Colpa grave dell’utente per nuova registrazione app in frode da autenticazione forte (ABF Collegio di Palermo n. 2555 del 19.03.2026)

Principi di diritto (Massima)
Nel giudizio sul disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento che dimostri l’avvenuta autenticazione forte della transazione e la conformità del sistema alla disciplina della strong customer authentication assolve all’onere probatorio posto a suo carico dall’art. 10 del d.lgs. n. 11/2010. La prova dell’autenticazione costituisce antecedente logico rispetto alla prova della colpa grave dell’utilizzatore. Quando le evidenze documentali confermano l’enrollment dell’App su un nuovo dispositivo mediante doppio fattore e l’invio di SMS OTP parlanti, le mancate o generiche allegazioni del cliente sulla dinamica della frode integrano colpa grave e giustificano il rigetto del ricorso.

Il Fatto

Il ricorrente chiede la restituzione di euro 1.640,25, importo di un acquisto e-commerce eseguito l’08/04/2025 presso un esercente estero in Danimarca e da lui disconosciuto. Sostiene di essere stato vittima di una truffa del 04/04/2025, di non essersi mai recato all’estero, di non aver mai utilizzato la carta e di non aver ricevuto né le comunicazioni sull’accreditamento di un nuovo dispositivo né i codici per autorizzare l’operazione.

L’intermediario eccepisce che il ricorrente non allega elementi utili a ricostruire la vicenda e che il sistema di autenticazione a due fattori ha regolarmente operato. Il Collegio di Palermo rigetta il ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando l’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2: a fronte del disconoscimento, il prestatore deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, l’assenza di malfunzionamenti e il comportamento gravemente colposo dell’utilizzatore, anche per presunzioni. La prova dell’autenticazione resta l’antecedente logico della prova della colpa grave.

La strong customer authentication è individuata negli artt. 97 e 98 della PSD 2, nell’art. 10-bis del d.lgs. n. 11/2010 e nel Regolamento Delegato UE 2018/389, con i tre fattori di conoscenza, possesso e inerenza. Sul punto l’intermediario produce i log e le legende dell’enrollment dell’App su un dispositivo diverso: accesso con username e password statica alle 13:43:33 del 04/04/2025, invio di codice OTP via SMS, esito favorevole della procedura, certificazione del nuovo dispositivo e abilitazione del riconoscimento biometrico. Il numero telefonico coincide con quello indicato dal ricorrente in denuncia.

Analogo esito si registra per la disattivazione del servizio di SMS alert, autorizzata tramite fattore biometrico su dispositivo registrato, e per l’operazione di pagamento, disposta via browser e confermata con notifica push sul device autenticato e riconoscimento biometrico. Il Collegio conclude che ciascuna operazione contestata è stata eseguita nel rispetto della normativa sulla SCA.

Accertata l’autenticazione, il Collegio affronta la colpa grave. Il ricorrente non produce l’e-mail truffaldina e non ricostruisce la dinamica della frode. Secondo l’orientamento condiviso dei Collegi, richiamato anche nel Collegio di Coordinamento, decisione n. 3498/2012, nei casi di phishing tradizionale l’impiego di una media diligenza è sufficiente a scongiurare il pericolo. L’intermediario documenta inoltre l’invio di SMS OTP parlanti con avvertenze antifrode e di alert via e-mail. In presenza di messaggi che indicano tipo, importo e destinatario dell’operazione non rileva l’attivazione di sistemi di alert ex post, come affermato dal Collegio di Palermo, decisione n. 13859/2022 e n. 5893/2023 e dal Collegio di Torino, decisione n. 1344/2023.