Pagamenti online non autorizzati: decadenza a 13 mesi e frode del pagatore (ABF Collegio di Milano n. 1461 del 18.02.2026)

Principi di diritto (Massima)
Il termine di tredici mesi previsto dall’art. 9 del d.lgs. n. 11/2010 per la contestazione delle operazioni di pagamento non autorizzate ha natura di termine di decadenza. Decorso inutilmente, al cliente è preclusa la possibilità di contestare l’operazione e di ottenerne il rimborso. La decadenza non è rilevabile d’ufficio, ma deve formare oggetto di espressa eccezione dell’intermediario. Quanto al merito, ai sensi dell’art. 12, comma 2-bis, della PSD II, se il pagatore ha agito in modo fraudolento non è necessaria la prova dell’autenticazione: la condotta dolosa del cliente esclude la tutela rafforzata e giustifica il rigetto della domanda di rimborso.

Il Fatto

Il ricorrente ha lamentato di essere stato vittima di una frode informatica e di un furto di identità, a seguito dei quali ignoti avrebbero disposto numerose transazioni online su siti di intrattenimento per adulti, mediante le carte di pagamento emesse dall’intermediario. Il perimetro della contestazione, inizialmente pari a n. 171 operazioni per € 13.648,46, è stato poi ridotto dal cliente a n. 8 operazioni per € 7.697,24, con richiesta di rimborso.

L’intermediario ha resistito sostenendo la regolare esecuzione dei pagamenti, attribuendoli a una condotta volontaria e fraudolenta del cliente, ed ha eccepito in via preliminare l’inammissibilità del ricorso per le operazioni disconosciute oltre tredici mesi dalla loro esecuzione.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione in rito e la ritiene fondata. Richiamando il principio affermato dal Collegio di Coordinamento con la decisione n. 11676/2021, si osserva che il termine di tredici mesi dell’art. 9 del d.lgs. n. 11/2010 è di decadenza e non può essere rilevato d’ufficio. Poiché i moduli di disconoscimento risultano datati 26 giugno 2025 e 3 settembre 2025, la domanda relativa alle n. 3 operazioni eseguite prima del 26 maggio 2024 è inammissibile. Il perimetro si restringe così a n. 5 operazioni, tra il 23 ottobre e l’1 dicembre 2024, per € 4.617,48.

Nel merito, il Collegio applica la disciplina della PSD II e rileva che nella specie opera l’art. 12, comma 2-bis: se il cliente ha agito in modo fraudolento, la prova dell’autenticazione non è necessaria. Dagli atti emergono plurimi elementi che depongono per il dolo del ricorrente. Tra la prima operazione contestata e il disconoscimento, dal device certificato dell’utilizzatore risultano 271 accessi in App all’area riservata di home banking, circostanza incompatibile con l’asserita inconsapevolezza dei movimenti di conto.

Il Collegio sottolinea inoltre l’inverosimiglianza della ricostruzione: i presunti malfattori, con quattro carte per quasi un anno e mezzo, si sarebbero limitati a consultare contenuti per adulti senza mai superare il plafond né creare provviste non aggredibili; le stesse carte sarebbero state usate anche per finalità proprie del cliente. L’elevato numero di operazioni e la loro dilatazione temporale sono incompatibili con le modalità operative di una truffa, che si espone al rischio di lasciare tracce.

Rileva poi la condotta contraddittoria del ricorrente, che ha modificato più volte la versione dei fatti, ha invocato plurimi furti di identità, ha negato di possedere il device certificato ed ha rinunciato a contestare talune operazioni: elementi che corroborano l’ipotesi di un utilizzo consapevole degli strumenti, seguito da un tentativo postumo di recupero. La truffa, del resto, non è circostanziata.

Accertata la paternità delle operazioni, il Collegio ritiene superflua ogni indagine sulla SCA: la tutela rafforzata non serve quando non vi è dubbio sulla riferibilità dell’operazione al pagatore. In conformità al proprio orientamento (cfr. Collegio di Milano, decisioni n. 8464/2025 e n. 8393/2025), il ricorso è quindi dichiarato in parte inammissibile e in parte infondato.