Operazioni online SCA-compliant e mancato funzionamento dell’alert (ABF Collegio di Bari n. 1030 del 05.02.2026)

Principi di diritto (Massima)
La produzione documentale che dimostra l’autenticazione e la regolarità formale di un’operazione di pagamento disconosciuta, con sistema SCA-compliant, non soddisfa di per sé l’onere probatorio posto a carico del prestatore di servizi di pagamento ex art. 10, comma 2, d.lgs. n. 11/2010: occorre che l’intermediario indichi specificamente gli elementi di fatto delle modalità esecutive dai quali trarre, in via presuntiva, la prova della colpa grave dell’utente. In mancanza di allegazioni del cliente sulle circostanze della frode, la colpa grave può desumersi dal complesso delle circostanze, tra cui l’esecuzione delle operazioni tramite device già associato e l’assenza di indici di anomalia. Il mancato funzionamento del servizio di SMS-alert o assimilabile è irrilevante quando le transazioni fraudolente si succedono in un arco di tempo talmente breve da non consentire all’utente alcuna reazione utile; assume invece rilievo quando tra le operazioni decorre un lasso di tempo sufficiente a inibire lo strumento di pagamento.

Il Fatto

La ricorrente riferisce di aver tentato di acquistare due divani su un sito di e-commerce e di aver inserito un codice richiestole durante l’operazione, ricevendo il messaggio di autorizzazione negata. Lamenta due addebiti non autorizzati, pari complessivamente a € 248,62, e ne chiede il rimborso.

L’intermediario resistente ricostruisce il funzionamento del sistema di autenticazione: la carta era stata associata al dispositivo della cliente, le due operazioni erano state autorizzate con la procedura primaria (notifica push e inserimento del codice alfanumerico scelto dall’utente), con evidenza del protocollo 3DSecure. Sostiene che la cliente fosse vittima di phishing tradizionale e che la sua condotta integrasse colpa grave, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo: le operazioni ricadono sotto il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. La documentazione tecnica prodotta dall’intermediario — log, legenda esplicativa, identificativi del device e dell’app, richiesta di autorizzazione firmata — è ritenuta idonea a dimostrare la corretta autenticazione e la regolarità formale delle operazioni, con sistema SCA-compliant, secondo l’orientamento dello stesso Collegio (decisione n. 224/2025).

La prova dell’autenticazione, tuttavia, non chiude la questione. Richiamando il Collegio di Coordinamento n. 22745/2019, il Collegio ribadisce che l’art. 10, comma 2, d.lgs. n. 11/2010 impone al prestatore di servizi di pagamento di indicare specificamente gli elementi di fatto delle modalità esecutive dai quali desumere, in via presuntiva, la colpa grave dell’utente. La prova dell’autenticazione è un prius logico rispetto alla valutazione della colpa.

Nel caso concreto, la ricorrente non offre alcun elemento a sostegno dell’asserita frode, limitandosi a produrre la schermata del blocco della carta e la contabile delle operazioni. In presenza di autenticazione provata, sistema conforme alla SCA e assenza di indici di anomalia, le mancate allegazioni sulle circostanze della frode costituiscono un elemento dal quale il Collegio trae il convincimento sulla colpa grave della ricorrente (decisioni nn. 9006/2024 e 8247/2024). La prima operazione resta dunque a carico dell’utente.

Discorso diverso vale per il servizio di allerta. L’intermediario afferma di mettere a disposizione l’SMS-alert gratuito, ma non prova né l’attivazione né il funzionamento nel caso concreto, né il rifiuto della cliente. Il log prodotto attesta l’invio di un SMS “antifrode” alle ore 09:44:31 del 14/09/2025, ma non ne consente di evincere il contenuto; si tratta comunque di un messaggio successivo a entrambe le operazioni (ore 09:17:41 e 09:43:52), con finalità diversa dall’allerta e incapace di impedire la truffa.

Il Collegio richiama quindi la giurisprudenza arbitrale secondo cui l’assenza del servizio di alert è irrilevante quando le transazioni si susseguono in pochi minuti, ma assume rilievo quando tra le operazioni decorre un lasso di tempo utile all’utente per inibire lo strumento (Collegio di Bari n. 7328/2022; Collegio di Milano n. 6356/2022). Poiché le due operazioni distano quasi mezz’ora, un alert funzionante avrebbe consentito alla ricorrente di bloccare la carta dopo la prima, evitando la seconda. Il relativo pregiudizio è accollato all’intermediario.

Il ricorso è accolto in parte: l’intermediario rimborsa € 123,64, corrisponde alla Banca d’Italia € 200,00 per le spese della procedura e alla ricorrente € 20,00 per il contributo versato.