Prelievi cardless non autorizzati: prova della SCA e colpa grave dell’utilizzatore (ABF Collegio di Bari n. 2321 del 12.03.2026)

Principi di diritto (Massima)
Nelle controversie sull’utilizzo non autorizzato di strumenti di pagamento, l’utilizzatore è tenuto al semplice disconoscimento delle operazioni; è il prestatore di servizi di pagamento a dovere provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010. La correttezza formale dell’autenticazione non è di per sé sufficiente a dimostrare che l’operazione sia riconducibile all’utilizzatore. Il difetto, anche parziale, di prova dell’autenticazione forte è risolutivo e dirimente e preclude ogni valutazione di colpa del cliente, poiché questi non sopporta alcuna perdita se il prestatore non esige la SCA, salvo il caso di comportamento fraudolento. Sulle operazioni eseguite con carta fisica, la regolare lettura del chip e la corretta digitazione del PIN, unitamente alla condotta negligente dell’utilizzatore, integrano invece la colpa grave che esonera l’intermediario dall’obbligo di rimborso.

Il Fatto

Il ricorrente, titolare di una carta di debito collegata al conto corrente acceso presso l’intermediario, disconosce undici operazioni di prelievo eseguite tra il 07/11/2024 e il 26/06/2025 e chiede il rimborso di € 4.480,00. Quattro prelevamenti, per € 1.820,00, sono stati effettuati in modalità cardless; sette, per € 2.480,00, con utilizzo della carta fisica.

L’intermediario contesta il ricorso. Sostiene che le operazioni con carta sono state autorizzate con corretta lettura del chip e immediata digitazione del PIN, senza errori, e che anche i prelievi cardless si sono svolti regolarmente attraverso il sistema di autenticazione basato sull’app e sul codice identificativo. Aggiunge che il ricorrente avrebbe violato i doveri di custodia dello strumento di pagamento.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile. Le operazioni contestate sono state eseguite sotto il vigore del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva PSD 2, e successivamente all’entrata in vigore delle disposizioni sull’autenticazione forte dettate dal Regolamento Delegato (UE) 2018/389.

Da tale disciplina discende un regime di speciale protezione e di altrettanto speciale favor probatorio per l’utilizzatore. È l’intermediario a dovere provare che l’operazione disconosciuta sia stata autenticata, correttamente registrata e contabilizzata. Richiamando l’orientamento del Collegio di Coordinamento, il Collegio ribadisce che neppure l’apparentemente corretta autenticazione è sufficiente a dimostrare la riconducibilità dell’operazione all’utilizzatore. La responsabilità di questi resta circoscritta ai casi di comportamento fraudolento o di inadempimento doloso o gravemente colposo degli obblighi di custodia.

Sul primo gruppo di operazioni, quelle cardless, la documentazione prodotta dall’intermediario risulta lacunosa. Se è dimostrato l’utilizzo del dispositivo del ricorrente, e dunque il fattore di possesso, resta invece non chiarito il secondo fattore. L’intermediario non spiega il significato del codice indicato in corrispondenza della colonna relativa alla modalità dispositiva, né fa cenno a un possibile riutilizzo del fattore di conoscenza. Uniformandosi a decisioni dei Collegi territoriali su casi analoghi, il Collegio ritiene quindi non provata la SCA per le quattro operazioni cardless e ricorda che la mancanza, anche parziale, della prova di autenticazione è risolutiva rispetto alla valutazione di eventuali profili di colpa del cliente.

Sulle sette operazioni con carta fisica, invece, l’intermediario produce idonea evidenza, corredata di legenda, della corretta digitazione del PIN senza errori. La prova dell’autenticazione e della formale regolarità delle operazioni è dunque raggiunta.

Il Collegio esamina poi la condotta del ricorrente. Nel modulo di disconoscimento questi ha dichiarato di custodire abitualmente la carta in auto, di averla ceduta anche temporaneamente a terzi, di aver rivelato le credenziali di accesso e di aver subito il furto del dispositivo mobile. Non ha mai comunicato all’intermediario il furto o l’uso non autorizzato delle credenziali, non ha depositato denuncia e ha ammesso di conservare il PIN insieme alla carta. Le operazioni disconosciute, inoltre, sono intervallate da operazioni genuine della stessa tipologia. Richiamando il proprio consolidato orientamento, il Collegio ravvisa la colpa grave anche nell’omesso controllo del conto per un notevole lasso di tempo.

Il ricorso è quindi accolto solo in parte. Il Collegio dispone il rimborso di € 1.820,00 per le operazioni cardless, mentre le sette operazioni con carta fisica restano a carico del ricorrente per la sua colpa grave.