Operazioni POS disconosciute e prova della Strong Customer Authentication (ABF Collegio di Milano n. 4458 del 18.05.2026)

Principi di diritto (Massima)
La prova dell’autenticazione forte delle operazioni di pagamento disconosciute costituisce onere dell’intermediario e rappresenta un prius logico rispetto a ogni ulteriore accertamento, compreso quello sulla colpa del cliente. Ove i log informatici, corredati di elementi esplicativi, dimostrino la compresenza dei fattori del possesso e della conoscenza per ciascuna operazione, la Strong Customer Authentication deve ritenersi provata. In tal caso la mancata allegazione, da parte del cliente, delle circostanze di fatto della frode assume rilievo quale elemento di valutazione della sua colpa grave. Non è configurabile una responsabilità oggettiva a carico del prestatore di servizi di pagamento, dovendosi verificare in concreto un eventuale apporto causale dell’intermediario alla frode.

Il Fatto

Il ricorrente, titolare di un conto corrente al quale era associata una carta di debito, si avvedeva consultando l’estratto conto di tre operazioni anomale effettuate tra il 2 settembre e il 1° ottobre 2025 per complessivi € 3.591,00, da lui mai autorizzate. Presentava denuncia all’Autorità e dichiarazione di disconoscimento per clonazione della carta, riscontrata negativamente dall’intermediario. Chiedeva quindi l’accertamento della responsabilità del prestatore e la condanna al rimborso della somma, oltre interessi e spese.

L’intermediario eccepiva in via preliminare l’intervenuto conferimento del ramo di azienda relativo alla monetica a una diversa società, subentrata quale emittente degli strumenti di pagamento, e la propria costituzione in qualità di procuratore di questa. Nel merito sosteneva l’irricevibilità del ricorso, l’impossibilità tecnica di clonare carte dotate di microchip e la presunta inadeguata custodia della carta e del PIN da parte del cliente.

La motivazione del Collegio

Sulla legittimazione passiva il Collegio osserva che, dopo la precisazione resa dal ricorrente su richiesta della Segreteria Tecnica, il ricorso deve intendersi rivolto esclusivamente all’intermediario convenuto. La procura rilasciata da quest’ultimo al diverso intermediario, anteriore alle operazioni contestate, gli attribuisce poteri di rappresentanza sostanziale e processuale anche nei procedimenti davanti all’ABF.

Nel merito il Collegio ricostruisce il quadro normativo applicabile, individuato nel d.lgs. 27 gennaio 2010, n. 11 come modificato dal d.lgs. n. 218/2017, negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. 11/2010 e nelle norme tecniche dell’EBA recepite dal Regolamento Delegato UE 2018/389. Ribadisce che la prova dell’autenticazione è a carico dell’intermediario e che solo quando risulti pacifico o dimostrato che le operazioni siano state compiute interamente dal cliente questi è esonerato da tale prova.

Quanto alla valenza dei log informatici, il Collegio richiama l’orientamento consolidato secondo cui, poiché la PSD2 è tecnologicamente neutrale, possono valutarsi anche elementi esplicativi ulteriori, quali la legenda o le difese del prestatore, purché consentano di verificare i singoli passaggi registrati. Nel caso concreto i log, corredati di elementi esplicativi, dimostrano la SCA per ciascuna delle tre operazioni, stante la compresenza del fattore possesso (microchip o contactless) e del fattore conoscenza (digitazione del PIN).

Verificata l’autenticazione, il Collegio passa a valutare la colpa grave del cliente. Rileva che è in atti solo l’integrazione della denuncia e non la denuncia-querela menzionata nel ricorso, e che le allegazioni non consentono di ricostruire le modalità dell’utilizzo fraudolento. L’ipotesi della clonazione è esclusa dall’orientamento dei Collegi quando l’intermediario abbia dimostrato l’autenticazione tramite microchip con corretta digitazione del PIN e il ricorrente non alleghi circostanze idonee a renderla verosimile; la commistione tra transazioni disconosciute e genuine non depone a favore della clonazione. La mancata attivazione di un servizio di alert, pur costituendo di norma profilo di responsabilità dell’intermediario, non rileva nel caso in cui il cliente lamenti la clonazione e non la sottrazione della carta.

Il Collegio conclude quindi per l’esclusione della responsabilità dell’intermediario e per la sussistenza di una condotta colposa del cliente, con conseguente rigetto del ricorso.