Colpa grave dell’utente che autorizza pagamento difforme con carta di debito (ABF Collegio di Milano n. 4801 del 27.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento online disconosciute dall’utente, il prestatore di servizi di pagamento deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha risentito di malfunzionamenti. Il mero utilizzo dello strumento di pagamento non dimostra di per sé né l’autorizzazione dell’utente né la sua colpa grave, la cui prova grava sul prestatore. Quando il PSP abbia dimostrato l’adozione di un sistema di autenticazione forte e l’assenza di anomalie nei propri sistemi, il difetto di allegazione da parte del cliente delle circostanze di fatto della frode subita costituisce un elemento presuntivo grave, preciso e concordante idoneo a fondare la colpa grave dell’utente.

Il Fatto

La ricorrente riferisce di aver tentato una ricarica telefonica online di € 10,00 con la propria carta. Non ricevuta la conferma, verificava i movimenti sull’app di mobile banking e riscontrava un addebito non autorizzato, poi rettificato in € 1.162,30 comprensivo delle commissioni per il cambio valuta, a favore di una società estera. Bloccava subito la carta e presentava denuncia-querela, poi integrata. Il reclamo all’intermediario aveva esito negativo; la cliente chiedeva quindi la restituzione dell’importo.

L’intermediario chiedeva il rigetto, sostenendo di aver eseguito l’operazione con autenticazione forte, tramite le credenziali della cliente e un codice OTP generato dall’app installata sul suo dispositivo. Eccepiva la colpa grave della ricorrente, che avrebbe autorizzato il pagamento senza badare alla notifica PUSH recante importo e beneficiario, e ne rilevava la totale carenza allegatoria sulla frode. Produceva i log informatici dell’operazione e delle allerte inviate.

La motivazione del Collegio

Il Collegio inquadra la questione nella responsabilità per operazione di pagamento disconosciuta e nella ripartizione dell’onere probatorio. La materia è disciplinata dal D.Lgs. 27 gennaio 2010, n. 11, come modificato dal D.Lgs. 15 dicembre 2017, n. 218 di recepimento della Direttiva (UE) 2015/2366 (PSD2). L’art. 10 del decreto impone al prestatore di servizi di pagamento di provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e non abbia risentito di malfunzionamenti; il comma 2 precisa che l’utilizzo dello strumento non basta a dimostrare l’autorizzazione né il dolo o la colpa grave dell’utente, la cui prova resta a carico del prestatore.

Nel caso concreto l’intermediario ha assolto al primo onere. L’operazione è stata autenticata mediante autenticazione forte, ai sensi dell’art. 10-bis del D.Lgs. n. 11/2010: due fattori consistenti nel possesso del dispositivo mobile, su cui è stata inviata la notifica PUSH, e nella conoscenza del codice PIN usato per validarla. Il codice identificativo del dispositivo coincide con quello abitualmente impiegato dalla ricorrente per l’home banking. È dunque provata la regolarità formale dell’operazione sotto il profilo dell’autenticazione.

Resta da verificare la colpa grave, la cui prova incombe sull’intermediario. Secondo il consolidato orientamento dell’Arbitro, richiamato nel Collegio di Coordinamento, decisione n. 22745/2019, essa può essere fornita anche in via presuntiva, sulla base degli elementi di fatto che caratterizzano le modalità esecutive dell’operazione, assumendo rilievo decisivo il comportamento processuale ed extraprocessuale dell’utente.

La ricorrente si è limitata ad affermare di essere stata vittima di una truffa, senza offrire alcun elemento concreto: non ha prodotto documentazione sul sito web della presunta ricarica né messaggi o e-mail di phishing che possano averla indotta in errore. Tale carenza allegatoria non consente di valutare la natura e l’insidiosità della frode e, a fronte della prova dell’autenticazione forte e dell’assenza di malfunzionamenti, costituisce un elemento presuntivo grave, preciso e concordante di colpa grave.

La presunzione è rafforzata dal contenuto della notifica PUSH, che descriveva in dettaglio l’operazione, con l’importo di € 1.129,94 e il beneficiario estero. Autorizzando un pagamento di tale entità, palesemente difforme da quello voluto di € 10,00, la ricorrente ha tenuto una condotta di negligenza inescusabile: l’utente medio, con un minimo di diligenza, avrebbe notato la macroscopica discrepanza e si sarebbe astenuto. Il ricorso, pertanto, non è accolto.