Concorso di colpa della banca per pagamento successivo alla tokenizzazione (ABF Collegio di Napoli n. 644 del 26.01.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che abbia dato prova del rispetto dei meccanismi di autenticazione forte non è automaticamente liberato da responsabilità. Egli deve documentare elementi di fatto dai quali emerga, anche in via presuntiva, il dolo o la colpa grave dell’utente, secondo l’art. 10 del d.lgs. n. 11/2010. Quando l’operazione avviene tramite wallet digitale, il codice di sblocco del dispositivo o il riconoscimento biometrico valgono come secondo fattore solo se associati univocamente all’utente in fase di tokenizzazione con procedura conforme a SCA. Anche a fronte di una condotta gravemente colposa del cliente, l’intermediario che consenta un pagamento immediatamente successivo alla tokenizzazione della carta pone in essere una condotta incauta, apprezzabile in termini di concorso di colpa.

Il Fatto

Il ricorrente, a seguito di un sms inserito nella chat già intrattenuta con l’intermediario, veniva avvisato di un tentativo di pagamento di € 2.750,00 sul proprio conto e invitato a contattare un numero telefonico. L’interlocutore, qualificatosi come operatore dell’intermediario, lo induceva a contattare una pagina web identica a quella della banca, dove inseriva le proprie credenziali, e a comunicare gli OTP ricevuti. Poco dopo riceveva notifica dell’installazione di un wallet mai voluto e del perfezionamento di un pagamento di € 4.000,00 a mezzo POS, da lui mai autorizzato.

Esperito il reclamo, riscontrato negativamente, il ricorrente adiva l’ABF chiedendo il rimborso. L’intermediario chiedeva il rigetto, qualificando la vicenda come smishing misto a vishing e producendo i log informatici della sessione di accesso e di attivazione del wallet.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, riferito al d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, alle norme tecniche EBA recepite con Regolamento Delegato UE 2018/389 e ai criteri interpretativi dell’EBA. Da tali fonti ricava che la responsabilità del prestatore è esclusa solo se, provata l’adozione di meccanismi di autenticazione forte, egli dimostri anche il dolo o la colpa grave dell’utente.

Il Collegio ribadisce che l’uso di uno strumento di pagamento registrato non basta, di per sé, a dimostrare l’autorizzazione dell’operazione né la frode o la colpa grave dell’utente. L’intermediario non si libera provando la mera regolarità formale delle transazioni: deve documentare le modalità esecutive dell’operazione, richiamando sul punto il Collegio di Coordinamento ABF n. 22745 del 10 ottobre 2019.

Con specifico riguardo ai pagamenti tramite wallet, il Collegio richiama il Collegio di Coordinamento ABF n. 9559/2024: il codice di sblocco del dispositivo, o il riconoscimento biometrico, vale come secondo fattore solo se in via preventiva associato univocamente all’utente mediante procedura conforme a SCA nella fase di tokenizzazione. I log prodotti, integrati dalla legenda e dalle difese del prestatore, consentono di ritenere provato il rispetto della procedura: la carta tokenizzata costituisce fattore di possesso e la dicitura “Tipo oper.: AUT” evidenzia l’ulteriore elemento di conoscenza, in linea con il Collegio ABF Roma n. 8676/2025.

Le operazioni risultano dunque correttamente autenticate. Nondimeno, il Collegio ravvisa un concorso di colpa dell’intermediario. L’associazione di una carta a un wallet rientra tra le azioni che comportano rischio di frode, come segnalato dalla Q&A EBA del 25.9.2020, e suggerisce di non consentire operazioni immediatamente successive. Nel caso concreto il pagamento è avvenuto dopo poco più di un minuto dalla tokenizzazione: condotta incauta, valutata in misura pari al 50% rispetto a quella del ricorrente.

Il Collegio accoglie quindi parzialmente il ricorso e condanna l’intermediario al pagamento di € 2.000,00, oltre interessi dalla data del reclamo, disponendo altresì il contributo alle spese della procedura e il rimborso del versamento per il ricorso.