Responsabilità della banca per truffa con la carta di pagamento – guida rapida

I fatti
La posizione della banca
La posizione dell’emittente
Il Collegio di Coordinamento ABF
Il ruolo della banca

Quali sono i profili di responsabilità della banca per truffa con carte di pagamento?

A fornire un riscontro dinanzi a tale quesito è stato l’ABF con decisione n. 6699 dello scorso 28 aprile 2022. Proviamo a ricostruire i fatti e le valutazioni che hanno consentito all’Arbitro di arrivare al proprio parere.

I fatti

Il 15 gennaio 2021, controllando l’estratto conto della carta di pagamento, il ricorrente notava un’operazione del 15 dicembre 2020, dell’importo di 1.537,50 euro.

Non avendo mai effettuato tale operazione, il ricorrente contattava la banca per avere dei chiarimenti. Gli veniva quindi comunicato che l’istituto di credito non possedeva i dati relativi alle operazioni. Veniva dunque invitato a rivolgersi al gestore dei servizi di pagamento.

Il ricorrente contatta l’intermediario dei servizi di pagamento, che procedeva al blocco della carta. Riferiva inoltre che il ricorrente avrebbe ricevuto un rimborso entro 30 giorni. Con tale occasione, il ricorrente apprendeva altresì che era intervenuta una sostituzione del numero di telefono associato alla carta, con altro numero.

Trascorsi 30 giorni, il ricorrente non riceveva alcun rimborso. Per l’intermediario, infatti, l’operazione era stata eseguita nel rispetto delle procedure di sicurezza previste.

Ciò premesso, il ricorrente domanda il rimborso della somma dell’operazione non eseguita da lui.

La posizione della banca

In questo ambito, la banca deposita le proprie controdeduzioni, domandando il rigetto della domanda da parte del ricorrente.

La banca sostiene infatti che il ricorso riguarda una carta da lei distribuita, ma emessa e gestita da un altro intermediario. Il legittimato passivo dovrebbe dunque essere solo costui, l’emittente della carta.

In ogni caso, la banca afferma che il ricorso è inammissibile perché il ricorrente non ha mai presentato reclamo all’istituto di credito, come peraltro si evince dal modulo di richiesta della carta e dal contratto che intercorre tra il ricorrente e l’emittente.

Ancora, la banca afferma che:

la carta è una carta di credito pura, non multifunzione, che consente l’anticipo di denaro ma non il prelievo di contante, e solo sul circuito internazionale VISA
non può controllare i movimenti della carta
il Regolamento Titolari presente sul sito dell’emittente evidenzia come la banca distributrice non assuma alcun ruolo nel contratto tra emittente e titolare della carta
l’emittente della carta è l’unico soggetto che conosce e ha evidenza delle operazioni contestate
l’estratto conto evidenzia che la banca è un mero destinatario passivo dei flussi relativi alla carta. In altri termini, la banca riceve un messaggio di addebito per importi complessivi di operazioni effettuate in un certo arco di tempo e non ha contezza di quali operazioni hanno composto il controvalore che l’emittente della carta addebita sul conto corrente.

La posizione dell’emittente della carta

Interessante è anche evidenziare le controdeduzioni dell’emittente della carta. In particolar modo, l’intermediario domanda il rigetto della parte ricorrente eccependo che:

l’operazione contestata è stata regolarmente autenticata mediante positiva validazione dell’OTP SMS inviato al numero di cellulare certificato connesso alla carta
il ricorrente afferma di essersi accorto del cambio del numero di telefono solamente in fase id contestazione dell’operazione
la variazione del numero di telefono è operazione che richiede l’accesso con le credenziali di sicurezza personalizzate all’area personale del Portale Privati e l’inserimento del codice OTP SMS inviato al cellulare dell’istante
il cambiamento del cellulare è stato notificato al ricorrente con un SMS
l’operazione è stata autenticata, registrata e contabilizzata senza malfunzionamenti o altre anomalie
la conoscenza da parte dei terzi ignoti delle credenziali di accesso dell’area riservata del ricorrente e la disponibilità dell’OTP generato è probabilmente da ricollegarsi a fenomeni di phishing o analoghi
si presume che la variazione del numero di telefono sia stata resa possibile da un comportamento gravemente colposo del cliente, che ha omesso di adottare tutte le cautele necessarie a custodire i codici e ha reso possibile l’autorizzazione dell’operazione di modifica, essendone prova la ricezione del codice sul cellulare del ricorrente
l’onere di dimostrare il carattere fraudolento delle operazioni grava sul ricorrente, il quale non ha fornito alcuna allegazione da cui si può trarre tale carattere fraudolento o la propria diligenza verso gli obblighi di custodia
ha messo a disposizione il servizio S* Control, che permette ai clienti di personalizzare la spendibilità della carta e metterla in pausa per 48 ore
il ricorrente dopo aver ricevuto notifica della variazione di numero avrebbe potuto attivare tale misura
il ricorrente è incorso nella violazione degli obblighi di cui all’art. 7 del d.lgs. n. 11/2010, costituendosi a suo carico un’ipotesi di colpa grave.

Legittimazione passiva

Riassumendo, in via preliminare la banca eccepisce la carenza della propria legittimazione passiva. L’istituto di credito evidenzia infatti come la carta di credito sia distribuita nelle proprie filiali, ma sia emessa e gestita da un altro intermediario, l’emittente, che è l’unico ad avere controllo sui movimenti della carta nonché a possedere evidenza delle operazioni contestate ed a poterne rispondere.

La banca indica dunque che, in quanto intermediario distributore, non riveste alcun ruolo nel rapporto contrattuale intercorrente tra l’emittente ed il titolare dello strumento di pagamento, aggiungendo che la carta in questione è una carta di credito pura, non multifunzione.

Il Collegio di Coordinamento ABF sulla responsabilità della banca

In questa ricostruzione, si osserva come il Collegio di Coordinamento ABF, con decisione n. 6182/2013, abbia rilevato come

il rapporto tra i tre soggetti coinvolti nella vicenda [intermediario collocatore, intermediario emittente ed utilizzatore] ben può essere qualificato come unitario in un contesto nel quale la separata gestione delle due funzioni (di credito e di debito) rappresenta solo una modalità esecutiva dell’accordo.

In particolare, la circostanza che la banca sia percepita come l’immediata e naturale interlocutrice del cliente nella gestione del rapporto ben potrebbe deporre a favore del riconoscimento della legittimazione passiva in capo a quest’ultimo.

Se pertanto tale orientamento ritiene che – in ragione del rapporto contrattuale instaurato tra l’utente e il collocatore dello strumento di pagamento – sussista la legittimazione passiva della banca, fa eccezione, nell’orientamento condiviso dei Collegi ABF, l’ipotesi in cui il prestatore di servizi di pagamento sia “mero” collocatore della carta.

Per accertare tale profilo si deve avere riguardo alla documentazione agli atti come, a titolo esemplificativo, se la denominazione e il marchio dello strumento sono riconducibili esclusivamente all’emittente, si tratta di “mero” collocatore. Se invece le previsioni contrattuali affidano al collocatore il ruolo di riscontro all’utenza in caso di reclami, o se il collocatore ha risposto al reclamo dell’utente senza segnalargli l’eventuale difetto di legittimazione passiva, non si tratta di “mero” collocatore.

Il ruolo della banca e la responsabilità in caso di truffa

Ciò premesso, si osserva come dalla documentazione contrattuale relativa alla carta emerga la natura di mero collocatore della banca, privo di legittimazione passiva nella fattispecie.

Inoltre, la banca eccepisce che il ricorso nei propri confronti debba essere ritenuto inammissibile perché non è stato preceduto da reclamo. Dalle risultanze agli atti emerge in effetti l’invio al solo emittente di una richiesta di disconoscimento dell’operazione. Dunque, anche sotto questo profilo il ricorso è inammissibile nei riguardi della banca.

Per quanto poi concerne la posizione dell’intermediario emittente, si osserva che nelle controversie sull’uso fraudolento di strumenti di pagamento bisogna valutare da un lato la condotta del cliente con riguardo agli obblighi di diligenza nella custodia dello strumento di pagamento, dei dispositivi collegati e delle relative credenziali riservate d’accesso. Dall’altro, la condotta dell’intermediario, chiamato ad adempiere al mandato secondo la diligenza professionale qualificata ex art. 1176 co. 2 c.c. Circostanze che, precisa l’ABF, devono essere valutate caso per caso.

L’onere della prova

Ora, si legge ulteriormente, a fronte del disconoscimento di operazioni di pagamento da parte dell’utente, è onere dell’intermediario provare che le operazioni sono autenticate, correttamente registrate e contabilizzate, ai sensi dell’art. 10 del d.lgs. n. 11/2010, che codifica l’inversione dell’onere della prova. In mancanza di tale prova, l’intermediario sopporta integralmente le conseguenze delle operazioni disconosciute.

Dalle evidenze informatiche allegate alle controdeduzioni, emerge come l’autenticazione per l’accesso all’home banking richieda anche l’inserimento di un OTP.

Non è tuttavia chiaro quale sia stato l’altro elemento di sicurezza. Si tiene altresì conto che in base alle opinion EBA, il nome utente non rappresenta elemento idoneo.

Per quanto riguarda poi l’operazione dispositiva, l’emittente dichiara la correttezza dell’autenticazione con la positiva validazione del codice OTP al cellulare associato alla carta di pagamento. Anche in questo caso non è esplicito quale fosse il secondo elemento eventualmente richiesto per l’autorizzazione.

Le conclusioni sulla responsabilità della banca

In assenza dei due elementi dinamici richiesti dalle prescrizioni EBA non può dunque concludersi per l’adozione, da parte dell’intermediario, di un sistema adeguatamente protetto di autenticazione. Non avendo l’intermediario assolto all’onere probatorio sulla corretta autenticazione di pagamento contestate dal cliente ex art. 10 co. 1 d.lgs. n. 11/2010, il ricorso deve essere accolto, posto che la mancanza della prova di autenticazione è circostanza dirimente rispetto alla valutazione di eventuali profili di colpa che potrebbero essere ascrivibili alla parte ricorrente. La prova di autenticazione – si legge ancora – rappresenta un prius logico rispetto alla prova dell’eventuale colpa grave dell’utente.

Infine, si precisa che – trattandosi di ricorso presentato successivamente alla data di entrata in vigore delle nuove Disposizioni sui sistemi di risoluzione stragiudiziale delle controversie in materia di operazioni e servizi bancari e finanziari della Banca d’Italia, ai sensi della nota 3 di pagina 25, l’importo contenuto nelle pronunce di accoglimento è arrotondato all’unità di euro.

È dunque ritenuto inammissibile il ricorso nei confronti della banca. Si accoglie parzialmente il ricorso sull’emittente.

Avv. Bellato – diritto bancario