Truffa marketplace e colpa grave del cliente responsabilità concorrente del PSP (ABF Collegio di Bari n. 4119 del 07.05.2026)

Principi di diritto (Massima)
La produzione documentale che prova l’autenticazione forte (SCA) e la formale regolarità dell’operazione contestata non soddisfa, di per sé, l’onere probatorio posto a carico del prestatore di servizi di pagamento dall’art. 10, comma 2, d.lgs. n. 11/2010: occorre indicare gli elementi di fatto delle modalità esecutive dai quali trarre, in via presuntiva, la prova del dolo o della colpa grave dell’utilizzatore. La prova dell’autenticazione è un prius logico rispetto alla valutazione della colpa. Accertata la grave negligenza del cliente, gli indici di frode dell’art. 8 d.m. n. 112/2007 non hanno valore precettivo diretto, ma costituiscono parametro per valutare la condotta complessiva del PSP. La responsabilità si ripartisce caso per caso secondo un concorso di colpa, avendo a base l’intero ammontare delle operazioni disconosciute.

Il Fatto

La ricorrente, titolare di una carta di pagamento, espone di aver subito una truffa su una piattaforma di marketplace, dove intendeva vendere un articolo. Un finto acquirente le inviava un QR-code e le illustrava i passaggi per “finalizzare la vendita”; un’assistente virtuale le comunicava per tre volte che la transazione non era andata a buon fine, facendole ripetere l’operazione.

La ricorrente chiede il rimborso di tre pagamenti disconosciuti di € 299,00 ciascuno, per complessivi € 897,00. L’intermediario resistente oppone che i pagamenti sono stati eseguiti con OTP via SMS sul numero certificato e con codice 3DS statico impostato dall’utente, oltre a notifiche di alert, e invoca la colpa grave della cliente chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla disciplina della PSD2 e dall’onere probatorio dell’intermediario. I log prodotti documentano, per ciascun pagamento, la valorizzazione del codice 3DS (fattore di conoscenza) e l’uso della OTP SMS (fattore di possesso), con messaggi che richiedevano espressamente conferma dell’acquisto di € 299,00. La conformità a SCA delle operazioni risulta pertanto raggiunta; la neutralità tecnologica della direttiva consente di valorizzare, oltre ai log, legenda e difese del PSP.

Il Collegio richiama quindi l’insegnamento del Collegio di Coordinamento n. 22745/2019: la prova dell’autenticazione non esaurisce l’onere del PSP, che deve indicare gli elementi di fatto dai quali desumere la colpa grave. La mancanza della prova di autenticazione è dirimente e prius logico rispetto alla colpa. Nel caso concreto la ricorrente ammette di aver inserito i dati della carta e di aver approvato per tre volte la conferma; dagli screenshot non emergono contatti riconducibili alla banca. La sua condotta è dunque connotata da inescusabile e grave negligenza.

Quanto ai sistemi di allerta, il Collegio di Coordinamento n. 24366/2019 e la successiva decisione n. 8672/2024 impongono il servizio di alert, salvo esplicito rifiuto dell’utente. L’intermediario ha allegato le evidenze delle notifiche; il Collegio ricorda comunque che l’alert ex post è irrilevante in presenza di SMS parlanti.

Il passaggio decisivo riguarda gli indici di frode. Le previsioni dell’art. 8 d.m. n. 112/2007 non hanno valore precettivo diretto, ma orientano il giudizio sul monitoraggio imposto dal Regolamento EBA n. 2018/389. Nel caso di specie il merchant è in tutti e tre i casi una piattaforma di trasferimento di cripto-attività e l’operatività fraudolenta si è consumata in circa sei minuti. Tali concomitanze integrano indici di frode trascurati per carenze organizzative dell’intermediario.

Il Collegio conclude per il concorso di colpa: la disfunzione organizzativa del PSP si è innestata sulla condotta gravemente negligente della ricorrente, senza che questa abbia assorbito il nesso causale. Il ricorso è pertanto accolto in parte, con corresponsione di € 300,00 equitativamente determinati, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00.