IL COLLEGIO DI MILANO. - Prof.ssa Antonella Maria Sciarrone Alibrandi Membro designato dalla Banca d'italia

Transcript

1 IL COLLEGIO DI MILANO composto dai signori: - Prof. Avv. Antonio Gambaro Presidente - Prof.ssa Antonella Maria Sciarrone Alibrandi Membro designato dalla Banca d'italia - Prof. Avv. Emanuele Cesare Lucchini Guastalla Membro designato dalla Banca d'italia (Estensore) - Dott. Mario Blandini Membro designato dal Conciliatore Bancario e Finanziario - Dott.ssa Anna Bartolini Membro designato dal C.N.C.U. nella seduta del 6 settembre 2011 dopo aver esaminato il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria Tecnica. FATTO Con reclamo del la ricorrente, titolare di un conto corrente intrattenuto presso l intermediario convenuto, comunicava a quest ultimo di essersi accorta, a seguito della lettura dell estratto conto al , dell addebito sul proprio conto delle seguenti operazioni effettuate il , per un totale di ,00, così dettagliate: importo in descrizione 500,00 Addebito per ricarica carta prepagata 9.005,00 Postagiro online 600,00 Postagiro online 100,00 Ricarica telefonica on line Wind ore 17,18 250,00 Ricarica telefonica on line Wind ore 17,19 2,00 Commissioni su operazioni on line Affermava di avere presentato denuncia in data e confermava la totale e assoluta estraneità dei fatti in quanto dal non aveva più effettuato operazioni on line, ad esclusione della lettura movimenti. Asseriva inoltre di essere venuta a conoscenza, solo l e su propria richiesta, che era stato bloccato l accesso on line al... conto tramite operatore in data Comunicava inoltre di non avere mai aperto o risposto a mail inviate che non siano quelle ricevute dall [intermediario] al momento dell apertura del rapporto. Richiedeva pertanto l accredito delle somme sopra indicate. Con risposta dell , l intermediario informava la cliente che erano in corso indagini di Polizia Giudiziaria, pertanto la posizione potrà essere valutata non appena Pag. 2/7

2 saranno concluse le indagini ed acclarate le relative responsabilità. La cliente non riceveva ulteriori comunicazioni. Nel ricorso pervenuto il , la ricorrente ha chiesto la restituzione con relativo accredito della somma pari a euro ,00 relativa al disconoscimento delle operazioni addebitate in data , affermando di avere denunciato l accaduto alla pubblica autorità competente e rinviando per il dettaglio alla documentazione allegata. Con le controdeduzioni dell , la convenuta, dopo avere richiamato le richieste della ricorrente, ha precisato quanto segue: - la cliente è intestataria di un conto corrente, il cui contratto è stato sottoscritto il ; contestualmente è stato attivato il servizio online con l accettazione delle relative clausole contrattuali; - il , alla ricorrente è stata inviata una lettera per il ritiro del lettore B, disponibile dal presso lo sportello di radicamento del conto; dalla stessa data ogni accesso al sistema era preceduto dall apertura a video di un messaggio di memoria/sollecito al ritiro del lettorino ; - le operazioni disconosciute presentano le seguenti caratteristiche: importo in orario descrizione 500,00 14,05 Ricarica a favore di una carta prepagata emessa dalla convenuta e intestata a M. T., che pochi minuti dopo prelevava l importo presso uno sportello della resistente 9.005,00 600,00 17,18 17,18 Postagiri online a favore del c/c intestato a G. V. ; pochi minuti dopo la quasi totalità dell importo veniva prelevata con carta. presso uno sportello della convenuta 100,00 17,19 Ricariche telefoniche on line Wind 250,00 17,19 - l , la cliente presentava denuncia contro ignoti all A.G. e sporgeva reclamo alla convenuta, la quale rispondeva in data La convenuta ha, quindi, affermato di ritenere infondate le istanze della cliente per i seguenti motivi: - le somme relative alle operazioni di postagiro e di ricarica di carta prepagata disconosciute sono state immediatamente prelevate dai titolari; non essendo pertanto nella disponibilità della convenuta, la domanda di restituzione andrebbe rivolta ai terzi, indebiti percettori; - di avere correttamente eseguito gli ordini pervenuti regolarmente dalla clientela, secondo le condizioni contrattuali sottoscritte, le quali prevedono che la stessa debba eseguire l ordine impartito con l uso dei codici identificativi dei clienti, - secondo l art. 2 delle condizioni del contratto di conto corrente, accettate dalla cliente, il correntista per l utilizzo del servizio è tenuto a servirsi di propria idonea apparecchiatura (personal computer o altro) e ad identificarsi ed a legittimarsi mediante l uso dell identificativo utente, della parola chiave (o password) e del codice dispositivo segreto (PIN) che il cliente è tenuto a mantenere segreti ; - nella denuncia presentata presso l A.G., la cliente ha dichiarato di aver comunicato le sue credenziali al figlio, contravvenendo all obbligo del correntista di mantenere segreti tali codici. Inoltre, la cliente non ha fornito la prova di un inadempimento della convenuta e non ha osservato l obbligo di mantenere riservati i codici personali relativi all operatività online sul suo conto ; - per l attivazione del servizio aggiuntivo banco online è necessario essere titolari di conto corrente, richiedere il servizio all ufficio della convenuta e registrarsi sul sito della Pag. 3/7

3 stessa. La registrazione avviene in due fasi: la prima consiste nella compilazione di una scheda online con i propri dati anagrafici, al cui termine viene assegnato un identificato utente (username) e viene chiesto di creare una password segreta; con la seconda viene attivata, mediante apposito codice, una casella di posta elettronica a cui sono inviate tutte le comunicazioni inerenti il servizio online; - l utilizzo dei servizi dispositivi è sottoposto a un ulteriore livello di sicurezza, il codice dispositivo segreto, composto da 10 caratteri alfanumerici che il cliente riceve per posta prioritaria a casa dentro una busta; per la relativa attivazione è necessario recarsi presso l ufficio della convenuta dove ha chiesto il servizio, esibire un documento di riconoscimento e la presentare una cifra di controllo ricevuta nella propria casella ; - per l utilizzo del servizio online, il cliente deve identificarsi ed autenticare le transazioni con l uso di 3 codici personali diversi: due sono necessari per l identificazione e la visualizzazione dei servizi informativi: l username, un codice non modificabile, fornito dalla convenuta al termine della prima fase di registrazione al sito internet; la password, scelta dal cliente in fase di registrazione, modificabile in qualsiasi momento. Per autorizzare le disposizioni di pagamento e i trasferimenti di denaro in genere, il cliente deve inserire 4 (richiesti dal sistema in modo casuale) dei 10 caratteri del codice dispositivo segreto. Con il corretto inserimento di tali codici, l operazione si intende eseguita e non è più revocabile; - la sicurezza del servizio online è garantita mediante un sistema di crittografia dei dati di riconoscimento dell utente e di protezione di questi ultimi da intercettazioni e violazioni. La sicurezza viene garantita da un sistema ampiamente tutelato e protetto che utilizza il protocollo TCP/IP con crittografia SSL e l accesso online avviene attraverso il protocollo di comunicazione https e non semplicemente in http, che previene la manomissione dei dati, la falsificazione e l intercettazione. I propri sistemi sono assolutamente sicuri e sono stati certificati secondo i più rigorosi ed affidabili standard internazionali, quindi sono state poste in essere tutte quelle misure atte ad impedire a terzi accessi fraudolenti ; - di avere attivato da dicembre 2008, il nuovo sistema di posta elettronica sicura che consente al cliente di avere la certezza che tutti i messaggi che arrivano in tale spazio elettronico siano stati inviati da[lla] convenuta e di avere informato tutti i clienti abilitati ad operare online con apposita comunicazione del ; - dal marzo 2005, la convenuta ha avviato una progressiva campagna di informazione e sensibilizzazione (agenzie di stampa, , affissioni presso i propri uffici) della clientela affinché i clienti usassero la dovuta attenzione al fine di comunicare a terzi i propri dati, evidenziando il fenomeno del phishing; - il , la ricorrente è stata invitata formalmente dalla convenuta a ritirare, a partire dal , il lettore B, generatore di codici dispostivi da utilizzare in sostituzione del codice dispositivo segreto in possesso del cliente. A partire da quest ultima data, la digitazione di username e password, ha comportato la sistematica apertura di un messaggio a video quale memoria e sollecito al ritiro del lettore. La cliente non ha provveduto al ritiro del dispositivo. Pag. 4/7

4 DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro lato. Prima di esaminare nel merito la questione giova brevemente riassumere i tratti salienti all origine della presente vertenza. Anzitutto, deve essere sottolineato che le operazioni disconosciute sono state effettuate nell ottobre 2009, ovvero in un periodo precedente all entrata in vigore del D.Lgs. 27 gennaio 2010 n. 11. Dall esame delle evidenze contabili, prodotte dalla convenuta (e relative alle operazioni disconosciute), si rileva che le somme relative alle operazioni di postagiro e di ricarica di carta prepagata sono state immediatamente prelevate dai rispettivi titolari. Le ricariche Wind sono state effettuate a favore di due numeri telefonici differenti. Dalla lettura della denuncia, presentata ai Carabinieri, si evince che il figlio e la nuora della cliente hanno effettuato, in data e con l autorizzazione della ricorrente, un pagamento dell imposta ICI online. Il figlio, inoltre, risulta inequivocabilmente essere a conoscenza della username e della password. Per quanto, infine, riguarda la lettera, prodotta dalla convenuta, che la stessa ha asserito di aver inviato alla ricorrente in data il , per invitarla al ritiro del lettore, disponibile dal presso lo sportello di radicamento del conto, deve osservarsi che, dall esame della medesima, si rileva che la stessa non è datata, non riporta il nome del destinatario e che il cliente poteva comunque operare online senza il suo utilizzo fino al Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi come già si è avuto occasione di rilevare in altre occasioni (ex multis Decisione n. 1587/10 del , Decisione n. 909/10 del e Decisione n. 719/10 del ) che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat come disposizioni di operazioni per mezzo di servizi on-line. Il punto è essenziale per una corretta interpretazione del rapporto contrattuale, posto che, in linea generale, appare corretto affermare che al cliente sono opponibili le operazioni effettuate con la digitazione dei codici in suo possesso (indipendentemente da chi effettivamente le abbia disposte), proprio perché nell utilizzo del servizio di home banking il cliente viene identificato esclusivamente mediante la verifica dei codici di sicurezza che gli sono stati assegnati. Quanto appena rilevato rende chiara sia la ragione dell obbligo di diligente custodia di detti codici sia il fatto che la violazione di tale obbligo di diligente custodia dei codici di accesso comporti che il cliente sia chiamato a rispondere di ogni conseguenza dannosa derivante da un eventuale illecito utilizzo di tali codici da parte di terzi Dalle osservazioni che precedono deve, dunque, trarsi la seguente conclusione in linea generale, e cioè che posto che nel servizio di home banking, l uso corretto dei codici di accesso consente l identificazione del titolare e l autorizzazione dei pagamenti disposti le operazioni che siano state eseguite previa corretta digitazione di tali codici sono giuridicamente riconducibili al titolare del servizio. Pag. 5/7

5 Ciò chiarito con riferimento al primo dei due aspetti sopra evidenziati, deve ora affrontarsi la diversa questione del grado di diligenza dell intermediario richiesto con riferimento alla prestazione di servizi bancari per via telematica. Secondo la consolidata opinione della dottrina e della giurisprudenza, l attività bancaria, in quanto attività riservata, deve sottostare al canone di diligenza previsto dall art. 1176, comma 2, cod. civ. ( diligenza dell accorto banchiere ), con conseguente adozione di tutte le cautele necessarie. Com è noto, la diligenza professionalmente qualificata cui fa riferimento il secondo comma dell art cod. civ., deve essere parametrata alle specificità tecnico-scientifiche della professione esercitata, trattandosi di nozione superiore e più specifica di quella relativa al buon padre di famiglia, richiamata dal primo comma dello stesso articolo. L adempimento dell obbligazione, quindi, deve avvenire con la diligenza del regolato ed accorto professionista (banchiere, nel caso che ne occupa), pena il risarcimento dei danni secondo i normali canoni della responsabilità contrattuale. Per gli aspetti che qui interessano, tale parametro rileva in relazione alla specificità del servizio bancario oggetto di contestazione (home banking) che implica l utilizzazione del canale telematico e l uso di codici dispositivi. In particolare, la valutazione coinvolge l adeguatezza - considerati gli standard esistenti - dei presidi tecnici adottati dall intermediario per rendere sicure le transazioni on-line da attacchi di pirateria informatica. Sui presidi di sicurezza più idonei a fronteggiare il fenomeno della pirateria informatica non c è attualmente una specifica normativa vincolante, anche se esistono diversi documenti, sia a livello nazionale che internazionale, trattano della sicurezza dell e-banking e, in particolare, della diversa efficacia dei vari meccanismi di autenticazione. L utente viene, infatti, autenticato attraverso la presentazione di credenziali. Generalmente si intende per credenziale uno o più dei seguenti elementi: qualcosa che l utente sa (es. la password); qualcosa che l utente ha (es. il token, che può contenere un certificato digitale); qualcosa che l utente è (in questo caso si parla di caratteristiche biometriche, es. le impronte digitali). Quando l autenticazione dell utente utilizza congiuntamente due di questi sistemi, si parla di autenticazione a due fattori. Alcune modalità tecniche consentono già oggi, in associazione all utilizzo di user-id e password, di effettuare una autenticazione a due fattori: si tratta soprattutto di Segreti condivisi e Token. Sempre a proposito del pericolo delle frodi informatiche deve ricordarsi il Decalogo ABI per banche e clienti sui sistemi di protezione dal «phishing», nel quale si suggerisce agli intermediari, fra l altro, di: 1) definire policy aziendali stringenti per il contatto del cliente via ; 2) pubblicizzare ai dipendenti e ai clienti della banca le policy di utilizzo dell ; 3) aggiungere un ulteriore livello di autenticazione (con password differenziata) per l esecuzione di operazioni dispositive tramite il servizio di home banking; 4) predisporre strumenti di monitoraggio delle transazioni dei propri conti on-line, in modo da evidenziare eventuali comportamenti anomali. E chiaro a questo Collegio che, al tempo dei fatti all origine della presente vertenza, esistevano già mezzi più efficienti per fronteggiare il fenomeno della pirateria informatica e questo costituisce ragione sufficiente per indurre a concludere che un sistema di protezione ad un solo fattore seppure composto da tre distinti codici di accesso per permettere l esecuzione di disposizioni bancarie non può essere considerato misura sufficiente a proteggere adeguatamente il cliente. A ciò deve aggiungersi che, nel caso di specie, non può venire esclusa (e neppure attenuata) la responsabilità dell intermediario sulla base della circostanza secondo la Pag. 6/7

6 quale la cliente avrebbe tardato e/o rifiutato di accedere a nuovi sistemi di protezione più sicuri offerti dall intermediario (così come deciso in altre occasioni, come, ad esempio, nelle decisioni n. 22/11, n. 550/11 e n. 198/11), in quanto l intermediario medesimo, per quanto più sopra illustrato, non ha adeguatamente provato la circostanza de qua. In sintesi, dunque, nel caso all origine del presente ricorso da un lato si può verosimilmente ravvisare una responsabilità del cliente in relazione alla mancata diligente custodia dei codici d accesso al servizio di home banking, dall altro lato non si può negare una concorrente responsabilità dell intermediario che non abbia predisposto adeguati sistemi per proteggere più efficacemente i propri clienti con riferimento al rischio di truffe perpetrate per via telematica. Questo Collegio, valutata la gravità delle rispettive colpe in relazione ai fatti illustrati e documentati, ritiene, dunque, di doverle ripartire nella misura del 50% in capo al cliente e nella misura del 50% in capo al resistente. P.Q.M. Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario risarcisca alla ricorrente la somma di 5.228,00, equitativamente determinata. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 7/7