Onere di allegazione del cliente per operazioni con carta clonata e SCA (ABF Collegio di Milano n. 5313 del 09.06.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate effettuate con carta di debito, l’intermediario fornisce la prova dell’autenticazione quando dimostra che l’operazione è stata eseguita mediante lettura del microchip e inserimento del PIN, vale a dire con i fattori del possesso e della conoscenza richiesti dalla strong customer authentication di cui agli artt. 97 e 98 della direttiva 2015/2366/UE (PSD II) e all’art. 10 bis del d.lgs. n. 11/2010. Il cliente che disconosce le operazioni è tenuto a una ricostruzione circostanziata dei fatti, con indicazione del luogo e dell’orario in cui la carta sarebbe stata trattenuta dall’ATM. La carenza di tale allegazione, non colmata neppure in sede di repliche, integra un difetto di collaborazione che giustifica il rigetto del ricorso. La franchigia e il rimborso delle eccedenze rispetto ai limiti del DM 112/2007 restano questioni distinte dall’accertamento dell’autenticazione.

Il Fatto

Il ricorrente riferisce di essersi recato, il 10 gennaio 2026, presso uno sportello ATM di Londra per un prelievo. L’operazione non andava a buon fine e la carta veniva trattenuta dal terminale. Nella stessa fascia oraria, con la carta di debito, venivano eseguite sette operazioni non autorizzate (sei prelievi e un pagamento) per complessivi € 588,98. Il cliente bloccava la carta e presentava denuncia il 19 gennaio 2026, quindi reclamo all’intermediario, ottenendo risposta negativa.

L’intermediario si costituiva precisando di agire come rappresentante dell’ intermediario titolare del contratto della carta. Eccepiva la genericità della contestazione e la discordanza tra denuncia e modulo di disconoscimento, dove il cliente aveva ipotizzato la clonazione. Sosteneva che le operazioni erano state autenticate con microchip e PIN, senza digitazioni errate, e che il blocco era stato disposto alle ore 20:10. In via di collaborazione aveva rimborsato € 129,10, corrispondenti a due operazioni eccedenti i criteri del DM 112/2007. Chiedeva il rigetto e, in subordine, l’applicazione della franchigia di legge.

La motivazione del Collegio

Il Collegio individua la normativa applicabile ratione temporis nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della PSD II, in vigore dal 13 gennaio 2018. Richiama poi gli artt. 97 e 98 della direttiva 2015/2366/UE, l’art. 10 bis del d.lgs. n. 11/2010, le norme tecniche dell’EBA recepite con il Regolamento Delegato UE 2018/389, applicabile dal 14 settembre 2019, e il parere EBA del 21 giugno 2019.

La strong customer authentication richiede almeno due dei tre fattori — conoscenza, inerenza e possesso — reciprocamente indipendenti e appartenenti a categorie diverse. Nel caso concreto le evidenze documentali mostrano che le operazioni sono state eseguite con lettura del microchip e inserimento del PIN. Ne deriva che esse risultano autenticate mediante i fattori del possesso (la carta) e della conoscenza (il codice).

Il fulcro del ragionamento non è però la sola autenticazione formale. Il Collegio si sofferma sull’onere di allegazione del cliente: costui afferma che la carta sarebbe rimasta bloccata nell’ATM, ma non indica né il luogo né l’orario del fatto. Tale omissione è definita “particolarmente grave”. Manca, in sostanza, una ricostruzione circostanziata dei presupposti dei disconoscimenti, e il cliente si limita a negare gli addebiti senza collocarli nel tempo e nello spazio.

Il Collegio valorizza anche il comportamento processuale. L’intermediario aveva eccepito la genericità della contestazione nelle controdeduzioni e aveva ribadito il rilievo in sede di controrepliche. Il cliente, nelle repliche, non ha offerto alcun elemento sul punto e ha insistito soltanto sull’andamento anomalo dei LOG e sul rimborso parziale già eseguito. Il silenzio sul luogo e sull’ora della presunta sottrazione della carta resta quindi non superato.

Quanto alle difese ulteriori, il richiamo alla clonazione nel modulo di disconoscimento non è supportato da prova e risulta incoerente con la versione della carta trattenuta dall’ATM. Il rimborso parziale di € 129,10 riguarda le operazioni eccedenti i limiti del DM 112/2007 e non implica riconoscimento della non autorizzazione delle altre. Le residue cinque operazioni, per € 470,21 comprensivi di € 10,33 di commissioni, non trovano quindi titolo per il rimborso. Il ricorso è respinto.