Colpa grave del cliente per custodia del PIN esclude il rimborso (ABF Collegio di Milano n. 2269 del 12.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite con carta di debito, la sottrazione contestuale di più strumenti di pagamento, tutti utilizzati dai malfattori mediante digitazione del codice PIN, costituisce indice della colpa grave del titolare per incauta custodia della carta e del codice segreto. Il rimborso previsto dal D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.lgs. n. 218/17 di attuazione della PSD II, resta escluso quando il prestatore di servizi di pagamento provi l’autenticazione forte delle operazioni e la condotta gravemente negligente dell’utente. La mancata circostanziata descrizione delle modalità del furto impedisce di qualificarlo come furto con destrezza e di escludere la responsabilità del cliente.

Il Fatto

Il ricorrente subisce il furto del portafoglio, contenente la carta di debito rilasciata dall’intermediario convenuto e quella emessa da altra banca. Denuncia l’accaduto ai carabinieri il 2.07.2025 e integra la denuncia il giorno successivo. Sulle due carte vengono eseguite complessivamente diciotto operazioni fraudolente. Il secondo intermediario rimborsa integralmente la somma di euro 5.326,49; quello convenuto riconosce solo euro 121,30 e nega il resto, pari a euro 4.554,95, adducendo l’incauta custodia del PIN.

Il cliente reclama e poi ricorre all’ABF, sostenendo che il PIN non era custodito con la carta, che le moderne tecniche consentono di estrapolarlo in tempi brevi e che la banca avrebbe dovuto adottare misure tecniche e alert. Domanda il rimborso della somma residua, gli interessi e le spese legali stragiudiziali. L’intermediario resiste, richiamando la colpa grave del titolare e la correttezza dell’autenticazione.

La motivazione del Collegio

Il Collegio individua l’oggetto della controversia in quattro operazioni contestate, per complessivi euro 4.554,95, eseguite l’1 e il 2 luglio 2025. Alla data dei fatti trova applicazione il D.lgs. n. 11/2010, come novellato dal D.lgs. n. 218/17 in attuazione della direttiva PSD II. La denuncia e la sua integrazione sono acquisite agli atti.

Sul piano dell’autenticazione forte, i log informatici prodotti dall’intermediario dimostrano che tanto i tre prelievi quanto il pagamento risultano autenticati mediante i due fattori del possesso, cioè la carta, e della conoscenza, cioè il codice PIN. La corretta registrazione e contabilizzazione delle operazioni è dunque provata.

Il Collegio passa poi alla valutazione della condotta e della colpa. Rileva anzitutto un deficit probatorio a carico del ricorrente: nella denuncia e nel ricorso manca una descrizione precisa delle modalità del furto, che restano ignote. Il cliente colloca l’episodio tra le 17:30 e le 19:30, ma la prima operazione contestata risale alle ore 21 del primo luglio; la zona del furto è indicata solo come prossimità dell’ATM del primo prelievo. L’intermediario contesta tanto il riferimento temporale quanto quello spaziale.

Il dato decisivo è però un altro. Dagli atti risulta che sono state eseguite nove operazioni con la carta dell’intermediario e altre nove con quella dell’altro istituto. Il Collegio richiama l’orientamento unanime dei Collegi ABF secondo cui la contestuale sottrazione di più strumenti di pagamento, tutti utilizzati dai malfattori, rappresenta generalmente indice della colpa grave del cliente, attestando l’incauta custodia delle carte insieme ai rispettivi codici segreti.

La prospettata qualificazione come furto con destrezza non viene ritenuta praticabile, perché il ricorrente non circostanzia in alcun modo l’episodio. Le censure sulla tecnologia di estrazione del PIN e sulla mancata attivazione di alert non superano la prova dell’autenticazione regolare e dell’indice di negligenza. Per questi motivi il Collegio non accoglie il ricorso e non riconosce né il rimborso residuo né le spese legali domandate.