Prova della SCA condiziona il rimborso delle frodi informatiche disconosciute (ABF Collegio di Palermo n. 3935 del 04.05.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento deve provare l’autenticazione forte (SCA), la corretta registrazione e contabilizzazione dell’operazione e il comportamento gravemente colposo dell’utilizzatore. La prova dell’autenticazione costituisce antecedente logico della prova della colpa grave. Nei pagamenti e-commerce, un sistema basato sull’inserimento dei dati impressi sulla carta e di un codice OTP monouso non integra la SCA, perché il numero della carta e il codice CCV sono conoscibili da terzi: l’unico fattore rilevante resta l’invio del codice dinamico. In tal caso difetta la prova dell’autenticazione e sorge l’obbligo di rimborso integrale. La condotta gravemente imprudente dell’utente, che comunichi telefonicamente i codici al sedicente operatore, non esonera il PSP quando la SCA non sia dimostrata.

Il Fatto

La ricorrente, titolare di un conto con due strumenti di pagamento — una carta di debito emessa da un intermediario e una carta di credito emessa da altro intermediario — subiva il 07.07.2025 una truffa telefonica. Un sedicente operatore, con numero apparentemente riconducibile alla banca, la informava di presunti utilizzi illeciti delle carte all’estero e la induceva a disinstallare l’App e a comunicare i codici ricevuti. Venivano così effettuati due pagamenti online, di € 2.800,99 e € 2.475,99, a favore di un esercente estero.

Dopo un rimborso “salvo buon fine” poi stornato, la ricorrente adiva l’ABF chiedendo la restituzione dell’intero importo di € 5.276,98, oltre interessi, contestando l’inadeguatezza dei sistemi di sicurezza degli intermediari. Entrambi si costituivano, eccependo il difetto di legittimazione passiva per l’operazione relativa alla carta non propria e, nel merito, la riconducibilità della frode alla condotta negligente della cliente.

La motivazione del Collegio

Il Collegio affronta anzitutto le eccezioni preliminari. Il difetto di legittimazione passiva dell’intermediario collocatore è infondato: richiamando la decisione n. 6182/2013 del Collegio di Coordinamento, si osserva che il rapporto tra i soggetti coinvolti è unitario e che il collocatore è percepito come interlocutore naturale del cliente. Infondata è anche l’eccezione di mancato reclamo preventivo, poiché l’inosservanza delle modalità formali interne non incide sull’onere previsto dalle Disposizioni ABF, essendo stati depositati i riscontri dell’intermediario.

Nel merito, il Collegio richiama l’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Il PSP deve provare autenticazione, corretta registrazione e assenza di malfunzionamenti, nonché la colpa grave dell’utente; secondo la decisione n. 22745/2019 del Collegio di Coordinamento, la prova dell’autenticazione è antecedente logico rispetto a quella della colpa. La SCA richiede due fattori indipendenti tra conoscenza, inerenza e possesso, secondo gli artt. 97 e 98 della PSD 2 e il Regolamento Delegato UE 2018/389.

Quanto alla variazione dei massimali sulla carta di debito, il Collegio ritiene dimostrata l’autenticazione, perché l’operazione avvenne nella medesima sessione di un accesso effettuato con SCA, come ritenuto in un caso analogo dalla decisione del Collegio di Milano n. 8721/2025. Diversamente, per il pagamento e-commerce di € 2.800,99 il sistema si basava sui dati della carta e sul solo codice OTP: secondo l’Opinion dell’EBA del 21 giugno 2019, tale meccanismo non è multifattoriale, perché numero e CCV sono impressi in chiaro sullo strumento. Difetta quindi la prova della SCA, con conseguente obbligo di integrale rimborso a carico dell’intermediario A.

Per l’operazione di € 2.475,99 sulla carta di credito, invece, il Collegio ritiene rispettata la SCA, essendo stati utilizzati il codice OTP (possesso) e il codice segreto impostato dalla cliente (conoscenza). Passando alla colpa, la ricorrente ha ammesso di aver comunicato i fattori di autenticazione ai frodatori, con dichiarazione confessoria ex art. 2730 c.c. Il Collegio ravvisa una condotta gravemente imprudente, poiché è noto che gli intermediari non richiedono mai le credenziali, e non riscontra gli indici di anomalia del DM n. 112/2007, trattandosi di due sole operazioni.

Il ricorso è quindi accolto parzialmente: l’intermediario A è tenuto a corrispondere € 2.800,99, oltre interessi legali dalla data del reclamo, il contributo di € 200,00 alla Banca d’Italia e il rimborso di € 20,00 alla ricorrente.