Truffa da dispositivo non disabilitato e ritardo nel diniego del mutuo (ABF Collegio di Milano n. 2688 del 25.03.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che, a fronte della richiesta del cliente di disabilitare un dispositivo non riconosciuto come proprio, ometta di provvedervi e non inviti il cliente al reset delle credenziali risponde delle successive operazioni fraudolente eseguite tramite quel dispositivo, anche quando la autenticazione forte (SCA) risulti documentata. Nella fase delle trattative per la concessione del credito l’intermediario deve improntare la propria condotta ai canoni di buona fede e correttezza: il diniego della richiesta di finanziamento va comunicato con sollecito riscontro e con indicazioni idonee a far comprendere le ragioni del rifiuto. Il ritardo ingiustificato e le risposte incomplete integrano violazione dell’art. 1337 cod. civ. e fondano il risarcimento del danno, che va provato e non è desumibile in re ipsa dalla sola violazione della regola di condotta.

Il Fatto

Il ricorrente riferisce di avere subito, tra il 20 e il 27 dicembre 2024, quattro operazioni di bonifico non autorizzate per complessivi € 35.850,00, disposte senza che ricevesse notifiche PUSH o SMS. Già il 17 dicembre 2024 aveva segnalato un problema di operatività del conto e il giorno successivo aveva appreso dall’intermediario della compresenza di due dispositivi abilitati, uno dei quali a lui non riconducibile, chiedendone la rimozione. Secondo il ricorrente l’intermediario non aveva disabilitato quel dispositivo né aveva disposto il reset delle credenziali.

Il ricorrente lamenta inoltre la mancata concessione di un mutuo ipotecario per ristrutturazione, richiesto l’11 ottobre 2024 e negato solo nel marzo 2025, dopo ripetute rassicurazioni sulla prossima stipula. Chiede il rimborso delle somme sottratte e € 5.000,00 a titolo di risarcimento per la violazione degli obblighi di buona fede e correttezza. L’intermediario si difende sostenendo la regolarità della doppia autenticazione, la colpa grave del cliente e la natura discrezionale della valutazione del merito creditizio.

La motivazione del Collegio

Il Collegio esamina separatamente le due questioni. Sulla prima richiama gli artt. 97 e 98 della PSD2, l’art. 10 bis del d.lgs. n. 11/2010 e il Regolamento delegato Ue 2018/389, ricostruendo il regime probatorio: il prestatore deve dapprima provare che l’operazione è stata autenticata, registrata e contabilizzata; solo dopo deve dimostrare il comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore. I log prodotti risultano formalmente idonei a comprovare la SCA, realizzata mediante fattori di possesso, conoscenza e inerenza, secondo l’orientamento già espresso dal medesimo Collegio.

Il Collegio passa quindi alla colpa grave del cliente e rileva che la contestazione dell’intermediario è smentita dalle risultanze in atti. Le registrazioni dell’incontro in filiale del 30 dicembre 2024, prodotte dal ricorrente, documentano l’ammissione dell’errore da parte della referente, che non aveva disattivato il dispositivo Android. L’eccezione di violazione della privacy non inficia l’attendibilità del contenuto: la registrazione di una conversazione cui il ricorrente ha partecipato è lecita e utilizzabile a fini difensivi, secondo il bilanciamento richiamato da Cass. n. 28398 del 2022. Il disconoscimento idoneo a degradare la riproduzione a presunzione semplice deve essere chiaro, circostanziato ed esplicito, come affermato da Cass. n. 24613 del 2019; nella specie l’intermediario non ha contestato in modo puntuale la trascrizione.

Accertata la negligenza dell’intermediario, che non ha dato corso alla richiesta di disabilitazione consentendo così le tre operazioni del 27 dicembre 2024, il Collegio dispone il rimborso di € 35.850,00 oltre interessi dal reclamo al saldo.

Sulla seconda questione il Collegio ravvisa una chiara negligenza nella gestione della pratica: tra la richiesta dell’ottobre 2024 e il diniego del marzo 2025 sono trascorsi cinque mesi, con risposte incomplete o confuse. Richiamata la Comunicazione della Banca d’Italia n. 993215 del 26.11.2012, secondo cui il diniego va accompagnato da un sollecito riscontro e da indicazioni generali sulle valutazioni che hanno indotto al rifiuto, e la giurisprudenza arbitrale sul punto, il Collegio afferma la violazione dell’art. 1337 cod. civ.

Il risarcimento è tuttavia contenuto in € 1.500,00. Il Collegio esclude il compenso corrisposto al broker, privo di nesso causale, e il costo della terapia psicologica, non provato. Quanto al danno non patrimoniale, ribadisce che esso non può desumersi in re ipsa dalla violazione della regola di condotta, dovendone essere dimostrata la concreta esistenza e incidenza, nel rispetto dell’indirizzo delle Sezioni Unite n. 26972 del 2008. Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario al pagamento del contributo alle spese della procedura e al rimborso della somma versata dalla parte ricorrente.