TRUFFA INFORMATICA E SERVIZI DI PAGAMENTO: i confini della colpa grave del correntista
Pubblicato il da Redazione - aggiornato il
Provvedimento segnalato dall’avv. Francesco Balestrazzi, del Foro di Catania
In tema di operazioni di pagamento disconosciute dal cliente, ai sensi degli artt. 7 e 10 d.lgs. n. 11/2010, grava sull’intermediario l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, nonché i fatti idonei a dimostrare la colpa grave dell’utilizzatore. Tale onere può ritenersi assolto ove la Banca dimostri l’impiego di un sistema di autenticazione forte, l’assenza di anomalie o malfunzionamenti, l’avvenuta informazione dell’utente sui rischi di frode e la riconducibilità delle operazioni a credenziali e dispositivi nella disponibilità del cliente.
La mancata sottrazione della carta e del dispositivo OTP, unitamente alla mancata vigilanza sulle credenziali e all’inerzia dell’utente dopo la ricezione degli alert relativi alle operazioni, può integrare una condotta di colpa grave, idonea a escludere l’obbligo di rimborso della banca.
Nelle operazioni di pagamento disconosciute dal cliente, l’intermediario finanziario è liberato dall’obbligo di rimborso se dimostra l’adozione di un sistema di autenticazione forte e la colpa grave dell’utente nell’adempimento degli obblighi di custodia delle credenziali.
Questo è il principio espresso dal Tribunale di Catania, Giudice Fabio Salvatore Mangano, con la sentenza n. 4013 del 15.9.2026, con la quale, ha accolto l’appello proposto da una Banca avverso la decisione del Giudice di Pace di Mascalucia, che aveva condannato l’istituto al rimborso di euro 2.227,93, somma sottratta dal conto corrente della cliente mediante operazioni che quest’ultima aveva disconosciuto come fraudolente.
La cliente aveva riferito di aver scoperto sul proprio estratto conto due operazioni anomale, rispettivamente per euro 1.274,96 mediante carta di credito ed euro 952,97 mediante bancomat, effettuate a sua insaputa. Aveva presentato denuncia contro ignoti e chiesto il rimborso alla Banca, che lo aveva rifiutato ritenendo che la cliente avesse tenuto una condotta negligente nella custodia delle credenziali di sicurezza.
Il punto centrale della decisione d’appello riguarda la ripartizione dell’onere probatorio nelle operazioni di pagamento non autorizzate, alla luce del d.lgs. n. 11/2010. Il Tribunale ribadisce che, quando il cliente nega di avere autorizzato un’operazione, spetta al prestatore dei servizi di pagamento dimostrare l’autenticazione, la corretta registrazione e contabilizzazione della stessa, nonché l’assenza di malfunzionamenti e, ove intenda escludere la propria responsabilità, i fatti integranti la colpa grave dell’utilizzatore.
La responsabilità della Banca, qualificata come contrattuale, è quindi sottoposta a un regime particolarmente rigoroso. Il Tribunale richiama, da un lato, Cass. n. 18045/2019, secondo cui la responsabilità dell’intermediario può essere esclusa in presenza di colpa grave dell’utente, e, dall’altro, Cass. n. 3780/2024, secondo cui la sottrazione dei codici mediante tecniche fraudolente costituisce un rischio riconducibile all’attività bancaria, sicché la banca deve dimostrare circostanze ulteriori rispetto alla mera esistenza dell’operazione.
Nel caso concreto, tuttavia, la banca ha fornito documentazione ritenuta idonea a dimostrare l’adozione di un sistema di autenticazione forte, basato su almeno due elementi indipendenti: dati e credenziali riconducibili alla categoria della conoscenza e token per la generazione dell’OTP, riconducibile alla categoria del possesso. I file di log, non contestati dalla cliente, evidenziavano inoltre che le operazioni del 23 giugno 2020 erano state correttamente autenticate e registrate, senza anomalie operative o malfunzionamenti del servizio.
Ulteriore elemento valorizzato dal Tribunale è rappresentato dall’attività informativa svolta dalla banca sui rischi di frode informatica. La cliente era stata avvisata tramite SMS dell’abbinamento delle carte all’applicazione e del compimento delle operazioni; inoltre, la banca aveva comunicato di non fornire a terzi i codici OTP e aveva pubblicato sul proprio sito indicazioni volte a prevenire tecniche fraudolente, precisando che non avrebbe richiesto telefonicamente o mediante e-mail o messaggi dati bancari, credenziali o l’installazione di applicazioni.
Su tali presupposti, il Tribunale ha ritenuto che la cliente avesse tenuto un comportamento gravemente negligente. In particolare, i dati dei log e la preventiva digitalizzazione della carta tramite app, avvenuta nello stesso giorno delle operazioni contestate, sono stati considerati elementi astrattamente indicativi della violazione degli obblighi di custodia previsti dall’art. 7 d.lgs. n. 11/2010. A ciò si aggiungeva l’inerzia della cliente anche dopo la ricezione degli SMS di alert relativi alle operazioni.
Il Tribunale ha inoltre rilevato che non risultava sottratto né il dispositivo di pagamento né il dispositivo OTP e che la ricostruzione della frode prospettata dalla cliente era generica, non essendo state precisate le concrete modalità attraverso le quali terzi avrebbero acquisito le credenziali.
Sulla base di tali considerazioni, il Giudice ha accolto l’appello, con condanna della cliente al pagamento delle spese dei due gradi di giudizio.
Per ulteriori approfondimenti in materia si rinvia ai seguenti contributi pubblicati in Rivista:
EGLI DEVE ANCHE FORNIRE LA PROVA LIBERATORIA DI TUTTI I FATTI IDONEI AD INTEGRARE LA COLPA GRAVE DELL’UTILIZZATORE
Sentenza | Tribunale di Palermo, Giudice Andrea Illuminati | 26.10.2023 | n.4739
L’ONERE DELLA PROVA CONTRARIA RICADE SUL CORRENTISTA
Sentenza | Tribunale di Reggio Emilia, Giudice Francesca Malgoni | 05.07.2023 | n.821
SUSSISTE COLPA GRAVE DELLA CORRENTISTA CHE IGNORI GLI ELEMENTI DI ALLERTA POSTI IN ESSERE DALL’ISTITUTO DI CREDITO
Sentenza | Tribunale di Roma, Giudice Giuseppe Di Salvo | 11.09.2023 | n.12832
A SEGUITO DELL’ENTRATA IN VIGORE DEL D. LGS. 11/2010 NON BASTA DIMOSTRARE DI AVERE ADOTTATO TUTTI I SISTEMI DI SICUREZZA RAGIONEVOLMENTE ESIGIBILI
Sentenza | Tribunale di Napoli, Giudice Paolo Andrea Vassallo | 30.11.2022 | n.10743