Onere della prova in caso di frode informatica e prelievi fraudolenti

In tema di operazioni di pagamento non autorizzate, ai sensi degli artt. 10 e 11 del D.Lgs. n. 11/2010 grava interamente ed esclusivamente sul prestatore di servizi di pagamento l’onere di provare la genuinità e la riferibilità al correntista delle operazioni disconosciute; la mera digitazione del PIN o l’utilizzazione delle credenziali personalizzate non integra prova dell’autorizzazione, poiché la captazione dei codici da parte di terzi rientra nel rischio d’impresa che l’intermediario è tenuto a fronteggiare con misure tecnologiche adeguate.

L’attivazione fraudolenta, ad opera di terzi e all’insaputa del titolare, di una carta di prelievo collegata a un libretto di risparmio postale — in violazione delle stesse condizioni contrattuali che ne subordinano il rilascio alla presenza fisica del titolare allo sportello — dimostra di per sé l’inadeguatezza delle misure tecniche e organizzative adottate e fonda la responsabilità dell’intermediario anche ai sensi degli artt. 24, 32 e 82 del Regolamento UE 2016/679.

*****

La controversia si colloca nel cuore del contenzioso in materia di frodi nei servizi di pagamento e ruota attorno a una sola domanda: a fronte del disconoscimento dell’operazione da parte dell’utente, su chi grava l’onere di dimostrare che il pagamento fu autorizzato dal titolare? La difesa dell’intermediario impostava la propria strategia sul tentativo di ricondurre i prelievi alla sfera della correntista o del figlio delegato, valorizzando la corretta digitazione del PIN quale prova dell’autorizzazione. La pronuncia in commento respinge entrambe le direttrici, muovendo dal dato normativo e non da presunzioni di fatto.

Sul piano fattuale, la decisione è resa più solida dalla prova testimoniale: l’istruttoria ha dimostrato che né la titolare né il delegato potevano trovarsi presso gli sportelli utilizzati, essendo l’una nella propria abitazione e l’altro sul luogo di lavoro nei giorni dei prelievi. È un passaggio non secondario: pur essendo l’onere probatorio a carico dell’intermediario, la parte attrice ha fornito una prova liberatoria “rafforzata” che priva di ogni appiglio la ricostruzione avversaria    

Il fulcro della motivazione è l’art. 10, comma 1, del D.Lgs. n. 11/2010 (attuativo della Direttiva 2007/64/CE, poi PSD2), a mente del quale, ove l’utente neghi di aver autorizzato un’operazione già eseguita, è il prestatore di servizi di pagamento a dover provare che l’operazione fu autenticata, correttamente registrata e contabilizzata, e che non subì le conseguenze di un malfunzionamento delle procedure. Il successivo art. 11 disciplina le conseguenze restitutorie in caso di operazione non autorizzata. La norma configura dunque una regola di riparto che ribalta l’onere: non è l’utente a dover dimostrare di non aver autorizzato, ma l’intermediario a dover dimostrare l’autorizzazione e la sicurezza del sistema.

Da qui la conseguenza decisiva sul piano probatorio: la mera circostanza che l’operazione risulti tecnicamente eseguita mediante le credenziali del cliente non equivale a dimostrazione dell’autorizzazione. La sola utilizzazione delle credenziali di accesso — insegna la Suprema Corte — non esonera l’intermediario, poiché la captazione dei codici da parte di terzi rientra nel rischio d’impresa, da fronteggiare con misure tecnologiche adeguate (Cass., ord. 15 maggio 2023, n. 13204). Il PIN, in altri termini, prova che l’operazione fu eseguita con quel codice, non che fu voluta dal titolare: e la differenza, in un contesto di frode informatica, è tutto.

La sentenza salda la disciplina speciale del D.Lgs. n. 11/2010 con l’orientamento consolidato di legittimità che riconduce l’attività dell’intermediario finanziario nell’alveo dell’art. 2050 c.c., quale attività pericolosa, con conseguente responsabilità di natura oggettiva o semi-oggettiva . Ne discende che, per liberarsi, l’intermediario deve dimostrare positivamente la riconducibilità delle operazioni alla volontà del cliente ovvero la sussistenza di dolo, colpa grave o forza maggiore idonei a interrompere il nesso causale.

Il pregio sistematico della pronuncia sta nel non trattare le due basi normative come alternative, ma come convergenti: sia che si muova dalla disciplina dei servizi di pagamento, sia che si muova dall’art. 2050 c.c., l’esito è il medesimo, ossia l’addossamento del rischio della frode all’operatore professionale che gestisce il sistema e che di quel sistema trae il profitto.

Particolarmente incisivo è il rilievo con cui il Giudice valorizza le stesse condizioni generali di contratto predisposte dall’intermediario. Queste subordinavano il rilascio e l’attivazione della carta alla presenza fisica del titolare allo sportello. La difesa dell’intermediario cadeva così in una contraddizione insanabile: da un lato affermava che la carta poteva essere attivata solo dal titolare; dall’altro non era in grado di spiegare come l’attivazione fosse avvenuta all’insaputa della titolare. La circostanza che un terzo abbia potuto attivare lo strumento in assenza del titolare non è un dettaglio, ma la prova diretta della falla organizzativa: se il presidio previsto dal contratto fosse stato effettivo, la frode non avrebbe potuto realizzarsi    

Meritevole di attenzione è l’autonomo fondamento della condanna sotto il profilo della protezione dei dati personali. I dati identificativi e i codici di accesso al rapporto potevano essere nella disponibilità del solo intermediario (o di un responsabile del trattamento da esso designato ex art. 28 GDPR). Il fatto stesso che soggetti terzi abbiano potuto utilizzarli per attivare la carta e disporre i prelievi dimostra ex se — osserva il Giudice — l’inadeguatezza delle misure tecniche e organizzative adottate, in violazione degli obblighi di sicurezza di cui agli artt. 24 e 32 del Regolamento, con conseguente responsabilità risarcitoria ai sensi dell’art. 82.

Si tratta di un profilo di crescente rilievo pratico: la responsabilità da trattamento offre al danneggiato una base autonoma e concorrente rispetto alla disciplina dei servizi di pagamento, retta anch’essa da un criterio di imputazione a carattere oggettivo, dal quale il titolare del trattamento si libera soltanto provando che l’evento dannoso non gli è in alcun modo imputabile. La convergenza tra tutela del risparmio e tutela del dato personale, qui, non è retorica: è la chiave di volta della decisione.

La pronuncia non è isolata. Il medesimo Ufficio del Giudice di Pace di Empoli, con la sentenza n. 32/2026 del 19 marzo 2026 (Est. Laneve), aveva già condannato un istituto di credito alla restituzione di una somma oggetto di bonifico fraudolento disposto in orario notturno verso un conto estero, mediante un malware camuffato da aggiornamento di un’applicazione di uso comune. In quella sede il Giudice aveva fissato alcuni principi che tornano, coerenti, nella decisione in commento: l’implementazione della Strong Customer Authentication non costituisce di per sé esimente se il sistema si rivela aggirabile; i log informatici e gli alert (SMS o push) hanno natura meramente informativa e non si convertono, a posteriori, in presunzione di consenso, tanto più se inviati in orario notturno e intercettabili dal malware; gli “indicatori di anomalia” (orario inconsueto, beneficiario mai utilizzato, IBAN estero, importo significativo) impongono all’intermediario un obbligo di monitoraggio e di blocco preventivo dell’operazione sospetta.

La lettura congiunta delle due decisioni consente di apprezzare un dato di sistema: a prescindere dallo strumento tecnico della frode, ovvero trojan bancario nel primo caso, attivazione fraudolenta di una carta nel secondo, il baricentro della responsabilità resta fermo in capo all’intermediario, chiamato a rispondere del corretto funzionamento e della sicurezza del sistema di pagamento che gestisce.