Le controversie relative alle operazioni di pagamento fraudolente pongono frequentemente il problema della responsabilità del cliente per l’utilizzo delle proprie credenziali. Nelle ipotesi di phishing o di impiego indebito dei dispositivi di autenticazione, l’intermediario può negare la restituzione delle somme addebitate sostenendo che il cliente abbia reso possibile la frode con un comportamento gravemente negligente.
Una simile impostazione, tuttavia, rischia di sovrapporre due questioni giuridicamente distinte: il diritto al rimborso di un’operazione non autorizzata e la ripartizione definitiva della perdita tra il prestatore di servizi di pagamento e il pagatore. La Corte di giustizia dell’Unione europea, con la sentenza 15 ottobre 2026, causa C-70/25, ha precisato che la contestazione di una colpa grave non consente, di per sé, di differire il rimborso immediato previsto dalla direttiva (UE) 2015/2366 (PSD2).
Il consenso del pagatore e la qualificazione dell’operazione
La disciplina trova fondamento nella direttiva PSD2, recepita nell’ordinamento italiano mediante il d.lgs. 27 gennaio 2010, n. 11, come modificato, tra l’altro, dal d.lgs. 15 dicembre 2017, n. 218. L’art. 5 del decreto collega la qualificazione dell’operazione come autorizzata alla manifestazione del consenso del pagatore secondo le modalità pattuite. La registrazione informatica del pagamento e il consenso giuridicamente rilevante non sono, però, concetti coincidenti.
Nell’operatività digitale l’intermediario può registrare come correttamente autenticato un pagamento disposto da un terzo che abbia acquisito le credenziali del titolare. La validazione tecnica dimostra che il sistema ha riconosciuto determinati fattori di sicurezza; non risolve automaticamente la diversa questione se l’ordine sia riferibile alla volontà del pagatore.
Occorre inoltre distinguere il pagamento disposto direttamente dal truffatore mediante credenziali sottratte dal bonifico impartito dal cliente stesso, benché questi sia stato ingannato sull’identità del beneficiario o sulla causale economica. Nel secondo caso, proprio la sussistenza dell’autorizzazione richiede un autonomo accertamento: non è sufficiente che l’operazione si inserisca in una vicenda fraudolenta per ricondurla senza ulteriori verifiche alla disciplina delle operazioni non autorizzate.
L’autenticazione non esaurisce l’onere della prova
Il riparto probatorio è regolato dall’art. 10 del d.lgs. 11/2010, corrispondente all’art. 72 della direttiva. Quando il cliente nega di aver autorizzato un’operazione, grava sul prestatore l’onere di dimostrare che essa sia stata autenticata, correttamente registrata e contabilizzata e che non sia stata alterata da malfunzionamenti o inconvenienti delle procedure di esecuzione.
La stessa disposizione precisa che la registrazione dell’uso dello strumento di pagamento non è, di per sé, necessariamente sufficiente a dimostrare che il pagatore abbia autorizzato l’operazione o abbia agito fraudolentemente, con dolo o colpa grave. L’intermediario deve fornire elementi idonei a dimostrare il comportamento imputato al cliente.
Si pensi all’inserimento di un codice temporaneo ricevuto per SMS. Tale circostanza può costituire un dato decisivo nella ricostruzione tecnica, ma non permette, isolatamente, di stabilire chi abbia realmente disposto il pagamento né il grado di negligenza del titolare. Occorre verificare in quale contesto il codice sia stato acquisito, quali informazioni accompagnassero la richiesta di conferma, quali presidi di autenticazione fossero concretamente disponibili e come siano stati utilizzati.
Il rimborso immediato nell’art. 11 del d.lgs. 11/2010
L’art. 11 del decreto stabilisce che, in presenza di un’operazione non autorizzata, il prestatore di servizi di pagamento rimborsi l’importo immediatamente e comunque entro la fine della giornata operativa successiva a quella in cui viene a conoscenza dell’operazione o ne riceve comunicazione. In caso di addebito su conto, la posizione contabile deve essere riportata alla situazione che sarebbe esistita in assenza del pagamento, con la corretta attribuzione della valuta.
Il rimborso non è configurato come una prestazione subordinata alla conclusione di un’indagine interna sull’eventuale colpa del cliente. La normativa europea prevede una specifica eccezione: i ragionevoli motivi per sospettare una frode del pagatore, da comunicare per iscritto all’autorità nazionale competente. Per l’ordinamento italiano rileva il meccanismo disciplinato dall’art. 11, comma 2, con comunicazione alla Banca d’Italia.
Non va confusa la frode di un terzo, che è spesso proprio il presupposto della contestazione, con il sospetto di frode attribuibile al pagatore. Diversamente, ogni pagamento fraudolento potrebbe diventare motivo di sospensione, svuotando l’obbligo di riaccredito tempestivo.
La responsabilità del cliente per dolo o colpa grave
Il diverso problema dell’imputazione definitiva della perdita è affrontato dall’art. 12 del d.lgs. 11/2010, in attuazione dell’art. 74 PSD2. In presenza di condotte fraudolente, dolose o gravemente colpose del pagatore, la disciplina può porre a suo carico le perdite relative alle operazioni non autorizzate. Negli altri casi trovano applicazione i limiti di responsabilità e le ipotesi di esonero specificamente previsti, che richiedono una valutazione della fattispecie concreta.
La colpa grave non coincide con ogni imprudenza. Per affermarla è necessario individuare un obbligo di comportamento effettivamente violato e dimostrare la particolare gravità della condotta. È questa valutazione che consente di stabilire se e in quale misura il pagatore debba sopportare la perdita; non è, invece, un’autonoma causa di sospensione del rimborso iniziale.
Il caso esaminato dalla Corte di giustizia
La questione pregiudiziale traeva origine da una frode informatica ai danni di una cliente che aveva pubblicato online un annuncio di vendita. Un soggetto, presentatosi come interessato all’acquisto, le aveva inviato un collegamento fraudolento. Il sito raggiunto riproduceva quello dell’intermediario e aveva indotto la cliente a immettere le credenziali di accesso. I dati erano stati poi impiegati per un trasferimento di denaro a favore del truffatore, con utilizzo di un codice di conferma ricevuto dalla cliente.
La pagatrice aveva disconosciuto l’operazione, ma l’intermediario aveva negato il riaccredito addebitandole una grave negligenza. Il giudice nazionale ha dunque chiesto se la responsabilità prevista dall’art. 74 potesse consentire al prestatore di sottrarsi fin dall’inizio all’obbligo di cui all’art. 73.
La domanda non richiedeva alla Corte di stabilire se quella specifica condotta integrasse davvero una colpa grave. Il nodo interpretativo riguardava il rapporto tra le due disposizioni e, in particolare, la possibilità di negare l’immediato rimborso sulla base di una valutazione unilaterale dell’intermediario.
La sentenza C-70/25 e la separazione delle due pretese
La Corte interpreta gli artt. 73 e 74 nel senso che le relative disposizioni operano su piani distinti. L’art. 73 impone il rimborso immediato delle operazioni non autorizzate; l’art. 74 disciplina la responsabilità economica del pagatore quando sussistano i presupposti indicati dalla direttiva. Il fatto che la seconda norma possa giustificare la definitiva imputazione della perdita al cliente non amplia le eccezioni tassative alla prima.
Questa soluzione trova fondamento sia nel tenore dell’art. 73, che contempla l’eccezione relativa al sospetto motivato di frode del pagatore, sia nell’esigenza di assicurare una protezione effettiva degli utenti dei servizi di pagamento. Se fosse sufficiente richiamare una presunta colpa grave per rifiutare il rimborso, il pagatore dovrebbe sopportare il pregiudizio economico e promuovere un giudizio per recuperare somme sottratte mediante un’operazione non autorizzata.
Ne consegue che il prestatore non può subordinare il riaccredito all’esito del proprio accertamento della negligenza grave. Conserva tuttavia la possibilità di ottenere successivamente la restituzione delle somme, qualora dimostri secondo le regole applicabili che la perdita deve gravare sul pagatore.
La distinzione tra operazione autorizzata e perdita imputabile al cliente
Nell’ordinamento italiano è utile tenere separata anche un’ulteriore ipotesi. L’art. 11, comma 3, disciplina il caso in cui, dopo aver effettuato il rimborso, il prestatore dimostri che l’operazione era stata in realtà autorizzata e richieda conseguentemente la restituzione delle somme.
Il presupposto è diverso dalla responsabilità per colpa grave. Nel primo caso viene meno la qualificazione del pagamento come non autorizzato; nel secondo il pagamento può restare privo di consenso, ma le perdite vengono attribuite al cliente in ragione del comportamento specificamente accertato. La distinzione incide sull’oggetto della prova e sulle contestazioni proponibili.
Per la stessa ragione, la sentenza non stabilisce che la banca debba sopportare definitivamente ogni pagamento collegato a una truffa. La pronuncia disciplina la sequenza delle tutele per le operazioni non autorizzate e non risolve automaticamente le controversie in cui il cliente abbia personalmente impartito l’ordine, sebbene indotto in errore.
I riflessi sui reclami e sulle controversie bancarie
Nella gestione di una contestazione occorre anzitutto determinare la natura dell’operazione e ricostruire la cronologia dei fatti: ricezione di messaggi, acquisizione delle credenziali, esecuzione del pagamento, scoperta dell’addebito e comunicazione all’intermediario. L’art. 9 del d.lgs. 11/2010 richiede una segnalazione senza indugio dopo la conoscenza dell’operazione e comunque nel rispetto del termine massimo previsto dalla disposizione, fatti salvi i casi di mancata informazione da parte dell’intermediario.
La documentazione dovrebbe comprendere il dettaglio del pagamento, le comunicazioni ricevute, le conferme di autenticazione, l’eventuale denuncia, il reclamo e la risposta motivata dell’intermediario. Nella fase contenziosa assumono particolare rilievo i dati tecnici dell’operazione e gli elementi addotti a sostegno della pretesa colpa grave.
La sentenza C-70/25 richiede inoltre una verifica autonoma della condotta dell’intermediario rispetto all’obbligo di rimborso tempestivo. Anche quando rimanga controversa la responsabilità definitiva per la perdita, non è corretto trasformare la colpa grave semplicemente allegata dalla banca in una condizione sospensiva del riaccredito.
Il principio affermato dalla Corte riguarda dunque non soltanto l’esito economico della controversia, ma la distribuzione dei poteri e degli oneri tra le parti: il rimborso dell’operazione non autorizzata deve seguire la disciplina propria, mentre l’eventuale pretesa restitutoria dell’intermediario richiede l’accertamento dei presupposti che la giustificano.