Onere della prova e colpa grave del cliente nelle operazioni disconosciute (ABF Collegio di Milano n. 4444 del 15.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, la disciplina del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva PSD2, impone al prestatore di servizi di pagamento di predisporre sistemi di strong customer authentication idonei a impedire l’accesso di terzi ai dispositivi dell’utilizzatore. Accertata la conformità dell’operazione alla SCA, mediante il ricorso ad almeno due fattori indipendenti tra conoscenza, inerenza e possesso, la responsabilità dell’impresa per l’utilizzo fraudolento resta esclusa salvo che il cliente dimostri la frode, il dolo o la colpa grave. La prova dell’autenticazione costituisce, in aderenza al dato normativo, un prius logico rispetto alla verifica della condotta del cliente.

Il Fatto

Il ricorrente riferiva di aver ricevuto, nel maggio 2025, una chiamata da un numero apparentemente riconducibile all’intermediario, con la quale gli veniva comunicato il blocco del conto. Insospettito, dichiarava di non aver fornito alcuna informazione e di essersi attivato presso l’istituto per mettere in sicurezza il rapporto. Pochi giorni dopo, a seguito di un’ulteriore telefonata truffaldina interrotta tempestivamente, si accorgeva che era stato disposto un bonifico istantaneo di € 1.999,00 non autorizzato, alle ore 21:12 del 19/05/2025.

Presentava denuncia e disconosceva l’operazione, chiedendo il rimborso. L’intermediario resisteva sostenendo che l’operazione fosse stata preceduta dall’installazione dell’app su un nuovo dispositivo, tramite inserimento dei dati del cliente e OTP ricevuto via SMS, con piena conformità alla SCA. Eccepiva la colpa grave del cliente per aver seguito le istruzioni dei frodatori e per non aver reagito all’alert di installazione. Il ricorrente replicava che la chiamata era pervenuta alle 21:16, dopo il bonifico delle 21:12, e contestava la genericità delle schermate prodotte.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017, distribuisce gli obblighi tra utilizzatore e prestatore. Al primo impone l’uso diligente dello strumento e la segretezza dei codici; al secondo la predisposizione di sistemi di sicurezza e l’impedimento dell’uso successivo alla comunicazione di disconoscimento.

Quanto alla SCA, il Collegio richiama gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d.lgs. n. 11/2010, il Regolamento Delegato Ue 2018/389 e il parere dell’EBA del 21 giugno 2019. L’autenticazione si realizza con almeno due fattori reciprocamente indipendenti. La ripartizione degli oneri probatori attribuisce la responsabilità dell’utilizzo fraudolento all’impresa, salvo frode, dolo o colpa grave del cliente, ma tale criterio presuppone che l’utilizzo non autorizzato derivi da furto, smarrimento o illecito utilizzo dei codici da parte di terzi.

Nel caso concreto, le tracciature documentali dimostrano che l’installazione dell’app sul nuovo dispositivo è avvenuta mediante codice cliente, data di nascita, PIN e OTP inviato al numero dichiarato dal cliente in sede di denuncia. Anche l’accesso all’app e la fase dispositiva del bonifico risultano conformi alla SCA, tramite applicazione (fattore di possesso) e codice segreto (fattore di conoscenza).

Accertata la conformità a SCA, il Collegio verifica la colpa grave, rispetto alla quale la prova di autenticazione costituisce prius logico, richiamando la decisione del Collegio di coordinamento n. 22745/2019. Lo screenshot versato in atti dimostra che la chiamata da numero riconducibile all’intermediario è pervenuta alle 21:16, mentre il bonifico è stato disposto alle 21:12: la chiamata è dunque successiva all’operazione. L’intermediario ha inoltre provato l’invio dell’e-mail di notifica dell’installazione e di conferma dell’operazione. Mancano pertanto elementi per accogliere il ricorso, che il Collegio rigetta.