Difetto di prova sull’autenticazione forte prevale sulla colpa grave dell’utente (ABF Collegio di Bari n. 1627 del 23.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate disciplinate dagli artt. 10 e ss. d.lgs. n. 11/2010, come modificati dal d.lgs. n. 218/2017 di recepimento della PSD 2, l’intermediario che non fornisca la prova chiara e univoca dell’autenticazione forte del cliente (SCA) non può invocare la colpa grave dell’utilizzatore. La prova dell’autenticazione costituisce, in aderenza al dato normativo, un prius logico rispetto alla prova della colpa. In assenza di una dettagliata legenda esplicativa dei log prodotti, non è possibile ricostruire quali fattori di autenticazione siano stati concretamente impiegati, con la conseguenza che le operazioni devono ritenersi non autorizzate e l’intermediario tenuto al rimborso.

Il Fatto

Il ricorrente, cointestatario di un conto corrente acceso presso l’intermediario, riferisce di aver subito in data 20/08/2024 due bonifici, per complessivi € 4.951,72, mai autorizzati. La vicenda trae origine da un SMS-civetta, apparentemente proveniente dall’intermediario, che lo informava di una presunta operazione fraudolenta; contattato il numero indicato, un sedicente operatore lo convinceva a disporre pagamenti verso terzi per bloccare la frode. Il giorno successivo presentava denuncia alle autorità.

Il ricorrente lamenta di non aver ricevuto il codice OTP necessario a confermare ciascuna operazione e chiede il rimborso dell’intero importo, oltre interessi, rivalutazione e spese. L’intermediario eccepisce l’inapplicabilità della disciplina sulle operazioni non autorizzate, sostenendo che i bonifici sarebbero stati disposti e autorizzati personalmente dal cliente mediante autenticazione forte, e invoca la colpa grave dell’utente.

La motivazione del Collegio

Il Collegio riduce anzitutto l’oggetto della controversia alla differenza tra l’importo dei bonifici e quanto già recuperato mediante recall: l’intermediario ha infatti stornato € 3.942,23, residuando € 1.009,49. Passa poi alla qualificazione delle operazioni, rammentando che, secondo la più recente giurisprudenza arbitrale, l’operazione è autorizzata quando è eseguita per intero dal pagatore con l’inserimento di tutti i fattori di autenticazione; se invece il concorso causale dell’utente è parziale, la transazione non può dirsi autorizzata, poiché la normativa speciale prescinde dalla nozione civilistica di consenso.

Nel caso concreto il ricorrente, in sede di denuncia, non ha dichiarato di aver disposto e autorizzato le operazioni, limitandosi a riferire di aver interloquito con il falso operatore. Le eventuali dichiarazioni confessorie avrebbero avuto valore di prova legale ai sensi dell’art. 2730 c.c., ma nella specie mancano. Le operazioni devono dunque intendersi non autorizzate.

Il Collegio esamina quindi la prova dell’autenticazione. L’intermediario produce log da cui risulterebbe un accesso in app mediante fingerprint e MPIN, ma non chiarisce da quali elementi sarebbero evincibili i fattori di autenticazione, né allega una legenda esplicativa. Dalle evidenze non è inoltre possibile ricondurre con certezza il device-id al cliente. Richiamando la giurisprudenza arbitrale (tra cui Collegio di Bari n. 10207/2022 e Collegio di Milano n. 2921/2024), il Collegio ribadisce che, in assenza di legenda, le schermate non consentono di ricavare quali singoli fattori di SCA siano stati utilizzati.

Il difetto di prova sulla regolarità formale dell’autenticazione assorbe ogni ulteriore profilo sulla colpa grave, secondo l’insegnamento del Collegio di Coordinamento n. 22745/2019: la produzione documentale sull’autenticazione non soddisfa di per sé l’onere probatorio del PSP, che deve indicare specificamente gli elementi di fatto delle modalità esecutive. Il ricorso è pertanto accolto in parte, per € 1.009,49. Sono invece respinte la rivalutazione monetaria, trattandosi di debito di valuta ex art. 1277 c.c., e la richiesta di spese legali: manca la documentazione di supporto e l’accoglimento è solo parziale, senza contegno scorretto o dilatorio dell’intermediario.