Colpa grave della cliente esclude rimborso per truffa online con SCA (ABF Collegio di Milano n. 2861 del 31.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento deve provare non solo che l’operazione è stata autenticata, correttamente registrata e contabilizzata senza malfunzionamenti, ma anche che l’uso indebito dello strumento è riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta dell’art. 7 d.lgs. n. 11/2010. La produzione documentale che attesta la formale regolarità dell’operazione non soddisfa da sola l’onere probatorio: occorre indicare elementi di fatto specifici sulle modalità esecutive da cui desumere, in via presuntiva, la colpa grave. Quando l’intermediario dimostra l’autenticazione forte del cliente con doppio fattore e la condotta del pagatore rivela una credulità evitabile con media diligenza, il ricorso va respinto.

Il Fatto

La ricorrente, iscritta a un sito di intermediazione per la vendita di itinerari di viaggio, in data 20.09.2025 riceveva una mail apparentemente proveniente dal sito, con la quale un presunto utente chiedeva di confermare i dettagli di un ordine “schiacciando un tasto”. Inseriva quindi i dati della propria carta di credito emessa dall’intermediario. Veniva subito addebitata la somma di € 192,73 e, poco dopo, con la pretesa di “verificare la carta”, le veniva richiesto un ulteriore versamento di € 125,00.

La cliente disconosceva così due pagamenti on line eseguiti lo stesso giorno, alle ore 13:29 e alle ore 15:37, per complessivi € 317,73, e ne chiedeva la restituzione. L’intermediario eccepiva che le operazioni erano state personalmente autorizzate dalla cliente, pur se tratta in inganno, con piena osservanza delle procedure di sicurezza, e invocava la grave negligenza della stessa.

La motivazione del Collegio

Il Collegio di Milano ha ricondotto la vicenda al perimetro del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della PSD 2. L’intermediario aveva sostenuto che le operazioni fossero state integralmente poste in essere dalla cliente; tuttavia, dalla documentazione in atti non emergeva alcuna dichiarazione confessoria esplicita in tal senso. Le operazioni contestate ricadevano dunque sotto la disciplina delle operazioni non autorizzate.

Il Collegio ha richiamato l’art. 10, comma 1, d.lgs. n. 11/2010, che pone a carico del prestatore di servizi di pagamento la prova dell’autenticazione, della corretta registrazione e contabilizzazione dell’operazione e dell’assenza di malfunzionamenti. Tale onere è necessario ma non sufficiente: ai fini dell’esonero da responsabilità, l’art. 10, comma 2, richiede che l’uso indebito del dispositivo sia ricondotto al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7. Il Collegio ha richiamato la decisione del Collegio di Coordinamento n. 22745/2019, secondo cui la sola prova dell’autenticazione e della regolarità formale non basta, dovendo l’intermediario indicare elementi di fatto specifici sulle modalità esecutive da cui trarre, in via presuntiva, la prova della colpa grave.

Nel caso di specie, l’intermediario ha fornito prova di autenticazione a doppio fattore. Il dispositivo utilizzato era il cellulare registrato dalla cliente fin dal 19.08.2024, quindi in data anteriore al primo contatto con il truffatore. Per entrambe le operazioni il pagamento risultava autenticato mediante impronta digitale (elemento di inerenza) a seguito di notifica push sull’app registrata sul dispositivo della cliente (elemento di possesso).

Il Collegio ha poi ritenuto provata anche la colpa grave della cliente. La truffa era banale e la ricorrente avrebbe potuto evitarla con media diligenza: aveva messo in vendita un itinerario su un marketplace e aveva dato seguito alle richieste di una mail civetta, lasciandosi guidare su WhatsApp dal truffatore nell’inserimento dei dati della carta. Le modalità rientravano in uno schema tipico e ormai noto, consistente nell’indurre il titolare dello strumento a comunicare o inserire le proprie credenziali su piattaforme informatiche. La truffa si era consumata interamente fuori dai canali dell’intermediario, su una piattaforma di vendita on line.

La riconosciuta colpa grave, pur a fronte di operazioni con piena prova della SCA, non ha escluso che il Collegio valutasse altri eventuali profili di responsabilità dell’intermediario, sul versante degli obblighi di protezione e della gestione di eventi che segnalino possibili frodi: profili che, nella vicenda, non sono stati ravvisati. Il ricorso è stato pertanto respinto.