Prova della SCA prius logico rispetto alla colpa grave del cliente (ABF Collegio di Milano n. 3203 del 10.04.2026)

Principi di diritto (Massima)
Nelle controversie sulle operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che invoca l’esonero da responsabilità deve dimostrare, in sequenza, l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e, solo in un secondo momento, il comportamento fraudolento o gravemente colposo dell’utilizzatore. La prova dell’autenticazione forte (SCA) costituisce un prius logico rispetto alla prova della colpa grave del cliente: il difetto anche parziale di tale prova è risolutivo e rende superfluo ogni accertamento sul contegno dell’utente. Il fattore di conoscenza utilizzato per l’accesso all’app non è riutilizzabile per l’esecuzione del bonifico, salvo che l’intermediario dichiari espressamente che l’operazione avviene nella stessa sessione con riuso del fattore.

Il Fatto

Il ricorrente riceve un sms che notifica un pagamento in uscita di € 4.640,50 verso un sito di e-commerce e invita a contattare il servizio antifrode a un numero di cellulare. Dopo aver cliccato sul link, viene contattato da un sedicente funzionario della banca, che lo rassicura sull’annullamento dell’operazione: annullamento che non avverrà mai. Il cliente disconosce il bonifico, sostiene di non aver mai divulgato credenziali o codici e chiede il rimborso di € 4.642,97.

L’intermediario resiste. Sostiene che l’accaduto è riconducibile a spoofing, che l’operazione è stata correttamente autenticata e contabilizzata, che il messaggio ricevuto è privo di riferimenti al rapporto e proviene da un numero non riconducibile alla banca, e che il cliente avrebbe potuto revocare il bonifico o verificare l’attendibilità del numero. Invoca quindi la colpa grave del ricorrente.

La motivazione del Collegio

Il Collegio ricostruisce il regime di responsabilità applicabile. Le fonti sono gli artt. 97 e 98 della PSD2, l’art. 10 del d.lgs. n. 11/2010, le norme tecniche emanate dall’EBA e recepite con il Regolamento Delegato Ue 2018/389, oltre ai criteri interpretativi EBA. La SCA richiede almeno due dei tre fattori — conoscenza, inerenza, possesso — reciprocamente indipendenti e di categorie diverse.

Sul piano probatorio, l’art. 10 del d.lgs. n. 11/2010 articola l’onere in una sequenza graduata: il prestatore deve prima provare autenticazione, registrazione e contabilizzazione corrette e l’assenza di malfunzionamenti; solo assolto questo onere, e per esonerarsi dalla responsabilità, deve dimostrare l’uso indebito riconducibile al comportamento fraudolento o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Nel caso concreto, l’intermediario non fornisce prova della corretta autenticazione. Per la fase di accesso all’app può ritenersi accertato l’uso del dispositivo come fattore di possesso e la presenza della dicitura VALIDAZIONEPIN016, indicativa dell’inserimento del PIN, quindi del fattore di conoscenza, secondo l’orientamento di Collegio Milano, decisione n. 7564/2025. Resta invece non provata la SCA per l’esecuzione del bonifico: dai log in atti, privi di legenda esplicativa, non si ricava l’inserimento del codice mPIN, con la conseguenza che sussiste solo il fattore possesso.

Il Collegio esclude anche il riutilizzo del fattore di conoscenza della fase di login. Il più recente orientamento esclude la riutilizzabilità in assenza di espresse dichiarazioni dell’intermediario: richiamata Collegio Milano, decisione n. 9784/2025, resa in caso analogo e sulla medesima documentazione. In mancanza di prova della SCA il ricorso va accolto: il difetto anche parziale della prova di autenticazione è risolutivo e dirimente rispetto alla valutazione di eventuali profili di colpa del cliente. Il Collegio accoglie il ricorso e dispone il rimborso di € 4.643,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla parte ricorrente.