IL COLLEGIO DI ROMA. [Estensore] Finanziario

Transcript

1 composto dai Signori: Avv. Bruno De Carolis IL COLLEGIO DI ROMA Presidente Prof. Avv. Pietro Sirena Avv. Alessandro Leproux Membro designato dalla Banca d'italia [Estensore] Membro designato dalla Banca d'italia Prof. Massimo Caratelli Prof. Avv. Marco Marinaro Membro designato dal Conciliatore Bancario e Finanziario Membro designato dal C.N.C.U. nella seduta del 08/03/2013 dopo aver esaminato il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica, FATTO La ricorrente ha affermato: -che sarebbe titolare di una carta prepagata; -che, recandosi allo sportello dell intermediario resistente, avrebbe scoperto che, tramite la suddetta carta prepagata, sarebbero stati fraudolentemente effettuate n. 2 operazioni di ricarica on line, per l importo totale di 977,00; -che, in particolare, le suddette operazioni non autorizzate sarebbero state effettuate il 10 dicembre 2011 e il 12 gennaio 2012; -che la carta prepagata sarebbe stata sempre in suo possesso e i codici della stessa non sarebbero mai stati comunicati ad alcuno; -che, il 18 gennaio 2012, avrebbe sporto denuncia alla Polizia; -che, il 30 agosto 2012, avrebbe presentato ricorso all ABF, precisando che le operazioni disconosciute non sarebbero state visualizzate nella lista dei movimenti e che, pertanto, sarebbe stata impossibilitata a intervenire tempestivamente; -che non avrebbe mai effettuato i pagamenti contestati. Ciò premesso, la ricorrente ha chiesto: -che l intermediario resistente sia condannato al pagamento di 977,00, a titolo di rimborso delle somme fraudolentemente sottratte alla ricorrente. Pag. 2/10

2 L intermediario ha resistito al ricorso, affermando: -che l operazione contestata dalla ricorrente sarebbe stata disposta da un soggetto autenticatosi come legittimo titolare mediante il corretto inserimento di tutti i codici identificativi; -che l utilizzatore avrebbe pertanto dovuto essere preventivamente a conoscenza di tali codici; -che ciò non sarebbe tuttavia accaduto mediante la violazione fisica o elettronica dei sistemi informatici centrali della resistente, i quali risulterebbero tuttora inviolati e del tutto sicuri; -che l acquisizione dei medesimi codici identificativi non potrebbe pertanto essere avvenuta che presso il ricorrente stesso; -che si potrebbe ragionevolmente sostenere che l operazione contestata dalla ricorrente si sarebbe verificata dunque a causa della presenza di un malware nel suo computer; -che la resistente avrebbe dato corso all operazione perché essa sarebbe risultata regolarmente autorizzata mediante la corretta esecuzione delle attività previste dal sistema di sicurezza delle operazioni on line; -che una qualsiasi disposizione di pagamento non potrebbe avvenire senza il diretto e personale coinvolgimento del titolare del conto corrente e senza la materiale disponibilità della sua carta prepagata; -che al fine di completare la transazione sarebbe infatti necessario digitare il c.d. codice risposta, il quale potrebbe essere generato esclusivamente inserendo la carta univocamente connessa a quella operazione di pagamento nell apposito lettore (Personal Card Reader), il quale a sua volta non potrebbe essere attivato se non mediante la digitazione del PIN sull apposito tastierino; -che, in sostanza, l utilizzo del Personal Card Reader e della carta prepagata sarebbe possibile solo connettendosi deliberatamente e appositamente ad alcune pagine del WEB e seguendo le relative istruzioni; -che, nel giorno dell operazione disconosciuta, il titolare della carta avrebbe pertanto volontariamente digitato sul tastierino del Personal Card Reader i propri codici di accesso; -che sarebbe dunque certo che l accesso al conto on line della ricorrente sarebbe avvenuta presso di lui e mediante i suoi apparati informatici; -che l operazione disconosciuta sarebbe stata eseguita a causa dell avvenuta generazione di un codice risposta autentico mediante la carta prepagata del ricorrente e la digitazione del suo PIN sull apposito tastierino del Personal Card Reader; -che, conseguentemente, nessuna responsabilità della resistente sarebbe ravvisabile nel caso di specie; -che, infatti, ai sensi dell art.6, 1 comma, del contratto quadro per lo svolgimento dei servizi di pagamento, «il Cliente, il quale fosse abilitato all utilizzo di uno o più strumenti di pagamento, è tenuto ad utilizzare lo strumento stesso o gli strumenti stessi in conformità alle condizioni che ne disciplinano l emissione e l utilizzo esplicate nel Pag. 3/10

3 presente Contratto quadro e nelle condizioni contrattuali relative ai singoli Servizi. Per tali finalità il Cliente, non appena riceve uno Strumento di pagamento, è tenuto ad adottare le misure idonee a garantire la sicurezza dei dispositivi personalizzati, quali strumenti identificativi e operativi, che ne consentono l utilizzo»; -che, pertanto, sussisterebbe un inadempimento contrattuale della ricorrente, la quale, non avendo custodito i propri dati identificativi e i dispositivi di connessione secondo l ordinaria diligenza, avrebbe causato il verificarsi dell evento; -che la responsabilità da inadempimento di un obbligazione presupporrebbe la prova dell inadempimento da parte del debitore e del danno che esso abbia cagionato; -che invece la ricorrente non avrebbe neppure posto in dubbio che la resistente abbia eseguito l ordine di pagamento a essa correttamente pervenuto; -che l uso dei codici personali porrebbe a carico della resistente l obbligo contrattuale di eseguire le transazioni ordinate mediante la digitazione delle credenziali del titolare; -che i codici personali varrebbero a identificare con certezza il titolare di una carta prepagata; -che sarebbe pertanto interesse del titolare della carta prepagata assicurarsi che i codici personali restino segreti, non comunicandoli a terzi, né riportandoli sulla carta o conservandoli unitamente ai propri documenti di identità; -che il titolare sarebbe responsabile di ogni conseguenza dannosa che possa derivare dall abuso o dall uso illecito della carta prepagata e dei codici di identità personale; -che, nel caso di specie, l ordinante sarebbe stato correttamente identificato, nel pieno rispetto di quanto contrattualmente previsto; -che, non avendo ricevuto segnalazioni di smarrimento o furto della carta prepagata o dei codici personali, la emittente sarebbe stata obbligata a eseguire il pagamento; -che la emittente avrebbe pertanto agito con la massima diligenza, sorvegliando le operazioni durante il loro svolgimento e impedendo qualsiasi violazione del proprio sistema informatico; -che le allegate certificazioni dimostrerebbero che la emittente avrebbe adottato sistemi di sicurezza tali da rendere affidabili e sicure le operazioni, conformandosi così a standard riconosciuti di sicurezza e organizzativi (UNI e CEI); -che fin dal marzo 2005, la emittente avrebbe avviato una campagna di informazione e sensibilizzazione dei propri clienti attraverso diversi canali di comunicazione, affinché essi usassero la dovuta attenzione al fine di evitare la divulgazione dei propri dati; -che nelle comunicazioni indirizzate alla clientela, sarebbe stata messa in rilievo l esistenza del fenomeno del phishing, precisando che in nessun caso la emittente avrebbe chiesto per posta elettronica ai propri correntisti le credenziali personali e sensibilizzandoli a non inserire i propri Pag. 4/10

4 codici personali in siti Internet raggiunti cliccando su link presenti nelle comunicazioni ricevute per posta elettronica o in qualsiasi altro sito diverso da quello ufficiale della emittente; -che inoltre, sul sito istituzionale della emittente, sarebbero state pubblicate alcune pagine WEB dedicate, con istruzioni e modalità di prevenzione del phishing e corredate da esempi di messaggi di posta elettronica fraudolenti, da un elenco di società fantasma segnalate all autorità giudiziaria e da un video di apprendimento; - che l informativa al pubblico sarebbe stata anche rafforzata da un azione rivolta alle principali associazioni di consumatori e dall invio di una lettera circolare periodicamente dedicata al fenomeno del phishing; -che dal 2006 la emittente avrebbe annualmente inviato a tutti i titolari di una carta prepagata una pubblicazione informativa sul phishing; -che a partire dal 2007 sarebbe stato realizzato e pubblicato sul sito istituzionale della emittente un portale anti-phishing dedicato alla sicurezza in Internet; -che pertanto non vi sarebbe dubbio che i terzi siano venuti a conoscenza dei codici della carta prepagata della ricorrente a causa di un suo comportamento negligente, costituito dalla violazione dell obbligo di segretezza di tali codici; -che l imprudenza nella custodia della carta prepagata e dei relativi codici personali integrerebbe gli estremi della colpa grave da parte della ricorrente, escludendo pertanto il risarcimento del danno ai sensi dell art. 1227, 2 comma, c.c. Ciò posto, la resistente ha chiesto che il ricorso sia rigettato perché infondato. DIRITTO La responsabilità dell emittente di una carta prepagata per il suo utilizzo non autorizzato è disciplinata dall art. 12 del d.lgs. 27 gennaio 2010, n.11, il quale ha attuato nell ordinamento giuridico italiano la direttiva 2007/64/CE relativa ai servizi di pagamento nel mercato interno europeo. Nel caso di specie, i pagamenti contestati dalla ricorrente sono stati effettuati (il 10 dicembre 2011 e il 12 gennaio 2012, ossia) prima che la stessa, avvedendosene in occasione di un controllo presso lo sportello dell intermediario, effettuasse all emittente della propria carta prepagata la comunicazione del suo utilizzo non appropriato, ai sensi dell art. 7, 1 comma, lett. b), del d.lgs. n.11 del La responsabilità dell emittente è disciplinata pertanto dall art. 12, 3 comma, del medesimo decreto, il quale statuisce che, «salvo il caso in cui abbia agito con dolo o Pag. 5/10

5 colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell art.7, 1 comma, lett. b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150,00 la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento». In virtù di tale disposizione legislativa, il prestatore di servizi di pagamento può escludere la propria responsabilità per l utilizzo non autorizzato di uno strumento di pagamento soltanto provando la colpa grave dell utilizzatore, la quale costituisce un fatto impeditivo del risarcimento del danno, ai sensi dell art. 2697, 2 comma, c.c. A tale proposito, la resistente ha affermato che l utilizzo della carta prepagata a favore del sito Internet sul quale è avvenuta la transazione disconosciuta dalla ricorrente presupporrebbe necessariamente la conoscenza dei suoi codici identificativi personali: poiché i sistemi informatici centrali della emittente non avrebbero subìto alcuna violazione, né fisica, né elettronica, si dovrebbe pertanto supporre che tali codici identificativi siano stati acquisiti presso la ricorrente stessa a causa della presenza di un malware nell apparecchio utilizzato dalla medesima ricorrente (p. 2 ss. delle controdeduzioni). Inoltre, la resistente ha affermato che, al fine di completare la transazione contestata dalla ricorrente, sarebbe stato necessario digitare il c.d. codice risposta, il quale avrebbe potuto essere generato esclusivamente inserendo la carta prepagata nel Personal Card Reader e digitando il PIN sull apposito tastierino (p. 2 ss. delle controdeduzioni). Questo Arbitro non ritiene tuttavia che sia stata così provata la colpa grave della ricorrente, ai sensi dell art. 12, 3 comma, del d. lgs. n. 11 del Si deve in generale premettere che, secondo la giurisprudenza di legittimità, la colpa grave è costituita da una «straordinaria e inescusabile» imprudenza, negligenza o imperizia, la quale presuppone che sia stata violata non solo la diligenza ordinaria del buon padre di famiglia di cui all art. 1176, 1 comma, c.c., ma anche «quel grado minimo ed elementare di diligenza generalmente osservato da tutti» (Cass., 3 maggio 2011, n.913; Cass., 19 novembre 2001, n.14456). Pag. 6/10

6 È bensì vero che, ai sensi dell art. 7, 1 comma, lett. b), del d.lgs. n.11 del 2010, il titolare di uno strumento di pagamento ha l obbligo di «utilizzare lo strumento di pagamento in conformità con i termini, esplicitati nel contratto-quadro, che ne regolano l emissione e l uso». Ed è altresì vero che l art.2 delle condizioni generali di contratto, che è stato invocato dalla resistente, prevede che il cliente è responsabile della custodia della carta prepagata e del PIN ad essa abbinato e, inoltre, che la carta deve essere usata soltanto dal titolare e non può in nessun caso essere e per nessun motivo essere ceduta o data in uso a terzi. Tuttavia, l art. 10, 2 comma, del d.lgs. n.11 del 2010 statuisce che, «quando l utilizzatore di servizi di pagamento neghi di aver autorizzato un operazione di pagamento eseguita, l utilizzazione di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che l operazione sia stata autorizzata dall utilizzatore medesimo, né che questi abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all art.7». Secondo quanto chiarito dal Collegio di Coordinamento di questo Arbitro nella decisione n del 2012, i sistemi di sicurezza basati su una password usa e getta (c.d. OTP - One Time Password) allo stato attuale della tecnologia non sono idonei a escludere che possa realizzarsi un «subdolo meccanismo di aggressione», il quale è «caratterizzato da un effetto sorpresa capace di spiazzare l utilizzatore, grazie alla perfetta inserzione nell ambiente informatico originale e nella correlata simulazione di un messaggio che a chiunque non potrebbe apparire che genuino» (decisione ABF, Collegio di Coordinamento, n del 2012). In sé stessa considerata, l adozione di un sistema di sicurezza di secondo livello non è pertanto ritenuta idonea da questo Arbitro a provare la colpa grave del cliente al quale sia stata addebitata un operazione di pagamento non autorizzata, ai sensi dell art. 12, 3 comma, del d.lgs n.11 del Ne consegue la resistente è responsabile nei confronti della ricorrente del danno costituito dalla perdita dell importo addebitatole, fermo restando quanto si dirà subito dopo a proposito del limite di tale responsabilità (c.d. franchigia). *** Pag. 7/10

7 L art. 12, 3 comma, del d.lgs. n.11 del 2010 prevede che l utilizzatore di uno strumento di pagamento possa sopportare per un importo complessivamente non superiore a 150,00 la perdita derivante dall utilizzo indebito di tale strumento, conseguente al suo furto o smarrimento. Questo Arbitro ritiene che tale importo debba essere caso per caso determinato secondo i seguenti criteri (v. la decisione ABF, Collegio di Roma, n del 2012): 1. la proporzione con l entità della somma fraudolentemente sottratta (in particolare, su una somma esigua, di poche centinaia di euro, la franchigia da dedurre non potrà comunque raggiungere la soglia massima di 150,00); 2. la maggiore o minore levità della compartecipazione colposa del ricorrente nella produzione del fatto illecito (i prelievi fraudolenti); 3. il grado di negligenza dell intermediario. Per quanto riguarda il punto n.1, nel caso di specie questo Arbitro ritiene che l importo delle operazioni disconosciute non sia esiguo. Per quanto riguarda il punto n.2, questo Arbitro ritiene che sussistano specifici elementi probatori di un eventuale compartecipazione colposa della ricorrente nella produzione del fatto illecito. In particolare, premesso che l utilizzatore di servizi di pagamento on line è tenuto a effettuare un monitoraggio periodico dei propri conti, finalizzato ad accertare eventuali operazioni non autorizzate (decisioni ABF, Collegio di Roma, n.2301 del 2012 e n.214 del 2012 ex plurimis), si deve rilevare che l importo di cui si tratta è stato addebitato rispettivamente il 10 dicembre 2011 e il 12 gennaio 2012 alla ricorrente e questa se ne è avveduta il 18 gennaio 2012, provvedendo subito a comunicare quanto accaduto all intermediario resistente. Tale segnalazione è stata pertanto inoltrata alla resistente solo dopo che era trascorso un certo tempo dalla operazione disconosciuta (trentotto giorni dalla prima operazione). Si deve dunque ritenere che, per quanto qui rileva, la ricorrente abbia concorso a cagionare il danno, ai sensi dell art.1227, 1 comma, c.c. Per quanto riguarda il punto n.3, conviene premettere che il prestatore di servizi di pagamento deve «assicurare che le caratteristiche di sicurezza personalizzate di uno strumento di pagamento siano accessibili solo all utente di servizi di pagamento abilitato ad utilizzare lo strumento stesso, salvi restando gli obblighi imposti all utente di servizi di pagamento di cui all art. 56». A ciò consegue che il prestatore dei servizi di Pag. 8/10

8 pagamento può dare la prova di aver adempiuto le proprie obbligazioni contrattuali con la diligenza richiesta dalla natura dell attività che esercita (art. 1176, 2 comma, c.c.) soltanto dimostrando di aver assicurato che lo strumento di pagamento sia accessibile solo dall utente. Ciò vale a maggior ragione, se si considera che la diligenza che è richiesta a una nell adempimento delle proprie obbligazioni deve essere valutata con particolare rigore, perché è «qualificata dal maggior grado di prudenza e attenzione che la connotazione professionale dell agente consente e richiede» (Cass. civ., sez. I, 24 settembre 2009, n ). Per quanto riguarda la prestazione di servizi elettronici e l emissione di strumenti di pagamento operanti on line, in particolare, «non può essere omessa [ ] la verifica dell adozione da parte dell istituto bancario delle misure idonee a garantire la sicurezza del servizio [ ]: infatti, la diligenza posta a carico del professionista ha natura tecnica e deve essere valutata tenendo conto dei rischi tipici della sfera professionale di riferimento e assumendo quindi come parametro la figura dell accorto banchiere» (Cass. civ., sez. I, 12 giugno 2007, n ). Nel caso di specie, la resistente ha allegato e documentato (all. A alle controdeduzioni) di aver adottato sistemi di sicurezza e di garanzia delle transazioni on line che sono conformi agli standard ISO/IEC e che sono stati accertati da certificatori accreditati SINCERT. Non si può peraltro non osservare che, come ribadito da questo Arbitro nella decisione del Collegio di Coordinamento n del 2012, il Provvedimento della Banca d Italia del 5 luglio 2011 ha precisato che i prestatori di servizi di pagamento hanno l obbligo di dare corso a fasi di verifica teorica e pratica della vulnerabilità dei presidî di sicurezza con relativa revisione periodica del processo stesso, nonché di definire un adeguato insieme di presidî di sicurezza logica e fisica per i sistemi informativi, un efficace processo di controllo interno, un appropriato piano di continuità operativa e una gestione dei rapporti contrattuali con i fornitori esterni coerente con i suddetti vincoli: in breve, un preciso obbligo di costante ed effettivo monitoraggio dell efficienza del sistema di sicurezza che, come tale, non può non tenere in debita considerazione l evoluzione dei metodi di aggressione e la costante ricerca di soluzioni protese ad ovviarne o aggirarne le offensive. La ingente mole di ricorsi a questo Pag. 9/10

9 Arbitro per l uso non autorizzato degli strumenti di pagamento emessi dallo stesso intermediario consente di rilevare che, stante l assoluta ripetitività delle operazioni fraudolente che sono poste in contestazione dai ricorrenti, sussiste una carenza organizzativa della resistente, la quale ha pertanto violato l obbligo di «assicurare che i dispositivi personalizzati che consentono l utilizzo di uno strumento di pagamento non siano accessibili a soggetti diversi dall utilizzatore legittimato ad usare lo strumento medesimo» (art. 8, 1 comma, lett. a), del d.lgs. n.11 del 2010). Contemperando i suddetti criteri, questo Arbitro ritiene che, nel caso di specie, la franchigia di cui all art. 12, 3 comma, del d.lgs. n.11 del 2010 debba trovare applicazione nei limiti di 100,00. In accoglimento del ricorso, la resistente è pertanto condannata a pagare la somma di 877,00 (ottocentosettantasette/00), oltre agli interessi legali dal giorno del reclamo a quello del pagamento. P.Q.M. Il Collegio accoglie il ricorso nei sensi di cui in motivazione, al netto della franchigia di Euro 100,00. Dispone, inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di Euro 200,00 (duecento/00) quale contributo alle spese della procedura e al ricorrente quella di Euro 20,00 (venti/00) quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 10/10