Colpa grave dell’utente che consegna pin e OTP al falso operatore (ABF Collegio di Palermo n. 4398 del 14.05.2026)

Principi di diritto (Massima)
In caso di disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento deve provare l’autenticazione forte, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti. Provata la strong customer authentication mediante due fattori indipendenti e appartenenti a categorie diverse, resta da verificare il dolo o la colpa grave dell’utilizzatore. Integra colpa grave la condotta di chi, vittima di un raggiro, consegni volontariamente a un terzo le credenziali e i codici necessari a disporre il pagamento. La dichiarazione confessoria resa dal ricorrente in sede di reclamo ha valore di prova legale ex art. 2730 c.c. e fonda il rigetto della domanda di rimborso.

Il Fatto

Il ricorrente chiede la restituzione di € 637,70, importo di due operazioni non autorizzate eseguite il 21.07.2025. Espone di aver contattato telefonicamente quella che riteneva essere un’agenzia di viaggi, per prenotare un viaggio all’estero per sé e la moglie, e di aver fornito all’interlocutore i dettagli di pagamento e i codici necessari per autorizzare l’addebito. Si è accorto della truffa solo controllando il conto.

L’intermediario resiste e chiede il rigetto. Sostiene che le operazioni sono state autorizzate con digitazione del pin e dell’OTP, poi notificato al cliente via SMS, e produce le relative evidenze. Le parti hanno ribadito le rispettive posizioni in replica e controreplica.

La motivazione del Collegio

Il Collegio inquadra la vicenda tra le operazioni indotte da truffatori e richiama il riparto probatorio dell’art. 10 del d.lgs. n. 11/2010, nel testo modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. A fronte del disconoscimento, il prestatore deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, l’assenza di malfunzionamenti e il comportamento gravemente colposo o doloso dell’utilizzatore, anche per presunzioni.

Il Collegio richiama l’orientamento del Collegio di Coordinamento, dec. n. 22745/2019: la prova dell’autenticazione è l’antecedente logico della prova della colpa grave o del dolo dell’utente. Sul piano normativo considera la disciplina della strong customer authentication negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. n. 11/2010, nelle norme tecniche EBA recepite con il Regolamento Delegato UE 2018/389 e nei criteri interpretativi dell’EBA.

La SCA si realizza con almeno due dei tre fattori — conoscenza, inerenza e possesso — reciprocamente indipendenti e di categorie diverse. Nel caso concreto l’intermediario dimostra l’inserimento del pin, elemento di conoscenza, e del codice OTP ricevuto dal ricorrente, elemento di possesso. La SCA è pertanto provata per entrambe le operazioni, da € 362,62 e da € 275,00, eseguite a distanza di circa due ore e quaranta.

Superata la prova dell’autenticazione, il Collegio valuta la colpa grave. Lo stesso ricorrente ammette di aver fornito all’interlocutore i codici necessari al pagamento, ritenendo di comunicarli a un operatore dell’agenzia. Si tratta di una dichiarazione confessoria che, ex art. 2730 c.c., assume valore di prova legale. La condotta è giudicata estremamente incauta: a chi opera con strumenti di pagamento deve essere noto che le credenziali non vanno consegnate a terzi, chiunque essi siano.

Il ricorso non è pertanto accolto: la prova dell’autenticazione forte e la confessione della consegna volontaria delle credenziali escludono il diritto al rimborso.