Prova SCA precede colpa grave del cliente nelle operazioni bancarie non autorizzate (ABF Collegio di Palermo n. 1797 del 26.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, l’intermediario ha l’onere di provare l’adozione delle procedure di autenticazione forte del cliente (SCA) per ciascuna operazione contestata. Tale prova costituisce un prius logico e giuridico rispetto alla valutazione del comportamento dell’utente. In difetto di evidenze informatiche idonee a dimostrare che le singole disposizioni siano state regolarmente autenticate, correttamente registrate e contabilizzate, diviene irrilevante indagare sulla sussistenza della colpa grave del ricorrente. La mera attivazione del mobile token non equivale a prova dell’autenticazione delle singole operazioni successivamente disposte.

Il Fatto

Il ricorrente espone di essere stato vittima, tra il 28 luglio e il 4 agosto 2025, di una frode informatica con sottrazione di € 11.875,00. Riferisce di essere stato contattato da un finto operatore bancario, con numero apparentemente autentico, e di avere fornito i dati delle proprie carte. Seguivano numerosi addebiti e bonifici di importo rilevante. Dopo denuncia e reclamo, la banca offriva un rimborso parziale, rifiutato dal cliente.

Il ricorrente contesta l’assenza di corrette procedure di autenticazione (SCA) per ogni operazione, il mancato blocco cautelativo a fronte di operazioni anomale e la mancata attivazione degli avvisi. L’intermediario eccepisce la colpa grave del cliente per aver comunicato credenziali e codici, sostiene l’inviolabilità dei propri sistemi e offre pro bono pacis € 6.060,65, condizionati a manleva definitiva. Il ricorrente replica richiamando il regime di responsabilità aggravata e la Cass. 26916/2020 sulla sofisticatezza della truffa.

La motivazione del Collegio

Il Collegio inquadra la controversia nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD2). Le fonti della strong customer authentication sono individuate negli artt. 97 e 98 PSD2, nell’art. 10 bis del d.lgs. 10/2011, nelle norme tecniche EBA recepite con Regolamento Delegato UE 2018/389 e nei criteri interpretativi dell’EBA.

Da tale quadro il Collegio ricava l’onere dell’intermediario di provare l’adozione di procedure di autenticazione conformi, salvo che l’operazione disconosciuta sia stata direttamente autorizzata dal cliente.

Nel caso concreto vengono in rilievo quattro bonifici per complessivi € 11.875,00, disposti tra il 28 e il 29 luglio 2025. L’intermediario si limita ad asserire che le operazioni sarebbero state autorizzate a seguito dell’attivazione del mobile token del 28.07.2025, producendo la copia dell’SMS e della notifica push contenenti l’OTP di attivazione. Per le operazioni contestate, tuttavia, non produce evidenze informatiche idonee a dimostrare che le singole disposizioni siano state regolarmente autenticate, registrate e contabilizzate, né che non abbiano subìto malfunzionamenti procedurali.

Manca dunque la prova della SCA prescritta dalla normativa vigente. In difetto di tale prova, il Collegio ritiene irrilevante indagare sulla colpa grave del ricorrente, richiamando il costante orientamento secondo cui la prova dell’autenticazione rappresenta un prius logico e giuridico rispetto alla valutazione del comportamento dell’utente (Collegio di Coordinamento ABF, decisione n. 22745/2019).

La domanda è pertanto accolta: il Collegio dichiara l’intermediario tenuto alla restituzione di € 11.875,00, oltre interessi legali dalla data del reclamo, e dispone il contributo di € 200,00 alle spese della procedura e il rimborso di € 20,00 al ricorrente. Restano assorbite le ulteriori questioni, comprese quelle sull’offerta transattiva e sulla posizione della cointestataria.