Colpa grave esclude rimborso per furto device e bonifico istantaneo non autorizzato (ABF Collegio di Bari n. 8182 del 10.09.2026)

Principi di diritto (Massima)
Nel contenzioso sui pagamenti non autorizzati l’intermediario deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, secondo i requisiti di autenticazione forte previsti dal d.lgs. n. 11/2010 e dal Regolamento Delegato (UE) n. 2018/389. Il rischio di utilizzazione illecita dello strumento ricade in prima battuta sul prestatore di servizi di pagamento, che può sottrarsi all’obbligo di rimborso solo provando il dolo o la colpa grave dell’utilizzatore. Quando il furto del device associato all’app avviene in luogo pubblico affollato e la transazione fraudolenta si perfeziona in un breve lasso temporale, l’Arbitro può ritenere, su base indiziaria, che i codici autorizzativi fossero conservati unitamente al cellulare e ravvisare la colpa grave del titolare. La regolarità formale dell’operazione non è quindi sufficiente, da sola, a trasferire le conseguenze patrimoniali sull’utente, né la prova dell’autenticazione forte esaurisce il giudizio quando constino elementi contrari alla diligenza dell’utilizzatore.

Il Fatto

La ricorrente, titolare di un conto corrente abilitato all’operatività on line e di una carta di debito a esso collegata, chiede il rimborso di una operazione di pagamento eseguita a mezzo bonifico istantaneo. Afferma di aver subito, intorno alle ore 13.30 del 21 marzo 2026, il furto del proprio smartphone sul quale era installata l’app dell’intermediario per la fruizione dei servizi di pagamento, di essersi accorta della sottrazione solo successivamente e di aver riscontrato, alcune ore dopo, l’esecuzione di un bonifico di € 1.000,00 disposto da ignoti in favore di un soggetto sconosciuto. Sostiene di non aver mai conservato sul cellulare le credenziali di accesso all’app e di aver immediatamente comunicato l’accaduto all’intermediario, dopo aver sporto denuncia e disconosciuto la transazione.

L’intermediario si oppone rilevando che l’operazione è stata eseguita in regime di autenticazione forte, mediante l’inserimento del codice segreto al ricevimento della notifica push sull’app associata al device della cliente. Eccepisce che il breve lasso di tempo tra il furto e l’utilizzo contestato è indice della conservazione delle credenziali insieme al telefono e deduce la colpa grave della titolare, che avrebbe violato gli obblighi di custodia imposti dal contratto e dall’art. 7 del d.lgs. n. 11/2010.

La Motivazione della Corte

Il Collegio ricostruisce il riparto dell’onere probatorio fissato dall’art. 10, comma 1, del d.lgs. n. 11/2010: quando l’utente nega di aver autorizzato l’operazione, spetta al prestatore di servizi di pagamento provare che la stessa è stata autenticata, correttamente registrata e contabilizzata e che non ha subito gli effetti di malfunzionamenti delle procedure esecutive. Il comma 2 della stessa norma chiarisce che l’utilizzo di uno strumento di pagamento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione, né la frode o la negligenza dell’utilizzatore.

Sul piano istruttorio, gli estratti informatici e le tracciature della firma apposta con il codice segreto documentano, secondo il Collegio, che la transazione è stata compiuta in regime di autenticazione forte (SCA), attraverso l’inserimento del codice in app al ricevimento della notifica push. Gli identificativi del device e dell’applicazione e la circostanza che non vi sia stato alcun cambio di utenza tra la data di associazione della carta al dispositivo e il blocco dello stesso confermano la ricostruzione dell’intermediario. Il sistema adottato soddisfa quindi i requisiti di sicurezza indicati dall’EBA negli orientamenti del 21 giugno 2019, con conseguente raggiungimento della prova sulla corretta esecuzione dell’operazione.

Il passaggio decisivo è però costituito dall’affermazione secondo cui la dimostrazione della regolarità formale dell’operazione contestata non basta ad attribuirne le conseguenze patrimoniali al titolare dello strumento. Il Collegio richiama sul punto l’orientamento del Collegio di coordinamento n. 22745/2019 e procede a una valutazione indiziaria delle caratteristiche della truffa denunciata, per accertare se sussistano profili di negligenza inescusabile della cliente.

La ricorrente non descrive in modo specifico le modalità del furto, avvenuto in un quartiere verosimilmente affollato di una grande città, né colloca con precisione sul piano cronologico le fasi dell’evento. L’operazione disconosciuta è stata eseguita alle ore 15:38 del 21 marzo 2026, a breve distanza dalla sottrazione del device che l’istante colloca intorno alle ore 13:30; il blocco della carta è intervenuto alle ore 16:19 dello stesso giorno e il disconoscimento solo in data 23 marzo 2026. In casi analoghi l’Arbitro ritiene che i codici autorizzativi fossero conservati unitamente al cellulare, ravvisando uno standard di diligenza inadeguato del titolare.

Alla luce di questo quadro fattuale e probatorio il Collegio individua plurimi elementi rivelatori della colpa grave dell’utilizzatore, ai sensi degli artt. 7, comma 1, lett. a), e 12, comma 4, del d.lgs. n. 11/2010, nella custodia delle credenziali necessarie per l’uso a distanza del dispositivo di pagamento. Il ricorso non è pertanto accolto.