Sicurezza digitale e frodi online: spetta all’intermediario fornire la prova dell’autenticazione forte (c.d. “S.C.A.”).

La decisione del Collegio di Milano n. 6990 del 13 giugno 2024, resa in un caso di frode su carta di credito, ha statuito la centralità dell’onere della prova, a carico dell’intermediario, riguardo all’effettiva applicazione delle misure previste in tema di autenticazione forte (la cd. “Strong Customer Authentication S.C.A.”), ovverosia quella procedura prevista per convalidare l’identificazione di un utente basata sull’uso di due o più elementi di autenticazione e propedeutica all’autorizzazione di un pagamento online.

Il Collegio ha ribadito che, in presenza di operazioni disconosciute dal cliente, l’onere della prova circa l’avvenuta adozione di un sistema conforme alla S.C.A., ricade esclusivamente sull’intermediario.

Nel caso in esame, il Collegio ha ritenuto inidonea la prova, sebbene l’intermediario avesse fornito una legenda esplicativa dei log delle operazioni, poiché la documentazione prodotta non è stata ritenuta sufficiente a dimostrare l’effettivo utilizzo di tutti gli elementi richiesti dalla normativa, riassumibili nella triade: “conoscenza – possesso – inerenza”.

La decisione appare significativa per due ordini di motivi.

In primo luogo, essa sottolinea l’importanza di un approccio rigoroso nella valutazione delle prove relative all’adozione delle misure di sicurezza previste dalla normativa europea (PSD2). Come infatti si può leggere nella decisione: “è inoltre unanime l’indirizzo dei Collegi, a mente del quale la prova dell’avvenuta autenticazione in modo compliant rispetto alla disciplina di settore deve essere prioritariamente fornita dall’intermediario”.

In secondo luogo, stabilisce che, in caso di incertezza sulla conformità delle procedure adottate dall’intermediario, il beneficio del dubbio viene riconosciuto al cliente, imponendo all’intermediario l’obbligo di risarcimento per le somme sottratte fraudolentemente, quandanche fosse provata la colpa grave del cliente. Così ha statuito il Collegio: “se l’intermediario non fornisce la suddetta prova prioritaria [1], il ricorso deve essere accolto, anche se – in ipotesi – vi fosse agli atti la prova della colpa grave del cliente”.

Il Collegio, pertanto, non potendo, nel caso di specie, ritenere provato l’utilizzo di un sistema S.C.A. pienamente conforme alla normativa vigente, ha accolto integralmente il ricorso, condannando l’intermediario alla restituzione dell’importo indebitamente sottratto al cliente oltre alle spese di procedura. 

__________________________________________________________________

[1] Cfr. Coll. Milano, n. 6141/2024; Coll. Milano, n. 3583/2024.