Frodi carta di credito: prova autenticazione forte e colpa grave del cliente (ABF Collegio di Milano n. 1718 del 25.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che agisce per l’esonero da responsabilità deve provare, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010, che l’operazione è stata autenticata, correttamente registrata e contabilizzata. Tale prova è necessaria ma non sufficiente: occorre dimostrare che l’uso indebito è riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7 d.lgs. n. 11/2010. Quando l’intermediario prova l’autenticazione forte del cliente mediante i fattori del possesso e della conoscenza, il mancato circostanziamento delle modalità del furto e degli utilizzi non autorizzati costituisce indizio idoneo a fondare una valutazione di colpa grave dell’utilizzatore, con conseguente rigetto della domanda restitutoria.

Il Fatto

Il ricorrente riferisce di aver subito il furto della propria carta mentre si trovava in Portogallo, in data 08.09.2025. Senza aver mai condiviso il PIN né autorizzato le operazioni, avrebbe subito cinque prelievi presso ATM per complessivi € 1.643,15. Presentava denuncia alle autorità portoghesi e reclamo all’intermediario, chiedendo la restituzione degli importi sottratti.

L’intermediario controdeduce che le operazioni erano state correttamente contabilizzate, registrate e autenticate mediante lettura del microchip e corretta digitazione del PIN, invocando la colpa grave del cliente per l’incauta custodia della carta e del codice. Il ricorrente replica che i log interni prodotti riportano diciture come “Chip & PIN” o “notifica push inviata”, autodichiarazioni proprietarie non sufficienti, e che manca prova della custodia del PIN insieme alla carta.

La motivazione del Collegio

Il Collegio muove dall’art. 10, comma 1, d.lgs. n. 11/2010, che addossa al prestatore l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti. Richiama quindi l’orientamento del Collegio di Coordinamento n. 22745/2019: la produzione documentale sulla regolarità formale dell’operazione non esaurisce l’onere probatorio, perché l’intermediario deve indicare gli elementi di fatto dalle modalità esecutive dai quali trarre, in via presuntiva, la prova della colpa grave dell’utente.

Sul piano normativo il Collegio considera gli artt. 97 e 98 della PSD2, l’art. 10-bis d.lgs. n. 11/2010, le norme tecniche dell’EBA recepite con il Regolamento Delegato Ue 2018/389, applicabile dal 14.09.2019, e il parere EBA del 21.06.2019. Viene richiamato anche l’art. 12 d.lgs. n. 11/2010, secondo cui, salvo frode del pagatore, questi non sopporta perdite se il prestatore non esige un’autenticazione forte del cliente, definita dall’art. 1, lett. q-bis come autenticazione basata su due o più elementi indipendenti tra conoscenza, possesso e inerenza.

Quanto al primo profilo, il Collegio ritiene assolto l’onere: l’intermediario ha provato che le operazioni sono state autenticate mediante i fattori del possesso (la carta) e della conoscenza (il PIN). Passa quindi alla condotta del cliente, valutabile solo sulle scarne dichiarazioni della denuncia, che non consentono una sufficiente contestualizzazione dei fatti né chiariscono le modalità del furto: il ricorrente si limita a riferire il furto dello zaino senza elementi utili sulla dinamica.

A fronte della prova dell’autenticazione forte, il Collegio qualifica il mancato circostanziamento degli utilizzi non autorizzati come indizio idoneo a fondare la colpa grave, richiamando il proprio orientamento (Collegio di Milano, decisione n. 7003 del 13 giugno 2024). La riconosciuta colpa grave non esclude altri profili di responsabilità sul versante degli obblighi di protezione del prestatore, anche per mancata gestione di eventi che segnalino possibili frodi: profili che nella specie non ricorrono, perché il ricorrente non produce evidenze sull’orario in cui avrebbe chiesto la sospensione dell’operatività. Il ricorso è pertanto non accolto.