Mancata prova del PIN e rimborso dei bonifici disconosciuti (ABF Collegio di Milano n. 4450 del 15.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, la mancanza anche parziale della prova del rispetto dei presidi di strong customer authentication in tutte le fasi dell’operazione è risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa grave ascrivibili al cliente. Essa costituisce, in aderenza al dato normativo, un prius logico rispetto alla prova della colpa dell’utente. Il prestatore di servizi di pagamento che non dimostri l’inserimento di entrambi i fattori di autenticazione non può invocare la responsabilità del cliente per ottenere il rigetto della domanda di rimborso.

Il Fatto

La ricorrente riferisce di essere stata avvicinata, il 26/07/2025, da una persona che le chiedeva indicazioni stradali, così da distoglierne l’attenzione, e di essersi accorta solo al rientro a casa della scomparsa del cellulare e del portafoglio, contenente documenti e tre carte, tra cui una emessa dall’intermediario. Bloccava subito la carta, ma l’operatore non le segnalava l’opportunità di bloccare anche il conto corrente. Sporta denuncia per furto, il 28/07/2025 rilevava dall’estratto conto due bonifici in uscita eseguiti il 26/07/2025, che contestava immediatamente.

L’intermediario, costituitosi, sosteneva che le operazioni fossero state correttamente autenticate mediante inserimento del PIN nell’apposita schermata dell’App e che sussistesse la colpa grave della cliente, per il furto avvenuto in luogo pubblico e per l’incauta custodia del codice. Addebitava inoltre alla ricorrente il tardivo blocco del conto e il disconoscimento intervenuto quasi un mese dopo. La ricorrente replicava che il modulo di disconoscimento era stato presentato con solerzia il 28/07/2025 e che era stata la banca a inoltrarlo internamente con ritardo.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina applicabile, individuata nel d. lgs. n. 11/2010 come modificato dal d. lgs. n. 218/2017, di recepimento della direttiva 2015/2366/UE (PSD2). La normativa impone ai fruitori l’uso diligente degli strumenti e la segretezza dei codici, e ai prestatori di servizi di pagamento sistemi di sicurezza idonei a impedire l’accesso di terzi ai dispositivi personali.

Quanto alla strong customer authentication, gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d. lgs. n. 11/2010 e le norme tecniche EBA recepite con il Regolamento Delegato UE 2018/389 richiedono, per le operazioni a rischio di frode, almeno due dei tre fattori indipendenti: conoscenza, inerenza, possesso. La distribuzione degli oneri probatori conseguente al disconoscimento mira ad attribuire la responsabilità degli utilizzi fraudolenti all’impresa, salvo frode, dolo o colpa grave del cliente.

Nel caso concreto, i due bonifici risultano eseguiti il 26.07.2025, alle ore 15.09 e 15.48, per complessivi € 8.002,00. Le tracciature informatiche versate in atti evidenziano il corretto inserimento del codice OTP inviato via sms all’utenza riferibile alla cliente, quale fattore di possesso. Per il PIN, invece, esse mostrano soltanto l’invio della notifica push, senza rilevare il conseguente inserimento dello stesso, che costituisce fattore necessario di conoscenza per l’autenticazione.

Richiamando il consolidato orientamento dell’Arbitro (Coll. coord. n. 22745/2019), il Collegio afferma che la mancanza anche parziale della prova del rispetto dei presidi di sicurezza in tutte le fasi dell’operazione è risolutiva rispetto alla valutazione di eventuali profili di colpa del cliente. Di conseguenza accoglie il ricorso e dispone il rimborso di € 8.002,00, oltre al contributo alle spese della procedura e al rimborso della somma versata per la presentazione del ricorso.