Prova della SCA precede la colpa grave dell’utente nei pagamenti non autorizzati (ABF Collegio di Milano n. 4136 del 08.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che invochi l’esonero da responsabilità deve anzitutto provare l’autenticazione forte (SCA) delle singole fasi dell’operazione, indicando i concreti fattori di autenticazione utilizzati. La prova della SCA costituisce un prius logico rispetto alla prova del comportamento gravemente colposo dell’utilizzatore: la sua mancanza, anche parziale, è risolutiva e impone il rimborso integrale delle somme sottratte, a nulla rilevando l’eventuale imprudenza del cliente. La mancata attivazione di un servizio di sms-alert o equivalente, salvo esplicito rifiuto dell’utente, integra inoltre un profilo di responsabilità dell’intermediario.

Il Fatto

Il ricorrente, a seguito di una truffa articolata su più fronti, veniva contattato dapprima da un numero riferibile alla banca, poi da un interlocutore che si qualificava come appartenente alle forze dell’ordine e che utilizzava un’utenza riconducibile a un comando istituzionale. Indotto a seguire le istruzioni per un presunto blocco del conto, il cliente effettuava un reset delle credenziali tramite quella che riteneva essere l’app della banca.

Accortosi dell’inganno, disconosceva quattro bonifici istantanei eseguiti l’11.10.2025 per complessivi € 7.133,00, oltre a un’operazione precedente di € 1.100,00 già bloccata e riaccreditata dall’intermediario. Presentava denuncia e chiedeva il rimborso, il ripristino del conto e le spese legali. La banca eccepiva la colpa grave del cliente e invocava la franchigia di cui all’art. 12, terzo comma, D.Lgs. n. 11/2010.

La motivazione del Collegio

Il Collegio ricostruisce il regime di responsabilità richiamando gli artt. 97 e 98 della PSD2, l’art. 10-bis del D.Lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389. L’art. 10 del D.Lgs. n. 11/2010 delinea una sequenza probatoria graduata: il prestatore deve prima dimostrare che l’operazione è stata autenticata, registrata e contabilizzata, e solo in un secondo momento che l’uso indebito del dispositivo è riconducibile a un comportamento fraudolento o gravemente colposo dell’utilizzatore.

Sul primo versante, l’intermediario si limita a descrivere in termini generali il processo di login, senza individuare gli specifici fattori utilizzati nel caso concreto. Dai log prodotti emerge un accesso da desktop, ma non vi è traccia dei fattori di autenticazione. Con riferimento alle disposizioni, non risulta l’inserimento del PIN, né la notifica push, né il token virtuale, né dati biometrici. Le generiche dichiarazioni rese dal cliente in denuncia non valgono a colmare la lacuna. Il Collegio richiama la propria decisione n. 02377/26, resa in fattispecie analoga, e conclude che la prova della SCA non è assolta.

Il difetto di prova sull’autenticazione è dirimente: la mancanza anche parziale della stessa è risolutiva rispetto alla valutazione di eventuali profili di colpa, poiché la prova della SCA rappresenta un prius logico rispetto alla prova della colpa grave. Il ricorso va dunque accolto integralmente.

Solo per completezza, il Collegio osserva che le quattro operazioni sono state eseguite in circa ventisette minuti e che non vi è evidenza dell’attivazione di un servizio di sms-alert. La sua mancata attivazione, salvo esplicito rifiuto dell’utente, costituisce un profilo di responsabilità dell’intermediario.

Oltre al rimborso di € 7.133,00, il Collegio accoglie la domanda di ripristino del conto ai sensi dell’art. 11 del D.Lgs. n. 11/2010, con buona valuta. Rigetta invece la richiesta di spese legali, non essendo prodotta la parcella e difettando i requisiti di complessità richiesti dalla decisione del Collegio di Coordinamento n. 4580/25. È inammissibile, perché nuova e non documentata, la domanda di storno di commissioni e interessi, formulata solo in sede di repliche.