Con decisione n. 2081 del 9 marzo 2026, il Collegio di Milano dell’Arbitro Bancario Finanziario (Pres. Tina, Rel. Peron) si è pronunciato su un caso di frode realizzata online ed in particolare sulla tutela del cliente che abbia personalmente disposto un pagamento mediante carta di credito – nella specie, per una somma pari ad euro 125,04 – per l’acquisto di un notebook su di un sito successivamente rivelatosi un clone fraudolento.
Il ricorrente, una volta constatata la mancata consegna del bene e la scomparsa del portale contraffatto, chiedeva il rimborso della somma versata, sostenendo che l’intermediario avesse violato gli obblighi di cooperazione e trasparenza sanciti dagli artt. 10-12 d.lgs. 11/2010 e dalle Linee Guida della Banca d’Italia del 2019; in subordine, domandava che venisse raccomandato all’intermediario di conformarsi alle procedure di assistenza dettate dalla PSD2 per le frodi online accertate.
L’intermediario eccepiva che la transazione era stata volontariamente autorizzata dal cliente mediante protocolli di autenticazione forte (SCA) – con notifica push sul dispositivo mobile e conferma biometrica –, con la conseguenza che, per un verso, non si sarebbe potuta applicare la disciplina relativa alle operazioni di pagamento non autorizzate; per altro verso, alcuna responsabilità sarebbe stata imputabile all’intermediario, che si sarebbe limitato a dare attuazione ad una operazione eseguita direttamente dal cliente.
Il Collegio ha aderito all’orientamento, ormai consolidato, secondo cui, quando il cliente abbia disposto personalmente il pagamento, inserendo tanto l’ordine quanto la totalità dei fattori di autenticazione, l’operazione – regolarmente registrata e contabilizzata – debba ritenersi in ogni caso autorizzata, pur se indotta da raggiro. Da ciò deriva, pertanto, che in tale ipotesi non opera il regime speciale di responsabilità per le operazioni di pagamento non autorizzate previsto dalla PSD2 e dal d.lgs. 11/2010.
Esclusa l’applicazione della disciplina di favore per il cliente, appena richiamata, il Collegio ha poi verificato l’eventuale sussistenza di colpa grave nella condotta del ricorrente, nonché di una qualche responsabilità dell’intermediario secondo le norme del diritto comune.
Con riguardo a tale ultimo aspetto, la decisione in esame ha richiamato alcune ipotesi nell’ambito delle quali l’Arbitro ha ravvisato forme di responsabilità concorrente dell’intermediario – quali, ad esempio, l’indisponibilità dei canali di assistenza del prestatore di servizi a pagamento; l’omesso riconoscimento del tentativo di frode da parte del personale di quest’ultimo; il mancato rilievo di manifesti indici di anomalia nelle operazioni disposte dal cliente.
Nel caso concreto, tuttavia, non ricorreva nessuna circostanza da cui emergesse una violazione dei doveri di diligenza, cooperazione o assistenza da parte dell’intermediario; al contrario, il Collegio ha rilevato che il ricorrente aveva potuto verificare, già il giorno successivo all’operazione, come il sito fosse stato segnalato da altri utenti quale fraudolento. Circostanza, quest’ultima, che ha portato il Collegio ad osservare che la condotta del ricorrente “appare (…) connotata da colpa grave e nessuna responsabilità può essere ascritta all’intermediario, il quale era tenuto a dare corso a un’operazione correttamente autorizzata ed eseguita dal titolare del rapporto“.
