Onere probatorio della banca e colpa grave dell’utente nelle operazioni non autorizzate (ABF Collegio di Bari n. 1382 del 17.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, il rischio di utilizzazione fraudolenta dello strumento grava in prima battuta sull’intermediario, che può sottrarsi all’obbligo di rimborso solo provando l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, ovvero il dolo o la colpa grave dell’utilizzatore, ai sensi degli artt. 10 e 12, comma 4, d.lgs. n. 11/2010. La regolare esecuzione della Strong Customer Authentication non è di per sé sufficiente a dimostrare la riconducibilità dell’operazione all’utente che la disconosca. La mancata allegazione delle circostanze di fatto della frode e il ritardo nella comunicazione all’intermediario costituiscono indizi valutabili dal Collegio ai fini del riconoscimento della colpa grave. Il difetto del servizio di alert integra un inadempimento dell’intermediario, salvo che le operazioni siano concentrate in un arco temporale talmente breve da rendere l’avviso inutile.

Il Fatto

La ricorrente, titolare di conto corrente presso la banca resistente, ha disconosciuto quattordici disposizioni di pagamento eseguite in favore di terzi a lei sconosciuti tra il 12 ottobre 2024 e il 7 marzo 2025, per un importo complessivo di € 2.185,06. Ha sostenuto di non aver ricevuto alcun sms né notifica dall’app della banca e di non aver mai comunicato a nessuno i dati di accesso. Ha presentato denuncia il 29 maggio 2025 e ha chiesto il rimborso integrale oltre interessi legali.

La banca ha contestato la ricostruzione, rilevando che dal medesimo dispositivo certificato erano stati registrati numerosi accessi all’home banking, che le operazioni risultavano autenticate mediante dispositivo in possesso, biometria e, in un caso, OTP, e che gli accrediti esteri in entrata avevano costituito la provvista dei bonifici in uscita. Ha prospettato l’ipotesi di un coinvolgimento della cliente in uno schema di money mule. Ha quindi chiesto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, costituito dal d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e richiama la disciplina dell’autenticazione forte del cliente dettata dal Regolamento Delegato (UE) 2018/389. Il punto di partenza è l’art. 10, che pone a carico del prestatore di servizi di pagamento la prova dell’autenticazione, della corretta registrazione e contabilizzazione e dell’assenza di inconvenienti tecnici.

Il Collegio valorizza l’orientamento del Collegio di Coordinamento, secondo cui la disciplina introduce un regime di speciale favor probatorio per l’utilizzatore, sul quale grava il solo onere del disconoscimento. Richiama le decisioni n. 3947/2014 e n. 22745/2019, che escludono l’automatica sufficienza della regolarità formale dell’operazione, e ribadisce che la responsabilità dell’utente resta circoscritta al comportamento fraudolento o all’inadempimento doloso o gravemente colposo degli obblighi dell’art. 7.

Nel caso concreto, la banca ha offerto adeguata prova dell’autenticazione di tutte le operazioni tranne una, di € 54,05, eseguita tramite carta di debito online, per la quale non ha prodotto i relativi log. Quanto alle altre, ha documentato l’uso del dispositivo certificato, dell’autenticazione biometrica e, in un caso, dell’OTP. Il Collegio ritiene inoltre configurabile la colpa grave della ricorrente, che non ha allegato elementi idonei a comprovare la dinamica della frode, secondo l’orientamento espresso dalle decisioni del Collegio di Bari n. 8247/2024 e n. 7144/2023.

Il Collegio censura però la condotta della banca sotto il profilo della mancata attivazione del servizio di alert, non risultando notifiche ricevute. Richiamata la decisione del Collegio di Coordinamento n. 24366/2019, si osserva che l’esenzione opera solo per operazioni concentrate in un arco temporale ristretto, ipotesi non ricorrente nel caso di specie, attesa la dilatazione temporale delle quattordici disposizioni. Rileva inoltre il comportamento della ricorrente, che ha prodotto solo le parti di estratto conto relative alle operazioni disconosciute e ha comunicato l’illecito solo il 5 giugno 2025, a fronte di operazioni risalenti all’ottobre 2024, in contrasto con il principio affermato dalla Corte di Giustizia UE, 1° agosto 2025, causa C-665/23.

Su queste basi il Collegio accoglie parzialmente il ricorso, riconoscendo alla ricorrente la somma di € 1.000,00 comprensiva degli interessi legali, oltre al rimborso di € 20,00 per il contributo versato, e dispone la corresponsione di € 200,00 alla Banca d’Italia per le spese della procedura.