Prelievo smart da ATM e truffa del QR code (ABF Collegio di Milano n. 111 del 08.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che invoca l’esonero da responsabilità deve provare non solo l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, ma anche che l’uso indebito del dispositivo sia riconducibile a dolo o colpa grave dell’utilizzatore. L’autenticazione forte del cliente (SCA), ove correttamente impiegata, soddisfa il primo onere ma non esaurisce la valutazione. Integra colpa grave la condotta dell’utente che, vittima di un artifizio riconoscibile con media diligenza, concluda l’affare fuori dalla piattaforma e segua procedure a lui ignote suggerite dal truffatore.

Il Fatto

La ricorrente pubblica su un sito di annunci la vendita di una poltrona. Un presunto acquirente le propone di pagare tramite App bancaria e, con chiamate e istruzioni, le invia la foto di un QR code generato da uno sportello ATM. La cliente inquadra il codice con il proprio smartphone e, mediante la procedura di prelievo smart, viene disposta l’erogazione di € 1.000,00 presso lo sportello, con addebito sul suo conto.

La cliente disconosce l’operazione e chiede la restituzione. L’intermediario eccepisce la regolarità dell’autenticazione e la violazione dell’art. 13, comma 2, del contratto per l’accesso consentito al truffatore ai dati sensibili. La ricorrente ribadisce di essere vittima incolpevole del reato di truffa ex art. 640 c.p.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva 2015/2366/UE (PSD 2). Ai sensi dell’art. 10, comma 1, l’intermediario deve provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata, senza malfunzionamenti. Tale prova è necessaria ma non sufficiente: per l’esonero occorre dimostrare, ex art. 10, comma 2, che l’uso indebito derivi da dolo o colpa grave dell’utente rispetto agli obblighi dell’art. 7.

Sul piano probatorio il Collegio richiama il Collegio di Coordinamento n. 22745/2019: la documentazione sull’autenticazione non basta, dovendo l’intermediario indicare gli elementi di fatto delle modalità esecutive da cui trarre presuntivamente la colpa grave. Vengono inoltre considerati gli artt. 97 e 98 PSD 2, l’art. 10-bis del d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e il parere EBA del 21 giugno 2019, oltre all’art. 12 sulla responsabilità del pagatore in caso di mancata autenticazione forte.

Nel caso concreto la prova dell’autenticazione è raggiunta: l’accesso mobile banking delle ore 16:58:57 avviene con fingerprint (fattore di inerenza) su App (fattore di possesso); la prenotazione del prelievo risulta contestuale al login; l’erogazione avviene alle 17:03:29. Il Collegio reputa la modalità autorizzativa conforme alla SCA, richiamando il Collegio di Roma (decisioni n. 3032/2023 e n. 4169/25).

È invece ravvisata la colpa grave della cliente: ha ricevuto chiamate da numeri non riconducibili all’intermediario senza fornirne prova; ha accettato di concludere l’affare fuori dalla piattaforma dell’annuncio; ha seguito una procedura a lei ignota e mai sperimentata. Tali modalità integrano la colpevole credulità richiamando il Collegio di Coordinamento n. 3498 del 26/10/2012, poiché qualunque fruitore di servizi on line, con normale avvedutezza, avrebbe riconosciuto ed evitato la truffa.

Il Collegio esclude altresì altri profili di responsabilità dell’intermediario sul versante degli obblighi di protezione del bonus argentarius, non ricorrendo nella specie anomalie gestite in modo negligente. Il ricorso è pertanto respinto.