Autenticazione forte e oneri di allegazione a carico dell’utente nei pagamenti online (ABF Collegio di Roma n. 3682 del 24.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento online, il prestatore di servizi di pagamento assolve l’onere probatorio impostogli dall’art. 10, d.lgs. n. 11/2010, nella formulazione applicabile ratione temporis, quando dimostra che l’operazione è stata autenticata mediante un sistema di autenticazione forte conforme alla disciplina, implementato con dynamic linking e fattore biometrico su device associato all’utente, senza ulteriori enrollment su altri dispositivi. L’utente che assume di essere stato vittima di frode non è gravato di un onere probatorio, che la legge ribalta sull’intermediario, ma deve comunque allegare circostanze idonee a offrire una attendibile ipotesi alternativa rispetto a quella dell’utilizzo imputabile al titolare, direttamente o per colpa grave. In mancanza di tali elementi, il ricorso è respinto.

Il Fatto

Il ricorrente riferisce di aver scoperto, accedendo al proprio home banking, l’esecuzione di un’operazione per l’importo di € 278,26 e ne chiede il rimborso. L’operazione contestata è un pagamento online effettuato in data 11.09.2025.

L’intermediario resiste sostenendo che l’operazione è stata eseguita tramite un sistema conforme alla SCA e prospetta la colpa grave dell’utente, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio colloca l’operazione nell’ambito di vigenza del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2 (Direttiva 2015/2366/UE). Da qui muove la ripartizione degli oneri: l’art. 10, d.lgs. n. 11/2010 pone a carico del prestatore di servizi l’onere di provare che l’operazione «è stata autenticata, correttamente registrata e contabilizzata» e che non ha subito le conseguenze di malfunzionamenti o altri inconvenienti.

Sul primo versante, la documentazione prodotta dall’intermediario consente di rilevare che la resistente ha approntato un sistema di autenticazione forte implementato dal meccanismo di dynamic linking; il pagamento è stato disposto mediante fattore biometrico fingerprint dal device associato al ricorrente. Dal carteggio emerge che l’enrollment del device è avvenuto in data 22.09.2022 tramite elemento di possesso (cellulare e OTP) e elemento di conoscenza (password e userid), e che non vi è stato alcun enrollment su altri dispositivi. Il sistema descritto è dunque compliant alla SCA prescritta.

Quanto al secondo profilo, la normativa richiamata impone al prestatore di dimostrare che l’utente abbia agito con dolo o colpa grave o mediante un comportamento fraudolento. Il Collegio rileva però che il ricorrente non ha fornito, né in sede di denuncia né in sede di ricorso, alcun elemento utile per ricostruire la dinamica della frode di cui sarebbe stato vittima.

Richiamando la propria precedente decisione n. 299/2020, il Collegio ribadisce che l’utente non ha adempiuto l’onere di allegare «elementi utili a provare che l’operazione sia stata realmente fraudolenta». E, sulla scorta della decisione n. 10723/2019, precisa che grava sull’utente non tanto un onere probatorio, quanto un onere di allegazione delle circostanze che possano, al minimo, offrire una attendibile ipotesi alternativa rispetto a quella, altrimenti residuale e unica, dell’utilizzo imputabile direttamente o per colpa grave al titolare.

Alla luce del comportamento tenuto dal ricorrente, il Collegio respinge il ricorso.