Responsabilità PSP esclusa se operazione disposta dal cliente con autenticazione (ABF Collegio di Roma n. 3400 del 17.04.2026)

Principi di diritto (Massima)
Quando un’operazione di pagamento è eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, la stessa deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2. Rientrano in questa fattispecie le operazioni eseguite dal pagatore seguendo le indicazioni del frodatore, senza la consapevolezza di disporre una transazione, come le c.d. operazioni sotto dettatura. In tali casi non è configurabile una responsabilità oggettiva del PSP; può tuttavia ravvisarsi una responsabilità concorrente dell’intermediario, ove le evidenze disponibili dimostrino che il suo comportamento non sia stato coerente con i principi di correttezza. Questo scrutinio non è possibile quando il ricorrente non fornisca notizie e documenti utili sulla effettuazione della frode.

Il Fatto

Il ricorrente riferisce che, tentando una ricarica sul sito del proprio operatore telefonico, riscontrava un’anomalia (una sorta di flash della pagina) e interrompeva subito l’operazione. Poco dopo riceveva la notifica di un addebito non riconosciuto di € 297,01 su carta di debito; bloccava la carta, sporgeva denuncia e presentava reclamo. L’intermediario dapprima disponeva un rimborso “con riserva”, poi lo rigettava, addebitando l’errore al cliente e senza fornire, secondo la prospettazione del ricorrente, alcuna prova.

Esperiti i reclami senza esito, il ricorrente adisce l’Arbitro chiedendo il rimborso dell’importo, gli interessi legali e il riconoscimento delle spese di reclamo e procedura. L’intermediario si oppone, sostenendo che l’operazione e-commerce è stata confermata con le credenziali di sicurezza assegnate al cliente, mediante notifica push e successivo inserimento del MPIN nell’app di Mobile Banking, e che dallo schermo allegato al ricorso emerge un URL non genuino, con la dicitura “ricarla” al posto di “ricarica”.

La motivazione del Collegio

Il Collegio ricostruisce la fattispecie muovendo da un dato pacifico: il sito sul quale il cliente ha tentato la ricarica non era quello genuino. L’intermediario lo evidenzia dall’erronea dicitura presente nell’URL. Il ricorrente, dal canto suo, non offre ulteriori elementi utili alla ricostruzione.

Sul piano dell’autenticazione, la decisione rileva che l’operazione risulta autorizzata dal device del cliente (fattore di possesso), previa ricezione di una notifica push, e valorizzata con l’inserimento del PIN (fattore di conoscenza). Il perfezionamento della doppia autenticazione, secondo il Collegio, sposta la vicenda fuori dal perimetro della responsabilità per operazioni non autorizzate.

Il Collegio richiama l’orientamento condiviso dei Collegi ABF: quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione di pagamento e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità della PSD2. Rientrano in questa fattispecie le operazioni indotte dal frodatore, comprese quelle “sotto dettatura”.

Il Collegio ammette che, pur esclusa la responsabilità oggettiva del PSP, si potrebbe ravvisare una responsabilità concorrente dell’intermediario, valutando se il suo comportamento sia stato coerente con i principi di correttezza. Questo ragionamento, però, non può svilupparsi quando il ricorrente non fornisce notizie e documenti sull’effettuazione della frode, come nel caso di specie.

Poiché è lo stesso ricorrente ad aver materialmente disposto l’operazione contestata, il Collegio ritiene inapplicabile la disciplina del d.lgs. n. 11/2010 e respinge la domanda di restituzione dell’importo. A sostegno richiama le decisioni del Collegio di Roma n. 1314/2024, del Collegio di Milano n. 2281/2024 e del Collegio di Napoli n. 329/2024. Il ricorso è quindi respinto.