IL COLLEGIO DI NAPOLI. - Prof. Avv. Ferruccio Auletta.. Membro designato dalla Banca d Italia

Transcript

1 IL COLLEGIO DI NAPOLI composto dai signori: - Prof. Avv. Enrico Quadri Presidente - Prof. Avv. Ferruccio Auletta.. Membro designato dalla Banca d Italia - Avv. Giuseppe Leonardo Carriero Membro designato dalla Banca d Italia - Prof.ssa Marilena Rispoli Farina. Membro designato dal Conciliatore Bancario Finanziario (estensore) - Avv. Roberto Manzione.. Membro designato dal C.N.C.U. Nella seduta del 17 maggio 2011, dopo aver esaminato: il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica FATTO Con reclamo del 29/12/2010, il ricorrente ha disconosciuto un operazione di addebito di 268 euro avvenuta in data 9/12/ ed effettuata mediante l utilizzo fraudolento della propria carta di credito prepagata, tratta su un conto corrente intrattenuto presso la convenuta. Nel reclamo il cliente ha sottolineato di non aver ceduto a terzi la suddetta carta (neanche temporaneamente), che la stessa non è mai stata smarrita o rubata, che il codice segreto non è stato mai rivelato, smarrito o rubato e, infine, di aver osservato strettamente le norme che regolano il Servizio di prelevamento di contanti a mezzo ATM. Dal reclamo si evince che: il ricorrente ha provveduto a bloccare la carta il 28/12/2010, denunciandone l utilizzo illecito con querela presentata il giorno successivo alle autorità competenti; l ultima operazione che questi avrebbe effettuato risalirebbe al 28/12/2010 (ricarica telefonica dell importo di 10 euro). L intermediario ha risposto al reclamo con nota del 14/1/2011, comunicando l impossibilità di procedere al rimborso dell importo per due motivi. Da un lato, il sito sul quale è avvenuta l operazione è da ritenersi come sito sicuro (superiore alla media): la circostanza che l acquirer partecipi a protocolli di sicurezza impedisce [pertanto] di prendere qualsiasi iniziativa nei confronti della Banca che gestisce gli incassi del merchant. 1 Rectius, avvenuta il 17/12/2010 ed avente valuta 9/12/2010. Pag. 2/7

2 Dall altro, l operazione sarebbe stata comunque effettuata con l utilizzo di credenziali di esclusiva conoscenza del ricorrente e della cui conservazione [questi] è responsabile. Il ricorrente ha chiesto il rimborso di 268 euro (o di una parte in caso si applichi una franchigia) per il pagamento effettuato il 9/12/2010 con una carta prepagata. Nel ricostruire la vicenda, il ricorrente ha precisato che si sarebbe accorto dell operazione attraverso l esame dei movimenti del proprio estratto conto e che, tramite l esercizio commerciale, sarebbe riuscito a risalire anche al nominativo che avrebbe effettuato la transazione, acquisendo una serie di ulteriori informazioni (l indirizzo di posta elettronica e quello di spedizione). Il cliente ha ribadito di non avere fornito a terzi le credenziali relative alla carta, precisando come, invece, l esercizio commerciale abbia richiesto all atto dell operazione di acquisto una serie di dati. In sede di controdeduzioni dopo aver riepilogato la questione e riassunto le argomentazioni fornite in sede di risposta al reclamo, l intermediario ha respinto ogni responsabilità sulla base dei seguenti elementi: 1) la natura di e-commerce della transazione, che non presuppone l utilizzo della carta ma solo l inserimento di taluni dati; 2) la proprietà e la gestione del sito riferibili ad un soggetto terzo; 3) il fatto che l operazione sia avvenuta mediante una corretta autenticazione informatica, secondo i protocolli predisposti, accettati ed utilizzati dall intero sistema bancario nazionale. Nel caso specifico le operazioni sono pervenute dal circuito Visa; 4) la circostanza che i siti sui quali sono stati effettuate le operazioni sono qualificabili come sicuri per la natura dei dati richiesti nel momento in cui si esegue ogni singola transazione (oltre al numero della carta, anche la data di scadenza, l esatta intestazione del titolare, il CVV2); 5) il corretto inserimento delle credenziali, di esclusiva conoscenza del titolare: a tal riguardo, l intermediario non ha potuto che autorizzare il pagamento ai sensi delle condizioni contrattuali, una volta verificata la disponibilità sul conto del cliente; 6) l obbligo di inserire il CVV2 che presuppone il materiale possesso della carta o di una sua riproduzione. Quindi, la resistente, nel sintetizzare attraverso una serie di indicatori le modalità di utilizzo della carta da parte del ricorrente, ha rimarcato l assenza di informazioni in merito al livello di protezione del computer attraverso il quale sono avvenute le transazioni ed al grado di alfabetizzazione informatica del ricorrente medesimo, aspetti entrambi rilevanti ai fini dell inquadramento della vicenda per le possibili implicazioni in termini di sicurezza. In ogni caso, conclude l intermediario, una efficace gestione del personal computer (sia dal punto di vista hardware che dal punto di vista software) è onere e competenza di colui che si connette al web, al fine di rendere invisibili e protette le informazioni relative alle transazioni di pagamento. Nel rammentare l attività di sensibilizzazione sui rischi di frodi informatiche posta in essere nei confronti della propria clientela sin dal 2005, la convenuta esclude che si sia verificata una intromissione nel sistema informatico (la cui portata, diversamente, non sarebbe stata circoscritta alla sola carta prepagata). In conclusione, l intermediario ritiene infondata la pretesa del ricorrente come si evince dall art. 7 del contratto, in virtù del quale le credenziali, e in particolare il Pag. 3/7

3 codice a tre cifre (CVV2) assolvono a una funzione di identificazione del cliente e di legittimazione ad effettuare l operazione, liberando la resistente da ogni tipo di responsabilità. Trattandosi poi del pagamento del corrispettivo di un contratto di compravendita ed avendo il ricorrente individuato il soggetto al quale la merce è stata consegnata, la convenuta evidenzia come la domanda di restituzione debba ritenersi infondata in quanto avrebbe dovuta esser rivolta esclusivamente anche per il tramite della competente A.G. a colui che, in base a quanto affermato dal ricorrente, ne sarebbe indebito percettore. In assenza di prove circa l inadempienza della convenuta nonché le modalità utilizzate per effettuare le operazioni e l affidabilità informatica del terminale solitamente adoperato, l intermediario ha evidenziato l inadempienza degli obblighi contrattuali del ricorrente a proposito della corretta ed adeguata custodia dei propri dati. Nel contempo, fornendo una serie di certificazioni ottenute da enti accreditati, sottolinea di aver adottato tutte le metodologie atte a garantire un adeguato sistema di sicurezza delle informazioni. Sulla base di tali considerazioni, l intermediario ha chiesto al Collegio di respingere il ricorso. DIRITTO La questione sottoposta al Collegio concerne il disconoscimento di una operazione di pagamento, effettuata con una carta prepagata presso un esercizio commerciale e addebitata al cliente sul conto corrente intrattenuto con la convenuta. Come in analoghi casi, sottoposti all attenzione di questo Collegio, ai fini della valutazione delle responsabilità, andranno presi in considerazione, da un lato gli obblighi di custodia attribuiti al cliente dal contratto, dall altro l adeguatezza e la congruità del sistema di sicurezza adottato dall intermediario. Il ricorrente sostiene di aver diligentemente custodito la carta e le credenziali di accesso, la convenuta invece eccepisce che l utilizzo non autorizzato della carta prepagata comporta necessariamente un difetto di diligenza della controparte considerato che la transazione richiede l inserimento di informazioni che possono essere acquisite solo dalla carta medesima. Giova alla soluzione del caso richiamare la disciplina di recente introdotta dal decreto di recepimento della Direttiva sui servizi di pagamento, n.11 del 2010, per la quale (art.10, comma 2) quando l utilizzatore di servizi di pagamento neghi di aver autorizzato un operazione di pagamento eseguita, l utilizzo di uno strumento di pagamento non è di per sé necessariamente sufficiente a dimostrare che l operazione sia stata autorizzata dall utilizzatore medesimo, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave ad uno o più degli obblighi di cui all articolo 7. Ne deriva che, non solo l uso dello strumento non basta per sostenere, come afferma l intermediario, che ad utilizzarlo sia stata la stessa cliente, ma si può anche rilevare che non incombe su quest ultima l onere di provare che la banca sia stata inadempiente agli obblighi di legge (come afferma l intermediario nelle controdeduzioni) per chiamare in causa l intermediario, quanto piuttosto che deve essere l intermediario a provare che la ricorrente sia incorsa in dolo o colpa grave rispetto agli obblighi di diligenza che le norme le impongono, al fine di liberarsi dalla responsabilità sancita dal decreto legislativo n.11 per le operazioni non autorizzate. Pag. 4/7

4 Di fronte al disconoscimento da parte del cliente, infatti, Il prestatore dei servizi di pagamento come recita il comma 2 dell art.11, rimborsa immediatamente al pagatore l importo dell operazione medesima ( ). In una simile prospettiva, va ricordato che in un analogo caso, nei confronti del medesimo intermediario resistente, il Collegio di Napoli, con decisione n. 294 del 28/4/2010, ha accolto il ricorso e dichiarato l intermediario tenuto al rimborso della somma. La motivazione ha messo in luce che se le operazioni sono state poste in essere da soggetto diverso dal cliente che dichiara di non aver fornito ad alcuno i dati necessari per l accesso, è possibile ipotizzare che il sistema di sicurezza predisposto fosse inidoneo a tutelare l esclusivo accesso del cliente alla utilizzazione del servizio. Il Collegio ha ritenuto, di conseguenza, che l intermediario non abbia adottato la diligenza necessaria nell esecuzione del rapporto di conto corrente on line, che per le sue peculiarità richiede l adozione di presidi di sicurezza che garantiscano un effettiva protezione del cliente, richiamando anche la sentenza della Cassazione, Sezione I, 24 settembre 2010, la quale ha ribadito che la diligenza del buon banchiere va qualificata dal maggior grado di prudenza e attenzione che la connotazione professionale richiede e che essa va valutata tenendo conto delle cautele e degli accorgimenti che le circostanze del caso concreto suggeriscono. Nel caso in esame il resistente si è soffermato sulle caratteristiche del personal computer utilizzato per eseguire la transazione la cui vulnerabilità potrebbe essere all origine operazione fraudolenta sottolineando la mancanza di ogni prova fornita dal cliente in merito all adeguatezza dei sistemi di protezione adottati contro il malware e le piraterie informatiche. Tale affermazione alla pari dei dubbi circa il grado di alfabetizzazione informatica del ricorrente, dato che l offerta del resistente non si rivolge certo ad una ristretta cerchia di esperti informatici - non può avere alcuna considerazione, poiché, come si è rilevato, la recente disciplina di derivazione comunitaria pone a carico del prestatore dei servizi di pagamento e non dell utilizzatore l onere di provare il dolo o la colpa grave nell adempimento degli obblighi di diligenza previsti dalla legge o dal contratto. Al contrario, a dimostrare l inadempimento agli obblighi cui è tenuto il prestatore dei servizi di pagamento, può rilevarsi che dal complesso della documentazione disponibile, emerge che le operazioni on line sono state eseguite attraverso un unico livello di autenticazione, per il quale è necessario inserire il numero della carta, la data di scadenza, il nominativo del titolare, e il codice CVV2 per impartire la disposizione a valere sulla propria carta di pagamento. Al riguardo, si richiamano anche solo come riferimento comparativo per valutare l adeguatezza dello strumento - gli standard di sicurezza recentemente (settembre 2010) indicati dalla Banca d Italia in un testo da emanare in attuazione del D.Lgs. n. 11/2010, titolo II. In particolare, come richiesto dallo schema di conformità estesa (valevole per gli strumenti di pagamento che consentono transazioni per importi superiori a 100), il prestatore dei servizi di pagamento deve adottare per l operatività on line una metodologia a due fattori, scelti fra i seguenti tre: - qualcosa che l utente conosce (es.: password/pin) ; - qualcosa che l utente possiede (es.: smart card, token, OTP, Sim cellulare) ; - qualcosa che l utente è (es.: caratteristiche biometriche). Tali fattori di autenticazione devono essere tra loro indipendenti in maniera che la compromissione dell uno non comprometta anche l altro fattore. Pag. 5/7

5 In tale logica, sembra collocarsi il sistema Secure 3D che impone all utilizzatore di inserire, a seguito dei codici riportati sulla carta di pagamento (rientranti nella seconda categoria di fattori qualcosa che l utente possiede ), un ulteriore password scelta dall utente e periodicamente modificata (prima categoria di fattori qualcosa che l utente conosce ). Da quanto emerge in sede di controdeduzioni e dalle informazioni acquisite via internet, per la carta prepagata, oggetto dell odierna controversia, non è stato ancora implementato questo ulteriore livello di autorizzazione. Quindi come in altre decisioni, questo Collegio ritiene, che l intermediario non abbia adottato la diligenza necessaria nell esecuzione del rapporto di conto corrente on line, che per le sue peculiarità richiede l adozione di presidi di sicurezza che garantiscano un effettiva protezione del cliente. Il comportamento della banca è conforme ai criteri di diligenza professionale quando essa predispone l organizzazione tecnica idonea allo svolgimento degli incarichi di pagamento in via informatica così da garantire al cliente la sicurezza dei trasferimenti. Tale organizzazione deve caratterizzarsi, in particolare, per l adozione di strumenti in linea con l evoluzione scientifica e tecnologica del settore. La legislazione più recente è molto attenta alla predisposizione di un adeguata organizzazione nello svolgimento dei servizi bancari da parte della banca e così anche la disciplina di attuazione dettata dalle Autorità di vigilanza. Si evoca così anche il trend normativo più generale in materia di obblighi di adeguata struttura organizzativa dell impresa nei confronti dei terzi fruitori dei servizi, e di relativa responsabilità per i danni subiti da questi (cd colpa da organizzazione: cfr. decisione del Collegio di Napoli n. 849/11) Si pensi, per il richiamo a simili obblighi, ad esempio, alla disciplina di attuazione della Direttiva Mifid, che in ossequio alla direttiva stessa, pone tra i requisiti per l autorizzazione all attività, la predisposizione di una adeguata organizzazione allo svolgimento dei servizi di investimento. Alla luce di tali considerazioni, appaiono inaccoglibili le difese dell intermediario, anche per quanto concerne l affermazione secondo cui la domanda di restituzione dovrebbe essere rivolta esclusivamente all indebito percettore. Una volta, infatti, affermata la responsabilità dell intermediario di assicurare il regolare e corretto funzionamento del sistema, pure sotto il profilo dell accesso e della partecipazione allo stesso da parte di operatori e terzi fruitori, solo su di lui possono gravare i rischi connessi all eventuale azione di recupero nei relativi confronti. In merito, infine, alla richiesta del cliente, che chiede il rimborso dell operazione non autorizzata, o di una sola parte, qualora si applichi una franchigia, deve rilevarsi che l art. 12 del d.lgs n.11/2010, che prevede la possibilità che il cliente sopporti nella misura di euro 150, i rischi connessi alle operazioni non autorizzate, è una norma di natura dispositiva, che non appare richiamata nelle disposizioni contrattuali relative alla carta prepagata e, pertanto, non risulta applicabile al caso in esame. P.Q.M. In accoglimento del ricorso, il Collegio dichiara l intermediario tenuto al rimborso della somma di 268,00. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese Pag. 6/7

6 della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 7/7