarrimento o illecito utilizzo dei codici da parte di terzi frodatori.

Dall’esame dei log versati in atti emergono incongruenze: non è chiaro il metodo di autenticazione utilizzato, perché il numero “0” nella colonna “G” non è riportato in legenda; non è prodotto il messaggio inviato al numero di telefono del cliente; le operazioni fraudolente risultano effettuate su un telefono con sistema operativo diverso da quello dichiarato dal ricorrente e presente più volte nei log.

Il Collegio ritiene tuttavia di dover superare tali profili per affrontare la questione centrale: se il CVV dinamico, qualificato dall’intermediario come elemento di conoscenza, sia in realtà fattore di possesso. Alla luce della Opinion dell’EBA del 21 giugno 2019, e in linea con l’orientamento condiviso dei Collegi richiamato nella decisione, il CVV dinamico appartiene alla categoria del possesso. Ne deriva che l’abbinamento con l’OTP SMS configura un doppio fattore di possesso, non conforme alla SCA, che presuppone fattori di categorie diverse.

La mancanza, anche parziale, della prova del rispetto dei presidi di sicurezza in tutte le fasi dell’operazione è quindi risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa del cliente, costituendo un prius logico rispetto alla prova della colpa grave dell’utente. Il ricorso è pertanto accolto, con condanna dell’intermediario al pagamento di € 1.250,00, del contributo di € 200,00 alle spese della procedura e del rimborso di € 20,00 versato per la presentazione del ricorso.