Man in the browser: la responsabilità bancaria secondo le decisioni dell’ABF

Laddove, dunque, l’intermediario non riesca a dimostrare una simile responsabilità in capo all’utente, quest’ultimo non sopporterà le conseguenze dell’uso inappropriato dello strumento di pagamento, se non nei limiti, eventualmente stabiliti dall’intermediario, di una franchigia non superiore a 50 euro (art. 12, commi 1 e 3, d.lgs. n. 11/2010).

Peraltro, se la scelta legislativa di far gravare l’onere della prova sul prestatore di servizi di pagamento si ispira alla logica che costui è il soggetto meglio in grado di gestire il rischio, facendo ricadere il danno derivante dall’uso fraudolento di strumenti di pagamento – mediante la sua parcellizzazione – sulla massa degli utenti, imputandolo al costo dei servizi resi, nonostante ciò bisogna analizzare i singoli elementi di cui si compone l’art. 10 in relazione al caso concreto, nel quale:

• da un lato, si assiste alla messa a disposizione da parte della banca di strumenti di pagamento – teoricamente – in linea con la più avanzata tecnologia;
• dall’altro, si è dinanzi alla mera dichiarazione da parte del cliente di non aver autorizzato il servizio che ha causato la deminutio patrimonii sul proprio conto corrente15.

Sotto il primo aspetto, il Collegio di Coordinamento, nella succitata decisione, ha evidenziato come la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non vi sia stata una défaillance del servizio, non esaurisce l’onere probatorio posto a carico dell’intermediario, dovendo quest’ultimo dimostrare che non vi siano stati “altri inconvenienti”.

D’altro canto, per evitare di prospettare una quasi sistematica responsabilità della banca che fornisce il servizio di home banking, i Collegi di Milano16 e di Napoli17 hanno rimarcato la necessità di collocare l’evento contestato nelle circostanze del singolo caso, al fine di valutare se tale contesto sia sufficiente a dimostrare che l’indebita autorizzazione conferita mediante l’utilizzazione dei codici dispositivi sia frutto o meno di una grave negligenza dell’utente.

Tale evidente squilibrio che la normativa speciale determina nel rapporto tra intermediario e cliente, trova la sua ratio in una politica “social-commerciale”, secondo la quale tale disciplina è evidentemente ispirata al principio del “rischio di impresa”, ossia all’idea secondo la quale “è razionale far gravare i rischi statisticamente prevedibili legati ad attività oggettivamente pericolose, che interessano un’ampia moltitudine di consumatori o utenti, sull’impresa, in quanto quest’ultima è in grado, attraverso la determinazione di prezzi di vendita dei beni o di fornitura del servizio, di ribaltare sulla masse dei consumatori e degli utenti il costo dell’assicurazione di detti rischi. Si tende, in altri termini, a spalmare sulla moltitudine degli utilizzatori il rischio dell’impiego fraudolento”18 dei mezzi di pagamento, in modo da evitare che esso gravi esclusivamente e direttamente in capo al singolo pagatore.

Sul punto, il Collego di Milano, tenuto conto dell’asimmetrico rapporto fra prestatore di servizi ed utente, ha costantemente sostenuto la netta responsabilità del primo in assenza dei più avanzati accorgimenti tecnici di prevenzione19, mentre l’ha esclusa, in tutto o in parte, qualora il cliente, pur debitamente informato della disponibilità tecnologica più innovativa del momento, ometta comunque di avvalersene20.

Al riguardo, stando all’impostazione Milanese, lo strumentario avanzato di sicurezza è stato individuato nella messa a disposizione da parte dell’intermediario di apparecchio token o comunque nel sistema di invio di codice OTP su dispositivo personale dell’utente, ossia congegni capaci di generare mutevoli password monouso che, sommandosi alla password fissa conosciuta solo al cliente, concorrono a formare il sistema di autenticazione c.d. “a due fattori”21.

Pertanto, la corretta adozione di un sistema a due fattori da parte dell’intermediario, caratterizzato da un livello elevato di capacità protettiva, fonderebbe una presunzione di colpa grave in capo al cliente, consistente nel non aver custodito con la dovuta diligenza i dispositivi personali necessari per l’utilizzo del sistema di pagamento22.

Detto orientamento, tuttavia, è stato parzialmente rinnegato dal Collegio Napoletano, il quale, pur confermando la capacità protettiva del sistema OTP, ha escluso l’automatismo deduttivo cui si ispira la tesi milanese, per concludere che l’impiego del sistema a due fattori, di per sé, non vale a fondare la presunzione di colpa grave in capo all’utente, bensì ad indurre l’Arbitro ad una valutazione più rigorosa della sua condotta23.

Il Collegio di Roma, sulla scia di quello partenopeo, ha negato l’automatismo di presunzione di colpa fondato sulla teoria milanese, dovendosi al contrario apprezzare, oltre al meccanismo offerto, anche l’intero sistema di controlli approntato dall’intermediario, e potendosi con ciò concludere che la captazione dei codici ad opera di terzi non autorizzati ben possa avvenire in presenza di una pur diligente condotta da parte dell’utente24.

Questo diverso orientamento è stato poi nuovamente confermato dallo stesso Collegio di Milano25, secondo il quale, nonostante la diligenza del bonus nummarius ed il sistema di autenticazione a due fattori, in assenza della provata colpa grave in capo al cliente, l’intermediario è tenuto al risarcimento. Viene ribadito infatti che, vista la natura particolarmente insidiosa del MITB e le comuni competenze informatiche dell’utente medio, risulta praticamente impossibile imputare a quest’ultimo una colpa negligente, rendendo così, ex facto, quasi sistematica l’automatica responsabilità della banca.

Del resto, un consolidato orientamento giurisprudenziale, al quale l’ABF aderisce pienamente, ritiene che la circostanza che operazioni di pagamento disconosciute dal cliente siano avvenute mediante l’uso di codici di accesso personalizzati non è indice incontrovertibile della violazione da parte del cliente dell’obbligo di diligente custodia di detti codici26, in quanto sono oggi largamente diffuse tecniche e tecnologie sofisticate, le quali consentono di carpire gli altrui codici di accesso personalizzati senza alcuna cooperazione colposa da parte del cliente, come appunto nelle ipotesi di “Man in the browser”.

Il MITB, infatti, viene sovente descritto come un software particolarmente insidioso che, a differenza delle fattispecie “classiche” (phishing), dove l’aggiramento dei presidi informatici di sicurezza e la circonvenzione del cliente avvengono attraverso metodi ormai più che noti (p.e., email o sms civetta; false comunicazioni via telefono) che il cliente, mediamente diligente, è oggettivamente in grado di schivare, diversamente, nel MITB l’appropriazione indebita dei codici di sicurezza personali dell’utente avviene attraverso un meccanismo più subdolo, in grado di sorprendere la buona fede anche di un pur normalmente attento fruitore del servizio27.

In questi casi, stando alla decisione “madre” n. 3498/2012, per quanto sia innegabile che l’utente, cadendo nella trappola informatica, collabori indirettamente all’esecuzione della frode, il MITB è una fattispecie da tenere ben distinta dai casi di phishing.

Nel phishing, infatti, l’utente è vittima di una “colpevole credulità”, in quanto comunica le proprie credenziali di autenticazione al di fuori del circuito operativo dell’intermediario, abboccando a forme di truffa ormai note anche ai non esperti della materia, non tenendo conto anche delle abbondanti campagne preventive adottate dagli istituti bancari in tema di cybercrimes. Spesso, infatti, le email truffaldine appaiono redatte usando un linguaggio maccheronico o comunque con evidenti errori nel lessico o addirittura nel logo della banca.

Nel MITB, invece, il subdolo congegno di infezione si attua attraverso “un sofisticato metodo di intrusione caratterizzato da un effetto sorpresa capace di spiazzare l’utilizzatore, grazie alla perfetta inserzione nell’ambiente informatico originale e nella correlata simulazione di un messaggio che a chiunque non potrebbe apparire che genuino, posto che l’unica differenza consta nell’acronimo del protocollo di trasferimento, individuato come un normale http e non già come un https protetto. Ma va da sé che una simile variazione, che compare solo nella stringa di intestazione della video-schermata mischiata ad almeno cinquanta o sessanta ulteriori caratteri, barre e altri segni di punteggiatura informatica, sfugge normalmente all’attenzione di chiunque si accosti ad una pagina della rete e più che mai sfugge a chi si accosti alla pagina di un sito bancario per compiere un’operazione”. Pertanto – prosegue il Collegio – l’esclusione di qualsivoglia tipo di colpa anche lieve, è usualmente comprovata dalla denuncia di frode tempestiva da parte del cliente, sia alle autorità locali, che alla Banca (secondo le modalità stabilite nel contratto quadro per il disconoscimento dell’operazione).

Inoltre, precisa il Collegio, non si può altrettanto parlare di colpa del ricorrente qualora non abbia attivato il servizio di SMS alert. Questo perché tale servizio rappresenterebbe comunque una tutela ex post per il cliente e pertanto non vale ad esonerare l’intermediario dall’approntamento di servizi di protezione avanzati, atti a prevenire il compimento stesso della frode28. Così come non può negarsi che l’efficienza del servizio SMS alert dipenda, tra l’altro, da una serie di elementi che in parte sfuggono al controllo dell’utente (p.e., funzionalità della linea telefonica), in parte presupporrebbero una condotta obiettivamente inesigibile, ossia la costante e ininterrotta sorveglianza del proprio cellulare.

Ad ulteriore tutela del cliente, non si può nemmeno considerare colpa grave la condotta di chi non si sia avvalso degli strumenti tecnologici a protezione del sistema offerti dalla Banca, qualora questi siano genericamente menzionati nel documento di sintesi ovvero nel foglio informativo (contrariamente a quanto invece sostenuto nella cit. Dec. 528/2012).

Una menzione di particolare rilievo a tutela parziale degli istituti di credito, va ravvisata nella Dec. n. 12501/2019 Coll. Roma, ove, pur confermandosi la natura particolarmente insidiosa del MITB e la relativa precarietà del servizio SMS alert, è stato riconosciuto un “concorso di colpa” nella misura del 50% nel caso in cui l’utente si accorga solo dopo un tempo significativo della difformità delle operazioni eseguite (nella fattispecie, sei giorni dopo l’esecuzione del bonifico a diverso IBAN, quando ormai gli effetti del pagamento sono da considerarsi consolidati).

Più recentemente, l’orientamento testé accennato è stato confermato anche dal Collegio di Napoli, riguardo ad una email inviata dalla banca e letta dal cliente solamente il giorno seguente e riepilogante i dati del pagamento disconosciuto29.

La presenza di un virus nel proprio pc, quindi, non è di per sé indice di una negligenza di custodia da parte dell’utente, sia in considerazione delle spiccate capacità del MITB di aggirare i controlli di antivirus e firewall, sia perché, una delle caratteristiche proprie del servizio di home banking è la sua accessibilità da qualsivoglia postazione informatica, e quindi con diverso indirizzo IP da quello usuale o domestico dell’utente, cosicché non può escludersi l’eventuale presenza di malware in altri computer messi a disposizione dell’utente e conseguentemente desumersi la sua colpa nell’essersene avvalso (basti pensare all’utilizzo di pc in un Internet Café per il quale sembrerebbe assurdo imporre all’utente la verifica ed il corretto funzionamento dei presidi di sicurezza).

A riprova di quanto sopra, l’art. 8, comma 1, lett. a), impone espressamente al prestatore di servizi doveri di sicurezza a garanzia dell’utente. Pertanto, considerati anche i presidi e gli uffici interni di ICT o comunque di security ovvero l’eventuale presenza di società informatiche di cui può avvalersi una banca nell’attuazione e messa a disposizione del servizio di home banking, non può che essere onere di questa adottare strumenti in grado di respingere simili attacchi o intrusioni.

Qualora, invece, l’intermediario riesca a dimostrare la condotta fraudolenta dell’utente ovvero la sua mancata osservanza degli obblighi nascenti dall’art.7, con dolo o colpa grave, quest’ultimo sopporta tutte le perdite derivanti dalle operazioni di pagamento non autorizzate, salva la non applicazione, in questo caso, della franchigia di €50 di cui all’art.12, comma 3.

In conclusione, alla luce delle varie pronunce ABF, ogni qualvolta si verifichi un accesso non autorizzato al servizio online della banca, quest’ultima, in virtù del principio di rischio di impresa consacrato dal Collegio di Coordinamento, risponde ai sensi dell’art. 2050 c.c. (“Responsabilità per l’esercizio di attività pericolose”), trattandosi in sostanza di una forma di responsabilità oggettiva aggravata, nella quale l’intermediario ha l’onere di dimostrare non solo “di aver adottato tutte le misure idonee ad evitare il danno”, ma anche l’inescusabile colpevolezza a carico dell’utente30.

4. La strong customer authentication

Di notevole rilievo sono i nuovi commi 2-bis e 2-ter introdotti dalla normativa PSD2 nell’art. 12. In particolare si presuppone che, fatta salva sempre l’ipotesi in cui il pagatore abbia agito in modo fraudolento, questi non sopporta alcuna perdita se l’intermediario non esige un’”autenticazione forte del cliente” (c.d. strong customer authentication).

Il pagatore, inoltre, non subisce alcuna perdita se lo smarrimento, la sottrazione o l’appropriazione indebita dello strumento di pagamento non potevano essere notati dallo stesso prima di un pagamento, salvo il caso in cui abbia agito fraudolentemente o se la perdita è stata causata da atti od omissioni di dipendenti, agenti o succursali del prestatore di servizi di pagamento (o dell’ente cui sono state esternalizzate eventualmente le attività).

Circa il concetto di autenticazione forte, la cui normativa tecnica di riferimento è contenuta nel Regolamento Delegato della Commissione (UE) 2018/389, il nuovo art. 10-bis D.Lgs. 10/2011, in conformità dell’art. 98 della direttiva UE 2015/2366, prevede che i prestatori di servizi di pagamento ne dispongano l’applicazione quando l’utente:

1. acceda al suo conto di pagamento on-line,
2. disponga di un’operazione di pagamento elettronico;
3. effettui una qualsiasi azione, tramite un canale a distanza, che può comportare un rischio di frode nei pagamenti o altri abusi (comma 1).

Inoltre, nel caso di operazioni di pagamento elettronico a distanza, l’autenticazione forte deve ricomprendere elementi che colleghino “in maniera dinamica”31 (c.d “dinamic linking”) l’operazione ad un importo ed un beneficiario specificati (comma 2), tramite la generazione di un codice univoco di autenticazione (es., codice OTP).

L’autenticazione forte, come previsto dall’art. 4, comma 1, del Regolamento, si basa su due o più elementi che sono classificati nelle seguenti categorie:

1. conoscenza: qualcosa che solo l’utente conosce (es., password);
2. possesso: qualcosa di personale e di esclusivo possesso (es., smartphone, token)
3. inerenza: qualcosa di riconducibile unicamente alla persona interessata (es., impronta digitale, riconoscimento facciale).

Da ultimo, ma non di minore importanza, è la previsione d’indipendenza di cui all’art. 9, comma 1, del Regolamento, secondo cui i prestatori di servizi di pagamento assicurano che “l'utilizzo degli elementi di autenticazione forte del cliente sia soggetto a misure volte a garantire che, in termini di tecnologia, algoritmi e parametri, la violazione di uno degli elementi non comprometta l'affidabilità degli altri elementi”.

Pertanto, come del resto riconosciuto dall’Arbitro32, la piena operatività del sistema di autenticazione multifattore “si fonda sull’indipendenza tra le singole misure di sicurezza. L’esistenza di una relazione funzionale tra di esse consente di eludere il doppio controllo delle credenziali, e rendere, nei fatti, il sistema di autenticazione (non più forte ma) debole”.

Sul tema della SCA si è recentemente espresso il Collegio di Bologna33 in un caso di disconoscimento di bonifico, dove l’inquadramento della fattispecie, se phishing o MITB, è stato reputato irrilevante. Al riguardo, la prova liberatoria a carico della banca a sostegno della corretta autenticazione delle operazioni, è stata ritenuta sufficiente nei seguenti termini:

• produzione delle tracciature informatiche del pagamento disconosciuto;
• evidenza dell’invio di SMS contenente il codice OTS (one time sms) di autorizzazione della transazione riepilogante l’importo da bonificare ed il nominativo del beneficiario (visto il sistema antifrode della banca che, nel caso de quo, ha rilevato come “sospetta” l’operazione);
• tracciatura dei log ove si evinca il corretto inserimento dei dati (username, password e OTP) e del codice OTS, necessario per sbloccare l’operazione classificata come sospetta, inviato tramite SMS sul numero appartenente al ricorrente.

Va inoltre rilevato come, nel caso suindicato, l’operazione fraudolenta sia avvenuta anche tramite l’inserimento del codice OTP generato dal token, quest’ultimo nel possesso esclusivo del cliente. L’adozione di un dispositivo come il token, infatti, che genera un algoritmo conosciuto solo ai server della banca, peraltro di durata temporale limitata (usualmente inferiore a 20 secondi), è stato ritenuto un elemento di sicura garanzia poiché, salvo ovviamente il caso di smarrimento o furto, non consente l’accesso al sistema informatico da parte di terzi, se non per mezzo di una collaborazione da parte del soggetto raggirato.

Tale sistema del token, vista la natura “usa e getta”, è da ritenersi conforme alla previsione “dinamica” di cui al nuovo art. 10-bis, comma 2.

Discriminante, quindi, a prescindere dal corretto inquadramento della fattispecie, è risultato l’invio da parte della banca di un SMS contenente il codice OTS ad ulteriore conferma dell’operazione di pagamento, da ritenersi aggiuntivo all’autenticazione a due fattori.

A riprova della necessarietà degli indici di anomalia a supporto del sistema di autenticazione forte, il Collegio di Roma34 ha confermato che “l’intermediario, qualora abbia fornito prova del corretto utilizzo di tale sistema [di autenticazione a due fattori], ha compiutamente assolto gli oneri probatori a suo carico ai sensi del d.lgs. 11/2010, a meno che non constino indici di anomalia delle operazione contestate”. Nel caso di specie, infatti, l’Arbitro ha ritenuto la banca responsabile per la mancata attivazione del sistema antifrode, poiché agli atti “non risulta evidenza di elementi che avrebbero consentito alla ricorrente di avvedersi della non coincidenza del beneficiario finale del bonifico rispetto a quello originariamente indicato e di provvedere alla tempestiva revoca dell’ordine di pagamento”.

A sostegno della posizione, lo stesso Collegio di Roma35, ha confermato la responsabilità della banca in assenza di evidenze attestanti il servizio di SMS alert, il quale avrebbe consentito al cliente la conoscenza della frode e la sua conseguente attivazione per il disconoscimento formale. Peraltro, conclude l’Arbitro, “in presenza di una frode riconducibile al MITB (…) non è ravvisabile una condotta gravemente colposa del pagatore”. Infatti, ai sensi dell’art.12, comma 2-ter, D. Lgs. 11/2010, è escluso, in assenza frode, che il cliente possa sopportare la perdita economica derivante dallo smarrimento, sottrazione o appropriazione indebita di uno strumento di pagamento (cui possono essere parificate le credenziali di accesso al servizio home banking) se tali circostanze non potevano essere notate prima di un pagamento.

5. Conclusioni

Alla luce delle decisioni dell’ABF esaminate e della normativa speciale vigente, possiamo quasi ritenere che il sistema, in presenza di una frode attuata secondo i meccanismi del MITB, imponga alla banca resistente una sorta di “probatio diabolica”.

In merito, giova richiamare il già menzionato arresto del Collegio di coordinamento, Dec. n. 2275/2019, secondo il quale “l’onere probatorio previsto nei commi 1 e 2 dell’art. 10 del D.Lgs. 11/2010 deve necessariamente essere assolto dal prestatore di servizi di pagamento con riguardo ad ambedue i profili (autenticazione ed esecuzione delle operazioni di pagamento, nonché colpa grave dell’utilizzatore), da ritenersi necessari e complementari. (…) Ne consegue che, ne, caso in cui l’intermediario si limiti a produrre il log informatico relativo all’operazione contestata, senza altra allegazione diretta a comprovare, in via presuntiva, l’apporto causale del ricorrente nel compimento della stessa, senza condizionamenti, interferenze, deviazioni, hacker o altre anomalie risultanti dai sistemi antifrode o comunque dai dati conoscitivi in suo possesso, il Collegio dovrà ritenere non assolto l’onere probatorio (…). Il che appare coerente con i principi del processo civile sull’onere della prova”.

Ed è appunto la prova della condotta del cliente a carico dell’intermediario a suscitare le maggiori perplessità, perché, allo stato attuale, questa può dirsi assolta, almeno parzialmente, solo in presenza di indici di anomalia autorizzati o quantomeno ignorati dal cliente (es. conferma codice OTS o lettura tardiva di comunicazioni riepiloganti il pagamento inviate dalla banca via sms/mail), ovvero in presenza di inescusabili violazioni dei doveri di custodia con riguardo alle credenziali di sicurezza personalizzate, non potendosi ritenere sufficiente il solo sistema di autenticazione a due fattori.

La banca ha infatti l’onere di indicare una serie di elementi di fatto che connotino le modalità esecutive dell’operazione dai quali possa trarsi, anche solo in via presuntiva ex art. 2729 c.c., la colpa grave, il dolo ovvero la condotta fraudolenta del cliente.

Con siffatto meccanismo, a fronte del principio ispiratore di rischio d’impresa, si può certamente affermare che la disciplina configuri in capo all’intermediario, per la quota eccedente la franchigia, una sorta di responsabilità oggettiva che può essere superata solo dalla prova, da esso fornita, della colpa, del dolo o della frode del cliente, al quale potranno essere attribuiti i danni per l’uso illecito dello strumento36.

Nella prassi, come ben si può constatare nei vari contro-ricorsi da parte delle banche, la tendenza è quella di provare a declassare a fattispecie di phishing i (presunti) casi di MITB, poiché, visto l’orientamento dominante, risulti più facile ottenere il respingimento del ricorso, fondando le proprie tesi difensive sulla colpevole credulità da parte del cliente, qualificabile quindi come colpa grave in quanto al di sotto degli standard minimi del navigante medio.

A parer di chi scrive, pur ritenendo condivisibile il principio del rischio d’impresa, vista l’organizzazione ed i presidi tecnici di sicurezza che normalmente stanno dietro ad un intermediario, e vista anche l’innegabile natura di “parte debole” che assume il cliente, tuttavia, come spesso accade nelle frodi di piccoli importi, la banca resistente non ha la convenienza economica di mettere in atto tutte le strategie idonee a provare la colpa grave del cliente37. Conseguentemente, nel caso il cliente, apparentemente raggirato, riesca a celare la sua natura di abile hacker, avrebbe dalla sua parte anche uno speciale regime di favore probatorio.

1  Al riguardo vd. Coll. Bologna, Dec. n. 23046/2019, nei quali la vittima, anziché tramite email, viene ingannata tramite sms o chiamata vocale.

2  Andrea Capitanelli, Man-in-the-browser, il malware che spia le connessioni Internet: come proteggersi, 05/10/2018, in Cybersecurity360.it

3  In senso conforme vd. anche Coll. Milano, Dec. n. 822/2014.

4  Al riguardo, Coll. Roma, Dec. n. 1363/2014, parla espressamente di “maschera fake di login interposta fra il PC del cliente e la pagina stessa di login”.

5  Conosciuta anche come Payment Services Directive (PSD).

6  C.d. PSD2.

7  Consiste in un comportamento improntato a negligenza o imprudenza straordinarie e del tutto inescusabili, al di sotto di quel grado minimo ed elementare di diligenza generalmente osservato da tutti: cfr. Cass., 19/11/2001, n. 14456. Sul punto cfr. Coll. Roma, Dec. n. 20519/2019.

8  In tal senso vd. anche Coll. Bologna, Dec. n. 7258/2020.

9  Cass., sez. I civ., 24/09/2009, n. 20543 secondo cui “la diligenza del buon banchiere deve essere qualificata dal maggior grado di prudenza e attenzione che la connotazione professionale dell’agente consente e richiede”; si veda anche Cass., sez. I civ., 12/06/2007, n. 13777 ove si ha l’affermazione del medesimo principio con riguardo agli strumenti aventi funzione di pagamento o che comunque si avvalgono di mezzi meccanici o elettronici.

10  Coll. Roma, Dec. n. 960/2012; Coll. Milano, Decc. nn. 2191/2012 e 1725/2012.

11  In merito vd. anche Coll. Bari, Dec. n. 13094/2017 che riporta la Cass., sez. I civ. 03/02/2017, n. 2950: secondo la S.C. la disciplina speciale, in tema di strumenti di pagamento, ha esplicitato un principio generale, in tema di onere probatorio a carico del debitore professionale, nelle azioni di risoluzione contrattuale, risarcimento del danno o adempimento, “in quanto si è ritenuto che non può essere omessa la verifica dell’adozione da parte dell’istituto bancario delle misure idonee a garantire la sicurezza del servizio […]; infatti la diligenza posta a carico del professionista ha natura tecnica e deve essere valutata tenendo conto dei rischi tipici della sfera professionale di riferimento ed assumendo quindi come parametro la figura dell’accorto banchiere” (sulla scia di Cass., 12/06/2007, n. 13777. In senso conforme, cfr., da ultimo, Cass., 12/04/2018, n. 9158).

12  Comma così come modificato dall’introduzione della PSD2, poiché originariamente era prevista una sola comunicazione per iscritto al cliente.

13  Art. 8, comma 1, lett. A) del D. Lgs. 11/2010.

14  Il termine non opera qualora l’intermediario abbia omesso di fornire o mettere a disposizione del cliente le informazioni relative all’operazione di pagamento, secondo quanto previsto dal TUB in materia di trasparenza.

15  Vd. in merito Coll. Coord., Dec. n. 3947/2014. In senso conforme: Coll. Coord., Dec. n. 3498/2012; Coll. Coord., Dec. n. 991/2014. Sul rischio d’impresa, cfr. ex multis Coll. Roma, Dec. n. 665/2010.

16  Dec.. n. 2594/2012.

17  Dec. n. 1802/2013.

18  Coll. Roma, Dec. n. 1111/2010 e ripresa anche nella cit. Dec. 3498/2012.

19  Decc. nn. 111/2012 e 113/2012.

20  Dec. 528/2012.

21  Anche se non manca chi sostiene il “triplice fattore”, includendovi la username.

22  In tal senso si vedano anche le Decisioni ABF, Coll. Bologna, n. 16070/2017, Coll. Napoli, nn. 7483/2017 e 11189/2016, Coll. Milano, nn. 9817/2017 e 7922/2017.

23  Coll. Napoli, Dec. 3192/2012; vd. anche Coll. Roma, Dec. n. 1910/2012.

24  Coll. Roma, Decc. nn. 2264/2012; 2660/2012; 1910/2012.

25  Dec. n. 3857/2013.

26  Trib. Roma, sez. XIII civ., 20/03/2006. Vd. anche Coll. Roma, Decc. nn. 473/2010; 499/2010; 612/2010; 1422/2010; 230/2011; 482/2011; Coll. Napoli, Dec. n. 1162/2011; 1192/2011; Coll. Milano, Dec. n. 878/2011.

27  Sulla distinzione tra le fattispecie, cfr. Coll. Torino, Dec. n. 21306/2019 e Coll. Roma, Dec. n. 26235/2019.

28  In tal senso vd. anche Coll. Roma, Dec. n. 516/2013.

29  Dec. n. 150/2020; in senso conforme vd. anche le Decc. nn. 152/2020; 167/2020.

30  Del resto, anche la giurisprudenza di merito ha confermato che “La corretta operatività del servizio bancario mediante collegamento telematico rientra a pieno titolo nel rischio d’impresa, con la conseguenza che grava sulla Banca una responsabilità di tipo oggettivo o semi oggettivo, da cui la stessa va esente solo provando quantomeno in via presuntiva che le operazioni contestate dal cliente sono allo stesso riconducibili”, Trib. Parma, 06/09/2018. In senso conforme vd. anche Cass. civ., sez. VI, 12/04/2018, n. 9158.

31  Per una compiuta analisi dei requisiti tecnici, vd. art. 5 Regolamento Delegato.

32  Coll. Milano, Decc. 5895/2020 e 1066/2019.

33  Dec. n. 23847/2019.

34  Decc. nn. 24387/2019; 10748/2019; 24759/2018. In senso conforme vd. anche Coll. Bari, Dec. n. 24455/2019.

35  Dec. n. 1348/2020.

36  In tal senso vd. Coll. Roma, Dec. 510/2013.

37  Una di queste potrebbe essere una perizia tecnica sul pc del cliente comprovante la totale assenza di antivirus o l’abituale frequenza di siti non protetti, che comunque richiederebbe un’autorizzazione da parte dell’autorità giudiziaria; oppure riuscire a dimostrare la qualifica di esperto informatico del cliente, p.e., per motivi di lavoro, al fine di addivenire, quanto meno, ad un concorso di colpa.

TI È PIACIUTO QUESTO CONTENUTO?Iscriviti ad Altalex e resta sempre informa