Prelievi fraudolenti da carta rubata: senza autenticazione forte la banca rimborsa (ABF Collegio di Milano n. 2289 del 12.03.2026)

Principi di diritto (Massima)
In tema di utilizzo non autorizzato di strumenti di pagamento, l’intermediario che non provi l’autenticazione forte del cliente per ciascuna operazione contestata è tenuto al rimborso, a prescindere da qualsiasi profilo di colpa dell’utilizzatore. L’art. 10, comma 1, d.lgs. n. 11/2010 impone al prestatore di servizi di pagamento di dimostrare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti. Tale prova è necessaria ma non sufficiente: per l’esonero da responsabilità occorre anche dimostrare il dolo o la colpa grave dell’utilizzatore ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010. La produzione documentale sulla regolarità formale dell’operazione non soddisfa di per sé l’onere probatorio.

Il Fatto

La ricorrente riferisce di aver subito il furto della borsa, lasciata sul sedile anteriore dell’automobile in sosta, contenente la carta di debito emessa dall’intermediario. Prima del blocco della carta, disposto tramite numero verde, venivano eseguiti sei prelievi tra le 12:35 e le 13:05 del 15.01.2025: un prelievo di € 2.000,00 su circuito di cassa continua e cinque prelievi su circuito di cassa veloce, per complessivi € 6.990,00.

La cliente disconosce le operazioni e chiede la restituzione dell’intero importo. L’intermediario eccepisce che i prelievi sono stati eseguiti con la tessera originale e con corretto inserimento del codice PIN, rilevando inoltre la scarsa diligenza della cliente nella custodia dello strumento. Chiede il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile ratione temporis, individuandolo nel d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD II, e richiama gli artt. 97 e 98 della PSD2, l’art. 10-bis d.lgs. n. 11/2010 e le norme tecniche EBA recepite con Regolamento Delegato Ue 2018/389. Sul piano probatorio richiama la decisione del Collegio di Coordinamento n. 22745/2019: la prova dell’autenticazione e della regolarità formale non basta, dovendo l’intermediario indicare gli elementi di fatto da cui desumere in via presuntiva la colpa grave dell’utente.

Nel caso concreto, l’intermediario ha prodotto evidenza dell’autenticazione solo per il prelievo di € 2.000,00 su cassa continua, eseguito con la carta e previo corretto inserimento del PIN. Per i restanti cinque prelievi su cassa veloce, per complessivi € 4.990,00, non emerge alcuna prova delle modalità di autenticazione. La lista movimenti e il giornale di fondo dell’ATM non consentono di ricondurre i dati alle singole operazioni contestate, mentre i log allegati si riferiscono a un prelievo di € 39,41 del 13.01.2025, quindi a un’operazione del tutto estranea ai fatti.

Da qui la conclusione: solo una delle sei operazioni risulta assistita da autenticazione forte, mediante i fattori del possesso (la carta) e della conoscenza (il PIN). Rispetto alle cinque operazioni non coperte da SCA, la domanda restitutoria è accolta a prescindere da qualsiasi profilo di colpa della cliente, in applicazione dell’art. 12 d.lgs. n. 11/2010.

Quanto all’operazione correttamente autenticata, il Collegio ravvisa invece la colpa grave della ricorrente, che ha lasciato lo strumento di pagamento in una borsa incustodita e visibile sul sedile dell’auto in sosta. La relativa domanda è quindi rigettata. Il Collegio esclude altresì ulteriori profili di responsabilità dell’intermediario: manca in atti copia del contratto, sicché non è verificabile l’eventuale superamento del plafond, e l’assenza di un alert per l’ultimo prelievo è ininfluente, essendo stato oggetto di furto anche il telefono.

Il ricorso è accolto parzialmente, con condanna dell’intermediario al pagamento di € 4.990,00, oltre al rimborso di € 20,00 e al contributo di € 200,00 in favore della Banca d’Italia.