Operazioni disposte dal cliente vittima di romance scam e responsabilità del prestatore di servizi di pagamento (ABF Collegio di Milano n. 2452 del 18.03.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte direttamente dal cliente, con inserimento dell’ordine e di tutti i fattori di autenticazione, sono autorizzate anche quando siano indotte da un raggiro, e non ricadono nel regime di responsabilità per le operazioni non autorizzate di cui al d.lgs. n. 11/2010 e alla direttiva 2015/2366/UE. In tal caso il prestatore di servizi di pagamento è esonerato dalla prova dell’autenticazione e non risponde a titolo oggettivo; una sua responsabilità concorrente, secondo le norme di diritto comune, è configurabile solo se un apporto causale dell’intermediario abbia contribuito alla frode. Fino al 9 ottobre 2025 non sussiste alcun obbligo di verifica tra IBAN e nominativo del beneficiario, dovendosi applicare l’art. 24 d.lgs. n. 11/2010 e l’orientamento del Collegio di Coordinamento n. 162/2017. Gli obblighi di adeguata verifica antiriciclaggio non impongono al PSP di inibire l’esecuzione delle operazioni sospette, salvo le ipotesi eccezionali dell’art. 42 d.lgs. n. 231/2007.

Il Fatto

Il ricorrente, titolare di un conto corrente, ha chiesto il rimborso di una serie di bonifici disposti tra il 22 luglio e il 18 settembre 2025 verso conti esteri, sostenendo di essere stato vittima di una romance scam. Secondo la ricostruzione del ricorso, l’intermediario non avrebbe adeguatamente controllato l’identità dei destinatari né le misure di sicurezza, permettendo la frode; la banca, dal canto suo, ha riferito di non poter fornire informazioni sui beneficiari per ragioni di privacy.

L’intermediario ha replicato che le operazioni erano state disposte consapevolmente dal cliente, con autenticazione forte, nell’ambito di accordi economici legati al mantenimento di una relazione virtuale, e ha eccepito la colpa grave del ricorrente. Ha inoltre contestato l’infondatezza delle censure su KYC e antiriciclaggio, richiamando i limiti del GDPR e l’irrevocabilità del bonifico. Il ricorrente, nelle repliche, ha precisato la domanda in un importo complessivo di € 1.843,00.

La motivazione del Collegio

In via preliminare il Collegio affronta due questioni. La prima riguarda l’ammissibilità della domanda riformulata nelle repliche: essa non costituisce ampliamento della domanda, vietato dalle Disposizioni ABF, ma emendatio del petitum, resa necessaria dalla stessa ammissione dell’intermediario circa l’esistenza di ulteriori transazioni della medesima natura. La seconda concerne la competenza ratione materiae sulla pretesa violazione della normativa antiriciclaggio: richiamando il Collegio di Coordinamento n. 11070/2023, il Collegio conferma la propria competenza a valutare la correttezza del comportamento dell’intermediario nell’attuazione di tale normativa.

Nel merito, la questione centrale è la qualificazione delle operazioni. Esse sono state eseguite direttamente dal cliente, che ha personalmente disposto i pagamenti cadendo nel raggiro. Secondo l’orientamento richiamato, quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, l’operazione è autorizzata: non viene in rilievo il regime delle operazioni non autorizzate, né occorre verificare la corretta esecuzione e autenticazione ai sensi degli artt. 10 ss. d.lgs. n. 11/2010. Rientrano in questa fattispecie le operazioni c.d. “sotto dettatura”.

Il Collegio precisa però che l’esonero dalla prova non esclude una responsabilità concorrente del PSP secondo le norme di diritto comune, quando emerga un apporto causale dell’intermediario alla frode: la mancata disponibilità del numero verde, la mancata identificazione del tentativo di frode da parte del dipendente, il mancato rilievo di indici di frode che avrebbero reso il cliente consapevole. Nessuna di tali ipotesi ricorre nel caso concreto, trattandosi di uno schema di romance scam in cui il cliente stesso ha riferito di aver pagato per proseguire le conversazioni.

Quanto alla mancata verifica tra IBAN e beneficiario, il Collegio osserva che la Verification of Payee è obbligatoria solo dal 9 ottobre 2025, mentre i bonifici sono anteriori; trovava dunque applicazione l’art. 24 d.lgs. n. 11/2010, che ritiene correttamente eseguito l’ordine conforme all’identificativo unico, e l’orientamento del Collegio di Coordinamento n. 162/2017, che esclude un dovere di verifica tra nominativo e titolare del conto. Infine, gli obblighi antiriciclaggio non impongono di impedire le operazioni sospette, salvo le ipotesi eccezionali dell’art. 42 d.lgs. n. 231/2007, non ricorrenti. Il ricorso è pertanto respinto.