Frodi informatiche su carta di pagamento: rischio professionale del prestatore (Cass. civ. Sez. III n. 3780 del 12.02.2024)

Principi di diritto (Massima)
La responsabilità del prestatore di servizi di pagamento per le operazioni non autorizzate compiute da terzi mediante sottrazione fraudolenta dei codici di accesso ha natura contrattuale e va valutata con il parametro dell’accorto banchiere. La possibilità che terzi accedano ai profili dei clienti con condotte fraudolente rientra nel rischio professionale dell’operatore, il quale, per liberarsi, deve provare di aver adottato soluzioni tecniche idonee a prevenire o ridurre l’uso illecito dei sistemi elettronici di pagamento. Il riparto dell’onere probatorio segue il regime della responsabilità contrattuale: il cliente prova la fonte del diritto e la scadenza, mentre il debitore deve dimostrare il fatto estintivo e l’adozione delle misure di sicurezza.

Il Fatto

Un titolare di carta prepagata riceve una mail in apparenza proveniente dal prestatore di servizi di pagamento, con la quale viene invitato ad accedere al proprio conto tramite un link e a inserire le credenziali per il cambio della password. Dopo aver eseguito l’operazione, l’utente riscontra un addebito di 2.900 euro per un pagamento a favore di un esercente estero, da lui mai compiuto.

Formulata invano richiesta di rimborso, l’utente agisce davanti al Giudice di Pace, che rigetta la domanda. Il Tribunale di Paola, in appello, accoglie il gravame e condanna la società al risarcimento, ravvisando la riconducibilità dell’operazione al rischio professionale del prestatore. La società ricorre per cassazione con due motivi.

La Motivazione della Corte

La società deduce la violazione delle disposizioni del d.lgs. n. 11 del 2010 che pongono a carico dell’utente oneri di cautela nell’uso dei codici, e l’omesso esame del fatto decisivo costituito dalla consegna volontaria dei dati identificativi su un sito estraneo.

La Corte qualifica in termini contrattuali la responsabilità del prestatore e richiama il principio secondo cui la diligenza dovuta ha natura tecnica, da valutarsi con il parametro dell’accorto banchiere, già affermato in Cass. n. 806 del 2016. Tale diligenza copre le operazioni riconducibili alla sfera di controllo tecnico dell’operatore, sulla base di una valutazione di prevedibilità ed evitabilità.

Ne deriva che la condotta del debitore, la cui responsabilità contrattuale è presunta, esonera solo se si colloca al di là delle possibilità esigibili dalla sua sfera di controllo. La giurisprudenza consolidata esclude la responsabilità della banca solo in presenza di colpa grave dell’utente, ma il riparto degli oneri probatori resta quello della responsabilità contrattuale.

Il cliente è tenuto a provare la fonte del diritto e la scadenza; il debitore deve provare il fatto estintivo e non può omettere la verifica dell’adozione delle misure di sicurezza. Essendo la sottrazione dei codici tramite tecniche fraudolente evenienza rientrante nel rischio d’impresa, il prestatore deve dimostrare la sopravvenienza di eventi collocati oltre lo sforzo diligente richiesto, secondo il principio di buona fede nell’esecuzione del contratto, come affermato in Cass. n. 2950 del 2017, Cass. n. 18045 del 2019 e Cass. n. 26916 del 2020.

Era dunque onere della società provare di aver adottato soluzioni idonee a prevenire l’uso fraudolento, quali l’invio di sms alert di conferma per ogni operazione. In assenza di tale prova il ricorso è rigettato, con imputazione del rischio professionale al prestatore.