Onere probatorio dell’autenticazione SCA nelle frodi informatiche con carte di debito (ABF Collegio di Roma n. 3673 del 24.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010, il prestatore di servizi di pagamento assolve l’onere probatorio quando dimostra che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito malfunzionamenti. La sola prova dell’autenticazione non è tuttavia sufficiente, di per sé, a escludere la responsabilità: occorre la prova della colpa grave dell’utilizzatore, desumibile dalle modalità esecutive dell’operazione. In caso di disconoscimento, il ricorrente è gravato di un onere di allegazione delle circostanze che offrano un’attendibile ipotesi alternativa rispetto all’utilizzo imputabile al titolare. Le mancate allegazioni sulla dinamica della frode, ove l’intermediario abbia provato l’autenticazione, possono fondare il convincimento del Collegio sulla colpa grave dell’utente.

Il Fatto

Il ricorrente riferisce di aver effettuato, in data 6.10.2025, una ricarica telefonica di € 15,00 su un sito web identico a quello ufficiale della compagnia telefonica, inserendo i dati della propria carta di debito. Poco dopo riceveva una notifica dell’applicazione dell’intermediario che segnalava un pagamento di € 182,60 con causale “Instant Game”. Disconoscendo l’operazione, chiedeva il blocco della carta e la restituzione della somma.

L’intermediario eccepiva che la transazione era stata autenticata in SCA, con notifica push sul dispositivo mobile in uso al ricorrente e autorizzazione tramite parametro biometrico, e che il ricorrente non aveva fornito evidenze della natura fraudolenta del sito né della schermata priva delle informazioni sul pagamento.

La motivazione del Collegio

Il Collegio ricorda che l’operazione è stata posta in essere sotto la vigenza del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Il quadro normativo di riferimento è quello dell’art. 10, comma 1, che pone a carico del prestatore di servizi di pagamento la prova dell’autenticazione, della corretta registrazione e contabilizzazione dell’operazione e dell’assenza di malfunzionamenti.

Secondo l’orientamento consolidato dell’Arbitro, l’intermediario può sottrarsi alla responsabilità risarcitoria solo quando sia provata la colpa grave dell’utilizzatore, intesa come elevato e abnorme grado di negligenza. Il Collegio richiama la decisione del Collegio di Coordinamento n. 22745 del 2019, secondo cui la produzione documentale sull’autenticazione e sulla regolarità formale non soddisfa di per sé l’onere probatorio, essendo necessario indicare gli elementi di fatto delle modalità esecutive da cui trarre in via presuntiva la prova della colpa grave. Richiama altresì la decisione n. 10929 del 2016 sul riparto degli oneri di allegazione e sul principio della domanda.

Nel caso concreto, l’intermediario documenta che l’operazione è stata autenticata mediante notifica push sullo smartphone collegato all’account e autorizzata con azione volontaria e fattore biometrico. Il Collegio ritiene pertanto assolto l’onere probatorio ex art. 10, comma 1, d.lgs. n. 11 del 2010 quanto alla corretta autenticazione e all’assenza di malfunzionamenti.

Passando alla condotta del ricorrente, il Collegio rileva che egli non fornisce evidenza del sito sul quale sarebbe stato reindirizzato né altri elementi utili a circostanziare la dinamica della frode. Richiamando le decisioni del Collegio di Roma n. 10723 del 2019, n. 299 del 2020 e n. 1005 del 2026, si afferma che il disconoscimento impone al ricorrente un onere di allegazione delle circostanze idonee a offrire un’ipotesi alternativa all’utilizzo imputabile al titolare.

In difetto di tali elementi, il Collegio ritiene configurabile la colpa grave del ricorrente e respinge il ricorso.