IL COLLEGIO DI NAPOLI. - Prof. Avv. Ferruccio Auletta.. Membro designato dalla Banca d Italia

Transcript

1 IL COLLEGIO DI NAPOLI composto dai signori: - Prof. Avv. Enrico Quadri Presidente - Prof. Avv. Ferruccio Auletta.. Membro designato dalla Banca d Italia - Avv. Giuseppe Leonardo Carriero Membro designato dalla Banca d Italia - Prof.ssa Marilena Rispoli Farina. Membro designato dal Conciliatore Bancario Finanziario (estensore) - Avv. Roberto Manzione.. Membro designato dal C.N.C.U. Nella seduta del 24 maggio 2011, dopo aver esaminato: il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica FATTO Nel gennaio 2011, il ricorrente, titolare di una carta prepagata emessa dall istituto resistente su circuito di altro intermediario, apprendeva di due addebiti di 500 cadauno sul proprio conto di provvista in data 19/12/2010, per operazioni di pagamento effettuate da terzi non autorizzati su un sito di scommesse on line. Con nota del 13/1/2011, ha quindi disconosciuto le transazioni e richiesto all intermediario emittente la restituzione dell importo illegittimamente prelevato, allegando copia della denuncia contro ignoti depositata presso l Autorità di Polizia. L istituto ha fornito riscontro già con nota dell 8 febbraio 2011, nella quale si rileva che le operazioni sono state eseguite su un sito sicuro in quanto l esercente partecipa al protocollo 3D secure. Secondo quanto sostenuto dallo scrivente intermediario, la segnalata circostanza impedirebbe qualsiasi iniziativa nei confronti della banca che gestisce gli incassi del merchant. Nella nota, si precisa infine che le operazioni sono state eseguite con il corretto impiego delle credenziali di utilizzo che sono di sua esclusiva conoscenza e della cui conservazione è responsabile. Insoddisfatto della risposta ricevuta, il cliente ha presentato ricorso all Arbitro Bancario Finanziario in data 23/2/2011, confermando la richiesta di rimborso di per le abusive operazioni addebitate sul proprio conto di pagamento. In replica alle eccezioni opposte dall intermediario in fase di reclamo, il ricorrente ha rilevato innanzitutto che, per Pag. 2/6

2 l operatività sul sito internet del merchant, è necessario un preventivo accreditamento con la registrazione dei dati anagrafici, del codice fiscale e del documento di identità: sarebbe stato pertanto agevole, oltreché doveroso, per il prestatore del servizio di pagamento verificare i dati dell ordinante con quelli del titolare della carta di credito, in modo da rilevare l anomalia dell operazione. D altra parte, secondo le argomentazioni del ricorrente, tale crociatura sarebbe anche necessaria in relazione alla cospicua entità dell importo, per evitare truffe nei confronti del merchant. Sotto altro profilo, il ricorrente assicura di aver custodito con cura lo strumento di pagamento, imputando l accaduto all inadeguatezza dei presidi di sicurezza predisposti dall intermediario. La carta prepagata in contestazione infatti consente di effettuare transazioni telematiche con il solo utilizzo del numero identificativo del codice di controllo riportato sul retro della medesima: dati che possono essere agevolmente catturati da terzi nel corso della normale operatività. In allegato, è stata prodotta copia della corrispondenza intercorsa con l intermediario, della denuncia presso l Autorità di Polizia e dell estratto conto che evidenzia le operazioni abusive. In sede di controdeduzioni, il resistente premesso esaustivo riepilogo dei fatti antecedenti al sorgere della controversia ha contestato la pretesa del ricorrente, eccependo innanzitutto la scarsa diligenza del medesimo nella custodia dello strumento di pagamento e nella manutenzione del relativo conto. In particolare, ha osservato che le operazioni abusive sono state contestate dopo circa un mese; nel frattempo, il cliente, che ha anche effettuato ulteriori operazioni di pagamento on line, non si è mai preoccupato di verificare il proprio saldo e le movimentazioni registrate sul conto di provvista, agevolmente consultabili in ogni momento per via telematica. Al riguardo, pur non sussistendo alcun obbligo di verifica periodica della propria contabilità, l eventuale alta frequenza d utilizzo di uno strumento di moneta elettronica [ ] è motivo sufficiente per adoperare diligenza accurata e costante non tanto nel ricordare l aritmetica della propria movimentazione, bensì nel verificare se la realtà delle scritture contabili coincida sempre e comunque con la propria aspettativa. D altra parte, sono state contestate le osservazioni in ordine alla sicurezza della carta di pagamento: oltre il numero e il codice di sicurezza CVV2 impresso sul retro, è necessario per effettuare transazioni on line inserire nome e cognome del titolare, dati non riportati sulla carta. Probabilmente, sostiene il resistente, il complesso delle credenziali è stato carpito nel corso delle precedenti operazioni eseguite a mezzo di POS presso un esercente commerciale, modalità che consente al terzo l acquisizione fisica della carta e la conseguente cattura degli elementi di identificazione. Tanto premesso sul piano del fatto, l intermediario ha svolto dettagliate argomentazioni sul piano del diritto, al fine di dimostrare l infondatezza del ricorso. In contratto, è infatti previsto che il titolare della carta è gravato dell onere di diligente custodia; conseguentemente, nel caso in cui sia richiesta per l utilizzazione della Carta la digitazione del numero della carta, della scadenza e del CVV2, la digitazione di tali dati costituisce l esclusivo strumento di identificazione del titolare della carta (art. 7 delle condizioni generali di contratto). In tal senso, lo scrivente ha richiamato una decisione del Collegio di Napoli n. 1053/10. Sotto altro profilo, trattandosi di pagamenti corrispettivi verso un beneficiario noto e identificabile, secondo orientamento consolidato in giurisprudenza, la domanda di restituzione avrebbe dovuto essere rivolta esclusivamente all indebito beneficiario, non all intermediario attraverso il quale l operazione è stata effettuata. Pag. 3/6

3 Da ultimo, il resistente ha sottolineato che il fatto che le operazioni contestate siano state effettuate da terzi non autorizzati non è stato provato, non costituendo prova la denuncia all Autorità di Polizia e mancando ad oggi accertamento in sede penale. Pertanto, ribadita la sicurezza delle proprie procedure attestata anche da appositi certificatori, il resistente ha chiesto che il ricorso sia rigettato. DIRITTO La fattispecie in esame concernente un caso di disconoscimento di operazioni dispositive effettuate on-line, delle quali si afferma il carattere fraudolento è stata più volte sottoposta all attenzione dell Arbitro Bancario Finanziario, il quale ha fondato le decisioni assunte in proposito essenzialmente sulla valutazione dell adeguatezza del sistema di protezione adottato dall intermediario Giova alla soluzione del caso richiamare la disciplina di recente introdotta dal decreto di recepimento della direttiva sui servizi di pagamento, D.lgs. n. 11 del 2010, per la quale (art.10, comma 2) quando l utilizzatore di servizi di pagamento neghi di aver autorizzato un operazione di pagamento eseguita, l utilizzo di uno strumento di pagamento non è di per sé necessariamente sufficiente a dimostrare che l operazione sia stata autorizzata dall utilizzatore medesimo, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave ad uno o più degli obblighi di cui all articolo 7. Ne deriva che, non solo l uso dello strumento non basta per sostenere, come afferma l intermediario, che ad utilizzarlo sia stato lo stesso cliente, ma si può anche rilevare che non incombe su quest ultimo l onere di provare che la banca sia stata inadempiente agli obblighi di legge (come afferma l intermediario nelle controdeduzioni) per chiamare in causa l intermediario, quanto piuttosto che deve essere l intermediario a provare che il ricorrente sia incorso in dolo o colpa grave rispetto agli obblighi di diligenza che le norme impongono, al fine di liberarsi dalla responsabilità sancita dal decreto legislativo n.11 per le operazioni non autorizzate. Di fronte al disconoscimento da parte del cliente, infatti, Il prestatore dei servizi di pagamento come recita il comma 2 dell art.11, rimborsa immediatamente al pagatore l importo dell operazione medesima. La Direttiva, va ancora sottolineato, fa suoi principi consolidati nella best practice a livello non solo europeo. In casi analoghi il Collegio di Napoli (v. dec. n. 204/2011) ha messo in luce che se le operazioni sono state poste in essere da soggetto diverso dal cliente che dichiara di non aver fornito ad alcuno i dati necessari per l accesso, è possibile ipotizzare che il sistema di sicurezza predisposto fosse inidoneo a tutelare l esclusivo accesso del cliente alla utilizzazione del servizio. Il Collegio ha ritenuto, di conseguenza, che l intermediario non abbia adottato la diligenza necessaria nell esecuzione del rapporto di conto corrente on line, che per le sue peculiarità richiede l adozione di presidi di sicurezza che garantiscano un effettiva protezione del cliente, richiamando anche la Sentenza della Cassazione, Sezione I, 24 settembre 2010, la quale ha ribadito che la diligenza del buon banchiere va qualificata dal maggior grado di prudenza e attenzione che la connotazione professionale richiede e che essa va valutata tenendo conto delle cautele e degli accorgimenti che le circostanze del caso concreto suggeriscono. Pag. 4/6

4 Il comportamento della banca è conforme ai criteri di diligenza professionale quando essa predispone l organizzazione tecnica idonea allo svolgimento degli incarichi di pagamento in via informatica così da garantire al cliente la sicurezza dei trasferimenti. Tale organizzazione deve caratterizzarsi, in particolare, per l adozione di strumenti in linea con l evoluzione scientifica e tecnologica del settore. La legislazione più recente è molto attenta alla predisposizione di un adeguata organizzazione nello svolgimento dei servizi bancari da parte della banca e così anche la disciplina di attuazione dettata dalle Autorità di vigilanza. Si evoca così anche il trend normativo più generale in materia di obblighi di adeguata struttura organizzativa dell impresa nei confronti dei terzi fruitori dei servizi, e di relativa responsabilità per i danni subiti da questi (cd. colpa da organizzazione: cfr. decisione del Collegio di Napoli decisione n. 849/11). Si pensi, per il richiamo a simili obblighi, ad esempio, alla disciplina di attuazione della Direttiva Mifid, che in ossequio alla direttiva stessa, pone tra i requisiti per l autorizzazione all attività, la predisposizione di una adeguata organizzazione allo svolgimento dei servizi di investimento. In merito alla valutazione dei comportamenti tenuti dalle parti, ai fini di valutarne la conformità ai requisiti di diligenza previsti dalla legge, la parte ricorrente sostiene di aver diligentemente atteso alla custodia della carta e delle relative credenziali di accesso. L intermediario convenuto eccepisce, al riguardo, che l utilizzo non autorizzato dello strumento comporta necessariamente un difetto di diligenza della parte onerata; in particolare, sottolinea che il cliente non ha effettuato una costante verifica delle proprie movimentazioni, come risulterebbe dimostrato dalla circostanza che le operazioni abusive sono state contestate solo con quasi un mese di ritardo. Ma deve rilevarsi che tale circostanza, che potrebbe essere indice di una condotta poco diligente del contraente (a condizione, comunque, di reputare sussistente, al riguardo, un vero e proprio, onere a carico del cliente, peraltro di difficile configurabilità) appare, nel caso di specie, priva di qualsiasi rilievo eziologico rispetto ai fatti contestati. Si tratta infatti di due operazioni effettuate nella medesima data, a breve distanza di tempo. Un diligente monitoraggio delle movimentazioni avrebbe al più consentito un blocco tempestivo della carta, al fine di evitare successive transazioni fraudolente che, tuttavia, nel caso in esame, non si sono verificate. Per quanto concerne i comportamenti della banca dal complesso della documentazione disponibile, emerge che le operazioni on line sono state eseguite attraverso un unico livello di autenticazione, per il quale è necessario inserire il numero della carta, la data di scadenza, il nominativo del titolare, e il codice CVV2 per impartire la disposizione a valere sulla propria carta di pagamento. Al riguardo, si richiamano anche solo come riferimento comparativo per valutare l adeguatezza dello strumento - gli standard di sicurezza recentemente (settembre 2010) indicati dalla Banca d Italia in un testo da emanare in attuazione del D.Lgs. n. 11/2010, titolo II. In particolare, come richiesto dallo schema di conformità estesa (valevole per gli strumenti di pagamento che consentono transazioni per importi superiori a 100), il prestatore dei servizi di pagamento deve adottare per l operatività on line una metodologia a due fattori, scelti fra i seguenti tre: - qualcosa che l utente conosce (es.: password/pin) ; - qualcosa che l utente possiede (es.: smart card, token, OTP, Sim cellulare) ; - qualcosa che l utente è (es.: caratteristiche biometriche). Pag. 5/6

5 Tali fattori di autenticazione devono essere tra loro indipendenti in maniera che la compromissione dell uno non comprometta anche l altro fattore. In tale logica, sembra collocarsi il sistema Secure 3D che impone all utilizzatore - secondo informazioni tratte dal sito internet del gestore dei circuiti di pagamento che adotta tale protocollo - di inserire, a seguito dei codici riportati sulla carta di pagamento (rientranti nella seconda categoria di fattori qualcosa che l utente possiede ), un ulteriore password scelta dall utente e periodicamente modificata (prima categoria di fattori qualcosa che l utente conosce ). Da quanto emerge in sede di controdeduzioni e dalle informazioni acquisite via internet, per la carta prepagata, oggetto dell odierna controversia, non è stato ancora implementato questo ulteriore livello di autorizzazione. Infine, va rilevato scartata l impostazione della distribuzione degli oneri probatori proposta dal resistente, in quanto palesemente contrario al quadro normativo dianzi delineato, fondato, ai fini dell esenzione della propria responsabilità, su una puntuale dimostrazione della colpa grave del cliente (per la cui restrittiva configurazione vedi, ad es, Cass /2009) - che l intermediario ha sostenuto che sotto altro profilo, trattandosi di pagamenti corrispettivi verso un beneficiario noto e identificabile, secondo un preteso orientamento consolidato in giurisprudenza, la domanda di restituzione avrebbe dovuto essere rivolta esclusivamente all indebito beneficiario, non all intermediario attraverso il quale l operazione è stata effettuata. In merito a tale asserzione, vi è da rilevare che, una volta affermata la responsabilità dell intermediario di assicurare il corretto funzionamento del sistema, anche sotto il profilo di un adeguato accesso dei relativi fruitori, solo su di lui possono gravare i rischi connessi all eventuale azione di recupero nei loro confronti (e, quindi, dell eventuale insuccesso proprio in dipendenza di criteri inadeguati di selezione della clientela). P.Q.M. In accoglimento del ricorso, il Collegio dichiara l intermediario tenuto al rimborso della somma di 1.000,00. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 6/6