Il contributo svolge alcune prime considerazioni relativamente ai principi ed agli effetti della sentenza della Corte di Giustizia dell’Unione europea del 15 ottobre 2026, C‑70/25 Tukowiecka, che ha riconosciuto l’obbligo per la banca o altro prestatore di servizi di pagamento di rimborsare immediatamente il cliente dell’importo relativo ad un’operazione di pagamento non autorizzata, anche nel caso in cui venga contesta la colpa grave, con il solo limite del sospetto di frode.
1. Il caso
Una consumatrice residente in Polonia subisce una frode per phishing: ingannata da un link fraudolento, inserisce le proprie credenziali di home banking su un sito contraffatto. L’autore della frode utilizza i dati così carpiti per trasferire l’importo di circa 700 euro dal suo conto corrente; avuta contezza della frode, la consumatrice comunica alla banca il disconoscimento dell’operazione di pagamento, in quanto non autorizzata, chiedendo l’immediato rimborso delle somme fuoriuscite dal conto corrente.
L’istituto bancario rifiuta il rimborso, sostenendo che la cliente avrebbe agito con negligenza grave, non proteggendo adeguatamente le credenziali riservate di accesso all’home banking.
Da qui la controversia avviata dalla consumatrice contro la banca dinanzi al Tribunale nazionale competente per ottenere il ristoro delle somme oggetto del pagamento non autorizzato.
A sostegno della domanda, la consumatrice deduce, in forza della normativa polacca di recepimento degli artt. 73[1] e 74[2] della Direttiva (UE) 2015/2366 (“PSD2”), che la banca, nella qualità di prestatore di servizi di pagamento, sarebbe stata tenuta a rimborsarle immediatamente l’importo dell’operazione di pagamento non autorizzata, ad eccezione dell’ipotesi, insussistente nel caso in esame, del sospetto di frode del pagatore.
La banca convenuta sostiene, dal canto suo, che l’inadempimento da parte dell’utente, con negligenza grave, degli obblighi di custodia e protezione delle credenziali di sicurezza personalizzate dello strumento di pagamento, costituisce un motivo che legittimerebbe il prestatore di servizi di pagamento a rifiutare il rimborso dell’operazione di pagamento non autorizzata.
Il Giudice polacco, ritenendo che nel quadro normativo stabilito dalla PSD2 spetti al prestatore di servizi di pagamento garantire la sicurezza delle operazioni contro i rischi di frode e tutelare i fondi che ad esso sono affidati, dubita che l’interpretazione degli artt. 73 e 74 della PSD2 sostenuta dalla banca possa rendere effettivo l’obbligo – posto a tutela del pagatore, che è spesso un consumatore – di rimborso immediato dell’importo delle operazioni di pagamento non autorizzate; ad avviso del Giudice del rinvio, il rifiuto di rimborso, ancorché giustificato dalla colpa grave dell’utente, avrebbe l’effetto di trasferire sul pagatore l’onere di far valere la responsabilità del prestatore, in particolare per quanto riguarda l’avvio del procedimento, la ricerca degli elementi documentali a supporto della domanda e l’anticipazione delle spese necessarie.
Sulla base di tali considerazioni, il Tribunale nazionale ha sottoposto alla Corte di Giustizia la questione pregiudiziale se, ai sensi degli artt. 73, par. 1 e 74, par. 1, della PSD2, il prestatore possa legittimamente rifiutarsi di rimborsare immediatamente al pagatore l’importo di un’operazione di pagamento non autorizzata, qualora la perdita subita dal pagatore sia ascrivibile a colpa grave del medesimo pagatore, inadempiente agli obblighi di cui all’articolo 69[3] della PSD2.
Con Sentenza resa in data 15 ottobre 2026 (causa C‑70/25 Tukowiecka – di seguito la “Sentenza”), la Corte di Giustizia risponde al quesito affermando che, ai sensi del citato art. 73, il prestatore di servizi di pagamento non può rifiutare il rimborso immediato per negligenza grave del pagatore per il seguente ordine di ragioni:
- anzitutto, sul piano letterale l’art. 73, par. 1, prevede una sola eccezione al rimborso immediato, costituita dal fondato sospetto di frode da parte del pagatore e accompagnata dall’obbligo di notifica all’Autorità competente; peraltro, tale eccezione è stata introdotta dalla PSD2 in discontinuità rispetto alla regola dettata dall’art. 60 della previgente direttiva 2007/64/CE (“PSD1”) che aveva introdotto l’obbligo di rimborso senza alcuna eccezione;
- in secondo luogo, gli artt. 73 e 74 regolano fasi distinte del processo di rimborso: l’art. 73 impone il rimborso immediato in favore del cliente che disconosce l’operazione di pagamento, mentre l’art. 74 disciplina la successiva e definitiva ripartizione della responsabilità tra il prestatore e pagatore; solamente in tale seconda fase sarebbe possibile, all’esito dell’istruttoria condotta dall’intermediario, imputare la perdita alla colpa grave del cliente;
- tale ricostruzione interpretativa sarebbe la più coerente con l’obiettivo fissato da PSD2 di perseguire l’elevata tutela del consumatore, che sarebbe frustrata laddove il consumatore fosse costretto ad agire in giudizio per recuperare i propri fondi a fronte del rifiuto opposto dal prestatore che adduca la colpa grave del pagatore.
Merita di essere notato che il Governo italiano era intervenuto nel procedimento pregiudiziale, sostenendo, insieme al governo ceco, una posizione difforme da quella accolta dalla Corte, ovvero che la negligenza grave del pagatore potesse esonerare il prestatore dal rimborso immediato, in linea con il consolidato orientamento giurisprudenziale e di vigilanza nazionale che – come si avrà modo di evidenziare nel prosieguo – ammette la possibilità di rifiuto del rimborso per negligenza grave del pagatore.
Pertanto, sulla base dell’interpretazione fornita dalla Corte il processo di gestione dei disconoscimenti delle operazioni di pagamento risulterebbe articolato nella seguente sequenza:
- Fase 1 – rimborso immediato: il prestatore rimborsa i fondi immediatamente e in ogni caso al più tardi entro il giorno lavorativo successivo a quello in cui riceve il disconoscimento, con l’unica eccezione del caso di fondato sospetto di frode comunicato all’Autorità di Vigilanza.
- Fase 2 – recupero: solo successivamente, se il pagatore ha agito con dolo o negligenza grave nel compimento dell’operazione di pagamento, la cui prova è a carico esclusivo del prestatore, quest’ultimo richiedere al pagatore la restituzione delle somme rimborsate.
2. Gli effetti della Sentenza nell’ordinamento italiano
E’ opportuno premettere che la Sentenza, avendo interpretativa, spiega effetti diretti e immediati nell’ordinamento nazionale, sollecitando l’interprete ad un’applicazione delle norme nazionali di recepimento della PSD2 in senso conforme alle norme europee come interpretate dalla Corte di Giustizia. Come noto, il limite dell’interpretazione conforme delle norme nazionali di direttive europee è il divieto di un’interpretazione contra legem, ovvero l’impossibilità di attribuire alla legge nazionale un significato palesemente incompatibile, ma tale scenario non pare profilarsi nel caso in esame, atteso che le disposizioni di cui agli artt. 10, 11, 12 del D.Lgs. n. 11/2010[4] – che disciplinano il rimborso delle operazioni di pagamento non autorizzate – ricalcano fedelmente le corrispondenti norme della PSD2.
Tanto premesso, per comprendere l’effettiva portata della Sentenza appare opportuno distinguere ciò che la Sentenza ha espressamente statuito dai profili sui quali la Corte pare non avere assunto una posizione.
2.1 Ciò che la Corte ha statuito…
Come detto, interpretando gli articoli 73, paragrafo 1, e 74, paragrafo 1, della PSD2 la Corte di Giustizia afferma che il prestatore di servizi di pagamento non potrebbe rifiutarsi di rimborsare immediatamente l’importo di un’operazione di pagamento non autorizzata, per il motivo che il pagatore avrebbe reso possibile detta operazione per negligenza grave, nonostante il prestatore abbia evidenza del grave inadempimento da parte del cliente agli obblighi di custodia delle credenziali di sicurezza.
Con l’obiettivo dichiarato di perseguire un elevato grado di protezione dei consumatori e allocando il rischio economico delle operazioni di pagamento disconosciute in capo al prestatore, la Corte ritiene che la colpa grave del pagatore non configuri mai una valida ragione di rifiuto di rimborso immediato, così circoscrivendo le cause di legittimo esonero opponibile dal prestatore all’ipotesi residuale del fondato sospetto di frode del pagatore.
Così procedendo, la Corte europea finisce per delineare un meccanismo peculiare di solve et repete – non previsto espressamente dal dettato di PSD2 – che onera l’intermediario ad agire per il recupero successivo delle somme rimborsate nei confronti del cliente nel caso in cui, all’esito dell’istruttoria interna, sia accertato il comportamento gravemente colposo del pagatore.
In tale modo, la Sentenza spiega effetti sulla Fase 1 della gestione dei disconoscimenti, in cui il prestatore è chiamato a valutare nell’orizzonte temporale assai ristretto di una sola giornata lavorativa se vi sono elementi probanti per rifiutare la richiesta di rimborso avanzata dal cliente.
Il principio così espresso non rinviene specifici precedenti nella giurisprudenza della Corte di Giustizia la quale, pur essendo stata più volte chiamata ad esprimersi sul regime (e il riparto di) responsabilità in caso di operazioni non autorizzate, mai era stata sollecitata prima d’ora a chiarire gli effetti della colpa grave sulla regola del rimborso immediato[5].
Non v’è dubbio che il principio innovativo affermato dalla Corte entra in rotta di collisione con i prevalenti orientamenti giurisprudenziali[6] e arbitrali[7] nazionali che affermano che la responsabilità del prestatore dei servizi di pagamento a fronte di operazioni non autorizzate – da taluni qualificata come responsabilità contrattuale qualificata e da altri quale responsabilità oggettiva – incontri il limite della frode, del dolo e/o della colpa grave del cliente.
Non solo. Anche la Banca d’Italia, con la Comunicazione rivolta al mercato in data 17 giugno 2024[8], aveva offerto una equilibrata interpretazione delle disposizioni del citato D.lgs. 11/2010, osservando che quando l’operazione di pagamento disconosciuta non è stata autorizzata nonostante l’applicazione della strong customer authentication, il prestatore ha la facoltà di non rimborsare l’utente se ha accertato che l’operazione disconosciuta è stata causata dal mancato rispetto degli obblighi posti a carico dell’utente stesso (ad esempio, la custodia dello strumento di pagamento). In tale modo, il dolo e la colpa grave del cliente legittimano il rifiuto del rimborso, al pari del sospetto di frode ai danni del prestatore che, secondo l’avviso della Corte, sarebbe l’unica eccezione al rimborso immediato.
Sulla rilevanza della colpa grave del pagatore – sui quali elementi costitutivi la Corte non si esprime – si registra quindi una significativa tensione tra l’approccio nazionale, volto a bilanciare i contrapposti interessi delle parti, e l’innovativo arresto della Corte di Giustizia.
Secondo il rigido avviso della Corte, la negligenza grave del cliente non è un’eccezione al rimborso, semmai un titolo per il recupero ex post,
Di contro, secondo gli orientamenti giurisprudenziali, arbitrali e di vigilanza la colpa grave del cliente – che il prestatore può e deve prudentemente valutare prima di procedere al rimborso – può in determinati casi costituire una valida eccezione al rimborso immediato, in linea anche con la posizione assunta dal Governo italiano nel procedimento pregiudiziale e disattesa dalla Corte.
2.2 … e ciò che la Corte ha lasciato impregiudicato
Per quanto concerne l’eventuale recupero ex post delle somme oggetto di rimborso immediato, la Corte di Giustizia considera che, se l’utente fosse costretto ad assumere l’iniziativa di far valere il suo diritto dinanzi agli organi giurisdizionali competenti e a sopportare gli inconvenienti e le relative spese, siffatta ripartizione delle responsabilità e dei rischi sarebbe inconciliabile con l’obiettivo di garantire un livello elevato di protezione dei consumatori.
Nell’attribuire il rischio dell’operazione di recupero in capo al prestatore, tuttavia, la Corte non si esprime sulle modalità attraverso le quali tale attività può essere realizzata, limitandosi ad affermare, al punto 46 della Sentenza, che “tale interpretazione non osta a che il prestatore di servizi di pagamento chieda successivamente al pagatore, alle condizioni previste all’articolo 74, paragrafo 1, di tale direttiva, il rimborso delle perdite relative ad operazioni di pagamento non autorizzate qualora esse derivino da un inadempimento, per negligenza grave da parte del pagatore, degli obblighi incombenti al pagatore in forza dell’articolo 69 della medesima direttiva”.
In proposito, è opportuno precisare che la Corte non pare avere accolto parte delle conclusioni espresse dall’Avvocato Generale il quale, non condividendo le osservazioni presentate dal Governo italiano[9], aveva sostenuto che il recupero dovesse avvenire per via giudiziaria e non tramite riaddebito diretto delle somme; ad avviso dell’Avvocato Generale, “da un punto di vista pratico, il pagatore verrebbe posto in una situazione equivalente a quella in cui si sarebbe trovato in assenza di qualsiasi rimborso e sarebbe, perciò, costretto ad avviare un’azione giudiziaria contro il prestatore di servizi di pagamento per recuperare l’importo in discussione…. un’interpretazione del genere consentirebbe di eludere la disposizione in esame e sarebbe idonea a privare la stessa di qualsiasi effetto utile, riducendo la portata della protezione conferita ai consumatori”.
Invero, tale questione non appare ricompresa nel perimetro dei quesiti interpretativi demandati dal Giudice nazionale alla Corte la quale, coerentemente, non risulta avere tracciato una linea interpretativa. Vi è ragione quindi di ritenere, rebus sic stantibus, che la Sentenza non spieghi effetti sulla prassi degli intermediari di fissare nelle policy e nei contratti con la clientela le modalità e i termini di riaddebito delle somme provvisoriamente accreditate.
In proposito, infatti, conformemente alle disposizioni del D.Lgs. n. 11/2010 e alla Comunicazione al mercato della Banca d’Italia, la best practice si è sviluppata nel senso di prevedere trasparentemente nel contratto con l’utente il diritto del prestatore di recuperare le somme inizialmente rimborsate qualora, all’esito della successiva istruttoria, emerga che l’operazione sia stata autorizzata dal cliente, ovvero che la perdita sia imputabile a dolo o colpa grave del cliente medesimo, le modalità per l’eventuale riaddebito e il termine ragionevole entro il quale il processo si conclude.
Il recupero per via contrattuale non solo appare coerente con le norme in esame e gli orientamenti di vigilanza, ma appare, a ben vedere, anche la modalità meno onerosa per il cliente: laddove il prestatore fosse tenuto a procedere per via giudiziale contro il cliente, quest’ultimo dovrebbe farsi carico dei costi di difesa nel contenzioso passivo nonché delle spese legali nel caso, probabile, di sua soccombenza, considerato che il recupero sarebbe attivato dal prestatore solamente in presenza dei presupposti fattuali e giuridici per dimostrare la responsabilità dell’utente per colpa grave.
3. Questioni irrisolte e qualche interrogativo anche alla luce di PSD3/PSR
Non è questa la sede per approfondire se la Corte avrebbe potuto adottare un diverso approccio interpretativo, valutando il complessivo framework normativo risultante da PSD2 che, non attribuendo al prestatore di servizi di pagamento posizioni di garanzia, fissa il principio secondo cui le perdite rivenienti da una operazione non autorizzata gravano esclusivamente sul pagatore laddove lo stesso abbia agito in modo fraudolento o con negligenza grave. Principio scolpito dallo stesso art. 74 della PSD2 e recepito nelle norme nazionali, che rischia di essere vanificato nei casi in cui l’intermediario dovesse trovarsi nell’impossibilità di procedere al recupero, con l’effetto di tradurre il rischio operativo riveniente dalla prestazione dei servizi di pagamento in un non voluto rischio creditizio verso il cliente.
Né, d’altro canto, si può escludere che il decisum della Corte, tralasciando di bilanciare la tutela del cliente con gli obblighi di sana e prudente gestione dell’ente vigilato, ingeneri un moral hazard del cliente o quanto meno una riduzione del suo doveroso livello di attenzione nel compimento delle operazioni di pagamento.
Invero, la Corte avrebbe potuto maggiormente indagare la nozione di colpa grave rilevante, sinora lasciata alle regole civilistiche degli ordinamenti nazionali e ancora causa di rilevanti incertezze interpretative, per fissare regole omogenee di gestione dei disconoscimenti, ad esempio circoscrivendo il rifiuto di rimborso immediato a casi di accentuata carelessness, in cui la responsabilità dell’utente nella causazione dell’evento è tale da interrompere il nesso causale con la prestazione del servizio di pagamento.
Ancora, non è chiaro se il principio affermato dalla Corte di Giustizia si applichi alla generalità della clientela o solamente ai consumatori; ad una prima lettura, potrebbe ritenersi che l’irrilevanza della colpa grave ai fini dell’obbligo di rimborso immediato si applichi a tutti gli utenti, dall’azienda di grandi dimensioni fino al più sprovveduto dei consumatori, atteso che le regole europee e nazionali in tema di disconoscimento di operazioni non autorizzate si applicano a tutti i clienti, senza possibilità di deroga per gli utenti non consumatori; tuttavia, se si pone mente alla motivazione della Sentenza, che pone l’accento sulla finalità di tutela dei consumatori, le conclusioni rassegnate dalla Corte dovrebbero essere coerentemente limitate alla categoria di soggetti che le norme, così interpretate, intendono tutelare.
Fermo quanto sopra considerato, il concreto impatto della Sentenza sull’operatività delle banche, degli istituti di pagamento e degli istituti di moneta elettronica merita di essere approfondito riflettendo anche, de iure condendo, sulla ormai imminente approvazione della riforma europea dei servizi di pagamento.
Come noto, dopo lunghi negoziati tra le istituzioni europee avviati nel primo semestre 2023, il 27 novembre 2025 è stato raggiunto un accordo politico sui testi della terza direttiva (Payment Services Directive 3 – “PSD3”) e, per la prima volta, di un regolamento volto a introdurre requisiti uniformi in tema di trasparenza contrattuale e dei rispettivi diritti e obblighi degli utenti e dei prestatori dei servizi di pagamento (Payment Services Regulation – “PSR”)[10].
Per quanto di interesse, l’art. 56 dello schema di PSR delinea un regime di disconoscimento delle operazioni non autorizzate che contempera l’esigenza di protezione dell’utente con quella del prestatore di poter svolgere in tempi ragionevoli una istruttoria sull’operazione di pagamento prima di procedere al rimborso, ove dovuto: la norma, frutto dei negoziati interistituzionali dispone che il prestatore di servizi di pagamento è esonerato dall’obbligo di rimborso entro la fine del giorno lavorativo successivo nella misura in cui abbia motivi oggettivamente giustificati per sospettare che (i) il pagatore abbia omesso, intenzionalmente o per grave negligenza, di rispettare le regole di utilizzo dello strumento di pagamento o di custodire le credenziali di accesso personalizzate e comunichi tali motivi per iscritto al pagatore; ovvero per sospettare (ii) una frode commessa dal pagatore[11].
Nei suddetti casi, la nuova norma assegna al prestatore un termine di 15 giorni lavorativi dalla notizia del disconoscimento per:
- rimborsare al pagatore l’importo dell’operazione di pagamento non autorizzata se, a seguito di ulteriori indagini, il prestatore ha concluso che il pagatore non ha agito in modo fraudolento né ha omesso, con dolo o colpa grave, di adempiere agli obblighi a suo carico;
- diversamente, fornire al pagatore una motivazione del rifiuto del rimborso e indicare gli organismi ai quali lo stesso può sottoporre la questione qualora non accetti le ragioni addotte.
Tale soluzione – raggiunta nel contesto di una riforma che mira ad aumentare la fiducia dei consumatori nei pagamenti digitali tenendo in considerazione i rischi di frode – sembra orientata a perseguire una più equilibrata allocazione del rischio delle perdite finanziarie in caso di operazioni di pagamento non autorizzate, in netta discontinuità rispetto all’interpretazione degli artt. 73 e 74 di PSD2 offerta dalla Sentenza; nella prospettiva del legislatore europeo, infatti, il dolo e la colpa grave del pagatore si pongono sullo stesso piano del sospetto di frode e l’intermediario dispone di un termine ragionevole per condurre l’istruttoria interna e procedere al rimborso se dovuto, così ovviando alle incertezze e agli inevitabili rischi (per entrambe le parti) rivenienti dal rimborso meramente provvisorio.
Considerato che la riforma recata dal PSR dovrebbe applicarsi, sulla base della tempistica attesa, nel corso dell’anno 2028, si profila all’orizzonte un doppio regime di gestione delle operazioni di pagamento non autorizzate, a seconda del momento di stipula del contratto di prestazione di servizi di pagamento: da un lato, per le operazioni disconosciute in relazione ai rapporti contrattuali sorti nella vigenza di PSD2 la pur accertata colpa grave del pagatore non costituirebbe motivo legittimo di rifiuto del rimborso immediato; dall’altro, per le operazioni disconosciute in relazione ai rapporti che saranno instaurati nella vigenza del nuovo PSR, l’intermediario disporrà di un termine congruo per svolgere gli opportuni accertamenti sulla sussistenza di comportamenti dolosi o gravemente colposi del cliente prima di procedere al rimborso in suo favore.
Anche in ragione di tale evidente disallineamento normativo e dei dubbi sopra prospettati, sarebbe auspicabile che la Corte di Giustizia e le Autorità di Vigilanza fornissero opportuni chiarimenti, in modo da favorire l’omogeneità dei comportamenti nel mercato europeo dei pagamenti.
[1] Cfr. art. 73, par. 1, PSD2, rubricato Responsabilità del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate: “Gli Stati membri provvedono affinché, fatto salvo l’articolo 71, nel caso di un’operazione di pagamento non autorizzata il prestatore di servizi di pagamento del pagatore rimborsi al pagatore l’importo dell’operazione di pagamento non autorizzata, immediatamente e in ogni caso al più tardi entro la fine della giornata operativa successiva a quella in cui prende atto dell’operazione o riceve una notifica in merito, a meno che il prestatore di servizi di pagamento del pagatore abbia ragionevoli motivi per sospettare una frode e comunichi tali motivi per iscritto alla pertinente autorità nazionale competente …”.
[2] Cfr. art. 74, par. 1, PSD2, rubricato Responsabilità del pagatore per le operazioni di pagamento non autorizzate: “In deroga all’articolo 73 il pagatore può essere obbligato a sopportare, a concorrenza massima di 50 EUR, la perdita relativa ad operazioni di pagamento non autorizzate derivante dall’uso di uno strumento di pagamento smarrito o rubato o dall’appropriazione indebita di uno strumento di pagamento. … Il pagatore sostiene tutte le perdite relative ad operazioni di pagamento non autorizzate se è incorso in esse agendo in modo fraudolento o non adempiendo a uno o più degli obblighi di cui all’articolo 69 dolosamente o con negligenza grave. In tali casi, il massimale di cui al primo comma non si applica”.
[3] Cfr. art. 69 PSD2, rubricato Obblighi a carico dell’utente di servizi di pagamento in relazione agli strumenti di pagamento e alle credenziali di sicurezza personalizzate: “1. L’utente di servizi di pagamento autorizzato ad utilizzare lo strumento di pagamento: a) utilizza lo strumento di pagamento conformemente alle condizioni che ne disciplinano l’emissione e l’uso le quali devono essere obiettive, non discriminatorie e proporzionate; b) notifica senza indugio al prestatore dei servizi di pagamento, o al soggetto specificato da quest’ultimo, non appena ne abbia conoscenza, lo smarrimento, il furto, l’appropriazione indebita o l’utilizzo non autorizzato dello strumento di pagamento. 2. Ai fini del paragrafo 1, lettera a), non appena riceva uno strumento di pagamento, l’utente di servizi di pagamento adotta in particolare tutte le ragionevoli misure per proteggere le credenziali di sicurezza personalizzate dello strumento di pagamento”.
[4] Il D.Lgs. 11/2010 è stata adottato in attuazione della PSD1 e successivamente novellato, ad opera del D.Lgs. 217/2018, in recepimento della PSD2
[5] Si veda, in particolare, CGUE 1º agosto 2025, Veracash, C‑665/23, che, nell’ambito di una controversia regolata dalla previgente PSD1 e nella quale si discuteva della tardività del disconoscimento, ha precisato che l’obbligo di rimborso immediato costituisce la regola generale per garantire una elevata tutela del consumatore ed ha statuito che la colpa grave può integrare una causa di esclusione della responsabilità dell’intermediario, in quanto configura una violazione qualificata degli obblighi di diligenza in capo al cliente.
[6] Secondo la giurisprudenza di legittimità, la responsabilità della banca per operazioni eseguite con strumenti elettronici ha natura contrattuale e “va esclusa solo se ricorre una situazione di colpa grave dell’utente” (cfr. Cass. civ., Sez. III, 5 luglio 2019, n. 18045 e, analogamente, Cass. civ., Sez. VI-3, 26 novembre 2020, n. 26916; nello stesso senso Cass. civ., Sez. VI, ord. 12 aprile 2018, n. 9158 per cui l’utilizzo dei codici da parte di terzi rientra nel rischio professionale del prestatore, salvo dolo del titolare o comportamenti così incauti da non poter essere fronteggiati in anticipo, e la colpa grave non può essere presunta in assenza di qualsiasi riscontro, anche indiziario). Tra le sentenze di merito più recenti, la Corte d’Appello di Venezia, Sez. I, 10 marzo 2026, n. 498 ribadisce che la banca deve provare la frode, il dolo o la colpa grave dell’utente (art. 10, comma 2) e che l’aver assecondato il truffatore non basta di per sé a integrare la colpa grave, altrimenti l’utente sarebbe sempre in colpa e il sistema normativo sarebbe sovvertito. Si vedano altresì Tribunale di Milano, Sez. VI, 21 febbraio 2025, n. 1514 e Tribunale di Roma, Sez. XVI, 9 dicembre 2024, n. 18815, che affermano che la responsabilità della banca è esclusa solo con colpa grave dell’utente, intesa come imprudenza “straordinaria e inescusabile” che viola anche il grado minimo di diligenza osservato da tutti.
[7] Secondo il prevalente indirizzo arbitrale, la prova della colpa grave può dirsi raggiunta quando sia dimostrato quell’elevato e abnorme grado di negligenza in capo all’utilizzatore, al ricorrere del quale possa imputarsi allo stesso la responsabilità delle conseguenze di un utilizzo fraudolento (Collegio di Napoli n. 7835/2024; Collegio di Milano n. 6768/2024; Collegio di Bologna n. 340/2023; Collegio di Torino, decisione n. 3900/2023).
[8] Il documento “Disconoscimenti di operazioni di pagamento non autorizzate. Comunicazione al sistema” è disponibile su https://www.bancaditalia.it/compiti/tutela-educazione/avvisi-comunicazioni/2024.06.17-comunicazione/index.html.
[9] Il Governo italiano, nelle sue osservazioni scritte, aveva sostenuto – condivisibilmente – che l’art. 73, paragrafo 1, della direttiva 2015/2366, pur imponendo il rimborso immediato, nondimeno consentirebbe al prestatore di servizi di pagamento di recuperare successivamente, e direttamente, la somma rimborsata al cliente a titolo di un’operazione di pagamento non autorizzata, senza dover necessariamente avviare un’azione giudiziaria, qualora l’esame dell’insieme delle circostanze pertinenti gli offrisse buoni motivi per ritenere che l’operazione non autorizzata sia avvenuta per colpa grave o dolo del pagatore.
Il Governo italiano aveva altresì osservato che l’onere di contestazione successiva in capo al prestatore vanifica i meccanismi di risoluzione alternativa delle controversie i quali, come l’ABF, sono attivabili ad esclusiva iniziativa del cliente.
[10] L’approvazione del pacchetto PSD3/PSR dovrebbe intervenire, salvo sorprese, nei prossimi mesi. La nuova direttiva e il regolamento entreranno in vigore decorsi 20 giorni dalla pubblicazione in Gazzetta Ufficiale UE e dovranno essere, rispettivamente, recepite dagli Stati membri e applicate dai prestato di servizi di pagamento entro il termine di 21 mesi dall’entrata in vigore.
[11] Si riporta di seguito l’art. 56, paragrafo 1, PSR nella versione inglese, l’unica attualmente disponibile:
“Article 56 – Payment service provider’s liability for unauthorised payment transactions
1. Without prejudice to Article 54, in the case of an unauthorised payment transaction, the payer’s payment service provider shall refund the payer the amount of the unauthorised payment transaction immediately, and in any event no later than by the end of the following business day, after noting or being notified of the unauthorised transaction, except where the payer’s payment service provider has objectively justified reasons for suspecting that the payer failed with intent or gross negligence to fulfil one or more of the obligations under Article 52, and communicates those grounds to the payer in writing, or for suspecting fraud committed by the payer”.
