Rimborso POS negato per custodia colposa del PIN e mancato blocco carta (ABF Collegio di Napoli n. 4054 del 07.05.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di operazioni di pagamento, incombe sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata ai sensi degli artt. 10 e 10-bis del D. Lgs. n. 11/2010. Verificata la conformità del procedimento di autenticazione alla disciplina della strong customer authentication, la ripartizione della colpa va accertata secondo il D. Lgs. n. 11/2010. L’utente che, avvisato con SMS alert della prima operazione illecita, non si attivi per il blocco della carta e custodisca negligentemente il codice PIN insieme allo strumento di pagamento, risponde a titolo di colpa grave, con conseguente rigetto della domanda di rimborso delle operazioni successive.

Il Fatto

Il ricorrente riferisce di aver subito il furto della propria carta di debito mentre si trovava al lavoro. Accedendo all’app collegata al conto, si avvedeva che erano state effettuate tre operazioni, per un totale di € 1.085,00, da lui non riconosciute. Presentava denuncia all’Autorità Giudiziaria e disconosceva formalmente le operazioni all’intermediario, che rimborsava solo il primo prelievo ATM, pari a € 700,00.

Insoddisfatto, il ricorrente si rivolge all’Arbitro chiedendo il rimborso delle ulteriori due operazioni, per € 385,00, oltre alle spese legali. L’intermediario, costituitosi, conferma l’addebito dei due pagamenti POS e chiede il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla cornice normativa applicabile, individuata nel D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2). Le fonti della strong customer authentication sono rinvenute negli artt. 97 e 98 della PSD2, nell’art. 10-bis del D. Lgs. n. 11/2010 e nel Regolamento Delegato UE 2018/389, oltre che nei criteri interpretativi dell’EBA.

La prima verifica concerne il rispetto dei requisiti tecnico-normativi della SCA. Sul punto il Collegio richiama l’onere probatorio a carico dell’intermediario circa l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione. L’istituto produce evidenze informatiche idonee a dimostrare la compliance: i pagamenti POS risultano autorizzati previa lettura della carta (elemento di possesso) e corretto inserimento del codice PIN (elemento di conoscenza).

Accertata la conformità del procedimento di autenticazione, il Collegio passa alla ripartizione della colpa. Non emergono profili di colpa dell’intermediario: esso ha tempestivamente informato il ricorrente tramite SMS alert e messaggi push sull’app. Le modalità della frode non rientrano tra gli indici di frode dell’art. 8 del D.M. 112/07, che impongono all’intermediario di dubitare della genuinità dell’operazione.

I pagamenti POS contestati sono stati eseguiti circa 36 minuti dopo il prelievo ATM, già rimborsato e segnalato con avviso al cliente. Il ricorrente, dunque, era in condizione di bloccare tempestivamente la carta ed evitare le operazioni successive. Inoltre, il corretto inserimento del PIN rende plausibile che il codice segreto fosse custodito insieme alla carta, in violazione dell’art. 7, comma 2, del D. Lgs. n. 11/2010, che impone all’utente di adottare ogni ragionevole misura a protezione delle credenziali.

Il Collegio conclude per la sussistenza della colpa grave del ricorrente e, assorbita ogni altra questione, non accoglie il ricorso.