Il Collegio di Milano dell’Arbitro Bancario Finanziario (decisione del 26 maggio 2026, n. 4701, Pres. A. Tina; Rel. N. Rizzo) si è pronunciato in materia di operazioni di pagamento fraudolente compiute in danno di un cliente, che, raggiunto da tre telefonate provenienti da sedicenti operatori dell’intermediario, aveva in vario modo cooperato all’esecuzione di quattro bonifici istantanei.
In particolare, il ricorrente aveva autorizzato due operazioni descritte come necessarie per annullare bonifici sospetti e aveva modificato il token di sicurezza così da consentire ai malintenzionati di compiere altri due bonifici.
Richiesto il blocco delle operazioni e presentato il dovuto reclamo, il cliente chiedeva in ricorso la restituzione delle somme fraudolentemente sottrattegli.
Il Collegio ha preliminarmente riconosciuto l’operatività delle disposizioni del d.lgs. 27 gennaio 2010, n. 11 (come modificato dalle norme di recepimento della dir. UE 2015/2366, c.d. Payment Services Directive 2 – PSD2); e ciò tanto sotto il profilo cronologico, quanto per il rilievo che il cliente non risulta aver compiuto interamente le operazioni, avendole al più autorizzate nella loro parte esecutiva conclusiva.
La decisione infatti riporta il consolidato orientamento dell’Arbitro per cui “se il concorso causale dell’utente in fase dispositiva e/o autorizzativa è parziale (…), la transazione non deve intendersi, per ciò solo, autorizzata, poiché la normativa speciale (PSD2 e disposizioni di recepimento), prescindendo dalla nozione civilistica di “consenso”, dispone che quest’ultimo dev’essere prestato nella forma convenuta tra il pagatore stesso e il PSP“.
Nel merito, il Collegio ritiene che dai log informatici prodotti dall’intermediario non risulti provata la corretta autenticazione e registrazione dei pagamenti e pertanto sia indimostrata la c.d. autenticazione forte (strong Customer Authentication – SCA) che, in base alle menzionate disposizioni, deve governare lo svolgimento dei servizi di pagamento.
In particolare, sono indici di tale carenza organizzativa il fatto che non risulti l’inserimento del PIN per l’apertura della app di Internet Banking; che non risulta la relativa notifica push di apertura della app; ancora, che non si ha prova di come il token di sicurezza sia stato modificato e utilizzato per l’esecuzione dei pagamenti.
Ciò considerato, non si è dato luogo all’accertamento della colpa grave del cliente, invocata dall’intermediario. Infatti, è ricorrente l’orientamento per cui la prova della autenticazione dei pagamenti è un “prius logico” rispetto all’accertamento dell’eventuale colpa grave del cliente, la quale avrebbe consentito all’intermediario di andare esente da responsabilità.
Al contrario, nel caso di specie, mancando (sia pur parzialmente) la prova della corretta autenticazione dei pagamenti, il Collegio ha accolto il ricorso.
