Pagamenti ricorrenti non autenticati con SCA e rimborso a carico dell’intermediario (ABF Collegio di Palermo n. 2908 del 01.04.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento ricorrenti la strong customer authentication è imposta per la prima transazione della serie e può essere omessa per le successive solo se ricorrono le condizioni dell’art. 14 del Regolamento delegato UE 2018/389: operazioni dello stesso importo, a favore del medesimo beneficiario e su richiesta del pagatore. La mera registrazione dei dati della carta presso l’esercente (credential on file) non prova il consenso del cliente alla serie di addebiti. In caso di disconoscimento grava sull’intermediario la prova dell’autenticazione e della colpa grave dell’utilizzatore, ai sensi degli artt. 10 e 12 del d.lgs. n. 11/2010.

Il Fatto

Il ricorrente, titolare di una carta di credito, riceve un SMS che lo informa del blocco dello strumento per una possibile frode. Contattato l’intermediario, accerta che sulla carta sono stati effettuati, a partire dal 27 febbraio 2024, quattordici addebiti per complessivi € 780,87 in favore di due beneficiari sconosciuti. Disconosce le operazioni e ne chiede il rimborso.

Dopo alcuni rimborsi parziali, il ricorso si concentra su dodici operazioni non rimborsate relative alla carta n. ****6216, per € 660,89. L’intermediario eccepisce il difetto di legittimazione passiva, sostenendo che i pagamenti ricorrenti sono stati attivati dal sito dell’esercente e autorizzati dal cliente mediante credenziali e OTP.

La motivazione del Collegio

Il Collegio respinge l’eccezione di legittimazione passiva. Poiché il ricorrente ha disconosciuto gli addebiti, la controversia rientra nell’ambito applicativo del d.lgs. n. 11/2010 e dei conseguenti obblighi dell’intermediario. Il Collegio aderisce sul punto all’orientamento del Collegio di Napoli n. 9500/2025, ritenendo non pertinente la diversa decisione del Collegio di Palermo n. 5762/24, che riguarda la revoca dell’autorizzazione agli addebiti ricorrenti.

Nel merito, la questione centrale è la prova della strong customer authentication. L’art. 10, commi 1 e 2, del d.lgs. n. 11/2010 pone sull’intermediario l’onere di provare l’autenticazione, la corretta registrazione e la contabilizzazione delle operazioni, nonché la frode, il dolo o la colpa grave dell’utente. L’art. 12, comma 2 bis, esclude che il pagatore sopporti perdite quando manchi l’autenticazione forte, salvo il caso di frode.

L’intermediario riconduce gli addebiti ai pagamenti ricorrenti, per i quali la SCA sarebbe richiesta solo per la prima operazione. Il Collegio distingue la prima transazione (CIT), avviata dal cliente, dalle successive (MIT), avviate dal beneficiario. L’art. 14 del Regolamento UE 2018/389 consente l’esenzione solo per operazioni dello stesso importo e a favore dello stesso beneficiario. Nel caso concreto la prima operazione è di € 1,00 e le successive di € 59,99: manca quindi il requisito oggettivo dell’identità di importo.

Il Collegio esclude inoltre la prova del consenso del cliente a una serie di operazioni o dell’attivazione di un abbonamento. Il codice “10” (credential on file) nei log non dimostra l’autorizzazione agli addebiti. La circostanza che l’esercente possedesse i dati della carta non prova, di per sé, il consenso. L’esenzione dall’autenticazione non esonera comunque l’intermediario da responsabilità quando le operazioni siano disconosciute, salvo frode dell’utilizzatore.

Ne consegue che le undici operazioni da € 59,99 non risultano autenticate, mentre la prima di € 1,00 è stata correttamente autenticata con notifica push e Pin. Il Collegio ritiene però sussistente la colpa grave del ricorrente: non ha allegato elementi utili a ricostruire la dinamica della frode e non ha consultato l’estratto conto per un lungo periodo. L’intermediario è pertanto tenuto al rimborso di € 659,89, oltre al contributo di € 200,00 alle spese della procedura e al rimborso di € 20,00 al ricorrente.