Furto carta debito e colpa grave custodia PIN escludono rimborso (ABF Collegio di Napoli n. 4788 del 27.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, il rischio di utilizzazione fraudolenta dello strumento grava in prima battuta sull’intermediario, che può sottrarsi all’obbligo di rimborso provando il dolo o la colpa grave dell’utilizzatore ai sensi degli artt. 7 e 12, comma 4, d.lgs. n. 11/2010. La produzione dei log che attestano la strong customer authentication a due fattori — lettura del microchip e inserimento del PIN — soddisfa l’onere probatorio sulla regolare autenticazione. La colpa grave può essere desunta in via presuntiva da elementi di fatto che caratterizzano le modalità esecutive delle operazioni, tra cui la custodia dei codici segreti insieme alla carta e l’inerzia dell’utente dopo gli avvisi dell’intermediario.

Il Fatto

Il ricorrente riferisce di aver subito, mentre si trovava sul luogo di lavoro, il furto della carta di debito rilasciata dall’intermediario. Accortosi dell’accaduto, accedeva all’app del conto e rilevava che erano già state eseguite sette operazioni non autorizzate — due prelievi ATM e cinque pagamenti POS — per un totale di € 1.490,00. Presentava denuncia all’Autorità di P.S. e disconosceva formalmente le operazioni.

Insoddisfatto dell’esito del reclamo, si rivolgeva all’Arbitro chiedendo l’integrale rimborso e le spese legali. L’intermediario, costituitosi, evidenziava che tutte le operazioni erano state autorizzate con lettura del microchip e corretto inserimento del PIN, che il cliente aveva bloccato la carta solo alle ore 20:20 benché avvisato via sms alert sin dalle ore 18:56, e richiamava l’orientamento secondo cui il breve intervallo tra furto e utilizzo è indice presuntivo della tenuta del PIN insieme alla carta.

La motivazione del Collegio

Il Collegio inquadra la vicenda nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Le operazioni, tutte eseguite l’11/04/2025, ricadono nel regime della strong customer authentication, disciplinato dagli artt. 97 e 98 della PSD 2, dall’art. 10-bis del d.lgs. n. 11/2010 e dal Regolamento Delegato UE 2018/389.

Il riparto dell’onere probatorio è quello consolidato: a fronte del disconoscimento dell’utente, incombe sul prestatore di servizi di pagamento provare che le operazioni sono state autenticate, correttamente registrate e contabilizzate, ai sensi degli artt. 10, commi 1 e 2, e 10-bis, comma 1, d.lgs. n. 11/2010. A tal fine possono essere valutati i log delle operazioni e gli ulteriori elementi esplicativi registrati dal sistema informatico (Collegio ABF Roma, n. 461/2025).

Nel caso concreto l’intermediario ha prodotto la tracciatura informatica dei prelievi e dei pagamenti, dalla quale emerge che tutte le operazioni sono state effettuate mediante autenticazione forte a due fattori: il corretto inserimento del PIN, quale fattore di conoscenza, e la regolare lettura del microchip, quale fattore di possesso. La prova della SCA risulta dunque raggiunta, in linea con gli orientamenti richiamati (Collegio ABF Napoli, n. 6183/2024; Collegio ABF Roma, n. 6288/2023).

Resta da verificare la sussistenza di profili di colpa grave in capo al cliente. Il Collegio richiama il principio del Collegio di Coordinamento n. 22745/2019: la prova dell’autenticazione e della formale regolarità dell’operazione non esaurisce l’onere probatorio, essendo necessario che l’intermediario indichi specificamente gli elementi di fatto dai quali trarre, in via presuntiva, la prova della colpa grave dell’utente.

Tali elementi vengono individuati nella contestuale sottrazione di più strumenti di pagamento, tutti utilizzati dai malfattori in un breve lasso temporale, circostanza che conferma l’incauta custodia delle carte insieme ai rispettivi codici segreti. Rileva inoltre l’inerzia dell’utente: pur in possesso del telefono, non si è attivato per il sollecito blocco della carta, nonostante gli sms alert inviati per ciascuna operazione, dal primo delle ore 18:56 all’ultimo delle ore 20:07. Un intervento tempestivo avrebbe consentito di evitare almeno cinque operazioni, posto che il terzo pagamento è avvenuto circa 35 minuti dopo il primo prelievo. Le operazioni, infine, non rientrano tra le frodi previste dall’art. 8 del D.M. n. 112/2007.

Il Collegio esclude così un apporto causale dell’intermediario e ascrive la frode esclusivamente al comportamento gravemente colposo del ricorrente, rigettando il ricorso.