Pagamento online con autenticazione forte e prova della colpa grave dell’utilizzatore (ABF Collegio di Milano n. 1284 del 13.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento a distanza, l’intermediario assolve l’onere probatorio di cui all’art. 10 del D.lgs. 11/2010 quando dimostra, mediante log e tracciature, che l’operazione è stata correttamente autenticata secondo i requisiti della strong customer authentication previsti dalla PSD2 e dal Regolamento Delegato UE 2018/389, senza anomalie tecniche o malfunzionamenti. Accertata la regolare autenticazione, spetta all’intermediario provare il dolo o la colpa grave dell’utilizzatore. La mancata allegazione delle concrete modalità della frode, l’adesione a dichiarazioni su contatti sospetti ricevuti nei giorni precedenti e l’assenza di denunce di furto o smarrimento del dispositivo possono fondare il convincimento sulla colpa grave. La mera evocazione della clonazione dello strumento, priva di riscontri oggettivi, non supera le risultanze istruttorie.

Il Fatto

La ricorrente ha dedotto di aver subito un utilizzo fraudolento della propria carta di debito, con sottrazione di € 435,27 a seguito di un pagamento online che assume di non aver autorizzato. Ha precisato che la carta era sempre rimasta in suo possesso e ha ricondotto l’accaduto a un’asserita clonazione dello strumento, riferendo di aver contattato l’intermediario e presentato il modulo di disconoscimento con denuncia.

L’intermediario ha ricostruito l’operazione come un unico pagamento eseguito il 04.07.2025, originato da un importo in moneta degli Emirati Arabi Uniti e convertito in euro, sostenendo che l’operazione era stata autorizzata tramite internet banking con autenticazione forte e ha eccepito la colpa grave della ricorrente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando il D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.lgs. 15 dicembre 2017, n. 218 di recepimento della PSD2. Ai sensi dell’art. 10 del D.lgs. 11/2010, è onere dell’intermediario provare che le operazioni contestate siano state correttamente autenticate, registrate e contabilizzate e che non vi siano stati malfunzionamenti; solo in un secondo momento grava sull’intermediario la prova del dolo o della colpa grave dell’utilizzatore, secondo l’orientamento del Collegio di Coordinamento n. 22745/2019.

Quanto alla autenticazione forte, il Collegio richiama gli artt. 97 e 98 della PSD2, l’art. 10-bis del D.lgs. 11/2010 e il Regolamento Delegato UE 2018/389, oltre ai criteri interpretativi dell’EBA. La SCA richiede almeno due dei tre fattori di conoscenza, inerenza e possesso, reciprocamente indipendenti e appartenenti a categorie diverse.

Nel caso concreto l’intermediario ha prodotto log e tracciature dai quali risulta che l’operazione è stata autorizzata mediante notifica push sul dispositivo identificato con codice univoco abitualmente utilizzato dalla ricorrente e validazione del codice OTP previo riconoscimento biometrico. L’operazione si è dunque perfezionata rispettando i requisiti di inerenza e di possesso del device. Tali elementi, valutati complessivamente, dimostrano la corretta autenticazione, senza indici di anomalia tecnica né profili di malfunzionamento.

Passando alla condotta dell’utilizzatore, il Collegio rileva che la ricorrente non ha fornito una ricostruzione specifica delle modalità con cui i terzi avrebbero acquisito le credenziali, limitandosi a una generica ipotesi di clonazione. Inoltre, nel modulo di disconoscimento la stessa ha ammesso di aver ricevuto SMS da presunti operatori bancari nei giorni precedenti. Tali circostanze, unite all’assenza di denunce di furto o smarrimento del dispositivo e alla regolare autenticazione, rendono plausibile un comportamento gravemente imprudente nella gestione delle credenziali.

Il Collegio esclude che assumano rilievo decisivo la mancata evidenza di un servizio di alert attivo, trattandosi di una singola operazione, e gli ulteriori profili accessori del plafond e della franchigia. L’intermediario ha quindi assolto l’onere probatorio e dagli elementi acquisiti emerge la colpa grave della ricorrente, idonea a escludere il diritto al rimborso. Il ricorso è rigettato.