Operazione disconosciuta ma autorizzata con autenticazione forte: nessun rimborso PSD2 (ABF Collegio di Torino n. 4427 del 15.05.2026)

Principi di diritto (Massima)
L’operazione di pagamento eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione forte, deve considerarsi autorizzata ai sensi del d.lgs. n. 11/2010 e non è soggetta al regime di responsabilità per le operazioni non autorizzate. Il consenso prestato dal cliente, ancorché viziato dal raggiro di terzi che lo abbiano indirizzato su un sito civetta, non muta la qualificazione dell’operazione. Ne deriva che l’intermediario è esonerato dall’onere di provare l’autenticazione e che la domanda di rimborso va respinta, salvo che emerga una responsabilità concorrente della banca secondo le norme di diritto comune. La richiesta di chargeback resta distinta e non si sovrappone al regime legale dei pagamenti non autorizzati.

Il Fatto

La ricorrente ha disconosciuto un’operazione di € 209,67 eseguita il 3.09.2025, sostenendo di non aver mai effettuato alcun acquisto presso il merchant indicato, di non riconoscere l’indirizzo e il nome associati all’ordine e di non aver ricevuto alcun bene o servizio. Ha aggiunto che la documentazione prodotta dall’esercente sarebbe contraffatta e che l’intermediario avrebbe respinto la contestazione senza le dovute verifiche tecniche.

L’intermediario ha replicato che la richiesta di chargeback era stata respinta perché l’esercente aveva fornito prove ritenute convincenti e che, in ogni caso, l’operazione era stata autenticata con sistema 3DS e autenticazione forte, tramite notifica push in app e riconoscimento dell’impronta digitale. Ha inoltre eccepito che la stessa ricorrente aveva ammesso, nel reclamo, di aver approvato manualmente le transazioni.

La motivazione del Collegio

Il Collegio restringe anzitutto l’oggetto della controversia. Delle tre operazioni contestate, due sono già state rimborsate: quella di € 100,00 direttamente dall’intermediario e quella di € 250,00 a seguito di chargeback accettato dall’esercente. Resta in discussione solo la terza, pari a € 209,67, eseguita in data 3.09.2025 su un sito di giochi online.

La questione giuridica centrale riguarda la qualificazione dell’operazione. La ricorrente aveva riferito, nello stesso reclamo, di aver acceduto a un sito rivelatosi fraudolento per l’acquisto di biglietti e di aver approvato manualmente le transazioni tramite l’app. Da tale ammissione l’intermediario ha tratto l’eccezione di inapplicabilità della disciplina sui pagamenti non autorizzati, che il Collegio condivide.

Il ragionamento si fonda sull’orientamento condiviso dei Collegi: quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non ricade nel regime di responsabilità previsto dalla PSD2. L’intermediario ha fornito prova documentale dell’avvenuta autenticazione 3DS, con notifica push sul dispositivo registrato e accesso mediante riconoscimento biometrico, così integrando gli elementi di possesso e di inerenza richiesti dalla normativa di riferimento.

Il Collegio richiama sul punto la propria decisione n. 373 del 16.01.2026, resa in fattispecie analoga: il pagamento disposto personalmente dal ricorrente, pur se su input di terzi malfattori che lo avevano indirizzato su un sito civetta, non può essere considerato non autorizzato. A ciò si aggiunge che la schermata prodotta dalla ricorrente mostra come la transazione sia stata eseguita a favore di un soggetto diverso da quello indicato nel sito truffaldino, circostanza che non sposta la qualificazione dell’operazione.

Nessun elemento, infine, consente di configurare una responsabilità concorrente dell’intermediario secondo le norme di diritto comune. Il ricorso è pertanto respinto, con conseguente mancata restituzione del contributo versato.