Colpa grave del cliente per pagamenti POS esteri assorbita dalla prova SCA (ABF Collegio di Milano n. 3224 del 10.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, grava sul prestatore di servizi di pagamento l’onere di provare che l’operazione sia stata autenticata nel rispetto degli obblighi di strong customer authentication previsti dal d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE. La mancata dimostrazione del processo di autenticazione e della sua conformità alla normativa costituisce un prius logico rispetto alla valutazione di eventuali profili di colpa grave del cliente, rispetto alla quale assume rilievo assorbente. Ove l’intermediario non spieghi come un pagamento eseguito all’estero possa recare traccia di lettura del microchip in assenza di contatto con il POS, il diritto alla ripetizione delle somme va riconosciuto.

Il Fatto

La ricorrente, dopo aver pagato una consumazione presso un bar, si recava in un supermercato e si accorgeva in cassa di non avere più il portafoglio. Solo successivamente rilevava di aver ricevuto due alert relativi a due pagamenti POS non autorizzati, per complessivi euro 2.918,79. Chiedeva quindi il blocco dello strumento, presentava denuncia e domandava la restituzione dell’importo.

Ottenuto riscontro negativo in fase di reclamo, adiva l’Arbitro. L’intermediario convenuto, costituitosi tramite altro intermediario munito di procura speciale a seguito dell’acquisizione del ramo d’azienda di monetica, eccepiva la correttezza delle transazioni, autenticate mediante microchip e PIN, e sosteneva la colpa grave della cliente per l’incauta custodia del codice e per il blocco tardivo della carta.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo, richiamando il d. lgs. n. 11/2010 e il d. lgs. n. 218/2017, che ha recepito la direttiva PSD2. La disciplina distribuisce gli obblighi tra fruitori e prestatori di servizi di pagamento e, sul piano probatorio, attribuisce la responsabilità degli utilizzi fraudolenti all’impresa, salvo che essi siano stati cagionati da frode, dolo o colpa grave del cliente.

Il Collegio richiama quindi gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d. lgs. n. 11/2010, le norme tecniche dell’EBA recepite con il Regolamento Delegato UE 2018/389 e il parere della stessa Autorità del 21 giugno 2019. La SCA si realizza con almeno due dei tre fattori indipendenti di conoscenza, inerenza e possesso.

Dai log versati in atti risulta che entrambe le transazioni sono state autorizzate con lettura del microchip e inserimento del PIN. Emerge però un dato documentale decisivo: i due pagamenti sono stati eseguiti in India, mentre la cliente si trovava in Italia al momento del furto. L’intermediario non ha fornito alcuna giustificazione sul punto, né ha spiegato come sia possibile la presenza dell’evidenza del microchip per operazioni in cui la carta non poteva ragionevolmente entrare in contatto con il POS.

Su questa base il Collegio afferma che la mancata prova circa il processo di autenticazione e la sua conformità alla SCA costituisce un prius logico rispetto all’accertamento della colpa grave, richiamando la decisione del Collegio di coordinamento n. 22745/2019. La questione assume rilievo assorbente: le presunzioni invocate dall’intermediario sull’incauta custodia del PIN non possono essere scrutinare prima della verifica dell’autenticazione.

Il ricorso è pertanto accolto, con condanna dell’intermediario alla restituzione del controvalore delle operazioni disconosciute, al pagamento del contributo alle spese della procedura e al rimborso della somma versata per la presentazione del ricorso.