COLLEGIO DI BOLOGNA. Membro designato dalla Banca d'italia. Membro di designazione rappresentativa. dei clienti FATTO

Transcript

1 COLLEGIO DI BOLOGNA composto dai signori: (BO) MARINARI (BO) MARTINO (BO) LONGOBUCCO (BO) LUCARELLI (BO) MARINARO Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia Membro di designazione rappresentativa degli intermediari Membro di designazione rappresentativa dei clienti Relatore ESTERNI - MARCO MARINARO Seduta del 24/07/2018 Parte ricorrente espone che: FATTO è titolare di una carta di pagamento rilasciata dall intermediario resistente; in data , alle ore 1:06, riceveva un apparentemente proveniente dall intermediario, con il quale veniva invitato a confermare i dati della carta mediante link di collegamento ad una pagina del tutto simile a quella [dell intermediario], cui dava seguito; subito dopo, controllando il saldo della carta, si avvedeva che alle 9:22 era stata disposta fraudolentemente un operazione di ricarica online verso altra analoga carta intestata ad un soggetto sconosciuto per la somma di 799,00 euro, che portava il saldo della carta a 7,96 euro; provvedeva a bloccare cautelativamente la carta alle ore 9:47; in pari data sporgeva denuncia per l accaduto e rivolgeva all intermediario apposito modulo di reclamo per disconoscimento dell operazione, chiedendo il rimborso della somma sottratta, cui seguiva riscontro negativo, risultando la legittimità della Pag. 2/6

2 transazione, nonostante dall intermediario; le rassicurazioni sul blocco della transazione ricevute contesta la responsabilità dell intermediario per non avere protetto i suoi dati personali relativi alla carta; con il ricorso chiede, oltre al rimborso della transazione fraudolenta, la restituzione del saldo della carta, tuttora bloccata. Parte resistente, nel confermare i fatti, eccepisce che: parte ricorrente, per sua stessa ammissione, è caduta vittima di un operazione di phishing come emerge dalla ricostruzione dei fatti esposta nella denuncia; al ricorrente è imputabile una violazione gravemente colpevole degli obblighi di custodia dei propri dati identificativi e dispositivi on line, essendo caduto vittima di una chiara e inequivocabile forma di phishing, posta in essere con modalità non particolarmente sofisticate (cfr. Collegio di Coordinamento, decisione n. 3498/12); l operazione di pagamento risulta correttamente autenticata e processata, priva di anomalie (come attesta la spunta verde nelle risultanze informatiche), eseguita tramite sistema dinamico OTP; l invio dell OTP al numero del ricorrente è avvenuto per effetto dell iscrizione al sistema autorizzativo di tipo dinamico; parte ricorrente ha fornito incautamente il PAN della carta, che risulta inserito manualmente, come emerge dalle evidenze informatiche; il saldo della carta prepagata potrà essere ritirato dal ricorrente presso l ufficio postale di attivazione, contestualmente all estinzione dello strumento di pagamento. DIRITTO 1. - Parte ricorrente disconosce un operazione di pagamento effettuata mediante ricarica online di altra carta prepagata in data alle ore 9:22, dell importo di 799,00 euro. L intermediario ha prodotto evidenza contabile, tracciatura informatica dell operazione disconosciuta, evidenza dell inserimento manuale del PAN e, pertanto, eccepisce la colpa grave del ricorrente, che ha ammesso, nella denuncia e nel ricorso, di avere risposto a una di phishing. Lo strumento di pagamento in questione è una carta prepagata aderente al sistema autorizzativo di tipo dinamico tramite invio della password con sms al numero di telefono del ricorrente, come risulta dall attestazione di iscrizione al servizio prodotta dall intermediario. Il numero di telefono cellulare registrato non corrisponde a quello dichiarato in sede di ricorso, mentre sembra corrispondere a quello annotato a mano in sede di denuncia, come da documentazione allegata. L intermediario afferma che l operazione disconosciuta risulta correttamente autorizzata e autenticata, prive di anomalie (spunta verde), mentre il simbolo corrispondente a input mode attesta che l operazione è avvenuta mediante sistema dinamico di autenticazione OTP. Pag. 3/6

3 Dalla ricostruzione dei fatti quindi emerge pacifico, per la stessa ammissione della parte ricorrente, che la stessa ha inconsapevolmente aderito all attacco di phishing ritenendo di operare sul sito dell intermediario. È altresì pacifico come nel caso di specie l operazione fraudolenta sia stata posta in essere mediante l inserimento dei dati identificativi rilevabili sulla carta e del codice OTP inviato a mezzo sms (sistema di sicurezza c.d. a due fattori ) La responsabilità dell emittente di una carta di pagamento per il suo utilizzo non autorizzato è disciplinata dall art. 12 del d.lgs. 27 gennaio 2010, n. 11, il quale ha attuato nell ordinamento giuridico italiano la direttiva 2007/64/CE relativa ai servizi di pagamento nel mercato interno europeo. Nel caso di specie, la responsabilità dell emittente è disciplinata pertanto dall art. 12, comma 3, del medesimo decreto, il quale statuisce che, «salvo il caso in cui abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell art. 7, 1 comma, lett. b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150,00 la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento». In virtù di tale disposizione legislativa, il prestatore di servizi di pagamento può escludere la propria responsabilità per l utilizzo non autorizzato di uno strumento di pagamento soltanto provando la colpa grave dell utilizzatore, la quale costituisce un fatto impeditivo del risarcimento del danno, ai sensi dell art. 2697, comma 2, c.c. A tale proposito, si deve in generale premettere che, secondo la giurisprudenza di legittimità, la colpa grave è costituita da una «straordinaria e inescusabile» imprudenza, negligenza o imperizia, la quale presuppone che sia stata violata non solo la diligenza ordinaria del buon padre di famiglia di cui all art. 1176, comma 1, c.c., ma anche «quel grado minimo ed elementare di diligenza generalmente osservato da tutti» (Cass., 3 maggio 2011, n.913; Cass., 19 novembre 2001, n.14456). È bensì vero che, ai sensi dell art. 7, comma 1, lett. b), del d.lgs. n.11 del 2010, il titolare di uno strumento di pagamento ha l obbligo di «utilizzare lo strumento di pagamento in conformità con i termini, esplicitati nel contratto-quadro, che ne regolano l emissione e l uso». Tuttavia, l art. 10, comma 2, del d.lgs. n.11 del 2010 statuisce che, «quando l utilizzatore di servizi di pagamento neghi di aver autorizzato un operazione di pagamento eseguita, l utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che l operazione sia stata autorizzata dall utilizzatore medesimo, né che questi abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all art.7». 3. Nel caso di specie, appare evidente dalla ricostruzione offerta dalla medesima parte ricorrente l intrusione non autorizzata nel sistema - lungi dall essere causata da un insufficiente grado di protezione informatica e dal servizio offerto dall intermediario - appare ascrivibile a colpa grave del cliente che ha inserito anche il codice dispositivo OTP ricevuto via sms consentendo la corretta autenticazione delle operazioni (per un caso analogo, Coll. Bologna, dec. n. 4785/17). Questi, per sua stessa ammissione è certamente incappata, per l appunto, nel phishing, con conseguente utilizzo abusivo delle sue credenziali di accesso, utilizzate per compiere operazioni non disposte dal titolare dello strumento. Come statuito dal Collegio di Coordinamento (decisione n. 1820/13), nell ipotesi del phishing, il cliente è vittima di una Pag. 4/6

4 colpevole credulità: colpevole in quanto egli è portato a comunicare le proprie credenziali di autenticazione al di fuori del circuito operativo dell intermediario e tanto più colpevole si rivela quell atto di ingenuità quanto più si consideri che tali forme di accalappiamento possono dirsi ormai note al pur non espertissimo navigatore di internet. In considerazione di tale orientamento che questo Collegio ritiene di condividere e delle risultanze agli atti allegati dalle parti, deve ritenersi che parte ricorrente sia incorsa nella violazione degli obblighi prescritti dall art. 7 del D.Lgs. n. 11/2010. Ne consegue che nel comportamento della ricorrente è ravvisabile la colpa grave che, ai sensi dell art. 12, commi 3 e 4, del richiamato decreto, non consente di accogliere la sua richiesta di rimborso della somma indebitamente sottratta (cfr. Coll Roma, dec. n. 3076/2015; Coll. Milano, dec. n. 8841/2016; Coll. Roma, dec. n. 8487/16, Coll. Napoli, dec. n. 1965/2017). L intermediario peraltro ha prodotto evidenza contabile e tracciatura informatica dell operazione disconosciuta. Da tale evidenza emerge che l operazione in contestazione è stata correttamente autenticata anche mediante l inserimento del codice OTP Parte ricorrente, oltre al rimborso della transazione disconosciuta, chiede con il ricorso anche la restituzione del saldo della carta prepagata, bloccata in seguito all utilizzo fraudolento. Sebbene non eccepito dalla parte resistente, questo Arbitro rileva che tale domanda risulta proposta per la prima volta nel ricorso, con conseguente difformità rispetto alla richiesta contenuta nel reclamo. È noto che le Disposizioni sui sistemi di risoluzione stragiudiziale delle controversie in materia di operazioni e servizi bancari e finanziari prevedono il necessario preventivo esperimento del reclamo rispetto alla proposizione del ricorso all Arbitro; prevedono altresì che «Il ricorso deve avere ad oggetto la stessa questione esposta nel reclamo» (Sez. VI, 1). Al riguardo è stato da tempo chiarito come l esperimento della fase di reclamo costituisca «una vera e propria condizione di procedibilità per il valido esperimento della procedura ABF»; ciò significa che «il mancato esperimento della condizione di procedibilità, in quanto tale, integrando l inesistenza di un presupposto dell azione, può bene essere rilevata d ufficio, con la conseguenza che l Arbitro possa definire in rito la procedura, senza entrare nel merito della stessa» (Coll. Coor-dinamento, dec. n. 5304/2013). D altro canto occorre anche osservare che i Collegi territoriali in più occasioni hanno affermato come l approccio nell individuazione del reclamo e la verifica circa la coincidenza tra il suo contenuto e quello del ricorso debbano essere ispirati ad un criterio di flessibilità (Coll. Milano, dec. n. 5081/2015; ma già, Coll. Milano, dec. n. 1544/2010; Coll. Roma, dec. n. 1685/2011; Coll. Napoli, dec. n. 1532/2013) per cui non è necessario che vi sia perfetta coincidenza ed identità. Tale approccio risponde al principio fondamentale volto a garantire al consumatore un più facile accesso alla giustizia nei sistemi c.d. ADR. Questi mezzi tra quali deve annoverarsi l ABF - secondo la prospettiva indicata dal legislatore europeo devono garantire «procedure indipendenti, imparziali, trasparenti, efficaci, rapide ed eque» con l obiettivo di contribuire al raggiungimento di un livello elevato di protezione dei consumatori oltre che il corretto funzionamento del mercato interno (art. 1, Direttiva 2013/11/UE). Per cui il reclamo in questa prospettiva costituisce lo strumento di preventiva e necessaria in-terlocuzione tra le parti finalizzato ad possibile soluzione conciliativa prima dell accesso all Arbitro le cui soluzioni pur rese «applicando le previsioni di legge e regolamentari in Pag. 5/6

5 materia, nonché eventuali codici di condotta ai quali l intermediario aderisca» (Disp. ABF, Sez. VI, 3), fondano poi la loro vincolatività sulla volontaria adesione delle parti. Alle luce delle precedenti osservazioni, il Collegio ritiene che occorra assicurare una completa ed effettiva interlocuzione tra le parti sin dalla fase del reclamo che deve essere svolta dalle stesse cooperando per una rapida e soddisfacente soluzione della lite insorta. A tal fine, appare dunque necessario che il reclamo debba contenere tutte le domande che trovano fonte nella contestazione avanzata dal cliente all intermediario. Pertanto, «il ricorso deve avere ad oggetto la stessa questione esposta nel reclamo» con la sola eccezione prevista dalla medesima disposizione regolamentare secondo cui «il cliente può chiedere nel ricorso il risarcimento del danno anche quando tale richiesta non sia stata formulata nel reclamo, qualora il danno lamentato sia conseguenza immediata e diretta della medesima condotta dell intermediario segnalata nel reclamo» (Disp. ABF, Sez. VI, 1). Per tali motivi, nel caso in esame la domanda relativa al rimborso del saldo, non essendo stata proposta nemmeno implicitamente non può essere ritenuta ammissibile. Appare chiaro che detta domanda proposta con il ricorso in esame che viene dichiarata inammissibile (per non essere stata formulata nel reclamo) «ben può assolvere la funzione di reclamo» per un successivo ricorso contenente la medesima domanda da far valere dinanzi a questo Arbitro (Coll. Roma, dec. n. 1253/2011). Le parti potranno quindi interloquire immediatamente sulla stessa onde valutare soluzioni conciliative utili alla composizione della controversia che rendano superflue la proposizione di un nuovo ricorso in questa sede (Coll. Bologna, dec. n. 6991/2017). Il Collegio non accoglie il ricorso. PER QUESTI MOTIVI IL PRESIDENTE firma 1 Pag. 6/6