Rimborso operazioni non autorizzate: onere cliente e prova autenticazione forte (ABF Collegio di Torino n. 1528 del 19.02.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di strumenti di pagamento online, il prestatore di servizi di pagamento assolve l’onere probatorio previsto dall’art. 10 del d.lgs. n. 11/2010 dimostrando l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni e l’assenza di malfunzionamenti, nonché la conformità del sistema alla Strong Customer Authentication. Ove tale prova sia fornita, il mero disconoscimento delle operazioni da parte dell’utilizzatore, privo di allegazioni sulle circostanze di fatto della frode, non consente di radicare la responsabilità dell’intermediario. In tal caso il Collegio può trarre da tale carenza allegativa, unitamente agli altri elementi, il proprio convincimento sulla colpa grave del cliente.

Il Fatto

La ricorrente ha riferito di aver ricevuto un sms che le comunicava una disposizione di € 5.500 dalla propria carta verso un sito; non avendo eseguito l’operazione, ha bloccato la carta e contestato l’addebito. Le operazioni contestate ammontano complessivamente a € 5.527,39. L’intermediario ha respinto la contestazione, rilevando che le transazioni erano state eseguite mediante autenticazione forte. L’istante ha quindi presentato denuncia e domandato il rimborso.

Nel costituirsi, l’intermediario ha sostenuto che il ricorrente non aveva offerto elementi concreti sulla fraudolenza, ipotizzando piuttosto un fenomeno di phishing o vishing. Ha evidenziato che i due codici OTP erano giunti sul numero di telefono del cliente, riportato anche nella denuncia, e che una sola operazione, di € 3,99, era stata eseguita senza autenticazione forte ed era già stata rimborsata. Ha concluso per il rigetto.

La motivazione del Collegio

Il Collegio richiama la disciplina dell’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2). La normativa prevede un regime probatorio di favore per l’utente, ispirato al principio del rischio d’impresa, secondo l’orientamento del Collegio di coordinamento n. 3498/2012. L’onere a carico del prestatore segue una sequenza graduata: provare l’autenticazione e la corretta esecuzione delle operazioni, e solo in un secondo momento il comportamento gravemente colposo dell’utilizzatore.

Quanto al sistema adottato, l’intermediario ha documentato che l’accesso è avvenuto previa inserimento della password e che, rilevato un dispositivo diverso dal solito, il sistema ha attivato un ulteriore step di sicurezza. Il nuovo dispositivo è stato autorizzato mediante OTP inviato via sms al numero in anagrafica; le singole disposizioni sono state poi perfezionate tramite notifica push e azione volontaria sull’applicazione. Il Collegio ravvisa in ciò l’impiego dei fattori di conoscenza e di possesso richiesti dalla SCA.

A fronte di evidenze documentali di questo tenore, il Collegio giudica dimostrata la corretta contabilizzazione, registrazione e autenticazione delle operazioni lungo tutto l’iter del loro compimento, ai sensi dell’art. 10 d.lgs. n. 11/2010. La conformità del sistema alla SCA e l’assenza di indici di anomalia confermano tale conclusione.

Quanto all’utilizzo fraudolento, il Collegio distingue l’ipotesi di furto o smarrimento dello strumento, in cui la mancata autorizzazione è legalmente presunta, dalle contestazioni di utilizzi fraudolenti online. In quest’ultimo caso la mancata allegazione delle circostanze di fatto della frode costituisce un elemento da cui trarre il convincimento sulla colpa grave del cliente, quando l’intermediario abbia provato l’autenticazione, il sistema sia conforme alla SCA e non emergano anomalie. Il Collegio richiama in tal senso la decisione del Collegio di Torino n. 11710/2021.

Nel caso concreto, l’istante si è limitato a un formale disconoscimento, senza alcuna contestualizzazione fattuale, impedendo così la successiva indagine sulla prova della colpa grave. Il ricorso, pertanto, non è accolto.