La Corte d’Appello di Firenze, Sez. II, con sentenza 2388 del 16 giugno 2026 (Pres. Primavera, Rel. Capozzi) si è pronunciata relativamente al confine tra responsabilità della banca e colpa grave del cliente nelle frodi digitali.
Dapprima la Corte territoriale ricorda come il regime di responsabilità, di cui al combinato disposto degli artt. 7, 10, 10 bis D.Lgs. 10/2011, in capo al prestatore di servizi bancari in via telematica comporta l’inversione dell’onere della prova con conseguente parziale ribaltamento del rischio in capo a quest’ultimo, che trova il proprio limite nella colpa grave del cliente.
In particolare, l’art. 7 del D.Lgs. 10/2011 disciplina gli obblighi a carico dell’utente in relazione agli strumenti di pagamento e alle credenziali di sicurezza, l’art. 10 regolamenta la prova di autenticazione ed esecuzione delle operazioni di pagamento e l’art. 10 bis l’autenticazione e misure di sicurezza.
Attraverso il combinato disposto delle succitate norme può concludersi che:
- l’utente sia tenuto ad una serie di obblighi, tra cui quello di adottare tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate
- il solo utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utente, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all’art. 7
- la banca è onerata della prova del dolo o della colpa grave dell’utente con conseguente sussistenza del rischio di ignoto tecnologico in suo capo.
Relativamente al dolo o colpa grave dell’utente, vanno parametrati anche al carattere tecnologicamente sofisticato della condotta posta in essere da terzi truffatori, ancor più se attuata con modalità informatiche.
Nel caso di specie, la Corte ha rilevato una condotta gravemente negligente dell’utente, alla luce della consegna dei pin della Home banking e le OTP ai truffatori. Tali comunicazioni hanno consentito l’attivazione di un mobile token con il quale, attraverso i codici dispositivi, sono stati disposti due bonifici.
A seguito di tale attivazione, la banca ha inviato specifico SMS all’utente attraverso il quale gli comunicava della suddetta attivazione e gli forniva un codice riservato.
Anche volendosi ritenere che l’utente non fosse a conoscenza della volontà fraudolenta del sedicente operatore bancario, tale messaggio rendeva evidente che i codici riservati non fossero stati richiesti dai funzionari bancari alla luce della riservatezza ribadita nell’SMS.
L’utente avrebbe, quindi, dovuto immediatamente segnalare il fatto alla banca e revocare o bloccare ogni ordine dispositivo nel frattempo dato.
Nonostante non contestasse la ricezione di tale SMS, l’utente lamentava la non ricezione dei messaggi relativi alle disposizioni di bonifico (aspetto questo, però, non provato in sede giudiziale).
La Corte, in adesione di quanto previso dal giudice di primo grado, sostiene possa presumersi, ex art. 2729 C.c., che tali messaggi siano stati effettivamente ricevuti dal cliente.
I succitati elementi provano, quindi, la colpa grave dell’utente e la sua correlazione causale con gli ordini dispositivi.
In tale contesto, si sarebbe potuto avere un concorso causale della banca soltanto nell’ipotesi in cui l’istituto creditizio non avesse dimostrato di avere avvertito il cliente degli ordini dispositivi, mettendolo in condizione di comprendere la truffa di cui era vittima.
Alla luce di quanto sopra, quindi, la perpetrazione della truffa in danno dell’utente è avvenuta tramite una cooperazione di quest’ultimo qualificabile in termini di colpa grave, essendo state comunicate a terzi le password necessarie a realizzare le operazioni dispositive, nonostante gli avvisi inviati dalla banca.
La lettura di questi avrebbe, infatti, consentito all’utente di avvisare la banca relativamente all’appropriazione indebita e all’uso non autorizzato delle proprie credenziali e dei codici generati per le operazioni.
