Furto di più carte e custodia del PIN integrano colpa grave (ABF Collegio di Milano n. 2600 del 20.03.2026)

Principi di diritto (Massima)
In tema di utilizzo non autorizzato di strumenti di pagamento, l’intermediario che abbia provato l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione secondo i fattori del possesso e della conoscenza non è ancora esonerato da responsabilità: deve altresì dimostrare il comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta. La contestuale sottrazione di più carte di pagamento, tutte o in gran parte impiegate dai malfattori, e la presumibile conservazione dei PIN congiuntamente alle carte, desunta dal breve lasso temporale tra furto e primo tentativo di prelievo e dalla sequenza di digitazioni erronee riferibili alle diverse carte, costituiscono indici presuntivi di colpa grave del cliente, idonei a escludere il rimborso a prescindere dalla destrezza con cui il furto è stato realizzato.

Il Fatto

Il ricorrente si accorge del furto di documenti e carte di pagamento dalla propria auto, chiusa con comando elettronico e a vetri oscurati, e blocca le carte tramite operatore telefonico. Disconosce quindi un prelievo ATM complessivo di 850,00 euro, eseguito in due operazioni nella stessa giornata, chiedendone la restituzione.

L’intermediario resiste sostenendo che i due prelievi, di 600,00 e 250,00 euro, sono stati autenticati mediante lettura del microchip e corretta digitazione del PIN, con invio di sms alert. Addebita al cliente la colpa grave per l’incauta custodia del borsello lasciato in auto e per la presumibile conservazione del PIN insieme alla carta, desunta dalla rapidità del prelievo e dai tentativi di digitazione errata. Il ricorrente replica che l’auto era nel suo raggio visivo, contesta la ricostruzione della distanza, nega l’ipotesi di auto rimasta aperta e di custodia del PIN con la carta.

La motivazione del Collegio

La questione riguarda il riparto dell’onere probatorio nelle operazioni di pagamento disconosciute. Il Collegio richiama l’art. 10, comma 1, d.lgs. n. 11/2010, che impone al prestatore di provare autenticazione, registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti; l’assolvimento di tale onere è però condizione necessaria ma non sufficiente.

Per l’esonero da responsabilità ai sensi dell’art. 10, comma 2, occorre provare che l’uso indebito sia riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore, rispetto agli obblighi dell’art. 7 d.lgs. n. 11/2010. Il Collegio richiama l’orientamento del Collegio di Coordinamento secondo cui la documentazione sull’autenticazione non soddisfa di per sé l’onere, dovendo l’intermediario indicare gli elementi di fatto che caratterizzano le modalità esecutive e dai quali trarsi la prova presuntiva della colpa grave (decisione n. 22745/2019).

Vengono poi richiamati gli artt. 97 e 98 della PSD2, l’art. 10-bis d.lgs. n. 11/2010, le norme tecniche EBA recepite nel Regolamento Delegato Ue 2018/389, il parere EBA del 21 giugno 2019 e l’art. 12 d.lgs. n. 11/2010 sull’autenticazione forte del cliente, definita dall’art. 1, lett. q-bis.

Nel caso concreto l’intermediario ha provato l’autenticazione mediante i fattori del possesso (carta con microchip) e della conoscenza (PIN). Quanto alla condotta, il Collegio ravvisa un primo indice di colpa nella sottrazione contestuale di tre carte, conservate insieme, due delle quali impiegate per quattro prelievi. Un secondo indice è il breve lasso tra furto e primo tentativo di prelievo, circa 13 minuti, che lascia inferire la conservazione dei PIN con le carte: i primi errori di digitazione sono compatibili con i tentativi di abbinare a ciascuna carta il relativo codice.

La considerazione complessiva di questi elementi convince il Collegio a ravvisare gli indici di colpa grave del cliente, a prescindere dalla destrezza con cui il furto è stato realizzato. Il ricorso è pertanto non accolto.