Operazioni con carta non autorizzate: prova SCA e colpa grave del cliente (ABF Collegio di Milano n. 3643 del 23.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, la conformità del processo di autenticazione alla strong customer authentication costituisce un prius logico rispetto alla valutazione della condotta del cliente e il relativo onere probatorio grava sull’intermediario. La mancata produzione delle tracciature informatiche relative a talune operazioni equivale a mancata prova di conformità a SCA, con conseguente diritto del cliente alla restituzione. Ove invece l’autenticazione risulti documentata mediante due fattori indipendenti, la sua regolarità fonda la presunzione che sia stato il cliente a fornire i codici dispositivi ai truffatori, integrando la colpa grave che esclude il rimborso ai sensi del d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017.

Il Fatto

Il ricorrente, dopo aver riscontrato operazioni anomale sull’app del proprio conto, perdeva il controllo dell’accesso all’area riservata a seguito del furto delle credenziali. Veniva poi a conoscenza di undici pagamenti non autorizzati, eseguiti con le proprie carte di debito, credito e prepagata per complessivi € 5.545,17, e provvedeva a bloccare le carte e a presentare denuncia.

Dopo un iniziale rimborso integrale, l’intermediario riaddebitava l’importo, adducendo una generica criticità nella custodia delle credenziali. Il ricorrente adiva quindi l’Arbitro chiedendo la restituzione dell’intera somma; l’intermediario resisteva sostenendo la regolarità dell’autenticazione e la colpa grave del cliente.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina dei servizi di pagamento richiamando il d. lgs. n. 11/2010 e il d. lgs. n. 218/2017, che ha recepito la direttiva 2015/2366/UE. Gli obblighi sono distribuiti tra fruitore e prestatore: al primo è imposto l’uso diligente degli strumenti e la segretezza dei codici; al secondo la predisposizione di sistemi di sicurezza idonei a impedire l’accesso di terzi ai dispositivi, secondo i criteri della SCA.

Il Collegio richiama gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d. lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389. L’autenticazione forte richiede almeno due fattori reciprocamente indipendenti tra conoscenza, inerenza e possesso, ed è richiesta nell’accesso al conto, nella disposizione del pagamento e in ogni azione a distanza che comporti rischio di frode.

La normativa prevede una diversa distribuzione degli oneri probatori in caso di disconoscimento, con l’obiettivo di addossare il rischio d’impresa al prestatore, salvo che l’utilizzo derivi da frode, dolo o colpa grave del cliente.

Quanto al caso concreto, l’intermediario ha documentato che le operazioni sono state precedute dall’installazione dell’app su un nuovo dispositivo, avvenuta il 15/08/2025 alle ore 22.57.21 mediante digitazione del codice cliente, della data di nascita, del PIN e dell’OTP inviato via SMS al numero del cliente, con successiva notifica e-mail. L’accesso risulta quindi conforme a SCA, mediante fattore di conoscenza e fattore di possesso.

Il Collegio rileva tuttavia che l’intermediario non ha prodotto i log relativi a cinque delle undici operazioni contestate. Rispetto ad esse la mancanza delle tracciature equivale a mancata prova di conformità a SCA, con la conseguenza che ne va riconosciuta l’integrale restituzione.

Per le operazioni residue i log documentano l’autenticazione mediante notifica push sul dispositivo enrollato e validazione con Smart Code. Verificata la conformità a SCA, il Collegio esamina la condotta del cliente, che nulla ha riferito sulle modalità del furto. Le risultanze documentali evidenziano che, mentre venivano eseguite le operazioni, il ricorrente riceveva e-mail di modifica dei dati associati all’account e notifiche push di autorizzazione. Tali circostanze fondano la presunzione che sia stato il cliente a fornire i codici ai truffatori, onde consentire l’enrollment del dispositivo e l’esecuzione dei pagamenti, integrando la colpa grave richiamata dalla decisione del Collegio di coordinamento n. 22745/2019.

Il ricorso è quindi accolto parzialmente, con condanna dell’intermediario al pagamento di € 2.596,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 per il costo del ricorso.