Operazioni non autorizzate: onere probatorio del PSP e colpa grave dell’utente (ABF Collegio di Torino n. 371 del 16.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento assolve l’onere probatorio impostogli dall’art. 10 d.lgs. n. 11/2010 quando dimostra, con evidenze documentali e log informatici, che l’operazione è stata autenticata, correttamente registrata e contabilizzata, senza malfunzionamenti, e che il sistema rispetta le prescrizioni in materia di Strong Customer Authentication quanto agli elementi di possesso e di conoscenza. La prova della frode, del dolo o della colpa grave dell’utilizzatore può essere fornita anche per presunzioni, gravi, precise e concordanti ai sensi dell’art. 2729 c.c.; tra gli elementi valutabili rientrano le mancate allegazioni del cliente sulle modalità della frode subita, purché l’autenticazione sia provata, il sistema sia conforme alla SCA e non emergano indici di anomalia delle operazioni.

Il Fatto

Il ricorrente chiede all’ABF il rimborso di € 1.561,02, importo di un’operazione di pagamento eseguita tramite home banking che assume essere stata compiuta da terzi non autorizzati. Espone di aver appreso dell’addebito solo dopo un SMS che segnalava l’uso dello strumento di pagamento e di aver subito contattato il servizio clienti dell’intermediario, che disponeva il blocco del conto.

L’intermediario resiste e chiede il rigetto, eccependo la carenza documentale del ricorso e sostenendo che l’operazione è stata autenticata mediante codice OTP generato in app sul dispositivo del cliente, previo inserimento del PIN, ed eseguita senza inconvenienti tecnici.

La motivazione del Collegio

Il Collegio ricorda che l’operazione ricade nel perimetro del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. Richiama le fonti sulla Strong Customer Authentication: gli artt. 97 e 98 PSD2, gli artt. 10 e 10-bis d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e i criteri interpretativi dell’EBA.

Sul piano dell’onere probatorio, il Collegio distingue due profili. Il primo riguarda l’autenticazione e la regolare esecuzione: l’intermediario ha prodotto log informatici e legende esplicative che comprovano l’uso dell’OTP virtuale in App (elemento di possesso) e del PIN (elemento di conoscenza). L’onere sul punto è dunque assolto.

Il secondo profilo riguarda la colpa grave dell’utente. Il Collegio richiama l’orientamento del Collegio di Coordinamento, decisione n. 22745 del 10 ottobre 2019: la sola documentazione sull’autenticazione non basta, occorrendo elementi di fatto da cui desumere in via presuntiva la condotta gravemente negligente. E ancora, la decisione n. 24366/19 esige un contegno abnorme e inescusabile, da valutare alla luce di tutte le circostanze, con riferimento agli obblighi di custodia dello strumento e di memorizzazione del codice identificativo; la prova può essere data anche per presunzioni.

Nel caso concreto, il ricorrente non offre elementi utili a ricostruire la frode, né nella denuncia né nel ricorso. La vicenda appare riconducibile a un fenomeno di vishing: una telefonata da un sedicente appartenente alla Polizia Postale, il rilascio di una nuova carta nella stessa giornata, poi l’SMS della transazione. Manca però qualsiasi documentazione sulle modalità dei fatti e sulla loro esatta portata.

Il Collegio applica l’orientamento secondo cui le mancate allegazioni del cliente, insieme all’avvenuta prova dell’autenticazione, alla conformità del sistema alla SCA e all’assenza di indici di anomalia, consentono di desumere la colpa grave. Ricorrendo tutte queste circostanze, il ricorso è non accolto.