Il Collegio di Milano dell’Arbitro Bancario Finanziario, con decisione n. 5526 del 15 giugno 2026 (Pres. Tina, Rel. Dell’Anna Misurale), si è pronunciato sui profili di responsabilità dell’intermediario per l’esecuzione di pagamenti non autorizzati dal cliente.
Nel caso di specie, il ricorrente lamentava di non aver autorizzato alcune operazioni di pagamento che era stato indotto ad eseguire a causa di una frode telefonica e, pertanto, conveniva l’intermediario per il rimborso delle somme indebitamente versate e per il risarcimento dei danni
Il Collegio ha preliminarmente richiamato le fonti normative applicabili alla fattispecie in esame, ossia gli artt. 97 e 98 della Payment Services Directive II, gli artt. 10 e 10-bis del decreto legislativo n. 11/2010, il Regolamento delegato UE n. 2018/389 della Commissione Europea, ed i criteri interpretativi forniti dall’Autorità Bancaria Europea con parere del 21 giugno 2019, per ricordare come l’autenticazione forte del cliente (c.d. Strong Customer Authentication – SCA) sia necessaria quando lo stesso (i) accede al suo conto di pagamento online; (ii) dispone un’operazione di pagamento elettronico; e (iii) effettua una qualsiasi azione, tramite un canale a distanza, che può comportare un rischio di frode nei pagamenti o altri abusi.
Tale autenticazione forte, ricorda sempre il Collegio, si realizza con il ricorso ad almeno due dei seguenti tre fattori: conoscenza, inerenza e possesso, con la precisazione che essi devono essere reciprocamente indipendenti e appartenere a categorie diverse.
Ciò premesso, l’Arbitro ha ricordato che l’intermediario “deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti”. Non solo: sempre l’intermediario “deve ulteriormente dimostrare, ai fini dell’esonero dalla responsabilità, che l’uso indebito del dispositivo è da ricondursi al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta imposti a quest’ultimo dall’art. 7 [del d.lgs. n. 11/2010]”.
Nel caso in esame, l’elaborato tecnico prodotto dall’intermediario per dimostrare l’avvenuta autenticazione forte del cliente nell’accesso al conto indicava la password come primo fattore di autenticazione e come secondo fattore un “Token monouso One Time Password, OTP”, che si sostanziava in “PIN, notifica push, QRCODE o riconoscimento tramite biometria”. Per le operazioni dispositive, invece, la relazione indicava che erano avvenute tramite firma dell’operazione mediante un “Token monouso One Time Password, OTP”, che si sostanziava sempre in “PIN, notifica push, QRCODE o riconoscimento tramite biometria”.
L’Arbitro, quindi, ha rilevato come la relazione tecnica riconducesse al Token monouso One Time Password (OTP) fattori considerati elementi di conoscenza (PIN), possesso (push) e inerenza (biometria), “senza tuttavia specificare quale sia la modalità in concreto adottata dall’utente”. Peraltro, dai log prodotti dall’intermediario non era possibile ricavare la prova del doppio fattore di autenticazione con riferimento a ciascuna delle fasi delle operazioni contestate.
Pertanto, non essendo stata provata l’autenticazione forte del cliente, il Collegio milanese ha accolto la domanda di rimborso. Ha invece rigettato la domanda di risarcimento per vaghezza della medesima (i danni erano dallo stesso ricorrente descritti come “eventuali”).
