Frodi online e pagamenti non autorizzati: il rimborso della banca deve essere immediato, anche in caso di presunta colpa grave del cliente
La diffusione delle frodi informatiche ha reso sempre più frequenti le contestazioni relative a bonifici, prelievi e pagamenti eseguiti mediante credenziali sottratte con tecniche di phishing, smishing o vishing.
In questo contesto, la sentenza della Corte di giustizia dell’Unione europea richiamata nell’articolo oggetto di analisi — causa C‑70/25 — introduce una precisazione di particolare rilievo: il prestatore di servizi di pagamento non può rifiutare immediatamente il rimborso dell’operazione non autorizzata soltanto perché ritiene che il cliente abbia agito con negligenza grave.
La questione della colpa grave può assumere rilievo, ma in un momento successivo e secondo una logica distinta da quella del rimborso iniziale.
Il principio: prima il rimborso, poi l’accertamento della responsabilità definitiva
L’articolo 73 della direttiva PSD2 stabilisce che, in caso di operazione non autorizzata, il prestatore di servizi di pagamento deve rimborsare al pagatore l’importo dell’operazione «immediatamente e, in ogni caso, non oltre la fine della giornata lavorativa successiva» a quella in cui ha rilevato l’operazione o ne è stato informato.
La disciplina europea contempla una sola deroga: il prestatore può sospendere il rimborso qualora abbia ragionevoli motivi per sospettare una frode commessa dal cliente e comunichi tali motivi per iscritto all’autorità nazionale competente.
La normativa italiana recepisce tale regola all’articolo 11 del decreto legislativo n. 11 del 2010. Il prestatore deve rimborsare l’importo dell’operazione non autorizzata «immediatamente e in ogni caso al più tardi entro la fine della giornata operativa successiva» a quella in cui viene a conoscenza dell’operazione o riceve la relativa comunicazione. La disposizione prevede inoltre che il conto sia riportato nella situazione in cui si sarebbe trovato se l’operazione non fosse stata eseguita.
La conseguenza sistematica è significativa: la banca non può trasformare la fase del rimborso in un giudizio anticipato sulla condotta del cliente. La contestazione della negligenza grave non elimina, di per sé, l’obbligo restitutorio immediato.
Ciò non significa, tuttavia, che il cliente sia sempre e definitivamente esonerato dalle perdite. Il sistema distingue due piani:
il diritto del cliente a ottenere tempestivamente il riaccredito;
l’individuazione, in un momento successivo, del soggetto sul quale debba ricadere in via definitiva la perdita.
Il prestatore può quindi rimborsare il cliente e, successivamente, chiedere la restituzione della somma qualora dimostri che l’operazione è stata resa possibile da un comportamento doloso o gravemente negligente dell’utente.
Il rimborso immediato non equivale a un accertamento definitivo
La distinzione tra rimborso e responsabilità finale è già coerente con la struttura della disciplina italiana.
L’articolo 11, comma 3, del decreto legislativo n. 11 del 2010 stabilisce infatti che il rimborso non impedisce al prestatore di dimostrare, anche in un momento successivo, che l’operazione era stata autorizzata. In tale ipotesi, il prestatore può chiedere direttamente all’utente la restituzione dell’importo rimborsato.
Il meccanismo non attribuisce dunque alla banca una responsabilità definitiva e automatica per ogni operazione contestata. Impone, però, che il rischio finanziario non venga inizialmente trasferito sul cliente mediante un rifiuto unilaterale del rimborso.
La soluzione risponde a una precisa esigenza di tutela: se fosse sufficiente che la banca dichiarasse di ravvisare una negligenza grave, il cliente sarebbe costretto ad avviare un procedimento giudiziario per ottenere ciò che la legge gli riconosce in via immediata. L’obbligo di rimborso perderebbe così gran parte della propria efficacia.
L’utilizzo delle credenziali non prova, da solo, l’autorizzazione
Uno degli aspetti più rilevanti della disciplina riguarda l’onere della prova.
Ai sensi dell’articolo 10 del decreto legislativo n. 11 del 2010, quando l’utente nega di avere autorizzato un’operazione, spetta al prestatore dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non è stata interessata da malfunzionamenti o altri inconvenienti.
La stessa disposizione precisa che il semplice utilizzo dello strumento di pagamento registrato dal prestatore non è, da solo, necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utente o che questi abbia agito con frode, dolo o colpa grave. Anche la prova di tali circostanze grava sul prestatore.
La distinzione è essenziale:
l’autenticazione dimostra che la procedura tecnica prevista dal sistema è stata utilizzata;
l’autorizzazione attiene invece all’effettivo consenso dell’utente;
la colpa grave riguarda la violazione qualificata degli obblighi di custodia e di utilizzo dello strumento di pagamento.
Un bonifico eseguito dopo l’inserimento di username, password e codice OTP può risultare tecnicamente autenticato senza essere stato effettivamente autorizzato dal titolare del conto. È precisamente ciò che accade nelle frodi di manipolazione dell’utente, nelle quali il cliente viene indotto a fornire i dati a un soggetto che si presenta falsamente come banca, piattaforma di vendita o servizio antifrode.
Gli obblighi del cliente e il rilievo della colpa grave
L’utente deve utilizzare lo strumento di pagamento secondo le condizioni contrattuali e adottare tutte le misure ragionevoli per proteggere le proprie credenziali di sicurezza personalizzate. Deve inoltre comunicare senza indugio lo smarrimento, il furto, l’appropriazione indebita o l’uso non autorizzato dello strumento.
Questi obblighi sono previsti dall’articolo 7 del decreto legislativo n. 11 del 2010.
La violazione dolosa o gravemente negligente di tali obblighi può comportare l’imputazione al cliente dell’intera perdita. L’articolo 12 del decreto legislativo n. 11 del 2010 stabilisce infatti che, in presenza di frode, dolo o colpa grave, non opera il limite ordinario di responsabilità dell’utente.
Negli altri casi, la responsabilità del pagatore può essere limitata alla perdita derivante dall’utilizzo indebito dello strumento, entro il limite massimo previsto dalla legge.
La colpa grave non coincide, però, con qualsiasi errore o imprudenza. Deve trattarsi di una condotta qualificata, incompatibile con il livello minimo di cautela esigibile nel caso concreto. La sua prova non può essere ricavata automaticamente dal solo fatto che i truffatori siano entrati in possesso delle credenziali.
La posizione della Cassazione: il rischio del phishing rientra nell’attività bancaria
La giurisprudenza della Corte di cassazione ha da tempo ricondotto la sottrazione fraudolenta dei codici di accesso nell’area del rischio professionale della banca.
In una delle pronunce più significative, la Cassazione civile, sentenza n. 2950 del 2017, ha affermato che la possibilità di sottrazione dei codici mediante tecniche fraudolente rientra nel rischio d’impresa dell’istituto. La banca deve quindi adottare misure idonee a verificare, prima dell’esecuzione, la riconducibilità dell’operazione alla volontà del cliente.
Non è sufficiente, pertanto, attribuire rilievo all’astratta possibilità che il correntista abbia tenuto una condotta imprudente. Occorre accertare concretamente se l’operazione sia riconducibile alla sua volontà e se il comportamento tenuto abbia integrato dolo o colpa grave.
Lo stesso orientamento è stato ribadito dalla Cassazione civile, ordinanza n. 32075 del 2021, che ha censurato la decisione di merito la quale aveva posto sul cliente l’onere di dimostrare la violazione del sistema informatico della banca. Secondo la Corte, la banca deve provare la riconducibilità dell’operazione al cliente, alla luce della diligenza tecnica esigibile dall’accorto banchiere.
In termini analoghi, la Cassazione civile, ordinanza n. 13204 del 2023, ha escluso che il cliente debba dimostrare di avere utilizzato diligentemente il sistema informatico. Il prestatore deve provare la riconducibilità dell’operazione alla volontà dell’utente, salvo che l’utilizzo dei codici sia riconducibile al dolo o a comportamenti talmente incauti da non poter essere fronteggiati con le misure normalmente esigibili.
Il phishing non determina automaticamente la colpa grave
La giurisprudenza più recente mostra che la valutazione deve essere condotta caso per caso.
La Cassazione civile, sentenza n. 3780 del 2024, ha ricondotto il phishing tra i rischi tipici dell’attività bancaria e ha richiesto alla banca di dimostrare l’adozione di soluzioni idonee a prevenire o ridurre l’uso fraudolento del sistema.
Secondo la Corte, la banca non può limitarsi a dimostrare che le credenziali siano state utilizzate correttamente. Deve anche dimostrare che l’evento dannoso si collochi al di là dello sforzo diligente concretamente esigibile e che il comportamento del cliente abbia raggiunto la soglia della colpa grave.
La Cassazione civile, ordinanza n. 16417 del 2022, ha inoltre precisato che la mera ipotesi astratta di una violazione delle regole di cautela non è sufficiente. La banca deve provare in concreto la condotta dolosa o gravemente colposa del correntista.
La stessa logica emerge dalla Cassazione civile, ordinanza n. 9721 del 2020, che ha posto a carico della banca la prova della corretta esecuzione dell’operazione, dell’assenza di anomalie tecniche e della riconducibilità della disposizione alla volontà del cliente.
La giurisprudenza di merito: conta il comportamento concreto
Le decisioni di merito più recenti confermano che non esiste una risposta uniforme per ogni ipotesi di phishing.
Il Tribunale di Venezia, sentenza n. 5581 del 2025, ha escluso la colpa grave del cliente che aveva cliccato su un link fraudolento, ma rispetto al quale la banca non aveva dimostrato che fosse stato anche comunicato il codice OTP necessario per completare l’operazione. Il semplice accesso al link non è stato ritenuto sufficiente per imputare al cliente l’intera perdita.
Di segno diverso è la decisione del Tribunale di Santa Maria Capua Vetere, sentenza n. 149 del 2026, che ha ravvisato la colpa grave nella comunicazione volontaria a terzi delle credenziali e dei codici autorizzativi dinamici, valorizzando la specifica condotta dell’utente e la sua incidenza causale sull’esecuzione del bonifico.
Il Tribunale di Bologna, sentenza n. 2540 del 2026, ha invece attribuito rilievo anche all’adeguatezza degli alert inviati dalla banca. Secondo la decisione, l’intermediario deve dimostrare non soltanto il corretto funzionamento tecnico del sistema, ma anche l’idoneità concreta delle comunicazioni di sicurezza a consentire al cliente di comprendere il rischio e adottare tempestive contromisure.
Ne deriva che la valutazione della colpa grave richiede l’esame complessivo di diversi elementi:
il contenuto del messaggio fraudolento;
il grado di sofisticazione della frode;
la condotta del cliente prima e dopo l’operazione;
l’eventuale comunicazione di password, OTP o altri codici;
il contenuto degli alert inviati dall’intermediario;
l’importo e la destinazione dell’operazione;
la presenza di anomalie rispetto alla normale operatività del conto;
i tempi della segnalazione alla banca;
le misure di sicurezza concretamente adottate dal prestatore.
La tempestività della contestazione resta essenziale
Il diritto al rimborso presuppone che il cliente comunichi l’operazione non autorizzata senza indugio e comunque entro il termine massimo di tredici mesi dall’addebito, secondo l’articolo 9 del decreto legislativo n. 11 del 2010.
La Corte di giustizia ha distinto il requisito soggettivo della comunicazione senza indugio dal termine oggettivo di tredici mesi. Nella sentenza della Corte di giustizia UE n. 598 del 2025, la Corte ha chiarito che il mero rispetto del termine di tredici mesi non esclude ogni valutazione sul ritardo, ma che la perdita del diritto al rimborso per tardiva comunicazione richiede una condotta intenzionale o gravemente negligente.
Sul piano pratico, il cliente dovrebbe quindi:
bloccare immediatamente lo strumento di pagamento;
contestare formalmente ogni singola operazione;
conservare messaggi, e-mail, numeri di telefono e schermate;
presentare denuncia all’autorità di polizia;
chiedere alla banca la documentazione tecnica relativa all’autenticazione e agli alert;
evitare di limitarsi a una comunicazione telefonica non documentata.
La tempestività non risolve da sola la controversia, ma evita che il comportamento successivo alla scoperta della frode diventi un ulteriore elemento a carico dell’utente.
L’orientamento europeo rafforza, ma non cancella, la responsabilità del cliente
La novità principale della pronuncia europea non consiste nell’escludere la rilevanza della colpa grave. La direttiva PSD2 e il decreto legislativo n. 11 del 2010 continuano a prevedere che il cliente possa essere chiamato a sopportare integralmente le perdite quando abbia agito con frode o abbia violato con dolo o colpa grave gli obblighi di sicurezza.
La novità riguarda il momento in cui tale questione deve essere affrontata.
La banca non può rifiutare il rimborso immediato sulla base di una propria valutazione unilaterale e non ancora dimostrata. Deve prima adempiere all’obbligo restitutorio, salvo il motivato sospetto di frode del cliente comunicato per iscritto all’autorità competente. Potrà poi far valere la responsabilità dell’utente, fornendo la prova della sua condotta e del nesso causale con la perdita.
Il principio produce un effetto di riequilibrio tra le parti: la banca conserva la possibilità di difendersi e di agire in rivalsa, ma il cliente non è costretto ad anticipare i costi e i tempi di una controversia per ottenere il riaccredito di una somma che la legge gli riconosce in via immediata.
Le ricadute operative per banche e clienti
Per gli intermediari, la pronuncia impone una maggiore attenzione alla distinzione tra:
corretta autenticazione tecnica;
effettiva autorizzazione dell’operazione;
eventuale negligenza grave dell’utente;
prova della frode commessa dal cliente.
Una procedura interna che si limiti a rilevare l’utilizzo corretto delle credenziali non appare sufficiente a giustificare il rifiuto del rimborso. Occorre considerare il contesto dell’operazione e documentare gli elementi posti a fondamento dell’eventuale contestazione della condotta del cliente.
Per gli utenti, la pronuncia non autorizza invece comportamenti disattenti. La protezione rafforzata opera soprattutto sul piano del rimborso iniziale, mentre la prova di una comunicazione volontaria dei codici dispositivi, di un ritardo ingiustificato nella contestazione o di altre condotte gravemente imprudenti può condurre alla successiva imputazione della perdita.
Conclusioni
Il quadro risultante dal diritto europeo, dalla normativa italiana e dalla giurisprudenza nazionale può essere sintetizzato in tre principi.
Primo: l’operazione non autorizzata deve essere rimborsata immediatamente, entro il termine previsto dalla legge, salvo il motivato sospetto di frode del cliente comunicato all’autorità competente.
Secondo: l’utilizzo delle credenziali e la corretta autenticazione tecnica non dimostrano automaticamente né l’autorizzazione dell’operazione né la colpa grave dell’utente.
Terzo: la colpa grave può incidere sulla distribuzione definitiva della perdita, ma deve essere provata dal prestatore attraverso elementi concreti e non mediante presunzioni fondate sul solo verificarsi della frode.
La nuova interpretazione europea rafforza quindi la tutela procedurale del cliente senza trasformarla in un esonero generale dalle proprie responsabilità. Il punto di equilibrio resta quello delineato dalla normativa italiana e dalla Cassazione: la banca sopporta il rischio professionale delle frodi prevedibili e tecnicamente fronteggiabili, mentre il cliente risponde quando la sua condotta abbia superato, in concreto, la soglia della negligenza grave.
© Avv. Gabriele Lanzi
Commenti