Utilizzo fraudolento di carta prepagata e prova della colpa grave dell’utente (ABF Collegio di Bologna n. 2523 del 18.03.2026)

Principi di diritto (Massima)
In tema di utilizzi fraudolenti on line di strumenti di pagamento non circostanziati dal cliente, l’onere probatorio a carico del prestatore di servizi di pagamento ex art. 10, comma 2, d.lgs. n. 11/2010 non si esaurisce nella prova dell’autenticazione e della regolare registrazione dell’operazione. Occorre che l’intermediario indichi specificamente gli elementi di fatto che caratterizzano le modalità esecutive della transazione, dai quali possa trarsi, in via presuntiva, la colpa grave dell’utilizzatore. La mancata allegazione, da parte del ricorrente, delle circostanze in cui la frode sarebbe avvenuta costituisce a sua volta un elemento valutabile dal Collegio, unitamente alla prova dell’autenticazione con Strong Customer Authentication, all’assenza di indici di anomalia e alla ricezione degli alert.

Il Fatto

Il titolare di una carta prepagata, nel corso di un controllo sul saldo, rilevava che in data 22.08.2025 erano stati eseguiti due pagamenti e-commerce di importo pari a 65,77 euro ciascuno, che assumeva di non aver disposto né autorizzato. Il cliente provvedeva quindi al blocco della carta e presentava denuncia; l’11.09.2025 formalizzava il disconoscimento delle transazioni, ma l’intermediario respingeva la richiesta restitutoria. Il ricorrente adiva così l’Arbitro Bancario Finanziario chiedendo il rimborso delle due operazioni.

L’intermediario, costituitosi, eccepiva l’infondatezza della pretesa: le transazioni si erano perfezionate tramite 3D Secure con doppio fattore, erano state correttamente contabilizzate e autenticate con OTP dinamica inviata sul cellulare certificato del cliente e con password statica; il device risultava l’unico associato all’utenza di internet banking; gli alert erano stati inviati. In via subordinata chiedeva applicarsi il concorso di responsabilità ex art. 1227 c.c. e, in estremo subordine, la franchigia di 50 euro ex art. 12, comma 3, d.lgs. n. 11/2010.

La motivazione del Collegio

Il Collegio richiama la disciplina applicabile ratione temporis, ossia il d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e ricorda che l’art. 10 pone a carico dell’intermediario la prova che le operazioni siano state autenticate, correttamente registrate e contabilizzate, con sopportazione integrale delle conseguenze in caso di mancata dimostrazione.

Nel caso concreto l’intermediario offre documentazione articolata: il servizio 3D Secure con doppia autenticazione, il codice OTP trasmesso via SMS sul numero certificato del ricorrente — coincidente con quello indicato in denuncia — e la password statica, oltre al codice di transazione che la transcodifica del circuito riconduce alle operazioni autenticate con doppio fattore. Risulta inoltre provato che il dispositivo del cliente è l’unico sul quale è stato effettuato l’enrollment della carta.

Il Collegio richiama quindi la decisione n. 22745/2019 del Collegio di Coordinamento, secondo cui la produzione documentale sull’autenticazione e sulla regolarità formale dell’operazione non soddisfa di per sé l’onere probatorio, essendo necessario che l’intermediario indichi specificamente gli elementi di fatto delle modalità esecutive dai quali trarre, in via presuntiva, la colpa grave dell’utente.

Sul punto, la posizione condivisa del sistema ABF distingue l’ipotesi in cui la mancata autorizzazione sia legalmente presunta — furto o smarrimento dello strumento, evenienza estranea al caso — da quella in cui il ricorrente deve allegare i fatti che rendano plausibile l’operazione disposta da un terzo non autorizzato. Le mancate allegazioni del cliente, insieme alla prova dell’autenticazione, alla conformità del sistema alla SCA e all’assenza di indici di anomalia, fondano il convincimento sulla colpa grave. Il Collegio precisa che non assumono rilievo gli indicatori di anomalia ex DM del 2007 e che, quanto agli alert, il ricorrente afferma di non averli ricevuti, mentre l’intermediario produce le notifiche risultate ricevute sull’unico dispositivo associato. Il ricorso è pertanto non accolto.