Operazioni di pagamento non autorizzate e onere probatorio dell’intermediario sull’autenticazione forte (ABF Collegio di Bologna n. 5207 del 08.06.2026)

Principi di diritto (Massima)
In presenza di operazioni di pagamento disconosciute dal titolare della carta, è onere dell’intermediario provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata ai sensi dell’art. 10 del d.lgs. n. 11/2010. La mancanza, anche parziale, della prova di autenticazione forte (SCA) è risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa del cliente: la prova dell’autenticazione costituisce un prius logico rispetto alla prova della colpa grave dell’utente. Se il concorso causale dell’utente in fase dispositiva o autorizzativa è solo parziale, la transazione non può intendersi per ciò solo autorizzata, perché il consenso deve essere prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento. In mancanza della prova dell’autenticazione, l’intermediario sopporta integralmente le conseguenze delle operazioni disconosciute, senza applicazione della franchigia.

Il Fatto

Il ricorrente riferisce di essere stato contattato da soggetti che si qualificavano come operatori dell’intermediario e, successivamente, da una chiamata apparentemente proveniente da un ufficio di polizia. Indotto a credere che fosse in corso una frode sul proprio conto, veniva spinto, sotto forte pressione psicologica, a interagire con l’app bancaria nella convinzione di bloccare operazioni fraudolente. In tale contesto venivano eseguite sette operazioni di pagamento su siti di e-commerce, per un importo complessivo di euro 7.018, che il ricorrente assume mai volute né autorizzate in modo consapevole.

Esperito infruttuosamente il reclamo, il ricorrente adisce l’ABF chiedendo di accertare la natura non autorizzata delle operazioni e di condannare l’intermediario alla restituzione della somma, oltre interessi e rimborso del contributo di procedura. L’intermediario eccepisce che i pagamenti sono stati confermati tramite la procedura 3D Secure attraverso l’app, che non risultano accessi non autorizzati all’account, che la carta è stata bloccata e che il cliente può sostituirla autonomamente.

La motivazione del Collegio

Il Collegio richiama la disciplina dei servizi di pagamento applicabile alle operazioni contestate, poste in essere sotto il vigore del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. La questione centrale riguarda la qualificazione delle sette operazioni e la distribuzione dell’onere probatorio tra cliente e intermediario.

L’intermediario sostiene che le transazioni sono state autorizzate dal titolare mediante la procedura 3D Secure. Il Collegio rileva però che l’intermediario non offre alcun chiarimento sulle modalità di approvazione della transazione nell’app, non dimostra l’adozione di un meccanismo di autenticazione forte e non produce i log delle transazioni. La documentazione in atti non permette quindi di chiarire se le operazioni siano state eseguite dal ricorrente ovvero se sia intervenuto un terzo in fase dispositiva o autorizzativa.

Dalle dichiarazioni e dai documenti emerge come verosimile che le transazioni siano state disposte da un terzo, al quale il ricorrente ha comunicato i dati della carta, e che poi il ricorrente le abbia autorizzate con la propria app nella convinzione di bloccarle. Il Collegio richiama l’orientamento condiviso dei Collegi: se il concorso causale dell’utente è parziale, per esempio con l’inserimento di uno solo dei fattori di autenticazione, la transazione non è per ciò solo autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra le parti.

In presenza di un’operazione non autorizzata, grava sull’intermediario l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione secondo l’art. 10 del d.lgs. n. 11/2010. La mancanza anche parziale di tale prova è risolutiva e prevale su ogni valutazione di colpa del cliente; il principio vale anche nei casi di phishing conclamato. Non essendo provata l’autenticazione, l’intermediario sopporta integralmente le conseguenze delle operazioni disconosciute, senza franchigia, salvo che sia stata omessa la SCA e ricorra frode del cliente ex art. 12, comma 2-bis, del d.lgs. n. 11/2010.

Il ricorso è pertanto accolto per l’importo complessivo di euro 7.018, con condanna dell’intermediario alla restituzione e al pagamento degli interessi legali dalla data del reclamo, secondo l’orientamento del Collegio di coordinamento n. 5304/13. L’intermediario è inoltre tenuto al contributo alle spese della procedura e al rimborso del contributo versato dal ricorrente.