IL COLLEGIO DI MILANO. Prof. Avv. Antonio Gambaro Presidente. Prof.ssa Antonella Maria Sciarrone Alibrandi Membro designato dalla Banca d Italia

Transcript

1 IL COLLEGIO DI MILANO composto dai signori: Prof. Avv. Antonio Gambaro Presidente Prof.ssa Antonella Maria Sciarrone Alibrandi Membro designato dalla Banca d Italia Prof. Avv. Emanuele Cesare Lucchini Guastalla Membro designato dalla Banca d Italia (Estensore) Dott. Mario Blandini Membro designato dal Conciliatore Bancario Finanziario Avv. Guido Sagliaschi Membro designato dal C.N.C.U. nella seduta del 14 giugno 2012, dopo aver esaminato il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica. FATTO La ricorrente è titolare, unitamente ad un familiare (la madre), di un conto corrente con operatività online. In data 4/12/2008 ha provveduto a sporgere denuncia alla locale Stazione dei Carabinieri, dichiarando, altresì, che nella giornata: - la madre, visionando la movimentazione del conto, si era accorta dell addebito di tre operazioni fraudolente, effettuate nella data del 3/12/2008, per un totale di 2.866,00; - aveva prontamente contattato il numero verde e aveva effettuato il blocco del conto corrente e della carta prepagata, appoggiata sul medesimo rapporto di conto corrente. Con reclamo del 31 luglio 2009, tramite un legale, la ricorrente ha fatto presente di non avere ottenuto riscontro alla precedente istanza di rimborso del 5 dicembre 2008, nonostante i successivi solleciti telefonici. L intermediario, con nota del 28/09/2009, ha rigettato l istanza, argomentando che: - le transazioni contestate sono state eseguite con il corretto inserimento delle credenziali; - i fatti contestati appaiono riconducibili ad un caso di frode informatica e, pertanto, deve essere cura di chi utilizza strumenti informatici adottare tutte le cautele necessarie per garantire la riserva tessa dei propri dati ; Pag. 2/6

2 - i servizi online sono realizzati con sistemi di protezione che rispettano elevati standard di sicurezza per la salvaguardia delle informazioni trasmesse via internet ; - per ogni operazioni disposta il sistema richiede quattro caratteri sempre diversi del codice dispositivo (pin). Con successivo reclamo del 31 agosto 2011 la ricorrente ha rinnovato la richiesta, richiedendo la restituzione della somma di 2.866,00 oltre gli interessi di mora al tasso legale dal Ha, inoltre, ribadito che: - trattandosi di frode, la responsabilità di quanto accaduto non può ricadere sul titolare del conto corrente; - ha agito con la massima cautela nell utilizzo dello strumento informatico, essendo a conoscenza dei possibili rischi di furto di identità; - ha dotato il proprio computer di un potente antivirus e non ha mai avuto problemi con altre banche online con cui opera; - fin dalla data di accensione del rapporto (antecedente alle comunicazioni sulla sicurezza presenti sul sito) la convenuta avrebbe dovuto garantire la protezione totale del sito compresa la parte relativa alle mail all interno del proprio account. L intermediario, con riscontro del 4 ottobre 2011, ha rinviato alle precedenti motivazioni già rese note per il rifiuto del rimborso. La ricorrente, non soddisfatta dell esito del reclamo, ha presentato ricorso all ABF al fine di ottenere la restituzione della somma di 2.866,00, oltre agli interessi legali maturati, precisando che: - i cointestatari del conto non hanno mai subito furti o ceduto ad altri codici o password così pure non hanno mai risposto a mail della convenuta al proprio accaunt personale ; - la convenuta non ha fornito risposte esaustive e circostanziate sulla vicenda né ha fornito ragguaglia sulle indagini svolte. La convenuta che ha trasmesso le proprie controdeduzioni alla Segreteria Tecnica, tramite PEC, il 22/2/2012, a fronte del termine previsto del 13/2/ ha sintetizzato la vicenda, facendo presente che: è stato attivato il conto corrente n. [ ]471, con l associazione del servizio di operatività online (all. 1 e all. 2) ; in data 3/08/2008 [da intendersi 3/12/2008] sono state disposte sul conto corrente tre operazioni di ricarica online a favore di una carta prepagata emessa a favore di un altro cliente della convenuta; il beneficiario degli accrediti ha provveduto a ritirare la totalità delle somme, per eseguire a sua volte ricariche online di altre carte prepagate emesse dalla stessa; In data 4/12/2008 la ricorrente ha sporto denuncia e ha chiesto il rimborso delle operazioni fraudolente nei termini già precisati nella precedente sezione. Nel merito della questione, l intermediario ha precisato che la richiesta del ricorrente è da ritenere infondata e, pertanto non può essere accolta in quanto: - gli ordini - impartiti con l utilizzo delle credenziali, che prevedono l uso di tre codici personali diversi - sono stati correttamente eseguiti nei termini previsti contrattualmente; - le somme trasferite sono state riutilizzate totalmente dal titolare poco dopo l accredito e, pertanto, non sono più nella propria disponibilità; Pag. 3/6

3 - i sistemi utilizzati dalla stessa sono sicuri e certificati secondo i più rigorosi ed affidabili standard internazionali. La convenuta, dopo aver ribadito di avere adottato tutte quelle misure atte ad impedire a terzi accessi fraudolenti, ha fatto rilevare che: la ricorrente non ha fornito prova del proprio inadempimento; viceversa, lo stessa non ha dimostrato di aver osservato l obbligo di mantenere riservati i codici personali relativi all operatività on line né ha dato prova di avere dotato il proprio computer di un sistema antivirus aggiornato. Per le considerazioni di cui sopra, la convenuta ha chiesto all Arbitro di dichiarare l infondatezza del ricorso proposto. Le controdeduzioni sono state trasmesse via mail al ricorrente. Così pure sono state trasmesse alle parti le ulteriori osservazioni qui pervenute dopo l invio delle controdeduzioni alla ricorrente. Dopo la ricezione delle controdeduzioni, è intervenuto uno scambio di mail tra le parti. In sintesi, - la ricorrente: ha fatto riferimento ad una mail ricevuta e, presumibilmente, riscontrata, ma non ha esplicitamente dichiarato di aver rilasciato le proprie credenziali; ha inviato un allegato dei contratti sottoscritti per l installazione di programmi antivirus a comprova dei presidi di sicurezza adottati; - l intermediario, nel confermare quanto in precedenza dichiarato, ha asserito che la ricorrente avrebbe ammesso di avere volontariamente fornito riscontro ad una tipica di phishing. DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro lato. Prima di esaminare nel merito la questione giova brevemente riassumere i fatti salienti all origine della presente vertenza. In primo luogo, deve sottolinearsi che gli addebiti contestati, risalgono ad un periodo antecedente all entrata in vigore del D.Lgs. 27 gennaio 2010 n. 11. Dalla documentazione esibita dalla convenuta si rileva che, dopo l accredito, il beneficiario della somme fraudolentemente sottratte ha utilizzato le somme per effettuare ulteriori ricariche di carte pregate; nessuna informazione è stata resa dalla convenuta sugli eventuali accertamenti disposti in seguito alla denuncia delle operazioni fraudolente. Dalla documentazione esibita non si rinvengono limiti operativi per le operazioni disposte online né si rileva l offerta di un servizio di sms alert. Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi come già si è avuto occasione di rilevare in altre occasioni (Decisione n del , Decisione n. 909/10 del e Decisione n. 719/10 del ) che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat come disposizioni di operazioni per mezzo di servizi on-line. Pag. 4/6

4 Il punto è essenziale per una corretta interpretazione del rapporto contrattuale, posto che, in linea generale, appare corretto affermare che al cliente sono opponibili le operazioni effettuate con la digitazione dei codici in suo possesso (indipendentemente da chi effettivamente le abbia disposte), proprio perché nell utilizzo del servizio di home banking il cliente viene identificato esclusivamente mediante la verifica dei codici di sicurezza che gli sono stati assegnati. Quanto appena rilevato rende chiara sia la ragione dell obbligo di diligente custodia di detti codici sia il fatto che la violazione di tale obbligo di diligente custodia dei codici di accesso comporti che il cliente sia chiamato a rispondere di ogni conseguenza dannosa derivante da un eventuale illecito utilizzo di tali codici da parte di terzi Dalle osservazioni che precedono deve, dunque, trarsi la seguente conclusione in linea generale, e cioè che posto che nel servizio di home banking, l uso corretto dei codici di accesso consente l identificazione del titolare e l autorizzazione dei pagamenti disposti le operazioni che siano state eseguite previa corretta digitazione di tali codici sono giuridicamente riconducibili al titolare del servizio. Ciò chiarito con riferimento al primo dei due aspetti sopra evidenziati, deve ora affrontarsi la diversa questione del grado di diligenza dell intermediario richiesto con riferimento alla prestazione di servizi bancari per via telematica. Secondo la consolidata opinione della dottrina e della giurisprudenza, l attività bancaria, in quanto attività riservata, deve sottostare al canone di diligenza previsto dall art. 1176, comma 2, cod. civ. ( diligenza dell accorto banchiere ), con conseguente adozione di tutte le cautele necessarie. Come è noto, la diligenza professionalmente qualificata cui fa riferimento il secondo comma dell art cod. civ., deve essere parametrata alle specificità tecnico-scientifiche della professione esercitata, trattandosi di nozione superiore e più specifica di quella relativa al buon padre di famiglia, richiamata dal primo comma dello stesso articolo. L adempimento dell obbligazione, quindi, deve avvenire con la diligenza del regolato ed accorto professionista (banchiere, nel caso che ne occupa), pena il risarcimento dei danni secondo i normali canoni della responsabilità contrattuale. Per gli aspetti che qui interessano, tale parametro rileva in relazione alla specificità del servizio bancario oggetto di contestazione (home banking) che implica l utilizzazione del canale telematico e l uso di codici dispositivi. In particolare, la valutazione coinvolge l adeguatezza - considerati gli standard esistenti - dei presidi tecnici adottati dall intermediario per rendere sicure le transazioni on-line da attacchi di pirateria informatica. Sui presidi di sicurezza più idonei a fronteggiare il fenomeno della pirateria informatica non c è attualmente una specifica normativa vincolante, anche se esistono diversi documenti, sia a livello nazionale che internazionale, trattano della sicurezza dell e-banking e, in particolare, della diversa efficacia dei vari meccanismi di autenticazione. L utente viene, infatti, autenticato attraverso la presentazione di credenziali. Generalmente si intende per credenziale uno o più dei seguenti elementi: qualcosa che l utente sa (es. la password); qualcosa che l utente ha (es. il token, che può contenere un certificato digitale); qualcosa che l utente è (in questo caso si parla di caratteristiche biometriche, es. le impronte digitali). Quando l autenticazione dell utente utilizza congiuntamente due di questi sistemi, si parla di autenticazione a due fattori. Alcune modalità tecniche consentono già oggi, in associazione all utilizzo di user-id e password, di effettuare una autenticazione a due fattori: si tratta soprattutto di Segreti condivisi e Token. Pag. 5/6

5 Sempre a proposito del pericolo delle frodi informatiche deve ricordarsi il Decalogo ABI per banche e clienti sui sistemi di protezione dal «phishing», nel quale si suggerisce agli intermediari, fra l altro, di: 1) Definire policy aziendali stringenti per il contatto del cliente via ; 2) Pubblicizzare ai dipendenti e ai clienti della banca le policy di utilizzo dell ; 3) Aggiungere un ulteriore livello di autenticazione (con password differenziata) per l esecuzione di operazioni dispositive tramite il servizio di home banking; 4) Predisporre strumenti di monitoraggio delle transazioni dei propri conti on-line, in modo da evidenziare eventuali comportamenti anomali. E chiaro a questo Collegio che, al tempo dei fatti all origine della presente vertenza, esistevano già mezzi più efficienti per fronteggiare il fenomeno della pirateria informatica e questo costituisce ragione sufficiente per indurre a concludere che un sistema di protezione ad un solo fattore per permettere l esecuzione di disposizioni bancarie non può essere considerato misura sufficiente a proteggere adeguatamente il cliente. In sintesi, dunque, nel caso all origine del presente ricorso da un lato si può verosimilmente ravvisare una responsabilità del cliente in relazione alla mancata diligente custodia dei codici d accesso al servizio di home banking, dall altro lato non si può negare una concorrente responsabilità dell intermediario che non abbia predisposto adeguati sistemi per proteggere più efficacemente i propri clienti con riferimento al rischio di truffe perpetrate per via telematica. Questo Collegio, valutata la gravità delle rispettive colpe in relazione ai fatti illustrati e documentati, ritiene, dunque, di doverle ripartire nella misura del 50% in capo al cliente e nella misura del 50% in capo al resistente. P. Q. M. Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario corrisponda alla ricorrente la somma di 1.433,00. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00, quale contributo alle spese della procedura, e alla ricorrente la somma di 20,00, quale rimborso della somma versata alla presentazione del ricorso. firma 1 IL PRESIDENTE Pag. 6/6