Phishing: tutela ampia per il correntista, la CGUE conferma il proprio orientamento

I fatti

Una cliente della banca polacca PB. mette in vendita un oggetto su un portale di aste online. Un finto acquirente le invia un link, presentato come proveniente dal portale, per «confermare la vendita». Il link porta a un sito clone, prima della piattaforma e poi della banca. La donna vi inserisce le credenziali dell’home banking. Con quei dati e con il codice di conferma ricevuto via SMS, carpito con lo stesso inganno, il truffatore trasferisce 3.000 zloty (circa 705 euro) su un conto a sé intestato.

Il giorno dopo la cliente avvisa banca e polizia. L’autore della frode non viene identificato. La banca rifiuta il rimborso, sostenendo che la cliente abbia violato con negligenza grave l’obbligo di custodire con diligenza lo strumento di pagamento e le credenziali. In giudizio la banca rivendica anche il potere di valutare da sola i presupposti della responsabilità e di sottrarsi al rimborso ogni volta che ravvisi una condotta gravemente negligente.

La cliente cita la banca davanti al tribunale di Koszalin, che sospende il processo e interroga la Corte di giustizia.

Il giudice polacco chiede se gli articoli 73 e 74 della direttiva 2015/2366 (PSD2) consentano alla banca di rifiutare il rimborso immediato di un’operazione non autorizzata per negligenza grave del cliente.

Nell’ordinanza di rinvio il giudice descrive una prassi che denuncia come sistemica: nessuna banca ha mai citato in giudizio un consumatore per recuperare somme rimborsate a causa della sua colpa grave, mentre i tribunali sono pieni di cause promosse dai clienti contro i rifiuti degli istituti. L’eccezione al diritto al rimborso, osserva, è diventata la regola e l’onere di agire in giudizio è finito sui pagatori, spesso consumatori. L’interpretazione proposta dalla banca, dunque, contraddirebbe lo scopo di tutela del pagatore.

L’articolo 73 impone alla banca di rimborsare subito, al più tardi entro la fine del giorno lavorativo successivo a quello in cui ha avuto notizia dell’operazione, salvo che abbia ragionevoli motivi di sospettare una frode e li comunichi per iscritto all’autorità nazionale competente.

L’articolo 74 disciplina la responsabilità del pagatore. Senza colpa risponde al massimo per 50 euro. Risponde invece senza limiti se ha agito in modo fraudolento o ha violato, con dolo o negligenza grave, gli obblighi dell’articolo 69, tra cui quello di adottare tutte le ragionevoli misure per proteggere le credenziali personalizzate.

L’articolo 72, infine, pone a carico della banca la prova della frode o della negligenza grave.

La banca leggeva l’articolo 74 come una deroga all’articolo 73: se c’è colpa grave, l’obbligo di rimborso immediato cade. La cliente, invece, sosteneva che l’unica eccezione al rimborso immediato è il sospetto di frode del cliente, e che la colpa grave si fa valere dopo aver restituito il denaro.

L’Avvocato generale dà ragione alla cliente, procedendo con i criteri classici: lettera, contesto, finalità.

• Lettera. L’articolo 73 prevede una sola eccezione e non nomina la negligenza grave. L’articolo 74 non parla di tempi di rimborso ma di chi debba sopportare la perdita, e quindi opera in un momento successivo. L’espressione «in deroga all’articolo 73» riguarda la ripartizione finale della responsabilità, non il dovere di restituire subito.

• Contesto. Il considerando 71 ammette un solo caso di ritardo, il forte sospetto di comportamento fraudolento dell’utente comunicato alle autorità. La storia normativa lo conferma: la direttiva del 2007 non prevedeva eccezioni, mentre quella del 2015 ne ha introdotta una sola, circoscritta, per rimediare alla prassi delle banche di opporre la colpa del cliente. A questo si aggiunge la piena armonizzazione (articolo 107), che impedisce agli Stati di aggiungere deroghe a danno degli utenti.

• Finalità della direttiva è quella di puntare a un elevato livello di protezione dei consumatori. Consentire il rifiuto per sola colpa grave costringerebbe il cliente ad agire in giudizio e farebbe rivivere la prassi che il legislatore voleva eliminare. Sarebbe poi paradossale pretendere formalità stringenti per sospendere il rimborso in caso di frode e ammettere con la semplice affermazione della banca una sospensione dagli stessi effetti in caso di negligenza. Coerente con tutto ciò è l’onere della prova a carico della banca (articolo 72).

•Il riaddebito diretto proposto dal governo italiano. Secondo l’Italia, la banca, dopo aver rimborsato, potrebbe riprendersi la somma senza passare dal giudice quando ritenga provata la colpa grave. Il parere la respinge perché non ha base nel testo e, in pratica, rimetterebbe il cliente nella posizione di chi non è mai stato rimborsato, costringendolo ad agire.

• La risoluzione alternativa delle controversie. Italia e Repubblica ceca temevano che la soluzione aggirasse il meccanismo dell’articolo 102. Il parere replica che quel meccanismo copre ogni controversia derivante dalla direttiva, non solo il rimborso immediato.

• Le difficoltà pratiche. L’Avvocato generale riconosce tempi strettissimi per valutare un sospetto di frode, la difficoltà di distinguere in concreto frode e negligenza, il rischio che le banche restringano gli strumenti di pagamento e un possibile minor incentivo alla prudenza dei clienti. Le ritiene però meno gravi degli svantaggi della tesi opposta. Se la norma ha lacune, spetta al legislatore europeo colmarle.

La Corte arriva alla stessa conclusione dell’Avvocato generale recependone nella totalità il ragionamento e utilizzando la stessa architettura. Secondo la Corte, in caso di operazione non autorizzata la banca deve rimborsare subito, al più tardi entro la fine del primo giorno lavorativo successivo, purché il cliente l’abbia informata senza indugio. L’unica eccezione è il ragionevole sospetto di frode commessa dal cliente, comunicato per iscritto all’autorità competente. Il convincimento della banca che il cliente abbia reso possibile l’operazione per negligenza grave, ad esempio non proteggendo le credenziali, non consente il rifiuto.

Il principio che regge la decisione è la distinzione tra due questioni: il rimborso dell’importo e la determinazione di chi debba sopportare definitivamente la perdita. Ne risulta un meccanismo in due tempi. Prima la banca paga. Poi, se dimostra che la perdita deriva da dolo o negligenza grave del cliente, può chiedergli di rifonderla. L’onere di tale prova è a carico della banca.

• Punti 38 e 42. La deroga per colpa grave riguarda solo il carattere definitivo del rimborso. La banca paga in un primo tempo e solo dopo può, se del caso, esigere la restituzione delle perdite «mediante i mezzi di ricorso previsti a tale scopo».

• Punto 45. Ammettere un rifiuto preventivo priverebbe di efficacia l’obbligo di rimborso immediato e costringerebbe l’utente ad assumere l’iniziativa davanti ai giudici, con gli inconvenienti che ne derivano, a cominciare dalle spese processuali.

• Risoluzione alternativa delle controversie. La Corte respinge l’obiezione di Italia e Repubblica ceca: quei meccanismi, come l’Arbitro Bancario Finanziario, coprono ogni controversia sui servizi di pagamento e non possono fungere da filtro obbligatorio da superare prima di ottenere il rimborso.

La Corte motiva richiamando l’obiettivo di un livello elevato di protezione dei consumatori.

Ampio spazio è dedicato all’ordinamento italiano.

Sulla carta cambia poco. L’articolo 11 del d.lgs. 11/2010, che ha recepito la PSD2, già prevede il rimborso entro il giorno lavorativo successivo, con un’unica eccezione: il motivato sospetto di frode del cliente, basato su elementi oggettivi e comunicato alla Banca d’Italia. Con la comunicazione del 30 ottobre 2023 la vigilanza ha precisato che quegli elementi devono rivelare l’intenzione dell’utente, e non di terzi, di raggirare l’intermediario.

Nei fatti cambia molto. Le banche italiane negano il rimborso richiamando la colpa grave. Lo fanno leggendo altre disposizioni dello stesso decreto, che evocano la colpa grave come presupposto per la restituzione delle somme dal cliente alla banca. Una parte della prassi e della dottrina ne ha tratto la possibilità di trattenere preventivamente il denaro, rinviando il correntista a reclamo, ABF o giudice. Secondo la Corte, quelle norme regolano però la ripartizione finale della perdita e non autorizzano il trattenimento. La sentenza chiude questa lettura a livello europeo, con un principio che vincola – è bene ricordarlo- anche i giudici italiani.

L’articolo 11 consente alla banca di dimostrare, anche dopo il rimborso, che l’operazione era stata autorizzata e di chiedere la restituzione. È un meccanismo distinto dalla colpa grave, ma la sentenza obbligherà a chiarirne i confini.

In pratica. Per chi subisce un prelievo fraudolento, il suggerimento è presentare un reclamo scritto che richiami la sentenza C-70/25 e chieda il riaccredito immediato. A doversi attivare dopo è la banca, che per riavere le somme dovrà provare concretamente la negligenza del cliente. Il peso del contenzioso si inverte: la causa, se c’è, la avvia la banca.

La sentenza vale per le operazioni non autorizzate: il pagamento disposto da un terzo senza il consenso del titolare, anche se confermato con credenziali o codici sottratti. Rientrano il bonifico dopo l’inserimento dei dati su un sito clone, come nel caso polacco, l’uso dei dati di una carta clonata per acquisti online e, secondo l’orientamento prevalente dell’ABF, l’operazione confermata con l’OTP dettato al telefono a un finto operatore, o la notifica approvata sull’app credendo di annullare una transazione.

• La segnalazione tempestiva resta condizione dell’intero meccanismo, entro il limite massimo di tredici mesi dall’addebito.

• Le imprese, cioè i clienti non consumatori, possono concordare deroghe ad alcune regole sulla responsabilità del pagatore, compresa la colpa grave: conviene rileggere i contratti.

• Per le frodi da impersonificazione (il truffatore si finge un dipendente della banca), il nuovo regolamento europeo sui servizi di pagamento prevede un diritto al rimborso specifico.

Gli sviluppi da seguire sono due: come i tribunali valuteranno in concreto la negligenza grave (la consegna volontaria delle credenziali a un sito clone la integra sempre?) e come le banche eserciteranno il diritto di recupero. La sentenza lascia aperto il secondo punto, e sarà la giurisprudenza successiva a precisarlo.

_________

*Avv. Prof. Andrea Sganzerla