Pagamento online disconosciuto: onere della prova della strong authentication e colpa grave del cliente (ABF Collegio di Bologna n. 4148 del 08.05.2026)

Principi di diritto (Massima)
In tema di pagamenti on line eseguiti con carta di debito, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010 grava sull’intermediario l’onere di provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata. Tale onere è assolto quando il prestatore dimostri la sussistenza dell’autenticazione forte, per la compresenza del fattore di conoscenza (PIN) e del fattore di possesso (OTP generato tramite applicazione). Esclusa la prova contraria del cliente e in assenza degli indici di anomalia previsti dall’art. 8 del DM n. 112/2007, non è configurabile alcuna responsabilità concorrente dell’intermediario né alcun obbligo restitutorio.

Il Fatto

La ricorrente, titolare di una carta di debito emessa dall’intermediario convenuto, rilevava dalla lista movimenti un pagamento on line di € 293,73 che assumeva di non aver effettuato. Presentava denuncia presso l’Autorità competente in data 22.10.2025 e chiedeva il rimborso, che l’intermediario riscontrava negativamente sul rilievo che l’operazione risultava correttamente autorizzata.

L’intermediario eccepiva in via preliminare l’inammissibilità del ricorso per genericità della domanda, non essendo chiaramente individuabili né il petitum né la causa petendi. Nel merito, evidenziava che il pagamento era stato validato con codice OTP generato tramite APP installata sul dispositivo della cliente previa digitazione del PIN, con notifiche push e sms di avviso, e che la stessa ricorrente aveva dichiarato di essere rimasta sempre in possesso della carta e di non aver ricevuto contatti da presunti operatori bancari.

La motivazione del Collegio

Il Collegio respinge anzitutto l’eccezione di inammissibilità. Richiamando la decisione del Collegio di coordinamento n. 10929 del 2016, si afferma il potere-dovere dell’Arbitro di interpretare la domanda per enucleare tutte le implicazioni in essa contenute. Poiché la ricorrente ha allegato la denuncia e il riscontro dell’intermediario, dai quali risulta individuata l’operazione contestata, tanto il petitum quanto la causa petendi sono ricavabili, sia pure a livello embrionale, dalla documentazione (con richiamo a ABF Bologna n. 7395/2018 e ABF Bari n. 11365/2018).

Nel merito, il Collegio inquadra la fattispecie sotto il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e richiama l’art. 10, comma 1, che pone a carico dell’intermediario la prova dell’autenticazione, della registrazione e della contabilizzazione dell’operazione.

Tale onere è stato assolto. L’intermediario ha dimostrato la sussistenza dell’autenticazione forte, per la presenza del fattore di conoscenza (il PIN) e del fattore di possesso (l’OTP generato tramite app). Quanto alla pretesa truffa, la ricorrente non ha offerto, neppure nella denuncia, elementi utili a ricostruire l’accaduto: non è quindi possibile escludere che l’operazione sia stata effettivamente compiuta dalla cliente ovvero che la truffa rientrasse tra quelle che una persona di normale avvedutezza avrebbe dovuto individuare (così ABF Milano n. 3620/2022; ABF Bologna n. 3082/2025).

Il Collegio esclude infine la responsabilità concorrente del prestatore dei servizi di pagamento. Trattandosi di un’unica operazione, non sussistono gli indici di anomalia fissati dall’art. 8 del DM n. 112/2007, che individuano il rischio di frode in presenza di soglie quantitative di richieste di autorizzazione, di superamento del 150% dell’importo medio o di richieste provenienti da Stati diversi nell’arco di sessanta minuti. Il ricorso è pertanto rigettato.