Prelievo ATM non autorizzato e colpa grave dell’utente per custodia del PIN (ABF Collegio di Bari n. 2696 del 25.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario assolve all’onere probatorio previsto dall’art. 12, comma 4, d.lgs. n. 11/2010 quando dimostra, mediante i log della transazione, che l’operazione è stata autenticata con un sistema conforme alla Strong Customer Authentication, ossia con autenticazione a doppio fattore fondata su un elemento di possesso (lettura del chip) e su un elemento di conoscenza (PIN digitato correttamente al primo tentativo). Una volta assolta tale prova, la colpa grave dell’utente può essere desunta in via presuntiva dal combinarsi di più elementi indiziari, tra cui l’assenza di errori nella digitazione del codice personale e il contesto di libera accessibilità del luogo in cui il prelievo è avvenuto.

Il Fatto

Il ricorrente, esaurita la fase del reclamo, si rivolge all’Arbitro chiedendo l’accertamento del diritto al rimborso di 600,00 euro, oltre interessi e rivalutazione, importo corrispondente a un prelevamento ATM che disconosce perché eseguito da terzi non autorizzati a seguito dello smarrimento della carta di debito emessa dall’intermediario convenuto.

L’intermediario si costituisce eccependo la regolarità dell’autenticazione, avvenuta con PIN inserito correttamente al primo tentativo e corretta lettura del chip della carta, e invoca la colpa grave del ricorrente, chiedendo in subordine l’applicazione della franchigia. In sede di replica il ricorrente prospetta una frode informatica particolarmente sofisticata.

La motivazione del Collegio

Il Collegio colloca l’operazione, eseguita il 6 luglio 2025, nel quadro del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017, del Regolamento Delegato (UE) n. 2018/389 e dell’Opinion dell’EBA del 21 giugno 2019 in tema di Strong Customer Authentication. Il primo passaggio riguarda la verifica del sistema di autenticazione e del rispetto dei requisiti normativi: la disciplina pone sull’intermediario l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata.

L’intermediario fornisce tale prova allegando i log relativi all’operazione, corredati da legenda esplicativa dei codici, dai quali risulta la corretta lettura del chip e la corretta digitazione del PIN senza precedenti tentativi. In continuità con un orientamento consolidato, il Collegio ritiene così assolto l’onere probatorio in relazione alle modalità di autenticazione e di autorizzazione dell’operazione.

Passando all’eccezione di colpa grave, il Collegio ricorda che essa può essere provata anche attraverso il combinarsi di più elementi indiziari, in via presuntiva, sulla base delle risultanze del procedimento. Nel caso concreto il ricorrente colloca il furto tra le ore 10:00 e le 18:00, mentre il prelievo è avvenuto alle ore 12:02, senza errori di digitazione, all’interno di un parco acquatico. L’assenza di errori nel PIN induce a presumere che il titolare conservasse il codice unitamente allo strumento di pagamento, mentre il luogo di consumazione del furto costituisce un contesto in cui la soglia di attenzione dovrebbe innalzarsi per la libera accessibilità da parte di terzi. La condotta dell’utente appare quindi connotata da colpa grave.

Quanto alla pretesa responsabilità dell’intermediario per omessa custodia dei dati personali, il Collegio la ritiene tardivamente formulata, perché avanzata solo in sede di repliche, e comunque infondata, non essendo identificati i dati bancari oggetto di fraudolenta acquisizione né proposta una domanda risarcitoria. Irrilevante, infine, è la mancanza di prova sull’invio di un alert: in presenza di una sola operazione fraudolenta, o di più transazioni in un arco di tempo limitato, la ricezione dell’avviso non avrebbe concretamente limitato il pregiudizio. Il ricorso viene pertanto respinto.