La circostanza che un pagamento risulti eseguito mediante lettura del microchip della carta e digitazione del PIN non è sufficiente, da sola, a dimostrare che l’operazione sia stata correttamente autenticata.
Lo ha ribadito il Collegio di Milano dell’Arbitro Bancario Finanziario, con la decisione n. 3267/2026, accogliendo il ricorso di una cliente alla quale era stato sottratto il portafoglio e sulla cui carta erano comparsi, poco dopo, alcuni pagamenti eseguiti all’estero.
La banca aveva prodotto i log dai quali risultavano la lettura del microchip e il corretto inserimento del PIN. Le evidenze informatiche presentavano però un’incongruenza decisiva: collocavano fisicamente la carta all’estero in un momento incompatibile con la ricostruzione documentata del furto avvenuto in Italia.
In mancanza di una spiegazione attendibile di tale circostanza, l’ABF ha ritenuto non raggiunta la prova dell’autenticazione delle operazioni. E quando manca questa prova non occorre neppure interrogarsi sull’eventuale colpa grave del cliente.
Indice
- Il caso esaminato dall’ABF
- Che cosa deve provare la banca
- Quando i log della banca non sono sufficienti
- Prima l’autenticazione, poi l’eventuale colpa grave
- Il valore delle comunicazioni con il servizio clienti
- Quali documenti chiedere alla banca
- Che cosa significa per chi ha ricevuto un diniego di rimborso
Il caso esaminato dall’ABF
La controversia nasceva dal furto del portafoglio di una cliente, all’interno del quale si trovavano le carte emesse dal medesimo intermediario.
Dopo essersi accorta della sottrazione, la cliente contattava il servizio di assistenza per ottenere il blocco degli strumenti di pagamento. Nel frattempo, sulla carta venivano eseguiti alcuni pagamenti presso un esercente situato all’estero.
La cliente disconosceva le operazioni e chiedeva il rimborso, mentre la banca respingeva la richiesta sostenendo che i pagamenti risultavano regolarmente eseguiti mediante lettura del microchip e corretta digitazione del PIN.
Da questa circostanza l’intermediario faceva discendere anche la colpa grave della cliente, ipotizzando che il codice personale fosse stato custodito insieme alla carta o comunque reso accessibile a chi l’aveva sottratta.
Il Collegio non ha però seguito questa impostazione. Prima ancora di valutare il comportamento della cliente, occorreva infatti stabilire se la banca avesse realmente dimostrato la corretta autenticazione delle operazioni.
Che cosa deve provare la banca
La disciplina delle operazioni di pagamento non autorizzate è contenuta nel D. Lgs. 27 gennaio 2010, n. 11.
In particolare, l’articolo 10 pone a carico del prestatore di servizi di pagamento l’onere di dimostrare «che l’operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti».
La semplice registrazione dell’utilizzo dello strumento di pagamento non è però sufficiente.
Lo stesso articolo 10 precisa infatti che l’utilizzo dello strumento registrato dal prestatore «non è di per sé necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utilizzatore medesimo, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all’articolo 7».
La disciplina costruisce quindi una precisa sequenza probatoria, che il Collegio descrive come «una precisa e graduata sequenza» nella quale il superamento del primo onere è «necessario ma di per sé ancora insufficiente».
La banca deve prima dimostrare la corretta autenticazione dell’operazione. Soltanto una volta superato questo primo passaggio può assumere rilievo la condotta dell’utilizzatore e può essere esaminata l’eventuale esistenza di dolo o colpa grave.
Non è quindi corretto partire dal comportamento del cliente per colmare eventuali lacune nella prova tecnica dell’operazione.
Quando i log della banca non sono sufficienti
Nel caso esaminato, le evidenze prodotte dall’intermediario indicavano che le operazioni erano state eseguite mediante due elementi tipici dell’autenticazione: il possesso della carta, attestato dalla lettura del microchip, e la conoscenza del PIN.
Il problema non riguardava quindi l’assenza formale dei due fattori, ma la loro attendibilità una volta confrontati con i fatti.
Secondo i log, infatti, la lettura del microchip sarebbe avvenuta all’estero, mentre la carta era stata sottratta alla cliente in Italia poco prima. L’intermediario non era stato in grado di fornire una spiegazione plausibile di questa evidente incompatibilità.
Il punto è particolarmente importante perché la lettura del microchip presuppone, per sua natura, la presenza fisica della carta presso il terminale utilizzato per il pagamento.
Quando i dati prodotti dalla banca descrivono una situazione incompatibile con la collocazione materiale dello strumento di pagamento, il mero dato informatico non può essere assunto come prova autosufficiente dell’autenticazione.
Il Collegio ha quindi ritenuto che le evidenze prodotte non fossero «confacenti», con «conseguente mancanza di piena prova in ordine all’autenticazione forte delle operazioni disconosciute».
Prima l’autenticazione, poi l’eventuale colpa grave
È questo il passaggio più rilevante della decisione.
Una volta constatata l’insufficienza della prova dell’autenticazione, il Collegio non ha ritenuto necessario esaminare le contestazioni relative alla condotta della cliente: la custodia del PIN, la tempestività del blocco o le modalità attraverso le quali il codice poteva essere stato acquisito dal terzo.
La ragione è direttamente collegata alla struttura dell’articolo 10 del D. Lgs. n. 11/2010: la prova della corretta autenticazione costituisce un passaggio preliminare rispetto alla verifica dell’eventuale colpa grave dell’utilizzatore. Nelle parole del Collegio, «la prova di autenticazione rappresenta un prius logico rispetto alla prova di colpa grave dell’utente».
I due profili non possono essere sovrapposti, atteso che «il difetto anche parziale della prova di autenticazione è risolutivo e dirimente rispetto alla valutazione di eventuali profili di colpa ascrivibili al cliente».
L’intermediario non può quindi limitarsi ad affermare che l’operazione risulta eseguita con PIN e dedurne automaticamente che il cliente abbia custodito negligentemente le proprie credenziali. Deve prima dimostrare, attraverso evidenze attendibili e coerenti, che l’operazione sia stata effettivamente autenticata secondo le modalità dichiarate.
Soltanto dopo può aprirsi la diversa questione relativa alla condotta del cliente.
Questo non significa, naturalmente, che la colpa grave sia irrilevante nelle controversie sulle operazioni non autorizzate. Significa, più precisamente, che essa può essere esaminata soltanto dopo che l’intermediario abbia assolto il proprio preliminare onere probatorio.
Il valore delle comunicazioni con il servizio clienti
Nel procedimento assumeva rilievo anche la ricostruzione delle interlocuzioni avvenute con il servizio di assistenza dopo il furto.
La cliente sosteneva di avere contattato più volte l’intermediario per chiedere il blocco delle carte e di avere ricevuto rassicurazioni sulla gestione delle eventuali operazioni intervenute nel frattempo. La banca contestava però che vi fosse prova documentale del contenuto di tali conversazioni.
Il Collegio non ha avuto necessità di risolvere questo profilo, perché l’insufficienza della prova dell’autenticazione era già decisiva ai fini della controversia.
La vicenda evidenzia comunque un aspetto pratico importante: le comunicazioni telefoniche sono molto più difficili da utilizzare quando non ne sia disponibile una registrazione o altra prova oggettiva.
Per questo, in presenza di una frode o del furto di uno strumento di pagamento, è opportuno conservare ogni comunicazione scritta con l’intermediario e richiedere, quando necessario, copia delle registrazioni delle chiamate al servizio clienti.
Quali documenti chiedere alla banca
Quando il rimborso viene negato sostenendo che l’operazione risulta regolarmente autenticata, la contestazione dovrebbe concentrarsi innanzitutto sulle evidenze tecniche poste a fondamento di tale affermazione.
È opportuno chiedere i log completi delle operazioni contestate, l’indicazione dei fattori di autenticazione utilizzati, la modalità concreta con cui la carta risulta essere stata letta e gli elementi necessari a individuare il terminale e il luogo di esecuzione dell’operazione.
Assumono rilievo anche le informazioni relative al blocco dello strumento di pagamento e, quando vi siano state interlocuzioni con il servizio clienti, le eventuali registrazioni delle chiamate.
Il dato tecnico deve poi essere confrontato con la ricostruzione documentale dei fatti.
Proprio questo confronto può fare emergere anomalie che non risultano dalla semplice lettura dei log: incompatibilità geografiche, modalità di utilizzo dello strumento non coerenti con la dinamica della sottrazione oppure elementi tecnici che l’intermediario non è in grado di spiegare.
Non è quindi sufficiente che la banca produca una schermata dalla quale risultino genericamente l’utilizzo del PIN o la lettura del chip. Le evidenze devono essere idonee a dimostrare ciò che l’intermediario afferma e devono risultare coerenti con le circostanze concrete dell’operazione.
Che cosa significa per chi ha ricevuto un diniego di rimborso
La decisione del Collegio di Milano conferma l’importanza di distinguere due domande che, nei riscontri degli intermediari, vengono spesso sovrapposte, e si colloca dichiaratamente «conformemente con l’orientamento consolidato dell’Arbitro».
La prima riguarda l’operazione: la banca è in grado di dimostrare come sia stata autenticata e di produrre evidenze tecniche coerenti e attendibili?
La seconda riguarda il cliente: esistono elementi sufficienti per affermare che abbia agito fraudolentemente oppure con dolo o colpa grave?
L’ordine non può essere invertito.
Prima di discutere della custodia del PIN, della tempestività del blocco o della diligenza dell’utilizzatore, l’intermediario deve assolvere l’onere probatorio che la legge pone a suo carico sulla corretta autenticazione dell’operazione.
Per chi abbia ricevuto un diniego fondato essenzialmente sull’affermazione che il pagamento risulta eseguito con le corrette credenziali, il primo passaggio consiste quindi nel verificare quali prove siano state effettivamente prodotte dalla banca e se tali prove siano coerenti con la dinamica documentata della frode.
La contestazione delle operazioni non autorizzate non dovrebbe, in altri termini, partire dalla necessità per il cliente di dimostrare la propria diligenza. Deve partire dalla prova dell’operazione, perché è da lì che il D. Lgs. n. 11/2010 fa iniziare la verifica della responsabilità.
I presupposti del diritto al rimborso e le modalità di contestazione delle operazioni non autorizzate sono approfonditi nella pagina dedicata al diritto al rimborso.
