Operazioni disconosciute via app autenticate con SCA (ABF Collegio di Roma n. 1863 del 04.03.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di strumenti di pagamento, il prestatore di servizi di pagamento che offra la prova dell’autenticazione delle operazioni contestate, della conformità del sistema alla Strong Customer Authentication e dell’assenza di indici di anomalia, è esonerato dal regime di responsabilità della PSD2. Le mancate allegazioni del cliente sulle circostanze di fatto della frode costituiscono elemento di convincimento circa la sua colpa grave. Quando le operazioni disconosciute sono intervallate da operazioni autorizzate e il ricorrente ne impugni solo alcune, la prospettazione è incompatibile con l’ipotesi di clonazione dello strumento. Resta fermo il vaglio dell’operato dell’intermediario secondo le regole generali del diritto delle obbligazioni e il principio di buona fede.

Il Fatto

Il ricorrente, dopo aver ricevuto l’estratto conto della carta di credito, rilevava l’esecuzione di 58 operazioni non autorizzate su un sito per adulti, tra il 17.11.2024 e il 14.01.2025, per complessivi euro 2.223,67. Contattava il numero verde per il blocco della carta e compilava il modulo di disconoscimento. L’intermediario riconosceva soltanto il rimborso di euro 65,08.

Il ricorrente deduceva quindi una presunta clonazione della carta e la mancata attivazione dell’sms alert, chiedendo il rimborso della residua somma di euro 2.158,61. L’intermediario eccepiva che tutte le transazioni erano state autenticate dal dispositivo del ricorrente mediante fattore biometrico e che il servizio di allerta era attivo. In sede di repliche il ricorrente rappresentava di trovarsi a Tokyo nel periodo delle operazioni, con SIM giapponese inserita nel cellulare.

La motivazione del Collegio

Il Collegio richiama la disciplina dell’art. 10 del d.lgs. 11/2010, come modificato dal d.lgs. 218/2017 di recepimento della direttiva (UE) 2015/2366. Il regime probatorio è di favore per l’utente, ispirato al principio del rischio d’impresa (richiamata la decisione del Collegio di Coordinamento n. 3498/2012): il prestatore deve provare l’autenticazione e la corretta registrazione delle operazioni, nonché la colpa grave o il dolo dell’utilizzatore, anche per presunzioni.

Nel caso concreto l’intermediario ha depositato i log dai quali emerge l’utilizzo dell’app installata sul dispositivo del ricorrente, con push autorizzativa come fattore di possesso e dato biometrico come fattore di inerenza. L’app non ha subito enrollment su altri dispositivi. Secondo l’orientamento condiviso dai Collegi, quando l’operazione è eseguita per intero dal pagatore con tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità della PSD2.

Il Collegio precisa tuttavia che ciò non esclude il vaglio della condotta dell’intermediario secondo le regole generali del diritto delle obbligazioni, con riferimento agli artt. 1375, 1176, secondo comma, e 1218 c.c., e al concorso di colpa ex art. 1227 c.c. (richiamate le decisioni del Collegio di Roma n. 361/25 e n. 2531/24, del Collegio di Napoli n. 6488/23, del Collegio di Milano n. 8435/23 e del Collegio di Torino n. 15116/2022). Nel caso di specie non emergono indici di un apporto causale dell’intermediario alla frode.

Quanto alla posizione del ricorrente, le mancate allegazioni sulle circostanze di fatto della frode, in presenza di prova dell’autenticazione, di conformità alla SCA e di assenza di anomalie, fondano il convincimento sulla colpa grave. Inoltre il ricorrente ha impugnato solo alcune operazioni, riconoscendo implicitamente le altre: quadro presuntivo incompatibile con la clonazione. Il Collegio rileva infine un comportamento negligente nel mancato controllo della movimentazione della carta, essendo il blocco intervenuto a distanza di tempo. Il ricorso è pertanto respinto.