Frodi su carta di debito e obbligo di sms alert (ABF Collegio di Napoli n. 4789 del 27.05.2026)

Principi di diritto (Massima)
Quando l’utente nega di aver autorizzato un’operazione di pagamento, l’utilizzo di uno strumento registrato dal prestatore di servizi di pagamento non è di per sé sufficiente a dimostrare l’autorizzazione, né il dolo o la colpa grave dell’utente. Il prestatore risponde delle conseguenze della frode se non prova l’autenticazione forte e la condotta dolosa o gravemente colposa del cliente, dovendo documentare elementi di fatto sulle modalità esecutive dell’operazione, anche in via presuntiva. Grava inoltre sull’intermediario l’obbligo di predisporre un servizio di sms alert o misura equivalente, salvo esplicito rifiuto dell’utente; la sua mancata attivazione integra un profilo di responsabilità. La banca proprietaria dell’ATM risponde infine dell’inadempimento dell’obbligo di custodia dello sportello esposto al pubblico.

Il Fatto

Il ricorrente si reca l’11 ottobre 2025 presso uno sportello ATM dell’intermediario per un prelievo. Il terminale mostra un messaggio di errore e trattiene la carta, senza indicazioni sulla causa né sulla restituzione. Dopo circa dieci minuti di attesa, senza segnali di riavvio, l’utente si allontana ritenendo che la carta sarebbe rimasta bloccata per l’intera giornata.

Il 13 ottobre, constatata la presenza di operazioni non autorizzate per complessivi euro 4.143,95 tra prelievi e pagamenti, chiede l’estratto conto e contesta gli addebiti. Dopo il riscontro negativo al reclamo, adisce l’Arbitro chiedendo la restituzione delle somme. L’intermediario resiste allegando la grave negligenza del cliente, l’omesso blocco della carta e la corretta digitazione del PIN, indice della disponibilità del codice segreto da parte dell’utente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile: le operazioni ricadono sotto il D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della PSD 2. Le fonti sulla strong customer authentication si rinvengono negli artt. 97 e 98 della direttiva, nell’art. 10-bis del D. Lgs. n. 11/2010, nel Regolamento Delegato UE 2018/389 e nei criteri interpretativi EBA.

Da tali fonti il Collegio trae il criterio di riparto dell’onere probatorio: la responsabilità del prestatore è esclusa solo se questi dimostri l’uso di meccanismi di autenticazione forte e la condotta dolosa o gravemente colposa dell’utente. La mera regolarità formale delle transazioni non basta; occorre documentare elementi di fatto, anche presuntivi, sulla colpa grave, secondo l’indirizzo del Collegio di Coordinamento ABF n. 22745 del 10 ottobre 2019.

Il Collegio richiama poi l’orientamento del Collegio di Coordinamento ABF n. 8853/2019: l’intermediario deve predisporre un servizio di sms alert che consenta all’utente di qualificare come non autorizzato il pagamento, essendo esonerato solo dall’esplicito rifiuto del cliente. Nel caso concreto nulla è stato dedotto né provato sulla predisposizione e sull’invio degli alert. Poiché quasi tutte le operazioni sono state eseguite dal giorno successivo, e anche le due del 11 ottobre sono separate da dodici minuti, l’alert avrebbe consentito contromisure idonee: la responsabilità dell’intermediario è affermata per tutte.

Quanto alla prima operazione, il Collegio rileva che l’intermediario non ha depositato documentazione sul regolare funzionamento dell’ATM, né elementi utili a confutare la ricostruzione del ricorrente. In caso di manomissione dello sportello con sottrazione della carta e captazione del PIN, la diligenza della banca va commisurata alla specificità dell’obbligo di custodia di uno strumento esposto al pubblico (Cass. n. 806 del 19 gennaio 2016). Il PIN carpito durante il legittimo utilizzo non integra grave negligenza del cliente. Il ricorso è quindi accolto e l’intermediario è tenuto alla restituzione di euro 4.144,00, oltre al contributo alle spese della procedura e al rimborso del versamento.