COLLEGIO DI NAPOLI. Membro designato dalla Banca d'italia. (NA) RISPOLI FARINA Membro designato da Associazione rappresentativa degli intermediari

Transcript

1 COLLEGIO DI NAPOLI composto dai signori: (NA) MARINARI (NA) CARRIERO (NA) PARROTTA Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (NA) RISPOLI FARINA Membro designato da Associazione rappresentativa degli intermediari (NA) BARTOLOMUCCI Membro designato da Associazione rappresentativa dei clienti Relatore RISPOLI FARINA MARILENA Nella seduta del 25/11/2014 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO L istante, titolare presso l intermediario di un conto deposito e di un c/c con collegata carta di credito, in data , più precisamente alle ore 18:17, nel compiere un prelievo presso uno sportello ATM, notava alcune anomalie, dal momento che l importo a disposizione era di soli euro 71,00; tornata a casa alle ore 19:00, non riusciva ad accedere al profilo personale, dato che un messaggio di errore segnalava l erroneità del PIN; durante il primo tentativo di accesso, dopo aver inserito codice cliente e data di nascita, nella schermata per inserire le tre cifre del PIN notava (nella parte sinistra dello schermo) come l ultimo accesso risultasse compiuto lo stesso giorno alle 18:23, orario in cui il consumatore afferma di trovarsi ancora in strada per tornare a casa; dopo vari tentativi, l ultimo dei quali intorno alle 20:00, un ulteriore messaggio informava che era stato inviato un codice PUK su cellulare, che in quel momento era inutilizzabile perché la sim risultava disattivata ; tra la posta elettronica trovava altresì un delle ore 13:44, che l avvisava di un operazione di giroconto e successivo bonifico in uscita verso una terza persona sconosciuta. La ricorrente, per verificare quanto sopra, contattava il servizio clienti, che la metteva a conoscenza del fatto che, alle ore 13:43 del , era stata effettuata una riemissione del codice PIN e che, a seguito di tale modifica, era stato eseguito un Pag. 2/6

2 giroconto di euro 2.950,00 dal conto deposito al c/c, con pressoché contestuale (alle ore 13:47) bonifico dal conto corrente della somma di euro 4.950,99 per l acquisto di un autovettura (dato che il telefono era bloccato, non c era stato alcun avviso di tali operazioni, anche se, in verità, anche dopo lo sblocco non risultava pervenuto alcun sms); sempre nel medesimo giorno, risultavano compiute quattro operazioni di acquisto on line a mezzo carta di credito per un importo complessivo di euro 1.319,77 e, nonostante il blocco fraudolento dell utenza telefonica intestata alla cliente, emergeva comunque una serie di telefonate (dalle ore 13:56 alle ore 20:59 per un costo totale di euro 1,68), molte delle quali sarebbero state indirizzate a numeri di banche, tra cui quello dedicato al recupero del PIN, proprio nell orario in cui il consumatore tentava di accedere alla propria area personale. La parte attrice, ritenendo di essere stata vittima di una truffa connessa all utilizzo fraudolento del servizio di internet/banking, in data denunciava l accaduto e disconosceva le operazioni bancarie de quibus, precisando come la carta di credito fosse sempre stata in suo possesso, senza essere stata mai né rubata né smarrita; il caso di specie rientra in un più complesso sistema di truffe online aventi ad oggetto i conti correnti della convenuta, la quale non ha posto in essere la più giusta e sicura protezione dei dati sensibili della clientela La resistente, innanzitutto, precisa che la disposizione di un bonifico on line in uscita dal c/c prevede: l inserimento dei codici identificativi necessari (codice cliente, data di nascita e PIN);- l inserimento di tre cifre scelte randomicamente dal sistema e riportate sulla tessera dei codici operativi in possesso del cliente;- l inserimento di una One Time Password, inviata tramite sms al numero cellulare indicato contrattualmente dal cliente; l invio al consumatore, da parte della Banca, di un sms al recapito telefonico presente nella sezione anagrafica on line, ove, per fini di tutela e di sicurezza, il numero è parzialmente criptato, non essendo le cifre interamente decifrabili. L intermediario, a questo punto, in relazione al caso concreto, rappresenta di aver agito secondo principi di correttezza e diligenza, aggiungendo che il mancato accoglimento della domanda di rimborso del bonifico disconosciuto scaturisce da precise analisi e valutazioni che tengono conto delle misure di sicurezza adottate dall Istituto nonché delle dichiarazioni sporte dalla ricorrente : alle ore 13:41 veniva effettuata la riemissione del PIN a fronte del corretto inserimento del codice cliente, della data di nascita del consumatore e del PUK, il quale ultimo veniva inviato alle ore 13:41 sul recapito telefonico intestato all istante; successivamente a tale modifica, alle ore 13:43, era eseguito un giroconto di euro 2.950,00 dal conto deposito dell istante al suo c/c, comunicato dall Istituto di credito all indirizzo di posta elettronica della ricorrente; alle ore 13:47 veniva disposto il bonifico in uscita di euro 4.900,00 e, a tal uopo, era contestualmente inviato l sms contenente la OTP necessaria al completamento dell operazione (per autorizzare l inserimento di tale bonifico era richiesta la digitazione delle tre cifre scelte randomicamente dal sistema e riportate sulla tessera dei codici operativi in possesso della cliente); il numero telefonico e l indirizzo impiegati per l invio della messaggistica de qua coincidono con quelli dichiarati in fase di sottoscrizione del contratto e sono rimasti sempre invariati. Affermava l intermediario che l invio di notifiche a mezzo o sms in seguito ad eventuali variazioni effettuate sulla posizione dei propri clienti ha lo scopo di consentire agli stessi di essere immediatamente informati circa eventuali modifiche, anche illecite, alla loro posizione personale. Con riferimento alle operazioni con carta di credito, la convenuta dichiara come le stesse siano state effettuate tramite sito internet qualificato come sicuro, cioè dotato di appositi protocolli di sicurezza (previsti da circuiti internazionali), i quali permettono l esecuzione di transazioni mediante l utilizzo di credenziali note unicamente al titolare della carta; più Pag. 3/6

3 precisamente, gli acquisti disconosciuti sono stati compiuti attraverso il sistema 3D-Secure (verified by Visa), che, prevedendo l inserimento del codice titolare, del codice riportato sul retro della tessera e della password personale, inibisce l utilizzo della carta in assenza di autorizzazione del titolare. In conclusione il ricorrente ha chiesto al Collegio il completo ristoro delle somme relative alla truffa di cui è stata oggetto.la resistente, in considerazione delle valutazioni esposte nel merito della contestazione delle operazioni effettuate con la Carta di Credito, delle dichiarazioni sporte dalla ricorrente circa l evidenza verificatasi sulla propria utenza telefonica mobile, per cui la Banca non ha alcuna responsabilità, ritenendo che il bonifico contestato sia stato eseguito nel rispetto dei protocolli di sicurezza attivati dalla Banca, che ha posto in essere ogni necessaria e opportuna cautela, avvalendosi di strumenti di protezione aggiuntivi, quali la generazione di una password dispositiva temporanea (OTP), oltre ai codici di accesso personali e la tessera dei codici operativi, richiede di non accogliere positivamente il ricorso inoltrato. DIRITTO Il Collegio deve decidere in merito alla richiesta di rimborso di numerose operazioni non autorizzate effettuate sul conto della ricorrente tramite home banking. Va precisato che le transazioni disconosciute dalla ricorrente risultano essere un operazione di giriconto dal conto di deposito per Euro 2.950,00 con contestuale bonifico per l acquisto di una vettura della somma di euro 4.900,00 ; nonché quattro operazioni di acquisto on line con carta di credito per complessivi euro 1.319,77.. Il Collegio rileva ancora che dalla narrazione dei fatti e dalle dichiarazioni delle parti, nella vicenda in questione suscita alcune perplessità la situazione verificatosi in merito e all utenza telefonica della ricorrente (su cui venivano inviati gli SMS di notifica delle operazioni disposte tramite home banking), la cui titolarità sembra esserle stata sottratta in modo fraudolento e/o illegittimo, probabilmente dagli stessi autori delle operazioni contestate. Da quanto sopra esposto, il Collegio rileva infatti che potrebbe ipotizzarsi che gli autori delle operazioni contestate siano venuti in possesso, contestualmente, sia delle informazioni e dei codici necessari per l accesso all area riservata di home banking (codice cliente della ricorrente, data di nascita della ricorrente e PIN di accesso) e della tessera dei codici dispositivi per l autorizzazione delle operazioni effettuate on line, sia del numero della sua utenza telefonica mobile. Dalle evidenze prodotte dall intermediario non sembrano risultare irregolarità nella sequenza relativa alla disposizione ed all autorizzazione delle operazione contestate anche se c è da rilevare che tali evidenze non risultano né particolarmente dettagliate né chiaramente esplicative;.nè alcun specifico elemento viene addotto dall intermediario a dimostrazione di una effettiva negligenza/colpa grave della cliente. Le transazioni de quibus, tutte del , che hanno quasi completamente esaurito le risorse sul conto corrente (ridotto nella sua consistenza, al momento del prelievo presso l ATM, ad euro 71,00), sono state repentinamente oggetto di denuncia in data ; non risultano compiute operazioni incontestate durante il periodo in cui sono state effettuate le transazioni suelencate. La resistente si limita ad affermare come le operazioni in questione siano state compiute tramite sito internet qualificato come sito sicuro, cioè dotato di appositi protocolli di sicurezza previsti da circuiti internazionali, ma non fornisce alcun elemento probatorio a sostegno dell adeguatezza dei sistemi di controllo. Pag. 4/6

4 Ciò posto, il Collegio rileva che la fattispecie, concernente il disconoscimento di operazioni dispositive, effettuate on line, delle quali si afferma il carattere fraudolento, è stata più volte sottoposta all attenzione dell Arbitro Bancario Finanziario, il quale ha fondato le proprie decisioni, da un lato, sulla valutazione dell adeguatezza del sistema di protezione delle transazioni online adottato dall intermediario, quale espressione della diligenza professionale dallo stesso esigibile ai sensi dell art. 1176, comma 2, c.c., in linea con le disposizioni dettate dal d.lgs. n. 10 del 2011, di attuazione della direttiva sui servizi di pagamento; dall altro, sulla osservanza, da parte dell utilizzatore dei servizi di pagamento, delle disposizioni previste dal citato d.lgs. n. 11, in particolare agli artt. 7 e 8 in materia di custodia degli strumenti di pagamento.( Per una fattispecie analoga si veda La decisione di questo Collegio n.4397/2014) Rileva in particolare, nel caso in esame, la norma (art. 7, comma 1, lett. b) che impone all utilizzatore dello strumento di pagamento, di comunicare senza indugio al prestatore l uso non autorizzato dello strumento di pagamento. La norma va letta alla luce del successivo art. 10, al comma 2 del decreto, per il quale Quando l utilizzatore di servizi di pagamento neghi di aver autorizzato un operazione di pagamento eseguita, l utilizzo dello strumento non è di per sé sufficiente a dimostrare che l operazione sia stata autorizzata e, ancora, dell art. 12 dello stesso decreto, per il quale l utilizzatore non sopporta le perdite derivanti dall uso non autorizzato dello strumento di pagamento, dopo la comunicazione eseguita ai sensi dell art. 7, comma1, lett. b che, come si è già rilevato, va operata senza indugio proprio ai fini di evitare o almeno contenere i danni derivanti dall utilizzo non autorizzato dello strumento di pagamento. Appare quindi evidente che la disciplina introdotta dalla direttiva è orientata ad un marcato favor nei confronti dell utente dei servizi di pagamento, di cui può essere considerata espressione anche la c.d. inversione dell onere della prova in tema di responsabilità del pagatore per l utilizzo non autorizzato di strumenti o servizi di pagamento (art. 12 del d.lgs. n. 11 del 2010), quantunque non sia indubbio, come si è già rilevato, che anche l utilizzatore sia tenuto ad una serie di obblighi, che vanno dalla custodia delle credenziali di autenticazione al tenere comunque un comportamento diligente, adottato quelle normali cautele che è ragionevole attendersi nell uso dello strumento di pagamento, provvedendo anche ad un adeguato controllo sulla movimentazione del conto. Incombe quindi in primis al prestatore del servizio di pagamento il dovere, sancito dall'art. 8 citato del d.lgs. n. 11 del 2010 di assicurare che i dispositivi personalizzati che consentono l'utilizzo di uno strumento di pagamento non siano accessibili a soggetti diversi dall'utilizzatore legittimato ad usare lo strumento medesimo, fatti salvi gli obblighi posti in capo a quest'ultimo ai sensi dell'articolo 7. L adeguato assolvimento degli obblighi previsti dalla vigente disciplina in tema di sicurezza degli strumenti di pagamento vale ad esonerare dalla responsabilità per i danni subiti dall'utilizzatore del servizio di pagamento, così come emerge dall'art. 12, comma 2 : Salvo il caso in cui abbia agito in modo fraudolento, l utilizzatore non è responsabile delle perdite derivanti dall utilizzo dello strumento di pagamento smarrito, sottratto o utilizzato indebitamente quando il prestatore di servizi di pagamento non ha adempiuto all obbligo di cui all articolo 8, comma 1. Pertanto, nel caso in esame, il Collegio rileva, in primo luogo, che dalle evidenze prodotte emerge come il sistema di protezione predisposto dall'intermediario, non sia adeguato ad evitare l'accesso di estranei all'utilizzo del conto on line: si tratta, in effetti, di un sistema a due livelli, comunque sostanzialmente di tipo statico e, quindi, non rispondente agli attuali e più recenti standard di protezione. Di conseguenza, già in virtù di siffatta violazione l'intermediario è da ritenere incorra nella responsabilità per i danni derivanti dall'utilizzo fraudolento. Soprattutto, l'intermediario non ha adeguatamente provato la grave mancanza di diligenza la colpa grave del cliente Pag. 5/6

5 essendo intesa in senso notevolmente restrittivo dalla giurisprudenza (cfr., ad es. Collegio di Napoli, dec. n. 2687/2013, nonché Collegio di Milano, dec. n. 558/2013 da parte del cliente nell'utilizzo del sistema combinato (codici, più messaggio al numero di cellulare, sistema predisposto dall'intermediario medesimo): prova che, si è dianzi ribadito, sola avrebbe potuto esonerarlo dalla suindicata responsabilità, derivante dall'aver predisposto un sistema di protezione che, nel suo insieme, si presta evidentemente ad intrusioni estranee. Pertanto il Collegio si orienta verso l'accoglimento del ricorso. P.Q.M. In accoglimento del ricorso, il Collegio dichiara l intermediario tenuto alla restituzione dell importo di 6.219,77.Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00quale contributo alle spese della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 6/6