Decisione N. 880 del 29 aprile 2011

Transcript

1 Collegio di Milano composto dai signori: - Prof. Avv. Antonio Gambaro Presidente - Prof.ssa Antonella Maria Sciarrone Alibrandi Membro designato dalla Banca d Italia - Prof. Avv. Emanuele Cesare Lucchini Membro designato dalla Banca Guastalla d Italia (Estensore) - Dott. Mario Blandini Membro designato dal Conciliatore Bancario Finanziario - Avv. Guido Sagliaschi Membro designato dal C.N.C.U. nella seduta del 31 marzo 2011 dopo aver esaminato: il ricorso e la documentazione allegata; le controdeduzioni dell intermediario; la relazione istruttoria della Segreteria Tecnica. FATTO La ricorrente è titolare di un conto corrente - acceso presso l intermediario convenuto per il quale sono stati attivati i servizi on-line. In data 14 novembre 2009, nel compiere una transazione presso un esercizio commerciale mediante la moneta elettronica operante sui circuiti POS, le veniva rifiutato il pagamento per mancanza di fondi. Pertanto, si recava presso uno sportello ATM e verificava che il saldo disponibile del proprio conto era pari a 37,67. In seguito, consultando il conto on-line, riscontrava la presenza di due distinte autorizzazioni di ricarica di carta prepagata per un importo complessivo di 1.000,00 + 2,00 di spese, eseguite in data 10 novembre 2009 rispettivamente alle ore 16,28 e alle ore 16,29 ciascuna delle quali di 500,00. In data 16 novembre 2009, avanzava reclamo all intermediario convenuto e disconosceva le suddette ricariche. In pari data, presentava denuncia alla Polizia Postale. Solo dietro sollecito della ricorrente, datato 26 marzo 2010, l intermediario riscontrava il reclamo con nota del In tale nota si ipotizzava l esistenza di una frode informatica alla base dei fatti segnalati e si illustravano, in una breve disamina tecnica, le situazioni a potenziale rischio che avrebbero potuto realizzare il c.d. furto d identità ; si poneva poi l accento sull elevato standard di sicurezza dei sistemi di protezione, sin dall inserimento al proprio interno dei dati d identificazione dell utente (Userid/password), scambiati su connessione protetta. Inoltre, erano evidenziate le attività attuate dall intermediario al fine di divulgare il pericolo delle frodi realizzate con il sistema del phishing e, soprattutto, ai «modi di protezione cui attenersi». Per quanto sopra, il resistente concludeva affermando che nessun addebito poteva essere formulato nei suoi confronti per il danno subito dalla controparte, significando che avrebbe disposto comunque le opportune verifiche e, qualora le somme addebitate fossero state ancora nelle disponibilità del beneficiario, si sarebbe provveduto al riaccredito. Con ricorso pervenuto in data la ricorrente ha formulato la richiesta del rimborso di 1.000,00, oltre la rivalutazione e gli interessi di legge, in quanto le operazioni disconosciute non sarebbero avvenute per fatto e colpa della medesima. Pag. 2/7

2 A supporto della richiesta ha allegato al ricorso un documento contenente un elenco di motivazioni che vengono di seguito riepilogate: «da 1 a 4 (omissis) ; 5. diversamente da quanto supposto (e non dimostrato) dalla [...] non ho mai fornito le mie password ad alcuno né ho mai rivelato codici o altra informazione riservata relativa al conto corrente n. [...] e per gli accessi on-line ho sempre utilizzato il computer collocato nel mio studio legale, dotato di adeguati sistemi informatici di protezione; 6. preciso inoltre che la sottoscritta nel novembre del 2009 non era ancora stata dotata del lettore [...] (dispositivo elettronico che dovrebbe garantire la sicurezza generando codici sempre diversi per l'utilizzo del conto on-line), nonostante fosse in uso già dal dicembre del 2008, e che tale strumento non può essere richiesto a [...] [in quanto] [...] provvedono, a loro discrezione, a distribuirlo ai clienti; 7. per quanto esposto al punto 6, la sottoscritta ritiene che i livelli di sicurezza ed i sistemi informatici utilizzati da [...] e concretamente disponibili nel novembre del 2009 non fossero adeguati agli attuali standard di sicurezza e protezione disponibili; 8. sull'argomento si è espressa sia la giurisprudenza (Tribunale di Palermo Sentenza n. 81 /2010) sia gli organismi di arbitrato e conciliazione (l'abf Collegio di Roma con la decisione n. 33/10 ha ravvisato colpa nel comportamento della banca perché non aveva fornito alla clientela dispositivi automatici per la generazione di password, ravvisando in ciò una violazione dell'obbligo di diligenza professionale e qualificata ex art. 1176, Il comma c.c.); 9. ed ancora, la Banca d'italia nella "Sintesi dell'attività svolta dall'arbitrato Bancario Finanziario al 31 marzo 2010" riporta che è stata riconosciuta la responsabilità dell'intermediario nel caso in cui non era stato adottato un terzo livello di protezione come le serie numeriche casuali generate da dispositivi automatici; 10. sottolineo infine che la vicenda oggetto del presente reclamo rappresenta una violazione delle norme sulla privacy ed in conseguenza di avere subito un grave danno per effetto del trattamento dei miei dati personali non adeguatamente custoditi e protetti da [ ], artt. 15 e 31 della Legge 196/2003, per il quale mi riservo di agire nelle opportune sedi.». L intermediario, che ha fornito le proprie controdeduzioni in data , ha fatto preliminarmente presente che: 1. la ricorrente ha chiesto l apertura di un conto in data e contestualmente ha fatto richiesta di servizio on-line, accettando le condizioni contrattuali e attivandone le funzioni dispositive in data ; 2. in data venivano regolarmente disposte due ricariche on-line di 500,00 cadauna a favore della carta prepagata, dello stesso intermediario, intestata a [..], il quale prelevava l intero importo - circa un ora dopo l accredito - presso uno sportello ATM della resistente; 3. la ricorrente, in data , si accorgeva degli addebiti e successivamente, in data , chiedeva il blocco del codice dispositivo, sporgendo poi denuncia sull accaduto all A.G. e inoltrando il reclamo. L intermediario, nel chiedere all ABF che il ricorso venga respinto, ha rappresentato che la richiesta dell istante per inadempimento di obbligazioni è inammissibile e destituita di ogni fondamento, per le seguenti motivazioni: 1) INAMISSIBILITA Atteso che la ricorrente lamenta una presunta violazione in tema di trattamento di dati, l intermediario resistente ha rilevato l inammissibilità del ricorso all ABF per difetto di competenza, poiché le violazioni al trattamento dei dati sono disciplinate dal D. Lgs n. 193; in particolare il citato Decreto prevede: 1. la tutela amministrativa mediante reclamo al Garante (art. 141 e ss.); 2. la tutela alternativa a quella giurisdizionale che prevede il ricorso al Garante (ex art. 145 e ss.); 3. la tutela giurisdizionale mediante ricorso al Tribunale (ex art. 152 e ss.). 2) INFONDATEZZA L intermediario ritiene: a) di aver [.]correttamente eseguito gli ordini che gli sono regolarmente pervenuti poiché impartiti attraverso l utilizzo dei codici personali (Usarname/password/ codice dispositivo segreto di 10 caratteri, di cui è richiesto, per l esecuzione di ciascuna operazione, l inserimento Pag. 3/7

3 di 4 caratteri a caso) e secondo le condizioni contrattuali (art. 2 condizioni contrattuali). Pertanto, l uso dei codici personali necessari per l identificazione del cliente autorizza e obbliga l intermediario ad eseguire le operazioni disposte con piena liberazione da ogni responsabilità. A fronte di tale obbligo, il correntista è tenuto a mantenere segreti i propri codici e ad accettare gli addebiti relativi ad operazioni disposte mediante l uso degli stessi ; b) di non aver violato alcun obbligo in tema di trattamento dei dati, in nessun modo esplicitato dalla ricorrente, in quanto la sicurezza del servizio di gestione del conto corrente on-line è garantita mediante un sistema di crittografia dei dati certificato secondo i più rigorosi ed affidabili standard internazionali, dei quali sono allegati i relativi certificati; c) di aver pienamente assolto agli obblighi contrattuali e di legge, con la diligenza qualificata, eseguendo l ordine regolarmente impartito come da condizioni contrattuali, assicurando idoneamente la sicurezza dei propri sistemi e tenendo una condotta improntata alla massima correttezza; pertanto ritiene infondato ogni addotto inadempimento degli obblighi di cui all art c.c.; al contrario la ricorrente non avrebbe dimostrato di aver osservato l obbligo di mantenere riservati i codici personali relativi all operatività on-line, così come non è stata specificata e/o fornita alcuna dimostrazione sulla tipologia di antivirus utilizzato a protezione della propria stazione informatica e sull aggiornamento del software di protezione. d) Inoltre, in relazione alla presunta responsabilità in capo all intermediario [..], la ricorrente è stata - in data formalmente invitata da [.] a ritirare il generatore di codici dispositivi da utilizzare in luogo del codice a 10 cifre già in possesso del cliente a partire dal 19 ottobre seguente e, quindi, in data antecedente rispetto a quella in cui sono state eseguite le operazioni poi disconosciute (all. 7) e nello stesso tempo, almeno in tre circostanze antecedenti le operazioni oggetto del ricorso, sono state fornite specifiche informative sulle novità introdotte (all. 8); e) del tutto strumentale è il richiamo da parte della ricorrente ad una pronuncia non definitiva per phishing, avverso la quale si sta interponendo appello, in quanto la ricorrente stessa - sia in fase di denuncia querela e sia nelle motivazioni al ricorso - ha escluso di esserne stata vittima. Con mail del , sono state inoltrate al ricorrente le controdeduzioni ricevute dalla resistente. DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro lato. Prima di esaminare nel merito la questione giova brevemente riassumere i fatti salienti all origine della presente vertenza. In primo luogo, deve sottolinearsi che le operazioni disconosciute (n. 2 ricariche di carta prepagata di terzi, emessa dallo stesso intermediario, per 500) sono avvenute il rispettivamente alle ore 16,27 e alle ore e, quindi, antecedentemente all entrata in vigore delle disposizioni di recepimento della Direttiva PSD da parte del nostro ordinamento; l indirizzo IP Client risulta essere e, da verifiche effettuate sulla rete internet, quest ultimo fa riferimento ad una organizzazione denominata operante nel South Caroline (USA); in pari data, alle ore 17,18, il titolare della carta prepagata beneficiario della ricarica ha prelevato l importo di euro 1.000,00. L intermediario ha prodotto una lista di operazioni eseguite dalla ricorrente rispettivamente il (2 operazioni) e il (1 operazione), ove risultano eseguite tre distinte operazioni di ricariche telefoniche di modesto importo ( 10,00) e l indirizzo IP Client risulta essere Da verifiche effettuate sulla rete internet, quest ultimo fa riferimento alla Telecom Italia, località: Rubiera (Emilia Romagna Italy); al riguardo, non può non rilevarsi che la ricorrente ha dichiarato nelle motivazioni allegate al ricorso: per gli accessi al [.] on-line ho sempre utilizzato il computer collocato nel mio studio legale, che, come si evince dalla documentazione agli atti, si trova però in altro luogo. Secondo quanto si evince dalla documentazione prodotta, l intermediario, di propria iniziativa, ha provveduto al blocco della carta prepagata beneficiaria delle ricariche in questione il giorno seguente (11/11/2009) con la causale blocco per uso scorretto. Pag. 4/7

4 La resistente, nel dichiarare che la controparte è stata formalmente invitata il a ritirare il lettore di smart-card, da utilizzare in luogo del codice a 10 cifre, ha allegato una lettera dalla quale, tuttavia, non si evince in modo inconfutabile che fosse stata indirizzata alla ricorrente; infatti la predetta lettera è mancante di indirizzo e riporta la dicitura Roma, Sempre a questo proposito, è stato prodotto un fac-simile di messaggio informativo che sarebbe apparso a video della ricorrente in occasione dell effettuazione delle ricariche telefoniche effettuate on-line rispettivamente il e il ; nel messaggio, tuttavia, si fa distinzione ai fini della distribuzione tra la propria clientela del nuovo dispositivo di sicurezza tra clienti già in possesso di una carta dotata di microchip e clienti in procinto di riceverla, ma, in concreto, sulla base di quanto emerge dalla documentazione in atti, non è dato a conoscere se la ricorrente rientrasse nella prima o nella seconda categoria. La resistente ha prodotto il modulo di apertura del conto corrente, sottoscritto dalla parte ricorrente in data , assieme ad uno stralcio delle condizioni particolari e servizi aggiuntivi applicabili al rapporto, tra le quali rilevano ai fini della presente controversia le seguenti clausole contrattuali: art. 2 (Strumenti operativi e motivi di protezione) - comma 4: L individuazione del correntista e la riferibilità allo stesso delle richieste impartite nell ambito del presente servizio ( ) avvengono esclusivamente mediante gli strumenti operativi sopraelencati che costituiscono la chiave d accesso al servizio stesso. L intermediario adotta una procedura intesa a rendere inaccessibili a terzi i suddetti strumenti operativi, che devono essere mantenuti riservati dal correntista ; art. 4 (Registrazioni) comma 1: ( ) Il correntista accetta sin d ora gli addebiti conseguenti a operazioni disposte mediante il servizio ( ), senza bisogno di alcun preavviso o conferma delle disposizioni impartite. Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi come già si è avuto occasione di rilevare in altre occasioni (Decisione n del , Decisione n. 909/10 del e Decisione n. 719/10 del ) che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat come disposizioni di operazioni per mezzo di servizi on-line. Il punto è essenziale per una corretta interpretazione del rapporto contrattuale, posto che, in linea generale, appare corretto affermare che al cliente sono opponibili le operazioni effettuate con la digitazione dei codici in suo possesso (indipendentemente da chi effettivamente le abbia disposte), proprio perché nell utilizzo del servizio di home banking il cliente viene identificato esclusivamente mediante la verifica dei codici di sicurezza che gli sono stati assegnati. Quanto appena rilevato rende chiara sia la ragione dell obbligo di diligente custodia di detti codici sia il fatto che la violazione di tale obbligo di diligente custodia dei codici di accesso comporti che il cliente sia chiamato a rispondere di ogni conseguenza dannosa derivante da un eventuale illecito utilizzo di tali codici da parte di terzi Dalle osservazioni che precedono deve, dunque, trarsi la seguente conclusione in linea generale, e cioè che posto che nel servizio di home banking, l uso corretto dei codici di accesso consente l identificazione del titolare e l autorizzazione dei pagamenti disposti le operazioni che siano state eseguite previa corretta digitazione di tali codici sono giuridicamente riconducibili al titolare del servizio. Ciò chiarito con riferimento al primo dei due aspetti sopra evidenziati, deve ora affrontarsi la diversa questione del grado di diligenza dell intermediario richiesto con riferimento alla prestazione di servizi bancari per via telematica. Secondo la consolidata opinione della dottrina e della giurisprudenza, l attività bancaria, in quanto attività riservata, deve sottostare al canone di diligenza previsto dall art. 1176, comma 2, cod. civ. ( diligenza dell accorto banchiere ), con conseguente adozione di tutte le cautele necessarie. Come è noto, la diligenza professionalmente qualificata cui fa riferimento il secondo comma dell art cod. civ., deve essere parametrata alle specificità tecnico-scientifiche della professione esercitata, trattandosi di nozione superiore e più specifica di quella relativa al buon padre di famiglia, richiamata dal primo comma dello stesso articolo. L adempimento dell obbligazione, quindi, deve avvenire con la diligenza del regolato ed accorto professionista Pag. 5/7

5 (banchiere, nel caso che ne occupa), pena il risarcimento dei danni secondo i normali canoni della responsabilità contrattuale. Per gli aspetti che qui interessano, tale parametro rileva in relazione alla specificità del servizio bancario oggetto di contestazione (home banking) che implica l utilizzazione del canale telematico e l uso di codici dispositivi. In particolare, la valutazione coinvolge l adeguatezza - considerati gli standard esistenti - dei presidi tecnici adottati dall intermediario per rendere sicure le transazioni on-line da attacchi di pirateria informatica. Sui presidi di sicurezza più idonei a fronteggiare il fenomeno della pirateria informatica non c è attualmente una specifica normativa vincolante, anche se esistono diversi documenti, sia a livello nazionale che internazionale, trattano della sicurezza dell e-banking e, in particolare, della diversa efficacia dei vari meccanismi di autenticazione. L utente viene, infatti, autenticato attraverso la presentazione di credenziali. Generalmente si intende per credenziale uno o più dei seguenti elementi: qualcosa che l utente sa (es. la password); qualcosa che l utente ha (es. il token, che può contenere un certificato digitale); qualcosa che l utente è (in questo caso si parla di caratteristiche biometriche, es. le impronte digitali). Quando l autenticazione dell utente utilizza congiuntamente due di questi sistemi, si parla di autenticazione a due fattori. Alcune modalità tecniche consentono già oggi, in associazione all utilizzo di user-id e password, di effettuare una autenticazione a due fattori: si tratta soprattutto di Segreti condivisi e Token. Sempre a proposito del pericolo delle frodi informatiche deve ricordarsi il Decalogo ABI per banche e clienti sui sistemi di protezione dal «phishing», nel quale si suggerisce agli intermediari, fra l altro, di: 1) Definire policy aziendali stringenti per il contatto del cliente via ; 2) Pubblicizzare ai dipendenti e ai clienti della banca le policy di utilizzo dell ; 3) Aggiungere un ulteriore livello di autenticazione (con password differenziata) per l esecuzione di operazioni dispositive tramite il servizio di home banking; 4) Predisporre strumenti di monitoraggio delle transazioni dei propri conti on-line, in modo da evidenziare eventuali comportamenti anomali. E chiaro a questo Collegio che, al tempo dei fatti all origine della presente vertenza, esistevano già mezzi più efficienti per fronteggiare il fenomeno della pirateria informatica e questo costituisce ragione sufficiente per indurre a concludere che un sistema di protezione ad un solo fattore seppure composto da tre codici di accesso per permettere l esecuzione di disposizioni bancarie non può essere considerato misura sufficiente a proteggere adeguatamente il cliente. A ciò deve aggiungersi che, nel caso di specie, non può venire esclusa la responsabilità dell Intermediario sulla base della circostanza secondo la quale il cliente avrebbe rifiutato di accedere a nuovi sistemi di protezione più sicuri offerti dall Intermediario (così come deciso in altre occasioni, come, ad esempio, nelle decisioni n. 22/11, n. 550/11 e n. 198/11), in quanto l intermediario medesimo, per quanto più sopra illustrato, non ha adeguatamente provato la circostanza de qua. In sintesi, dunque, nel caso all origine del presente ricorso da un lato si può verosimilmente ravvisare una responsabilità del cliente in relazione alla mancata diligente custodia dei codici d accesso al servizio di home banking, dall altro lato non si può negare una concorrente responsabilità dell intermediario che non abbia predisposto adeguati sistemi per proteggere più efficacemente i propri clienti con riferimento al rischio di truffe perpetrate per via telematica. Questo Collegio, valutata la gravità delle rispettive colpe in relazione ai fatti illustrati e documentati, ritiene, dunque, di doverle ripartire nella misura del 50% in capo al cliente e nella misura del 50% in capo al resistente. Quanto, infine, alla lamentata violazione della normativa sulla protezione dei dati personali, non si vede come la vicenda all origine del presente procedimento possa essere stata idonea, anche solo in linea puramente teorica, ad aver determinato una lesione dei diritti contemplati dalla normativa in questione, circostanza che esime questo Collegio dal prendere in esame sia la relativa domanda sia l eccezione sollevata dall intermediario resistente. Pag. 6/7

6 P.Q.M. Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario risarcisca alla ricorrente la somma di 501,00, equitativamente determinata. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. La decisione è stata assunta all unanimità. IL PRESIDENTE firma 1 Pag. 7/7