COLLEGIO DI MILANO. Membro designato dalla Banca d'italia. (MI) SANTARELLI Membro designato da Associazione rappresentativa degli intermediari

Transcript

1 COLLEGIO DI MILANO composto dai signori: (MI) GAMBARO (MI) LUCCHINI GUASTALLA (MI) CONTINO Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (MI) SANTARELLI Membro designato da Associazione rappresentativa degli intermediari (MI) ESTRANGEROS Membro designato da Associazione rappresentativa dei clienti Relatore (MI) LUCCHINI GUASTALLA Nella seduta del 26/09/2013 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO La società ricorrente, titolare di conto corrente con annesso servizio di internet banking presso l odierna convenuta, disconosce 2 bonifici on line ammontanti complessivamente ad ,00, chiedendo la restituzione del relativo importo dedotta la franchigia di legge, oltre ad interessi legali dalla data dei rispettivi bonifici ed alla rivalutazione monetaria. Più precisamente, con reclamo del , recapitato il successivo , la società ricorrente riferiva di aver presentato denuncia di furto online degli importi di ,00 il e di ,00 il , ma che, nonostante il decorso di 57 giorni e le assicurazioni verbali sulla restituzione delle somme, non aveva riscontrato alcun riaccredito, bensì 2 addebiti di 3,00 ciascuno in data con causale richiamo bonifico. Pag. 2/9

2 Esponeva quindi: - di non aver ordinato l esecuzione dei bonifici suddetti; - di aver installato in programma antivirus a pagamento sul computer aziendale; - che il volendo stampare l estratto conto del mese di dicembre la stampa non avveniva [ed] usciva una finestra che [ aveva] chiuso con la X, non sapendo se sotto quella X esistesse un altro comando tale da inviare le password a terzi ; - che a seguito delle operazioni contestate l intermediario medesimo aveva proposto di cambiare il programma con quello dei privati con la chiavetta «O-K» elettronica generatrice di codici PIN momentanei già sperimentata con i privati e «più sicura» ; - di essere esterrefatt[a] che nello stesso giorno [ l intermediario aveva proposto] un servizio di banca online con le password alfanumeriche sul conto corrente della ditta e un servizio online con la chiavetta elettronica O-K «più sicura» sul conto privato. Concludeva chiedendo un effettiva riparazione per l accaduto. Con il proprio ricorso all ABF, presentato con l assistenza di un legale, la società ha fornito un articolata esposizione dei fatti e delle ragioni di diritto a supporto delle proprie istanze. In sintesi, il procuratore della ricorrente ha rappresentato la vicenda all origine della presente vertenza come segue: - la società assistita costituisce una micro-impresa artigiana; - il il legale rappresentante della società sottoscriveva in proprio un contratto per Servizi via internet, cellulare e telefono con l odierna parte resistente, ottenendo la cd. chiave elettronica per l operatività home banking; - a distanza di un mese circa, il , la società, rappresentata dalla medesima persona fisica, stipulava con la convenuta un contratto per operare on line sul conto corrente aziendale, essendo a tale fine dotata di un ID fisso, nonché due password alfanumeriche di otto caratteri ciascuna, da modificare ogni mese per la modalità dispositiva; - per il servizio di internet banking la società utilizzava ed utilizza un solo computer, dotato di programma antivirus, operando on line generalmente per disposizioni e ricevimento di bonifici nazionali inerenti alla propria attività e per pagare le utenze e lo stipendio del dipendente; - nell unica occasione precedente i fatti oggetto di controversia in cui aveva dovuto effettuare un bonifico estero, si era rivolta alla filiale di appoggio del conto corrente, specificando anche la causale dell operazione; - in data il legale rappresentante della società tentava di accedere al conto on line dell azienda, ma si avvedeva che il conto era bloccato; - contattando il numero verde della banca, apprendeva che il conto era stato bloccato a causa di 3 bonifici sospetti; si recava quindi all agenzia competente per avere il dettaglio delle operazioni suddette ed apprendeva trattarsi di 3 bonifici SEPA aventi come beneficiario una persona fisica titolare di conto corrente in Romania, tutti senza causale, di cui: il primo di ,00 eseguito il , il secondo di ,00 eseguito il ed il restante di ,00 ordinato il , ma bloccato dalla stessa resistente; Pag. 3/9

3 - non avendo effettuato tali operazioni, la società sporgeva denuncia alla Pubblica Autorità e pochi giorni dopo, il , sottoscriveva, su proposta della banca, un altro contratto per l operatività on line del conto corrente aziendale che, ad un costo decisamente inferiore a quello precedente, comportava l impiego di user id, password e chiave elettronica analogamente a quello già stipulato dal legale rappresentante in proprio; - non avendo conseguito il rimborso delle somme oggetto dei bonifici di cui sopra, sporgeva reclamo alla convenuta, che lo respingeva pur riconoscendo l illecita acquisizione da parte di terzi dei codici di accesso al servizio di home banking ed implicitamente ammettendo che l indirizzo IP utilizzato per le operazioni fraudolente non è quello della Cliente, un IP statico, utilizzato dall unico pc aziendale, con operatività «monobanca» ; - il procedimento penale avviato a seguito della denuncia è stato archiviato dal Giudice per le indagini preliminari. Sulle ragioni di diritto, il procuratore della società ricorrente ha invocato la piena operatività del D.Lgs. 11/2010, trattandosi di micro-impresa e rilevando che il contratto all epoca in vigore tra le parti, oltre ad essere difforme nella copia data alla cliente rispetto a quella conservata dalla banca, prevede un regime di responsabilità per le operazioni fraudolente vessatorio ai sensi dell art. 33, comma 2, lett. b) del Codice del Consumo. Ha quindi richiamato gli articoli 7, 8, 10, 11 e 12 del citato D.Lgs. 11/2010, affermando che la convenuta, nel rispondere al reclamo, riconoscendo l illecita acquisizione da parte di terzi delle credenziali della cliente, ha ammesso che l Azienda non solo non ha agito con dolo o colpa grave, ma neppure con negligenza, perfino lieve. Ha ribadito che la società non ha mai disposto bonifici UE/Sepa come quelli controversi ed ha rilevato la negligenza della banca per aver dotato la cliente di un servizio di internet banking meno sicuro di quello fornito poco tempo prima al legale rappresentante della stessa società in proprio. Infine, il procuratore ha affermato la violazione da parte dell intermediario dell art. 31 D.Lgs. 196/2003, con conseguente applicazione dell art. 15 del medesimo decreto, nonché ha invocato la responsabilità della banca ai sensi dell art C.C. Tutte le argomentazioni giuridiche sono state supportate da riferimenti di giurisprudenza e precedenti ABF. La ricorrente ha concluso chiedendo all ABF di accertare e dichiarare la responsabilità contrattuale e/o extracontrattuale dell intermediario convenuto per l esecuzione dei bonifici oggetto di controversia e conseguentemente condannar[lo ] a restituire e/o risarcire alla medesima la somma di ,00 detratta la franchigia di legge di 150,00, oltre interessi legali dalla data dei rispettivi bonifici fraudolenti al saldo, oltre rivalutazione monetaria sugli importi liquidati. Nelle proprie controdeduzioni, trasmesse tramite PEC del Conciliatore Bancario Finanziario del , parte resistente ha eccepito in via preliminare: - l inammissibilità del ricorso per essere decorsi più di 12 mesi rispetto alla presentazione del reclamo, asseritamente rilevando al riguardo la data di ricezione del ricorso medesimo da parte dell intermediario (ovvero ); - l inammissibilità del ricorso per essere la medesima questione stata sottoposta all Autorità giudiziaria come documentato dalla stessa ricorrente; Pag. 4/9

4 - la nullità del ricorso ex art. 164 c.p.c. per avere il legale della società istante formulato, rispettivamente a pagina 3 del modulo di ricorso e nella memoria allegata, domande tra loro inconciliabili e indeterminate; - la nullità del ricorso per vizio di forma avendo la ricorrente formulato le proprie istanze su fogli allegati al modulo del ricorso e non nel modulo stesso. Nel merito, in sintesi la banca ha osservato: - sulla domanda restitutoria contenuta a pagina 3 del modulo del ricorso, che la stessa presuppone un indebito arricchimento del soggetto cui è rivolta in base agli artt ss. C.C. e, pertanto, il solo legittimato passivo di tale azione è il beneficiario dei bonifici controversi; - sull asserita responsabilità contrattuale e/o extracontrattuale della banca stessa, che non è possibile invocare contestualmente entrambe le responsabilità, essendo tra loro incompatibili; - che comunque la ricorrente non ha provato la sussistenza dei presupposti integranti la responsabilità extracontrattuale, in particolare non rilevando: la circostanza che la ricorrente si sia dotata di un programma antivirus, poiché l acquisizione delle sue credenziali potrebbe essere avvenuta al di fuori del sistema informatico; l indirizzo IP ai fini dell identificazione degli utenti e dell autenticazione degli accessi che vengono esclusivamente operati sulla base di ID e password, anche se la ricorrente ha dichiarato di utilizzare un indirizzo IP statico che aumenta il rischio di subire accessi indesiderati al proprio pc ; - quanto al contratto in essere, che l asserita difformità delle copie a mani delle parti dipende solo dalla diversa impaginazione conseguente al perfezionamento mediante scambio di corrispondenza e che le clausole in materia di obblighi di custodia dei codici di accesso al servizio di internet banking e di responsabilità del cliente per il caso di utilizzi fraudolenti sono coerenti con i principi generali di buona fede e correttezza; - che in ogni caso la qualifica di micro-impresa della ricorrente non è mai stata messa in discussione; - che nel reclamo la ricorrente ha ammesso di aver riscontrato anomalie nell accesso al conto on line già il , ma non ne ha dato tempestivo avviso alla banca, che avrebbe probabilmente potuto impedire le transazioni illegittime del 24/01/2012 e del 26/01/2012, con ciò violando l art. 7, comma 1 lett. b) del D.Lgs. 11/2010; - che la colpevole inerzia della cliente, anche rispetto all onere di verificare la movimentazione del conto, si è protratta per almeno 10 giorni e, unita all utilizzo di un indirizzo IP statico e dunque più vulnerabile, integra gli estremi della colpa grave ai sensi dell art. 12 del D.Lgs. 11/2010; - che [a]ppare meramente specioso il tentativo di attribuir[le ] la presunta responsabilità di non aver proposto alla ricorrente un diverso sistema di accesso con identificazione a due fattori già utilizzato da uno dei soci a titolo privato, poiché l istante ha asserito senza provare peraltro la violazione del sistema informatico della banca, mentre il sistema di identificazione a due fattori riguarda le fasi di identificazione ed autenticazione che si collocano al di fuori del sistema informatico dell intermediario. Pag. 5/9

5 La convenuta ha quindi concluso chiedendo all ABF: Con nota protocollata il , il procuratore della ricorrente, richiamando il contenuto del ricorso, ha replicato che: - il ricorso è stato proposto il , e dunque entro il termine di 12 mesi dalla presentazione del reclamo, mentre la data del , richiamata dall intermediario, rilevava per la decorrenza del termine per la produzione delle controdeduzioni; - il procedimento penale, comunque archiviato, era stato avviato contro ignoti e non contro la banca, a seguito della denuncia richiesta dal medesimo contratto bancario; - l intermediario, essendo in possesso dei flussi informatici relativi alle operazioni disconosciute, ben avrebbe potuto offrire un forte apporto alle indagini e soprattutto alla Cliente, come dedotto in ricorso ; parte resistente fa confusione tra la richiesta di accertamento della sua responsabilità con quella conseguente di restituzione/risarcimento, essendo riconosciuto in giurisprudenza il concorso di azioni di responsabilità contrattuale ed extracontrattuale. DIRITTO Questo Collegio deve preliminarmente affrontare le speciose eccezioni sollevate dall intermediario resistente, tutte palesemente infondate. Infatti, il ricorso appare tempestivamente promosso entro l anno dalla presentazione del reclamo (il recapito del reclamo è avvenuto il , mentre il ricorso è stato protocollato il ); per orientamento consolidato dell ABF, la presentazione di una Pag. 6/9

6 denuncia-querela contro ignoti (per di più, nel caso di specie, già archiviata) non determina alcuna litispendenza; il ricorso non può essere considerato nullo, non essendo le domande, così come formulate, contraddittorie; il ricorso appare privo di qualsiasi vizio di forma. Ciò premesso, e prima di esaminare nel merito la controversia, sembra tuttavia opportuno riportare alcuni aspetti essenziali ai fini della decisione. La controversia concerne l addebito sul conto corrente della società istante di 2 bonifici esteri eseguiti on line rispettivamente il per ,00 ed il per ,00, entrambi a favore del medesimo beneficiario, titolare di conto corrente aperto presso prestatore di servizi di pagamento insediato nella Comunità europea. I fatti all origine della controversia sono avvenuti in epoca successiva all entrata in vigore del decreto legislativo n. 11/2010, di recepimento della PSD (Direttiva 2007/64/CE) ed al successivo Provvedimento della Banca d Italia del 05/07/2011. Non è contestato che: - il servizio di internet banking è stato attivato per il conto della parte istante in forza di contratto stipulato il e si trattava di un sistema ad un solo fattore, quando nello stesso periodo la banca offriva alla clientela sistemi di internet banking a due fattori, come nella specie verificatosi per il legale rappresentante della stessa società ricorrente, quale utente in proprio; - il conto corrente è stato bloccato ad iniziativa della banca, che ha impedito l esecuzione di un terzo bonifico fraudolento, in data , per ,00 (cfr. all. 9 ed 11 del ricorso). La ricorrente ha peraltro dichiarato, in sede di reclamo, di aver riscontrato delle anomalie nell accesso al conto on line in data , antecedente di qualche giorno quella di esecuzione delle operazioni qui contestate ( volendo stampare l estratto conto del mese di dicembre, la stampa non avveniva [ed] usciva una finestra che [ parte ricorrente aveva] chiuso con la X, non sapendo se sotto quella X esistesse un altro comando tale da inviare le password a terzi); - a seguito dei fatti oggetto di controversia, le parti hanno stipulato un nuovo contratto per il servizio di internet banking avente le caratteristiche (sistema a due fattori) di quello già sottoscritto dal legale rappresentante della società in proprio. Non è noto se il contratto in essere al momento dei fatti controversi fosse stato adeguato alle previsioni di cui al D.Lgs. 11/2010. Non è comunque contestato tra le parti che la società ricorrente possiede i requisiti per essere qualificata micro-impresa. Non constano gli eventuali limiti operativi per l esecuzione dei bonifici all epoca della vicenda. In relazione alla rispondenza delle transazioni contestate alla normale operatività della società ricorrente, quest ultima ha affermato di non essersi mai avvalsa del servizio di internet banking per l esecuzione di bonifici esteri, ma di averlo utilizzato solo per disposizioni e ricevimento di bonifici nazionali inerenti alla propria attività, pagamenti di utenze e dello stipendio del dipendente. Non è noto se la banca avesse messo a disposizione il servizio di alert tramite sms su cellulare o all epoca dei fatti oggetto del presente ricorso. Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi come già si è avuto modo di rilevare in altre occasioni che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo Pag. 7/9

7 del servizio Bancomat, disposizioni di operazioni per mezzo di servizi on-line o pagamenti via Internet. Tuttavia, all epoca dei fatti all origine del presente procedimento era già in vigore la normativa (di recepimento della c.d. Direttiva PSD) di cui al D. Lgs. 27 gennaio 2010, n. 11, secondo la quale: Salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell articolo 7, comma 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento (art. 12, comma 3 ); nel contempo, qualora abbia agito in modo fraudolento o non abbia adempiuto ad uno o più obblighi di cui all art. 7 con dolo o colpa grave, l utilizzatore sopporta tutte le perdite derivanti da operazioni di pagamento non autorizzate e non si applica il limite di 150 euro di cui al comma precedente (art. 12, comma 4 ). Ciò chiarito, è ora necessario verificare quale sia la corretta soluzione della controversia alla luce delle norme sopra riportate, considerato che tali regole sono vigenti dal 1 marzo 2010 e che le norme del citato decreto sostituiscono di diritto le condizioni contrattuali concernenti le fattispecie ivi disciplinate. Giova anzitutto sottolineare che, sulla scorta della recente normativa citata, l argomentazione secondo la quale l effettuazione delle operazioni con l utilizzo dei codici identificativi corretti concreterebbe per ciò solo un omessa diligente custodia dei medesimi da parte del cliente non può ritenersi condivisibile in quanto è chiaramente smentita dal dettato dell art. 10 comma 2 del decreto legislativo precitato, il quale prevede testualmente che l utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che ( ) questi [il cliente] non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all articolo 7. Da quanto appena evidenziato emerge pianamente che il compimento di una o più operazioni disconosciute non induce alcuna presunzione di prova a carico del cliente, tanto meno una presunzione di dolo o colpa grave (la cui accertata sussistenza comporterebbe la responsabilità esclusiva e totale del cliente), dovendosi anzi sottolineare che l imputazione di colpa grave esclude un concetto di normalità della colpa, posto che, com è noto, le conseguenze giuridiche della colpa grave sono trattate allo stesso modo di quelle proprie della condotta dolosa, tanto che si parla comunemente di equiparazione della colpa grave al c.d. dolo eventuale, la cui sussistenza deve essere provata in concreto (cfr., ex multis, Cass. Civ. n del 2006). Ora, valutando le circostanze del caso concreto, non pare neppure potersi riscontrare, nella condotta della ricorrente, gli elementi in fatto per poter riconoscere una colpa grave. Allo stesso modo, non risulta altrimenti provata, da parte dell intermediario, la sussistenza di fatti ulteriori e specifici costitutivi della colpa grave della ricorrente. Al contrario, in conformità a quanto deciso in casi strettamente analoghi, questo Collegio ritiene che, al tempo dei fatti all origine della presente vertenza, esistevano già mezzi più efficienti per fronteggiare il fenomeno della pirateria informatica e questo costituisce ragione sufficiente per indurre a concludere che un sistema di protezione ad un solo fattore composto da codici di accesso non variabili di volta in volta per permettere l esecuzione di disposizioni bancarie non può essere considerato misura sufficiente a proteggere adeguatamente il cliente. Pag. 8/9

8 Ebbene, a questo punto non può che concludersi che, secondo quanto previsto dalla normativa vigente all epoca dei fatti, con riferimento alle operazioni compiute prima del blocco, come nel caso concreto, è espressamente previsto che il cliente sia responsabile entro il limite di Euro 150,00 delle conseguenze dannose derivanti dall uso fraudolento del servizio di home banking. In linea con il proprio orientamento, il Collegio accoglie la richiesta relativa agli interessi legali, ma dalla domanda (ovvero dal reclamo) e non quella avente ad oggetto la rivalutazione monetaria. PER QUESTI MOTIVI Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario corrisponda la somma di ,00 alla parte ricorrente, oltre agli interessi dalla domanda al saldo. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00, quale contributo alle spese della procedura, e alla parte ricorrente la somma di 20,00, quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 9/9