Frodi su carta prepagata: onere della prova e colpa grave dell’utilizzatore (ABF Collegio di Bologna n. 121 del 12.01.2026)

Principi di diritto (Massima)
L’intermediario che produce la documentazione informatica attestante l’autenticazione forte (SCA) delle operazioni di pagamento online, con accesso da nuovo dispositivo e conferma mediante notifica push e password, assolve l’onere probatorio di cui all’art. 10, comma 1, d.lgs. n. 11/2010. Tale prova non esaurisce però l’onere del prestatore di servizi di pagamento, il quale deve indicare gli elementi di fatto da cui desumere, in via presuntiva, la colpa grave dell’utilizzatore. Se il ricorrente non circostanzia le modalità della truffa e non documenta le operazioni di reinstallazione dell’App e di recupero delle credenziali, il Collegio può ritenere integrata la colpa grave e rigettare la domanda di rimborso. Resta esclusa la responsabilità dell’intermediario quando questi abbia inviato notifiche e avvisi e promosso campagne informative sui rischi di frode.

Il Fatto

Il ricorrente, titolare di una carta prepagata, chiede all’Arbitro il rimborso di Euro 760,00, importo di due pagamenti online eseguiti il 15.05.2025 a favore del medesimo beneficiario. Espone di avere riscontrato malfunzionamenti nell’App, di averla disinstallata e reinstallata, di avere attivato la procedura di recupero della password mediante codici OTP ricevuti in parte via mail e in parte via SMS, e di avere poi appreso dai messaggi dell’intermediario dell’esecuzione delle due disposizioni, autorizzate da un indirizzo IP estero. Sostiene di non avere mai comunicato a terzi le credenziali e di essere rimasto in possesso del telefono e della carta. Il reclamo ha avuto esito negativo e l’intermediario chiede il rigetto del ricorso, ipotizzando un episodio di phishing/vishing o l’uso di una rete non sicura.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuato nel d.lgs. 27.01.2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD 2). Le due operazioni risultano eseguite sotto la vigenza di tale disciplina e la controversia ha a oggetto il rimborso delle stesse.

Sul piano probatorio, l’intermediario ha versato in atti i log di accesso all’area riservata e i log delle operazioni. Da essi emerge che l’onboarding del nuovo device, l’accesso all’home banking e i pagamenti sono stati autenticati con SCA: inserimento della password, codice dinamico OTP ricevuto via SMS al numero registrato, secondo OTP per l’associazione del nuovo dispositivo, quindi conferma dei pagamenti mediante notifica push e password. Il Collegio ritiene pertanto assolto l’onere ex art. 10, comma 1, d.lgs. n. 11/2010.

Richiamando la decisione del Collegio di Coordinamento n. 22745/19, il Collegio ricorda che la sola prova dell’autenticazione formale non soddisfa l’onere di dimostrare la frode, il dolo o la colpa grave dell’utilizzatore: occorre indicare elementi di fatto dai quali desumere la colpa in via presuntiva. Su questo terreno, però, la domanda del ricorrente non regge. Il racconto è generico e non consente di ricostruire in modo univoco le modalità della truffa. Il ricorrente non ha prodotto alcuna documentazione sulla disinstallazione e reinstallazione dell’App, sulla procedura di ripristino della password, sugli OTP ricevuti, né una perizia tecnica che dimostri un’intrusione nel dispositivo.

La genericità dell’allegazione e il mancato assolvimento dell’onere ex art. 2697 c.c. impediscono al Collegio di verificare l’attendibilità delle deduzioni. Da ciò deriva un giudizio di colpa grave a carico del ricorrente, che presumibilmente ha comunicato incautamente a terzi i propri codici personali. Nessun elemento di colpa è invece ravvisabile in capo all’intermediario, che ha inviato notifiche push e SMS di avviso, ha dimostrato di avere promosso campagne informative sui rischi di frode e le cui operazioni non integrano alcun parametro dell’art. 8 del D.M. 112/2007. Il ricorso è quindi non accolto.