Validazione biometrica OTP integra colpa grave dell’utente nella truffa telematica (ABF Collegio di Milano n. 4166 del 08.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, l’onere di provare che l’operazione sia stata correttamente autenticata, registrata e contabilizzata grava sull’intermediario, ai sensi dell’art. 10 del d.lgs. n. 11/2010. La prova dell’autenticazione forte (SCA) è raggiunta quando l’operazione sia stata validata mediante notifica push recapitata sul dispositivo dell’utente e successiva generazione di OTP virtuale confermato con riconoscimento biometrico, elementi di possesso e di inerenza reciprocamente indipendenti. Il concorso causale parziale dell’utente in fase dispositiva non equivale, per ciò solo, ad autorizzazione della transazione, poiché la normativa speciale prescinde dalla nozione civilistica di consenso. Resta ferma la valutazione della colpa grave ex art. 12 del d.lgs. n. 11/2010, che sussiste quando l’utente inserisca i dati della carta su un sito truffaldino e confermi con riconoscimento biometrico una notifica recante l’indicazione esplicita di importo, beneficiario e carta.

Il Fatto

La ricorrente riferiva di essere stata vittima, il 30.09.2025, di una truffa su una piattaforma di vendite on-line, a seguito della quale veniva eseguita sulla sua carta di debito un’operazione non autorizzata di € 499,00. Dopo il disconoscimento e la denuncia, la banca inizialmente riaccreditava la somma, per poi riaddebitarla.

Nelle controdeduzioni l’intermediario ricostruiva la vicenda: la ricorrente, dopo aver messo in vendita alcuni oggetti, era stata contattata da un sedicente acquirente e indirizzata, tramite link ricevuto via e-mail, a un sito sul quale aveva inserito i dati completi della carta. La banca eccepiva l’inapplicabilità della disciplina del d.lgs. n. 11/2010 e, in subordine, la colpa grave dell’utente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2), gli artt. 97 e 98 della direttiva, l’art. 10-bis del decreto legislativo e il Regolamento Delegato UE 2018/389. Richiama quindi il riparto probatorio fissato dall’art. 10 e la decisione del Collegio di Coordinamento n. 22745/2019.

Sul piano dell’autorizzazione, il Collegio respinge la tesi dell’intermediario secondo cui l’operazione sarebbe stata personalmente disposta dalla cliente. La ricorrente ha riferito di aver inserito sul sito truffaldino solo i dati della carta, non i fattori di autenticazione, e ha formalmente disconosciuto la transazione. Secondo l’orientamento consolidato ABF, se il concorso causale dell’utente è parziale, la transazione non è per ciò solo autorizzata, perché la normativa speciale richiede che il consenso sia prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento.

La questione decisiva si sposta allora sulla prova della SCA. Dagli elementi informatici prodotti emerge che l’operazione è stata eseguita alle 11:02:47 dal device in uso alla ricorrente, previa conferma del pagamento tramite OTP virtuale validato con riconoscimento biometrico. Il Collegio valorizza anche la notifica push, recante l’indicazione esplicita di importo, beneficiario e carta. Possesso e inerenza risultano così integrati e la prova dell’autenticazione forte è raggiunta.

Accertata l’autenticazione, il Collegio esamina la condotta dell’utente. La truffa si è svolta su canali non riconducibili all’intermediario e con il dispositivo nella disponibilità esclusiva della ricorrente, che non ne ha mai dichiarato la perdita. L’aver dato credito a un sedicente acquirente, inserito i dati su un sito truffaldino e validato con impronta digitale una notifica inequivoca integra la colpa grave ex art. 12 d.lgs. n. 11/2010.

Quanto alla mancata attivazione del servizio di SMS-alert, richiamata la decisione del Collegio di Coordinamento n. 8672/2024, il Collegio aderisce all’interpretazione sostanzialistica: in presenza di una sola operazione fraudolenta la tempestiva ricezione dell’alert non avrebbe potuto limitare il pregiudizio. Il ricorso è quindi rigettato.