Carta smarrita con PIN conservato insieme integra colpa grave dell’utilizzatore (ABF Collegio di Milano n. 3409 del 17.04.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di carta di debito, l’intermediario assolve l’onere probatorio dell’art. 10 del D.Lgs. n. 11/2010 quando i log, corredati di legenda, documentano l’esecuzione delle operazioni con carta fisicamente presente, dotata di microchip, e con corretto inserimento del PIN al primo tentativo: l’autenticazione forte mediante i fattori del possesso e della conoscenza deve ritenersi raggiunta. Ai fini della colpa grave dell’utilizzatore, la sequenza temporale tra lo smarrimento e i prelievi, troppo breve perché il codice sia stato individuato con strumenti informatici, consente di presumere che il PIN fosse conservato unitamente alla carta. A tale indice si aggiunge la modalità dello smarrimento, ricondotta dal ricorrente a una propria distrazione: ne discende un comportamento gravemente negligente nella custodia dello strumento. Quattro prelievi consecutivi di importo contenuto, eseguiti in pochi minuti e in giorno festivo, non integrano di per sé indici di anomalia idonei a fondare una responsabilità concorrente dell’intermediario per mancato blocco automatico.

Il Fatto

Il ricorrente afferma di aver smarrito il portafoglio il 21 settembre 2025, alle ore 10:35 circa, verosimilmente nel piazzale di un supermercato, cadutogli dall’autovettura senza che se ne avvedesse, escludendo qualsiasi avvicinamento o interferenza di terzi. Nel portafoglio si trovava la carta di debito dell’intermediario. Consultando i movimenti del conto, il ricorrente rileva quattro prelievi ATM di € 500,00 ciascuno, per € 2.000,00 complessivi, eseguiti presso il medesimo sportello tra le ore 10:54 e le ore 10:59 dello stesso giorno.

Sostiene che quattro operazioni consecutive, per l’importo massimo giornaliero e in giorno festivo, avrebbero dovuto essere rilevate come anomale e bloccate, e che il secondo codice di sicurezza fosse la data di nascita, elemento facilmente recuperabile. Chiede il rimborso di € 2.000,00. L’intermediario eccepisce che le operazioni sono state autenticate con carta con microchip fisicamente presente e PIN corretto al primo tentativo, circostanza incompatibile con tecniche di decifrazione informatica, e chiede il rigetto del ricorso, in subordine l’applicazione della franchigia.

La motivazione del Collegio

Il Collegio muove dall’art. 10 del D.Lgs. n. 11/2010, che impone all’intermediario di provare l’autenticazione e la regolare esecuzione dell’operazione e di indicare gli elementi di fatto dai quali trarre in via presuntiva la colpa grave dell’utilizzatore, richiamando sul punto il Collegio di Coordinamento n. 22745/2019. I log prodotti, corredati di legenda esplicativa, documentano che tutte e quattro le operazioni sono state eseguite con carta fisicamente presente e PIN inserito correttamente al primo tentativo: l’autenticazione forte è quindi raggiunta.

Passando alla colpa grave, il Collegio individua due indici presuntivi convergenti. Il primo è temporale: tra lo smarrimento collocato alle ore 10:35 e la prima operazione alle ore 10:54 intercorrono circa 19 minuti, nel corso dei quali il PIN è stato digitato correttamente al primo tentativo. Una tale sequenza è incompatibile con qualsiasi tecnica di individuazione del codice a mezzo di strumenti informatici e consente di presumere che il PIN fosse conservato insieme alla carta (Collegio di Milano n. 169/2023 e n. 10433/2021; Collegio di Coordinamento n. 5304/2013). Il secondo indice attiene alle modalità della perdita: il ricorrente stesso la riconduce a una propria distrazione, escludendo interferenze di terzi, il che configura un comportamento gravemente negligente nella custodia dello strumento. L’operazione contactless delle ore 10:25, eseguita senza PIN, esclude inoltre la captazione del codice per osservazione contestuale.

Quanto agli indici di anomalia invocati, il Collegio osserva che l’importo complessivo di € 2.000,00 rientra nella fisiologica operatività di un correntista e che l’esecuzione domenicale non è di per sé sospetta. In assenza di una molteplicità di operazioni verso il medesimo beneficiario o di altri indici di macroscopica anomalia, non ricorrono i presupposti per una responsabilità concorrente dell’intermediario per mancato blocco automatico.

Infine, la mancata prova del servizio di SMS alert è irrilevante, perché la concentrazione delle quattro operazioni in soli 5 minuti non avrebbe consentito all’utente di limitare in concreto il pregiudizio. Il ricorso è pertanto rigettato.