Operazioni con SCA e biometria: prova della banca e colpa grave dell’utente (ABF Collegio di Milano n. 4327 del 13.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute dal cliente, l’onere probatorio a carico dell’intermediario si articola in due fasi logicamente successive: la prova della corretta autenticazione forte del cliente (SCA) e, solo una volta assolta, la dimostrazione anche per presunzioni della colpa grave dell’utente. I log informatici che tracciano l’invio della notifica PUSH, la sua consegna al dispositivo associato all’utenza e la conferma mediante dato biometrico integrano la prova dell’autenticazione con due fattori indipendenti, di possesso e di inerenza. Il disconoscimento generico dell’operazione, non accompagnato da allegazioni concrete sulla dinamica della frode, non vale a infirmare tali evidenze tecniche e giustifica la presunzione di colpa grave del titolare, che ha custodito con insufficiente diligenza il dispositivo e le modalità di sblocco.

Il Fatto

Il ricorrente, titolare di una carta di debito emessa dall’intermediario, ha chiesto il rimborso di un’operazione di pagamento online di € 585,77 effettuata il 15.12.2025, che assume di non aver mai autorizzato. Riferisce di aver bloccato la carta e di aver sporto denuncia il giorno successivo. Sostiene che l’operazione sia stata eseguita senza Strong Customer Authentication, ossia senza codice OTP o conferma tramite App.

La banca si è costituita chiedendo il rigetto del ricorso. Ha prodotto i log informatici dai quali risulta l’invio di una notifica PUSH sul dispositivo del cliente alle 20:46:54, la sua consegna e la conferma alle 20:46:59 mediante validazione con fattore biometrico. Da qui la deduzione dell’avvenuta autenticazione a due fattori conformemente alla normativa PSD2, nonché la genericità delle allegazioni avversarie. Il ricorrente ha replicato che i log proverebbero al più l’invio tecnico della comunicazione, non il consenso effettivo.

La motivazione del Collegio

Il Collegio ricostruisce la questione in termini di responsabilità dell’intermediario e di ripartizione dell’onere probatorio secondo il D.Lgs. 27 gennaio 2010, n. 11, di attuazione della PSD2. Richiama il proprio orientamento costante, che scandisce l’onere in due passaggi: prova della corretta autenticazione tramite SCA e, in caso di esito positivo, dimostrazione anche presuntiva della colpa grave dell’utente.

Sul primo versante il Collegio ritiene l’onere assolto. I log mostrano l’impiego combinato di due fattori di categorie diverse: il possesso dello smartphone, certificato e associato all’utenza, sul quale è pervenuta la notifica PUSH, e l’inerenza, rappresentata dall’impronta digitale usata per validare la notifica e sbloccare il pagamento. Le doglianze del ricorrente sono giudicate generiche: le evidenze tecniche non si limitano a registrare un invio, ma tracciano l’intera sequenza fino all’azione di conferma.

Passando al secondo profilo, il Collegio applica l’orientamento consolidato secondo cui, in presenza di operazione autorizzata con SCA e in assenza di malfunzionamenti, si presume la colpa grave dell’utente che non alleghi elementi concreti e verosimili su come la frode si sia perfezionata nonostante i presidi di sicurezza, ad esempio mediante smishing o vishing. Nella specie il ricorrente non ha riferito di messaggi o telefonate sospette, di link fraudolenti, di furto o compromissione del dispositivo. Tale silenzio processuale, a fronte di una prova robusta di autenticazione, viene letto a suo sfavore.

Il Collegio aggiunge una considerazione di ordine logico: l’uso combinato di un dispositivo personale e di un dato biometrico unico implica un coinvolgimento attivo del titolare. In mancanza di allegazioni specifiche su una dinamica fraudolenta capace di superare tali barriere, la conclusione più probabile è che l’utente abbia autorizzato l’operazione con grave negligenza, eventualmente indotto in errore da terzi, o abbia custodito con insufficiente diligenza dispositivo e modalità di sblocco.

La domanda di rimborso non può quindi trovare accoglimento. Il ricorso è respinto.