IL COLLEGIO DI ROMA. [Estensore]

Transcript

1 IL COLLEGIO DI ROMA composto dai signori: Dott. Giuseppe Marziale Presidente Prof. Avv. Giuliana Scognamiglio Dott.ssa Claudia Rossi Prof. Avv. Diego Corapi Prof. Daniela Primicerio Membro designato dalla Banca d'italia [Estensore] Membro designato dalla Banca d'italia Membro supplente designato dal Conciliatore Bancario Finanziario Membro designato dal C.N.C.U. nella seduta del 08/05/2012 dopo aver esaminato il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica, FATTO Con ricorso a questo Collegio, il cliente, titolare di un conto corrente con operatività on line, chiede: (i) la restituzione della somma complessiva di 1.960,00 addebitatagli sul suo conto corrente in seguito alla disposizione di n. 4 ricariche on line a carte prepagate intestate a terzi (clienti dello stesso intermediario), eseguite senza autorizzazione con la propria carta di debito tra il 25 e il 26 ottobre 2011; (ii) la restituzione della commissione utilizzo scoperto di conto, pari a 8,00, addebitatagli a titolo di interessi passivi in conseguenza del mancato aggiornamento in tempo reale del saldo del conto. Nelle controdeduzioni l intermediario, ribadito che i propri sistemi informatici sono assolutamente sicuri e sono stati certificati secondo i più rigorosi ed affidabili standard internazionali, e che le somme oggetto di contestazione non sono più nella sua disponibilità, in quanto prelevate dai terzi beneficiari delle operazioni di ricarica (i soli legittimati passivamente rispetto alla domanda di rimborso proposta Pag. 2/9

2 dal ricorrente), osserva: che le condizioni contrattuali del conto corrente on line sottoscritte dal cliente impongono all intermediario di eseguire l ordine impartito con l'uso dei codici identificativi del cliente, che valgono ad individuarlo con certezza; che al detto obbligo dell intermediario corrisponde l obbligo del cliente di mantenere segreti tali codici e di accettare gli addebiti relativi ad operazioni disposte mediante l uso degli stessi, in guisa che il comportamento negligente del cliente nell adempimento dell obbligo contrattuale di custodia dei codici esclude ogni responsabilità dell intermediario; che le operazioni oggetto del ricorso consistono in una serie di trasferimenti di fondi a favore di più carte prepagate, per disporre i quali è necessario conoscere l esatto PIN associato alla carta; che detto PIN, per l esecuzione dell operazione, non viene digitato direttamente nelle schermate web on line, ma esclusivamente sul tastierino del dispositivo PCR (un Personal Card Reader che, in unione con la carta a microchip ed il certificato digitale, permette la generazione e lo scambio di codici univoci di autenticazione tra il sito web ed il correntista al fine di verificarne l identità), non collegato ad alcun apparato, bensì operante in modo autonomo e non raggiungibile via web; che dallo storico delle connessioni pregresse dell account del cliente sembra che sia stato utilizzato, per i pagamenti contestati, un unico indirizzo IP, il che porterebbe a concludere che tutte le operazioni siano state generate dalla medesima postazione; che il cliente non ha provveduto a bloccare subito la carta (estinta il 17 novembre 2011), né le proprie funzionalità on line (se non il 27 ottobre 2011). Eccepisce ancora che il cliente non ha provato l inadempimento dell intermediario ex art c.c. e che, in ogni caso, ai sensi dell art. 1227, comma 2 c.c. il risarcimento non è dovuto per i danni che il creditore avrebbe potuto evitare usando l ordinaria diligenza. Inoltre l intermediario nulla eccepisce in merito alla richiesta di restituzione della commissione pari a 8,00. Chiede pertanto che l ABF rigetti il ricorso perché infondato. Ritenuto il ricorso maturo per la decisione, questo Collegio lo ha esaminato in data 8 maggio DIRITTO Si deve preliminarmente ritenere che la domanda della ricorrente rientri nella competenza del Collegio e che i presupposti per la presentazione del ricorso, Pag. 3/9

3 previsti nel Provvedimento della Banca d Italia del 18 giugno 2009 e successive modificazioni, si siano verificati nel caso di specie. Passando ad esaminare il merito della questione sottoposta all Arbitro, e specificatamente la domanda di rimborso del prelievo fraudolento subito dal ricorrente, è il caso di osservare subito che la vicenda, consistente nell utilizzo, ad opera di terzi frodatori, di disponibilità presenti sul conto corrente del ricorrente medesimo per effettuare la ricarica di altre carte prepagate intestati a terzi, emesse dal medesimo intermediario, si è svolta in epoca successiva al 1 marzo 2010, precisamente nell ottobre del 2011: la controversia deve essere dunque risolta sulla base delle disposizioni del lgs. n. 11 del 2010 (di attuazione della direttiva 2007/64/CE), entrato appunto in vigore il 1 marzo dello stesso anno. E, in particolare, applicabile l art. 12, co. 3, del d. lgs. n. 11/2010, ai sensi del quale, salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell art. 7, co. 1, lettera b) (e cioè prima della comunicazione, rivolta al prestatore di servizi di pagamento, dell appropriazione indebita o dell uso non autorizzato dello strumento di pagamento da parte di terzi, n.d.r.) l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento. La disposizione appena trascritta si applica non soltanto ai casi, testualmente previsti, di furto o smarrimento (più in generale, di perdita involontaria del possesso) dello strumento di pagamento in sé, ma anche alla fattispecie contigua, che ricorre nel caso sottoposto ad esame, in cui oggetto del furto o comunque dell utilizzo non autorizzato siano soltanto i codici personali identificativi di un determinato utilizzatore, a lui evidentemente sottratti attraverso una delle diverse tecniche all uopo escogitate e note sotto il nome di phishing, trojan banking, eccetera. Ora, la disciplina in esame pone a carico del prestatore del servizio di pagamento il rischio dell utilizzo fraudolento, ad opera di terzi malfattori, degli strumenti di pagamento, e cioè l intera perdita derivante da detto utilizzo fraudolento, al netto di una franchigia a carico dell utilizzatore, che vale a forfetizzare il costo di eventuali comportamenti (non gravemente) colposi Pag. 4/9

4 imputabili a quest ultimo e che viene dalla legge determinata nel suo importo massimo, pari a 150 (il che consente di graduarne l importo in relazione a determinati parametri, tenuto conto delle circostanze del caso concreto: cfr. ABF, Collegio di Roma, decisione n. 1412/2012). La regola testé ricordata, che recepisce e traduce nel nostro ordinamento la soluzione accolta dal diritto europeo (art. 61 direttiva 2007/64/CE), s ispira evidentemente al principio del rischio d impresa (come più volte rilevato da questo Arbitro: cfr., fra le prime, la già ricordata decisione del Collegio di Roma, n. 665 del 2010; vedi altresì ABF, Collegio di Roma, decisione n del 13 ottobre 2010 e molte altre) ed opera sino a quando non sia dimostrato che il cliente (i.e., l utilizzatore del servizio e dello strumento di pagamento) ha violato in maniera dolosa o gravemente colposa i propri obblighi contrattuali ed in particolare ha omesso di adottare adeguate misure di salvaguardia quanto alla custodia e all utilizzo dei dispositivi personalizzati di accesso al servizio di pagamento. Il relativo onere probatorio grava, com è pacifico (cfr., ex multis, Trib. Milano, 16 marzo 2009; ABF, Collegio di Roma, decisione n. 503/2010; in termini, sulla questione generale, Cass., ss.uu. civili, 30 ottobre 2001, n ), sull intermediario, e cioè sul prestatore del servizio di pagamento, che, nel rapporto obbligatorio con l utilizzatore, è tenuto ad adempiere, con la diligenza richiesta dalla specifica attività professionale, agli obblighi contrattualmente assunti al momento del rilascio dello strumento di pagamento. Non è dunque corretto, diversamente da quanto opina l intermediario, addossare al cliente l onere della prova ex art c.c. della propria mancanza di colpa (ed in particolare dell esatto adempimento di tutti gli obblighi di legge e contrattuali che gli incombono, e fra questi dell obbligo di diligente custodia dei propri codici identificativi ex art. 7 d. lgs. n. 11/2010). Al contrario, si ribadisce richiamandosi ancora una volta all opinione costantemente condivisa anche da questo Collegio, poiché si tratta di controversia scaturente da un rapporto contrattuale e perciò avente ad oggetto una responsabilità di natura contrattuale, a fronte dell allegazione da parte del cliente, vittima del prelievo fraudolento dell inadempimento o dell inesatto adempimento da parte dell intermediario ai propri obblighi ex contractu (cfr. art c.c.), è quest ultimo a dover provare non solo che quegli obblighi sono stati adempiuti con la diligenza qualificata dal maggior grado di prudenza ed attenzione che la connotazione professionale Pag. 5/9

5 dell agente consente e richiede (cfr., ex multis, Cass., sez. I civ., 24 settembre 2009, n ), ma anche - ed alla stregua della disciplina peculiare in materia di servizi di pagamento, dianzi ricordata che il cliente ha agito con colpa grave o addirittura con dolo, disattendendo gli obblighi a lui specificamente imposti dal citato art. 7 d. lgs. n. 11/2010. Nel caso di specie, l intermediario, sovvertendo tale corretta impostazione del problema, contesta al ricorrente di non aver fornito la prova che l intermediario abbia lasciato inadempiuto qualsivoglia obbligo legale o contrattuale e di non aver provato l esatto adempimento del proprio obbligo di scrupolosa diligenza nella custodia delle credenziali di accesso al conto corrente; dichiara, inoltre, che al cliente era stato consegnato il dispositivo necessario ad autorizzare le transazioni on line, e cioè un dispositivo denominato Personal Card Reader (nel prosieguo, PCR), che come già ricordato nella narrativa dei fatti - nel momento in cui viene disposta un operazione di pagamento on line, consente la generazione e lo scambio di codici biunivoci fra il sito web ed il correntista, al fine di verificarne l identità. La circostanza del possesso, da parte del cliente, del suddetto dispositivo di sicurezza può ritenersi dimostrata, in quanto implicitamente confermata dal cliente medesimo, il quale dichiara di non aver mai perduto il possesso del dispositivo in questione; la questione consiste allora nello stabilire se il fatto che il cliente fosse dotato del PCR valga a costituirlo in colpa grave, o renda comunque plausibile ed inoppugnabile la presunzione di colpa grave nel suo comportamento. Al riguardo, ritiene il Collegio che la valutazione della colpa grave (da intendersi, alla stregua dell indirizzo autorevolmente avallato dalla nostra Corte Suprema e costantemente recepito anche da questo Arbitro, come straordinaria ed inescusabile imprudenza, negligenza od imperizia e, dunque, come violazione, non solo della diligenza media del buon padre di famiglia - vale a dire di una persona di media avvedutezza e accortezza, consapevole dei propri impegni e delle relative responsabilità : Cass., 18 maggio 2009, n , ma anche di quel grado minimo ed elementare di diligenza generalmente osservato da tutti (Cass., 3 maggio 2011, n. 913; 19 novembre 2001, n ), anche dalle persone ordinariamente trascurate, in relazione alla fattispecie o alla classe di fattispecie concrete, oggetto di considerazione) vada pur sempre riferita al comportamento tenuto in concreto dall utilizzatore del servizio di pagamento, non Pag. 6/9

6 al o ai dispositivi di sicurezza di cui egli sia (stato) dotato: infatti, non è possibile affermare con certezza assoluta l inattaccabilità di un dato dispositivo di sicurezza, il quale può essere il migliore in relazione ad un determinato stadio di evoluzione della tecnologia e della tecnica, ma potrebbe risultare superato non appena venga inventato, grazie al progresso tecnico, un dispositivo più sicuro o comunque capace di resistere agli attacchi di virus informatici o malware che abbiano nel frattempo minato la sicurezza del primo. Nel caso di specie, l intermediario resistente non ha fornito la prova che, per esempio, il ricorrente abbia, sia pure temporaneamente, consegnato il suo PCR a terzi o lo abbia lasciato incustodito per ore in un luogo di facile accesso da parte di estranei; dal canto suo, il ricorrente ha dichiarato di non averne mai perduto, neppure momentaneamente, il possesso. La disciplina europea, introdotta nel nostro ordinamento con il più volte menzionato decreto n. 11/2010, non giustifica la presunzione di colpa grave con riferimento a quelle operazioni che risultano essere state eseguite mediante la digitazione dei codici personali identificativi del cliente; al contrario, stante il fatto notorio dell esistenza di molteplici, sofisticati strumenti o programmi informatici, idonei a carpire con la frode (in molti casi senza alcuna cooperazione colposa da parte della vittima del furto d identità elettronica) le credenziali segrete di accesso collegate agli altrui strumenti di pagamento, l art. 10, co. 2, del d. lgs. n. 11/2010 stabilisce che, quando l utilizzatore di servizi di pagamento neghi di aver autorizzato un operazione di pagamento eseguita, l utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che l operazione sia stata autorizzata dall utilizzatore medesimo, né che questi abbia agito in modo fraudolento, o non abbia adempiuto, con dolo o colpa grave, a uno o più degli obblighi di cui all art. 7. D altra parte, non è dubbio che l intermediario, il quale abbia dotato il cliente di un dispositivo appartenente al genus dei presidi di sicurezza informatica più avanzati alla stregua delle attuali conoscenze tecniche e tecnologiche, sia da considerare allo stato adempiente all obbligo di assicurare che i dispositivi personalizzati che consentono l utilizzo di uno strumento di pagamento non siano accessibili a soggetti diversi dal legittimo utilizzatore, sancito a suo carico dall art. 8 del d. lgs. n. 11/2010. Tuttavia, alla stregua della disciplina di matrice europea Pag. 7/9

7 contenuta nel più volte citato d. lgs. n. 11/ l osservanza di detto obbligo, da ascrivere all area degli obblighi di adeguatezza tecnica ed organizzativa dell imprenditore, non esaurisce il discorso sulla responsabilità dell intermediario per le perdite eventualmente subite dal cliente in conseguenza dei prelievi operati da terzi malfattori; responsabilità che, come si è constatato, sulla base di un criterio riconducibile al c.d. rischio d impresa, non può essere esclusa se non quando sia stata provata la colpa grave (o addirittura il dolo) del cliente. Piuttosto, può ritenersi che, quando l operazione sia stata eseguita mediante l utilizzo dei codici personali segreti attribuiti al clienti, e tanto più se detti codici sono generati da apparecchi del tipo token o PCR, di cui il cliente è stato dotato dall intermediario, proprio per il particolare (ma non assoluto) grado di sicurezza che caratterizza detti congegni, il cliente stesso sia gravato di maggiori e più intensi oneri di allegazione, al fine di rendere adeguatamente verosimigliante il carattere fraudolento dell operazione (in tal senso già ABF, Collegio di Napoli, decisione n. 1334/2012). Nel nostro caso, tale verosimiglianza è corroborata: (i) dal peculiare schema operativo, consistente nella ripetuta (4 volte in poche ore) ricarica di carte prepagate intestate a terzi, sconosciuti al ricorrente e clienti dello stesso intermediario, i quali si sono affrettati a prelevare immediatamente per contanti l importo della ricarica, svuotando del tutto la carta e talora estinguendola; schema che risulta sicuramente inusuale, per non dire anomalo, rispetto alla normale operatività dei conti correnti on line e che tuttavia si ripete con sconcertante frequenza in rapporto all odierno resistente, come attestato dall elevato numero delle decisioni dell ABF relative a vicende del tutto simili, tutte riferite al medesimo intermediario; (ii) dalla circostanza che, per quanto riguarda il terzo ed il quarto dei prelievi subiti dal ricorrente tra il 25 e il 26 ottobre 2011 e da lui prontamente disconosciuti, è stato lo stesso intermediario, come risulta dalla documentazione in atti, ad avvisare il cliente, sulla base, evidentemente, di una immediata percezione del carattere di anomalia (anche) dei prelievi suddetti. Ritiene pertanto il Collegio che, in difetto di prova della colpa grave del cliente, vada disposto il riaccredito in suo favore delle somme illegittimamente sottratte dal suo conto corrente, pari a 1960,00, oltre agli interessi legali dalla data del reclamo (26 ottobre 2011) sino al soddisfo. Pag. 8/9

8 Dovrà altresì essere restituita la commissione utilizzo scoperto di conto pari a 8,00. Quanto alla franchigia, il Collegio ritiene equo, tenuto conto delle circostanze del caso concreto (in particolare dell entità del prelievo fraudolento, nonché e soprattutto - del carattere ripetitivo degli episodi di utilizzo fraudolento delle disponibilità presenti sul conto corrente di un determinato cliente per ricaricare carte prepagate di terzi, intestate a clienti del medesimo intermediario), ridurla a zero, secondo un criterio di modulazione (su cui cfr. in generale la già ricordata decisione di questo Collegio, n. 1412/2012) dell ammontare della frazione di perdita a carico del cliente, nei limiti del tetto massimo (e non minimo) fissato dalla legge, che è stato già adottato in numerosi precedenti di questo Arbitro (cfr., di recente, fra le tante, ABF, Collegio di Roma, decisioni n. 319/2012; 929/2011). In ragione della soccombenza, l intermediario è inoltre tenuto a versare alla Banca d Italia il contributo alle spese della procedura nella misura di 200,00 e al ricorrente l importo di 20,00 quale rimborso della somma dallo stesso corrisposta alla presentazione del ricorso. P.Q.M. Il Collegio accoglie il ricorso nei sensi di cui in motivazione. Dispone inoltre che l intermediario corrisponda alla Banca d Italia la somma di Euro 200,00 (duecento/00) quale contributo alle spese della procedura e al ricorrente di Euro 20,00 (venti/00) quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 9/9