This article examines the liability of payment service providers in cases where bank transfers are formally authorised by the customer but executed as a result of fraud. Drawing on ABF Coordinating Board Decision No. 8671/2024, the analysis distinguishes payment authorisation from the proper performance of the intermediary’s contractual obligations.
*****
Sommario: 1. Il problema. – 2. Operazione autorizzata e responsabilità contrattuale sono piani distinti. – 3. La banca non è automaticamente responsabile delle truffe perpetrate. – 4. Il fondamento della responsabilità: l’art. 1218 c.c. – 5. L’anomalia deve essere qualificata, non semplicemente affermata. – 6. Il ruolo della disciplina europea sul monitoraggio delle operazioni. – 7. Il nesso causale e la Condotta alternativa esigibile. – 8. Il concorso colposo del cliente. – 9. Conclusioni.
1. Il problema.
La crescente diffusione delle frodi basate sulla manipolazione psicologica del cliente pone un problema che non può essere risolto mediante la tradizionale alternativa tra operazioni autorizzate e operazioni non autorizzate.
In numerose fattispecie il pagamento non viene materialmente disposto dal truffatore mediante la sottrazione delle credenziali bancarie, ma dalla stessa vittima, convinta, per effetto di artifici e raggiri, di effettuare un investimento, mettere in sicurezza i propri risparmi, trasferire somme su un conto protetto o eseguire le istruzioni provenienti da un interlocutore apparentemente affidabile.
Sotto il profilo strettamente operativo, il cliente accede al proprio conto, inserisce le credenziali, indica il beneficiario e conferma il pagamento. Il bonifico è quindi formalmente autorizzato. Sotto il profilo sostanziale, tuttavia, la decisione di pagare è stata determinata da una rappresentazione della realtà fraudolentemente alterata.
La questione è allora se la natura autorizzata dell’operazione escluda, di per sé, qualsiasi responsabilità del prestatore di servizi di pagamento oppure se, al di fuori del regime restitutorio previsto per le operazioni non autorizzate, possa residuare una responsabilità contrattuale dell’intermediario per la violazione di autonomi obblighi di diligenza, sicurezza e protezione.
2. Operazione autorizzata e responsabilità contrattuale sono piani distinti.
Il primo passaggio consiste nel separare due questioni che, pur connesse, non coincidono.
La prima riguarda l’imputabilità dell’ordine di pagamento al cliente.
Quando il bonifico è stato personalmente disposto e confermato dal titolare del conto, l’operazione deve normalmente considerarsi autorizzata ai sensi della disciplina sui servizi di pagamento. Il vizio psicologico prodotto dal raggiro del terzo non trasforma automaticamente il pagamento in un’operazione non autorizzata.
La seconda questione concerne, invece, il comportamento tenuto dall’intermediario nell’esecuzione del rapporto contrattuale.
Il carattere autorizzato del bonifico esclude l’applicazione automatica del regime di rimborso previsto per le operazioni non autorizzate, ma non comporta necessariamente l’immunità della banca da ogni diversa forma di responsabilità.
Il principio è stato chiarito dal Collegio di coordinamento dell’Arbitro Bancario Finanziario, decisione n. 8671 del 23 luglio 2024[1]. Secondo la decisione, i pagamenti interamente eseguiti dal titolare dello strumento di pagamento non rientrano nella fattispecie della responsabilità oggettiva del prestatore di servizi di pagamento prevista per le operazioni non autorizzate dai clienti. Ciò non impedisce, tuttavia, che il danno subito dal cliente per i pagamenti da esso stesso autorizzati possa essere risarcito ai sensi dell’art. 1218 c.c., qualora sia provata la negligenza dell’intermediario nell’adempimento di autonomi obblighi contrattuali. Ciò può verificarsi, in particolare, se sia accertata l’omessa adozione di misure di sicurezza e di monitoraggio adeguate a contrastare scenari di truffa dotati di riconoscibile tipicità sociale. È il caso, ad esempio, della mancata valorizzazione di indici di frode, laddove il cliente sia stato indotto dal truffatore a disporre dei pagamenti apparentemente leciti, mentre la ricezione di alert o la sospensione delle transazioni gli avrebbe consentito di acquisire consapevolezza della frode e di evitarne il perfezionamento.
Ne deriva che l’autorizzazione dell’operazione e l’esatto adempimento dell’intermediario rappresentano due giudizi distinti. Un ordine può essere imputabile al cliente e, nondimeno, essere stato eseguito nell’ambito di un servizio non diligentemente organizzato o gestito.
3. La banca non è automaticamente responsabile delle truffe perpetrate.
Il riconoscimento di una possibile responsabilità contrattuale non consente, però, di trasformare l’intermediario in un garante universale delle scelte economiche del cliente.
La banca non è tenuta a verificare la convenienza dell’operazione sottostante, a sindacare la bontà di un investimento o ad accertare la reale affidabilità commerciale del soggetto indicato come beneficiario. Se il servizio prestato consiste esclusivamente nell’esecuzione di un pagamento, non possono essere trasferiti sul prestatore gli obblighi di adeguatezza e appropriatezza propri dei servizi di investimento.
Parimenti, la disciplina dell’identificativo unico comporta che il bonifico venga eseguito sulla base dell’IBAN indicato dall’ordinante. La regolare esecuzione secondo tale identificativo non implica, in via generale, un dovere della banca del pagatore di verificare la corrispondenza tra il nome inserito nell’ordine e l’effettivo titolare del conto destinatario.
Da ciò, tuttavia, non discende che il prestatore sia sempre un esecutore puramente meccanico.
Una cosa è il controllo sulla causa economica del pagamento o sull’identità sostanziale del beneficiario; altra cosa è il monitoraggio tecnico e comportamentale dell’operazione, diretto a individuare schemi di frode riconoscibili sulla base dei dati disponibili all’intermediario.
Il confine della responsabilità non passa, pertanto, tra esecuzione automatica e generico dovere di impedire ogni truffa. Esso passa tra:
- un inesigibile controllo sul merito delle decisioni economiche del cliente;
- e un esigibile governo professionale dei rischi propri del servizio di pagamento.
4. Il fondamento della responsabilità: l’art. 1218 c.c.
Nelle operazioni autorizzate il fondamento della domanda non può essere ricercato nel meccanismo restitutorio previsto per i pagamenti non autorizzati. Esso deve essere individuato nell’ordinaria responsabilità contrattuale[2].
Il cliente deve allegare l’esistenza del rapporto, individuare l’obbligo contrattuale rimasto inadempiuto, descrivere gli elementi di anomalia che avrebbero dovuto essere rilevati e dimostrare, almeno in termini probabilistici, che una condotta diligente avrebbe evitato o ridotto il danno.
L’intermediario, dal canto suo, è tenuto a provare l’esatto adempimento oppure la non imputabilità dell’inadempimento. Ciò assume particolare rilievo quando la verifica dipende da elementi che si trovano nella sua esclusiva disponibilità, come i log informatici, gli alert generati dai sistemi, il livello di rischio attribuito alla transazione, le regole antifrode applicate e le eventuali verifiche eseguite.
Non è dunque sufficiente che la banca dimostri l’autenticazione dell’operazione.
Tale prova attesta che il pagamento è riconducibile al cliente, ma non dimostra necessariamente che il servizio sia stato prestato con la diligenza professionale richiesta[3].
Allo stesso modo, il cliente non può limitarsi ad affermare che l’operazione era insolita o che la banca avrebbe dovuto intuire l’esistenza della truffa. Deve indicare quali caratteristiche, valutate congiuntamente e nel contesto disponibile al prestatore, rendevano concretamente riconoscibile un rischio eccedente la normale operatività.
5. L’anomalia deve essere qualificata, non semplicemente affermata.
Uno dei pericoli interpretativi è l’equazione tra operazione anomala e operazione fraudolenta.
Un pagamento può discostarsi dalle abitudini del cliente ed essere perfettamente lecito. Un sistema che bloccasse indiscriminatamente ogni operazione inusuale comprometterebbe la rapidità e la certezza dei pagamenti, limitando ingiustificatamente la libertà del titolare di disporre delle proprie somme.
La responsabilità non può quindi fondarsi su una singola anomalia considerata isolatamente, come l’importo elevato, la destinazione estera o la presenza di un nuovo beneficiario. Occorre una valutazione complessiva, capace di evidenziare una convergenza di indicatori, quali:
- una brusca deviazione rispetto alla precedente operatività;
- la ripetizione ravvicinata di pagamenti verso beneficiari mai utilizzati;
- l’incremento progressivo degli importi;
- la destinazione delle somme verso conti o operatori associati a scenari fraudolenti conosciuti;
- l’incoerenza tra le caratteristiche del pagamento e il profilo transazionale del cliente;
- la presenza di elementi già rilevati dai sistemi antifrode o di sicurezza;
- la reiterazione delle operazioni dopo un primo pagamento potenzialmente anomalo.
La mera atipicità non determina, pertanto, un obbligo automatico di rifiuto.
Può però imporre, a seconda dell’intensità del rischio, un approfondimento, un contatto con il cliente, un warning specifico o una temporanea sospensione nei casi consentiti dalla disciplina applicabile.
La valutazione deve necessariamente essere svolta ex ante. Non sarebbe corretto ricavare l’evidenza dell’anomalia dal solo fatto che, successivamente, il pagamento si sia rivelato dannoso.
6. Il ruolo della disciplina europea sul monitoraggio delle operazioni.
Il Regolamento delegato (UE) 2018/389 stabilisce requisiti relativi all’autenticazione forte e alle misure di sicurezza dei servizi di pagamento. Il suo impianto conferma che la sicurezza non si esaurisce nella verifica formale delle credenziali, ma comprende meccanismi di monitoraggio diretti a rilevare operazioni non autorizzate o fraudolente. Il Regolamento considera, tra i fattori rilevanti, gli schemi anomali di spesa o comportamento del pagatore, le informazioni insolite relative al dispositivo, gli scenari di frode conosciuti e la localizzazione anomala o ad alto rischio[4].
Occorre, tuttavia, evitare un’applicazione eccessivamente estensiva di tali disposizioni.
L’art. 18 disciplina specificamente l’esenzione dall’autenticazione forte basata sull’analisi del rischio della transazione. Non contiene, di per sé, una regola generale secondo cui ogni operazione che presenti uno degli indicatori elencati debba essere necessariamente bloccata[5].
Il Regolamento può dunque concorrere a definire lo standard tecnico-professionale esigibile dal prestatore, ma non esclude la necessità di dimostrare l’obbligo concretamente violato, la condotta alternativa dovuta e il nesso causale con il danno.
7. Il nesso causale e la condotta alternativa esigibile.
La parte più complessa non è spesso l’individuazione dell’anomalia, ma la dimostrazione del nesso causale.
Non basta affermare che la banca avrebbe dovuto accorgersi della truffa. Occorre stabilire quale comportamento avrebbe dovuto adottare e verificare se tale comportamento avrebbe ragionevolmente evitato il danno.
La condotta alternativa può consistere, secondo le circostanze, nell’invio di un avviso mirato, nel contatto diretto con il cliente, in un approfondimento dell’operazione o nella sospensione temporanea consentita dalla disciplina applicabile.
Non ogni avvertimento, tuttavia, potrebbe avere lo stesso grado di efficacia dissuasiva. Una persona profondamente persuasa dal truffatore, ad esempio, potrebbe confermare l’ordine anche dopo il contatto della banca.
Il giudizio causale deve quindi verificare se, secondo il criterio civilistico del “più probabile che non”, l’intervento omesso avrebbe consentito al cliente di acquisire consapevolezza del raggiro o almeno di interrompere la sequenza causale degli eventi che ha consentito il realizzarsi della truffa[6].
Nelle frodi articolate in più operazioni, la causalità può assumere una struttura progressiva. Anche quando il primo pagamento non fosse realisticamente evitabile, la rilevazione dell’anomalia potrebbe impedire quelli successivi.
Per tale ragione, la responsabilità dell’intermediario non coincide necessariamente con l’intero danno, ma può essere limitata alla perdita che un intervento tempestivo avrebbe probabilmente evitato.
8. Il concorso colposo del cliente.
L’accertamento dell’inadempimento della banca non elimina la necessità di valutare la condotta del cliente ai sensi dell’art. 1227 c.c.[7]
Devono essere considerate la riconoscibilità del raggiro, le informazioni disponibili, le verifiche eventualmente omesse, la presenza di promesse manifestamente irrealistiche e l’eventuale inosservanza di avvertimenti chiari e specifici.
Anche in questo caso occorre evitare automatismi. La circostanza che il pagamento sia stato personalmente disposto non coincide con la colpa del cliente: diversamente, nelle operazioni autorizzate il concorso colposo sarebbe sempre integrale e la responsabilità contrattuale dell’intermediario non potrebbe mai trovare applicazione.
All’opposto, la vulnerabilità della vittima non può eliminare ogni dovere di prudenza nell’assunzione delle decisioni patrimoniali.
L’art. 1227 c.c. consente un bilanciamento delle rispettive sfere di controllo. Da un lato si trova la capacità professionale dell’intermediario di analizzare dati, sequenze operative e scenari di frode; dall’altro, la possibilità del cliente di valutare le caratteristiche dell’operazione e l’attendibilità dell’interlocutore.
Ne può derivare una responsabilità concorrente, con riduzione proporzionale del risarcimento, anziché l’alternativa rigida tra integrale rimborso e totale rigetto della domanda.
9. Conclusioni.
La qualificazione di un bonifico come autorizzato risolve il problema dell’imputazione dell’ordine, ma non esaurisce quello dell’esatto adempimento del contratto bancario.
La banca non risponde per il solo fatto che il cliente sia stato truffato e non è tenuta a sostituirsi a lui nella valutazione delle scelte economiche. Può, tuttavia, essere chiamata a rispondere quando la frode si manifesti attraverso un pattern operativo oggettivamente riconoscibile, i sistemi di sicurezza o monitoraggio risultino inadeguati o non correttamente attivati e l’omissione abbia avuto un’efficienza causale nella produzione o nell’aggravamento del danno.
Il punto di equilibrio risiede in un accertamento articolato su quattro elementi:
- l’esistenza di un’anomalia qualificata e riconoscibile ex ante;
- l’individuazione di uno specifico obbligo contrattuale o professionale violato;
- la prova che la condotta alternativa avrebbe probabilmente evitato o ridotto il pregiudizio;
- la valutazione dell’eventuale concorso colposo del cliente.
In questa prospettiva, il passaggio dalla frode informatica tradizionale alla frode fondata sulla manipolazione del pagatore non rende irrilevante la funzione tecnica dell’intermediario. Impone, piuttosto, di ridefinirne i confini: non custode assoluto delle decisioni del cliente, ma neppure esecutore cieco di operazioni che i propri strumenti professionali segnalino come espressione di uno scenario fraudolento riconoscibile.
_________________________________________________________________
[1] ABF, Collegio di Coordinamento decisione 23 luglio 2024, n. 8671
[2] Cass., Sez. Un., 30 ottobre 2001, n. 13533
[3] Art. 1176, comma 2, c.c.
[4] Regolamento delegato (UE) 2018/389 attuativo della PSD2
[5] L’art. 18 disciplina l’esenzione dall’autenticazione forte basata sulla transaction risk analysis
[6] Cass., 16 ottobre 2007, n. 21619
[7] Sul concorso colposo del creditore v. art. 1227 c.c.