Pagamenti con carta tokenizzata su wallet: prova dell’autenticazione forte e responsabilità dell’intermediario (ABF Collegio di Milano n. 1930 del 05.03.2026)

Principi di diritto (Massima)
L’utilizzo di un wallet affidato a un terzo gestore non esime il prestatore di servizi di pagamento dall’onere di provare l’autenticazione forte delle singole operazioni. Tale prova non può limitarsi alla fase di tokenizzazione della carta, ma deve riguardare la fase esecutiva delle operazioni, non essendo sufficiente che le transazioni risultino autorizzate o eseguite in modalità contactless. Ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010, spetta all’intermediario provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata; l’assolvimento di tale onere è necessario ma non sufficiente, dovendo egli provare anche la colpa grave dell’utilizzatore. Il difetto di piena prova sull’autenticazione costituisce un prius logico rispetto alla prova della colpa grave e comporta l’accoglimento integrale del ricorso.

Il Fatto

Il ricorrente rilevava sul proprio estratto conto tre addebiti mai autorizzati, per complessivi € 388,40, eseguiti il 7, 13 e 21 agosto 2025 tramite carta digitalizzata e mobile wallet. Il 09/09/2025 segnalava l’accaduto all’intermediario, disponendo il contestuale blocco della carta, e presentava esposto alla Banca d’Italia. Chiedeva quindi la restituzione degli importi disconosciuti.

L’intermediario eccepiva la tardività della contestazione, avvenuta nove giorni dopo la ricezione dell’estratto conto, l’assenza di denuncia e la mancanza di allegazioni utili, desumendone la colpa grave del cliente secondo gli orientamenti dei Collegi. Il ricorrente replicava di essersi attivato appena avvedutosi degli importi anomali e chiedeva l’acquisizione delle registrazioni telefoniche e dei LOG delle comunicazioni. L’intermediario insisteva sul fatto che il wallet era stato correttamente associato dal ricorrente e usato con il suo smartphone, mai denunciato come smarrito o rubato.

La motivazione del Collegio

Il Collegio richiama la decisione del Collegio di Coordinamento n. 21285 dell’11/10/2021, secondo cui l’uso di un wallet non esime l’intermediario dall’onere di provare l’autenticazione forte delle operazioni. La gestione del wallet provider non sottrae il prestatore alla piena responsabilità per l’adozione delle misure di sicurezza e per la conformità delle modalità di autenticazione ai requisiti della SCA.

Il quadro normativo è ricostruito attraverso l’art. 10, commi 1 e 2, d.lgs. n. 11/2010, gli artt. 97 e 98 della PSD2, l’art. 10 bis del d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA, in particolare il parere del 21 giugno 2019. Viene richiamato anche l’art. 12 del d.lgs. n. 11/2010, secondo cui il pagatore non sopporta perdite se il prestatore non esige un’autenticazione forte, salvo il caso di comportamento fraudolento.

L’autenticazione forte del cliente, definita dall’art. 1, lett. qbis, si basa su due o più elementi indipendenti tra conoscenza, possesso e inerenza. Essa è richiesta nell’accesso al conto e all’enrollment dell’app, nella registrazione della carta sul wallet e nella fase esecutiva delle singole operazioni, rispetto a qualsiasi azione a distanza che comporti rischio di frode.

Nel caso concreto l’intermediario afferma che i pagamenti sono stati correttamente autenticati, ma non specifica i fattori impiegati, che non risultano ricavabili dai LOG in atti, privi di legenda. Richiamando la decisione del Collegio di Milano n. 1477/23, il Collegio ribadisce che in caso di difetto di piena prova sull’autenticazione il ricorso va accolto integralmente, poiché la mancanza anche parziale di tale prova precede logicamente la questione della colpa grave.

Il ricorso è pertanto accolto e l’intermediario è tenuto alla restituzione di € 388,00, oltre al rimborso di € 20,00 per la somma versata e al contributo di € 200,00 alle spese della procedura in favore della Banca d’Italia.