Onere della prova della strong customer authentication e rimborso del bonifico disconosciuto (ABF Collegio di Milano n. 651 del 26.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento che invoca la colpa grave dell’utilizzatore deve anzitutto dimostrare il corretto funzionamento dei presidi di strong customer authentication in tutte le fasi dell’operazione, sin dall’accesso al sistema di home banking. La prova parziale o mancante del secondo fattore di autenticazione è risolutiva e dirimente e costituisce un prius logico rispetto alla valutazione della condotta del cliente. Ove tale prova manchi, il diritto al rimborso del controvalore dell’operazione contestata deve essere riconosciuto, senza che rilevi l’eventuale condotta imprudente dell’utente.

Il Fatto

La ricorrente, ultraottantenne e priva di alfabetizzazione informatica, deduceva di essere stata vittima di un raggiro basato sull’installazione dell’applicazione AnyDesk sul proprio cellulare e sulla simulazione di assistenza da parte di finti consulenti finanziari. Indotta a consentire l’accesso remoto al dispositivo, ravvisava sul conto tre bonifici di € 10.000,00 ciascuno verso un soggetto sconosciuto, di cui uno solo andato a buon fine.

Le operazioni erano state disconosciute con modulo di disconoscimento, denuncia alle autorità e diffida. La ricorrente chiedeva il rimborso di € 10.000,00, oltre interessi e rivalutazione, dolendosi del difetto di diligenza dell’istituto nella rilevazione dell’anomalia e della violazione degli obblighi di trasparenza e sicurezza. L’intermediario eccepiva la colpa grave della cliente per aver installato il software di controllo remoto e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio individua l’oggetto del ricorso nell’accertamento del diritto alla restituzione del controvalore dell’operazione disconosciuta. Preliminarmente dichiara inammissibile la censura, avanzata solo in sede di repliche, relativa alla mancata produzione del contratto di internet banking: da un lato le Disposizioni della Banca d’Italia non ammettono ampliamenti del petitum in quella fase, dall’altro la doglianza esula dalla competenza temporale dell’Arbitro, essendo il contratto risalente al 2003.

Nel merito, il Collegio richiama il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva PSD2, e gli artt. 97 e 98 della direttiva, l’art. 10-bis del d.lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389. La strong customer authentication richiede due fattori reciprocamente indipendenti e appartenenti a categorie diverse tra conoscenza, inerenza e possesso. La distribuzione degli oneri probatori in caso di disconoscimento mira ad attribuire la responsabilità degli utilizzi fraudolenti all’impresa, salvo frode, dolo o colpa grave del cliente.

Passando ai log informatici, il Collegio rileva che l’accesso all’home banking risulta effettuato mediante digitazione di un OTP inviato al numero di cellulare, ma non è possibile ricavare evidenza di un ulteriore fattore di autenticazione. La colonna SCA_TYPE è valorizzata con una dicitura non spiegata dall’intermediario. Analogo deficit riguarda l’enrollment dell’app sul nuovo dispositivo: la banca richiama il solo PIN, correttamente qualificabile come OTP, senza prova del secondo fattore. Neppure l’operazione contestata offre evidenza dei fattori di autenticazione utilizzati.

La mancanza, anche parziale, della prova del rispetto dei presidi di sicurezza in tutte le fasi è risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa della cliente, costituendo un prius logico rispetto alla prova della colpa grave dell’utente, in aderenza al dato normativo e al precedente del Collegio di coordinamento n. 22745/2019. Il Collegio riconosce pertanto il diritto al rimborso del controvalore dell’operazione contestata.

Rigetta invece la domanda di rivalutazione monetaria, trattandosi di debito di valuta ai sensi dell’art. 1277 cod. civ., e quella di refusione delle spese vive, non provate. Quanto alle spese di assistenza difensiva, richiamato il principio del Collegio di coordinamento n. 4580/2025, che le qualifica come risarcimento del danno emergente subordinato alla prova di un comportamento gravemente scorretto o dilatorio dell’intermediario, la domanda non è accolta per difetto di prova.