Operazioni disconosciute e autenticazione forte: restituzione respinta per colpa grave del cliente (ABF Collegio di Palermo n. 3956 del 05.05.2026)

Principi di diritto (Massima)
Nel disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento ha l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, nonché il dolo o la colpa grave dell’utilizzatore. La prova dell’autenticazione forte costituisce antecedente logico rispetto alla prova della colpa grave. Quando l’intermediario dimostri l’adozione di un sistema conforme alla Strong Customer Authentication, l’assenza di anomalie e la trasmissione degli alert, le mancate allegazioni del cliente sulle circostanze della frode possono fondare il convincimento del Collegio circa la colpa grave e giustificare il rigetto della domanda restitutoria.

Il Fatto

Il ricorrente, titolare di una carta prepagata, ha chiesto la restituzione di euro 2.005,50, importo di un’operazione disconosciuta, oltre commissioni, eseguita il 23.04.2025. Riferisce di aver ricevuto messaggi che lo invitavano a un presunto aggiornamento del sistema operativo del dispositivo e di essersi accorto dell’ammanco in serata. Il giorno stesso ha portato lo smartphone in assistenza, dove è stata diagnosticata la presenza di un virus; il giorno successivo ha presentato denuncia e reclamo, senza ottenere il rimborso. L’intermediario ha eccepito l’avvenuta autenticazione forte dell’operazione.

La motivazione del Collegio

Il Collegio affronta anzitutto una questione preliminare di contraddittorio: il ricorso è stato proposto verso un intermediario, mentre le controdeduzioni provengono dal soggetto emittente la carta, appartenente al medesimo Gruppo. Richiamando il proprio orientamento, il Collegio ritiene il contraddittorio correttamente integrato e si pronuncia nei confronti dell’intermediario convenuto.

Nel merito, il Collegio ricorda che l’art. 10 del d.lgs. n. 11/2010 pone a carico del prestatore di servizi di pagamento l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di inconvenienti, oltre al dolo o alla colpa grave dell’utilizzatore. La prova dell’autenticazione è prius logico rispetto alla prova della colpa, secondo l’orientamento del Collegio di Coordinamento.

Quanto alla Strong Customer Authentication, il Collegio richiama gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d.lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389. Nel caso concreto, l’intermediario ha dimostrato l’impiego del dispositivo su cui è stato generato il codice personale — fattore di possesso — e l’inserimento del codice alfanumerico — fattore di conoscenza. La SCA risulta pertanto provata.

Il Collegio rileva poi che il ricorrente non ha allegato le circostanze della frode e che non è possibile desumere se si sia trattato di phishing, smishing o spoofing; i sistemi di autenticazione non hanno registrato anomalie. In una fattispecie simile il Collegio di Roma ha desunto la colpa grave proprio dall’assenza di elementi idonei a contestualizzare l’evento truffaldino. Nella specie, il blocco della carta è intervenuto successivamente all’operazione, gli alert risultano trasmessi e non emergono indici di anomalia. Il Collegio respinge quindi la richiesta restitutoria, desumendone la colpa grave, e non accoglie nemmeno la domanda risarcitoria di euro 15,00 per le spese di rimozione del virus.