Frodi carta di debito: onere prova SCA e colpa grave del cliente (ABF Collegio di Milano n. 6736 del 15.07.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, la disciplina del D. lgs. n. 11/2010, come modificato dal D. lgs. n. 218/2017, impone al prestatore di servizi di pagamento di provare il rispetto dei presidi di strong customer authentication in tutte le fasi dell’operazione. La mancanza, anche parziale, di tale prova è risolutiva e costituisce un prius logico rispetto alla valutazione di eventuali profili di colpa grave dell’utilizzatore. Se l’operazione online è predisposta dal truffatore con i codici del cliente, essa non può considerarsi eseguita per intero dal pagatore e non è quindi integrato il requisito per escludere il regime di responsabilità della PSD2. Il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non rende per ciò solo la transazione autorizzata.

Il Fatto

La ricorrente contesta due operazioni di pagamento online, effettuate l’08.10.2025 e pari a € 1.498,00 complessivi, addebitate sulla propria carta di debito. Dichiara di aver bloccato subito la carta, di non aver mai comunicato le credenziali a terzi e di non aver autorizzato le operazioni tramite OTP; chiede quindi il rimborso con gli interessi legali.

L’intermediario si oppone. Sostiene che le operazioni siano state correttamente autenticate e contabilizzate, senza malfunzionamenti, e che la cliente le abbia eseguite personalmente dal proprio smartphone generando i CVV dinamici. Addebita alla ricorrente una colpa grave per non essersi accorta dell’uso del dispositivo da parte di terzi e per aver contestato i pagamenti solo tredici giorni dopo, con omesso controllo del conto.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo: gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del D. lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389 impongono una strong customer authentication basata su almeno due fattori indipendenti tra conoscenza, inerenza e possesso. La responsabilità dell’impresa per gli utilizzi fraudolenti, salvo frode, dolo o colpa grave del cliente, presuppone però che gli utilizzi non autorizzati derivino da furto, smarrimento o illecito uso dei codici da parte di terzi frodatori.

La banca afferma che le operazioni siano state eseguite personalmente dalla ricorrente. Il Collegio richiama l’orientamento uniforme dei Collegi: se il concorso causale dell’utente in fase dispositiva o autorizzativa è parziale, la transazione non è per ciò solo autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso. Se l’operazione è predisposta dal truffatore che dispone dei codici del cliente, essa non è eseguita per intero dal pagatore.

Sul piano probatorio, i log mostrano un accesso tramite riconoscimento biometrico alle ore 13:11. L’intermediario non offre però evidenze che il device indicato corrisponda a quello certificato della cliente, pur risultando associato all’username con il nome della ricorrente. Manca anche la produzione di log relativi ad accessi antecedenti con il medesimo dispositivo, utili a verificarne la riferibilità all’utenza. La banca si limita ad affermare che si tratta del device usualmente utilizzato.

Da qui la conclusione: la mancanza anche parziale della prova del rispetto dei presidi di sicurezza in tutte le fasi, a partire dall’accesso al sistema, è risolutiva e dirimente. Essa costituisce, in aderenza al dato normativo, un prius logico rispetto alla prova della colpa grave dell’utente (cfr. Coll. coord. n. 22745/2019). Il ricorso è accolto parzialmente: rimborso di € 1.498,00, interessi legali dal reclamo, € 20,00 di rimborso e € 200,00 di contributo alla Banca d’Italia.