COLLEGIO DI TORINO. Membro designato dalla Banca d'italia. (TO) SANTARELLI Membro designato da Associazione rappresentativa degli intermediari

Transcript

1 COLLEGIO DI TORINO composto dai signori: (TO) LUCCHINI GUASTALLA (TO) BATTELLI (TO) BENEDETTI Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (TO) SANTARELLI Membro designato da Associazione rappresentativa degli intermediari (TO) DE FRANCESCO Membro designato da Associazione rappresentativa dei clienti Relatore EMANUELE CESARE LUCCHINI GUASTALLA Nella seduta del 06/06/2017 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO La parte ricorrente, titolare di conto corrente presso l intermediario convenuto, lamenta l esecuzione fraudolenta di operazioni tramite il servizio di home banking per un importo complessivo di 5.660,00. Più precisamente, il ricorrente ha rappresentato: che in data 06/08/2016 venivano ricaricate due carte prepagate attraverso il canale on line, prelevando gli importi [ ] dal mio conto corrente ; che l operazione non è stata effettuata da me né da me autorizzata ; di essersi accorto di tali operazioni in data 08/08/2016 ed di aver sporto denuncia il giorno medesimo; di non aver fornito a nessuno i dati di accesso al conto corrente. Nel reclamo del 26/08/2016 redatto da un Avvocato è precisato: che in data 06/08/2016 sono state effettuate, tramite canale on line, due operazioni di ricarica di carte prepagate per gli importi di 2.863,00 ed 2.797,00; che il giorno 08/08/2016 il ricorrente accedeva al suo conto corrente mediante i propri codici di accesso on line e si avvedeva delle operazioni che egli non aveva effettuato né autorizzato. Pag. 2/6

2 Il ricorrente ha chiesto al Collegio la restituzione di somma di denaro di 2.863,00 e 2.797,00. L intermediario, nelle proprie controdeduzioni, ha rappresentato quanto segue: che in data 09/08/2016 il ricorrente ha disconosciuto due operazioni di ricarica carta prepagata effettuate tramite il canale internet banking in data 06/08/2016 per gli importi di 2.863,00 ed 2.797,00, addebitati sul c/c al medesimo intestato; che tali operazioni si sono verificate a causa della negligenza del ricorrente; che infatti tali operazioni sono state possibili in quanto il Cliente ha incautamente comunicato a terzi i propri codici personali e ha continuato ad immettere nell ambito della sessione informatica aperta dagli autori dell illecito i codici in suo possesso a fronte di ogni richiesta che gli perveniva ; che la tematica del cd phishing è stata oggetto di sensibilizzazione da parte dell intermediario stesso anche con comunicazioni sul sito internet; che non risultano manomissioni del sistema informatico della Banca e pertanto è evidente che il Cliente accedendo ad un sito web contraffatto ha fornito le proprie credenziali di accesso, nonché i codici OTP che sono stati utilizzati per eseguire le ricariche poi disconosciute ; che infatti dall acquisizione dei log relativi alle due operazioni contestate risulta: o che il login è stato effettuato dall utenza del Cliente da una postazione IP diversa da quella abituale (alle ore del 06/08/2016); o che l operazione è stata eseguita da credenziali di accesso corrette (codice titolare e codice PIN) e accompagnata da un codice OTP valido (generato dal token in possesso del cliente); o che una prima operazione di ricarica carta prepagata n. XXX003 non è andata a buon fine a causa della mancata autorizzazione (ore ); o che immediatamente dopo (ore ) è stata effettuata una nuova richiesta di ricarica carta prepagata di importo pari ad 2.863,00, a favore del medesimo beneficiario della precedente, che è stata autorizzata da codice OTP valido; o successivamente (ore ) l utenza del Cliente ha disposto una nuova ricarica di importo pari ad 2.797,00, sempre a favore della carta n. XXX003, regolarmente autorizzata da codice OTP valido. che pertanto durante l attacco di Real Time Phishing il Cliente ha indebitamente fornito al malintenzionato almeno i seguenti codici : o Codici di accesso (codice titolare e codice PIN) o Codice OTP per confermare il login; o Codici OTP per autorizzare le due operazioni in controversia. che di conseguenza i lamentati addebiti si sono integralmente determinati per l imprudente comportamento assunto dal ricorrente che ha vanificato tutte le cautele poste in essere dalla banca (sistema a più fattori, dispositivo O-key a protezione dell infrastruttura tecnologica, canale di comunicazione cifrato e sistema di gestione per la sicurezza delle informazioni certificato IO/IEC 27100); che in definitiva è da ravvisarsi la colpa grave da parte del ricorrente. L intermediario ha dunque chiesto: - in via principale il rigetto del ricorso; - in via subordinata, in caso di accoglimento della domanda, l applicazione della c.d. franchigia. Pag. 3/6

3 DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro lato. Le operazioni contestate risalgono a un periodo successivo all entrata in vigore del D. Lgs n. 11 di recepimento della Direttiva sui servizi di pagamento (Direttiva 2007/64/CE del 13 novembre 2007) e del relativo Provvedimento attuativo della Banca d Italia del La parte resistente ha prodotto agli atti del presente procedimento evidenza dell autenticazione, registrazione e contabilizzazione delle operazioni di pagamento contestate. Dalle evidenze in atti non emerge se fosse attivo un sistema di alert. Non è stato prodotto il contratto relativo allo strumento di pagamento. Non è pacifico che le operazioni contestate siano scaturite da un fenomeno di phishing realizzato ai danni del cliente. Nel caso di specie, tuttavia, il sistema di autenticazione per l effettuazione delle operazioni di pagamento on-line è a due fattori: codice cliente e codice PIN + token OTP. Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat, disposizioni di operazioni per mezzo di servizi on-line o pagamenti via Internet. Il punto è essenziale per una corretta interpretazione del rapporto contrattuale, posto che, in linea generale, appare corretto affermare che al cliente sono opponibili le operazioni effettuate con la digitazione dei codici in suo possesso (indipendentemente da chi effettivamente le abbia disposte), proprio perché nell utilizzo del servizio di home banking il cliente viene identificato esclusivamente mediante la verifica dei codici di sicurezza che gli sono stati assegnati. Tuttavia, all epoca dei fatti all origine del presente procedimento era già in vigore la normativa (di recepimento della c.d. Direttiva PSD) di cui al D. Lgs. 27 gennaio 2010, n. 11, secondo la quale salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell articolo 7, comma 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento (art. 12, comma 3 ); nel contempo, qualora abbia agito in modo fraudolento o non abbia adempiuto ad uno o più obblighi di cui all art. 7 con dolo o colpa grave, l utilizzatore sopporta tutte le perdite derivanti da operazioni di pagamento non autorizzate e non si applica il limite di 150 euro di cui al comma precedente (art. 12, comma 4 ). Ciò chiarito, è ora necessario verificare quale sia la corretta soluzione della controversia alla luce delle norme sopra riportate, considerato che tali regole sono vigenti dal 1 marzo Ora, come è noto, la diligenza professionalmente qualificata cui fa riferimento il secondo comma dell art cod. civ., deve essere parametrata alle specificità tecnico-scientifiche della professione esercitata, trattandosi di nozione superiore e più specifica di quella Pag. 4/6

4 relativa al buon padre di famiglia, richiamata dal primo comma dello stesso articolo. L adempimento dell obbligazione, quindi, deve avvenire con la diligenza del regolato ed accorto professionista (banchiere, nel caso che ne occupa), pena il risarcimento dei danni secondo i normali canoni della responsabilità contrattuale. Per gli aspetti che qui interessano, tale parametro rileva in relazione alla specificità del servizio bancario oggetto di contestazione (home banking) che implica l utilizzazione del canale telematico e l uso di codici dispositivi. In particolare, la valutazione coinvolge l adeguatezza - considerati gli standard esistenti - dei presidi tecnici adottati dall intermediario per rendere sicure le transazioni on-line da attacchi di pirateria informatica. Sui presidi di sicurezza più idonei a fronteggiare il fenomeno della pirateria informatica non c è attualmente una specifica normativa vincolante, anche se esistono diversi documenti, sia a livello nazionale che internazionale, trattano della sicurezza dell e-banking e, in particolare, della diversa efficacia dei vari meccanismi di autenticazione. L utente viene, infatti, autenticato attraverso la presentazione di credenziali. Generalmente si intende per credenziale uno o più dei seguenti elementi: qualcosa che l utente sa (es. la password); qualcosa che l utente ha (es. il token, che può contenere un certificato digitale); qualcosa che l utente è (in questo caso si parla di caratteristiche biometriche, es. le impronte digitali). Quando l autenticazione dell utente utilizza congiuntamente due di questi sistemi, si parla di autenticazione a due fattori. Alcune modalità tecniche consentono già oggi, in associazione all utilizzo di user-id e password, di effettuare una autenticazione a due fattori: si tratta soprattutto di Segreti condivisi e Token. Nel caso in esame deve ritenersi che l intermediario resistente abbia adempiuto con la dovuta diligenza ai propri obblighi. Questo ha, infatti, messo a disposizione del cliente un sistema per il compimento di operazioni on line, che è basato sull utilizzo contemporaneo di più fattori, ossia quel tipo di sistema che anche il Collegio di coordinamento non ha mancato di considerare come (attualmente) il più sicuro e tale da assicurare la migliore tutela degli utilizzatori in base all attuale stato della tecnica, anche se giova ricordarlo non esistono strumenti totalmente sicuri [cfr., sul punto, la Premessa all allegato tecnico ( Tipologie di strumenti di più elevata qualità sotto il profilo della sicurezza ) al Provvedimento Banca d Italia dell Diritti e Obblighi delle parti (di attuazione del titolo II del D.lgs. n. 11/2010 relativo ai servizi di pagamento), ove si legge che gli strumenti qualificati come a maggior sicurezza non vanno intesi come mezzi intrinsecamente sicuri, cioè privi di rischio, ma come strumenti che presentano un livello di rischio connesso con frodi o disconoscimenti inferiore rispetto agli altri strumenti di pagamento alla luce dell evoluzione tecnologica ]. Dal tipo di sistema di protezione adottato discende la presunzione certamente grave e rilevante che il cliente non abbia compiutamente custodito i dispositivi personali necessari per l utilizzo del sistema di pagamento, tanto che, nell ipotesi ora descritta, pare dover essere esclusa la responsabilità dell intermediario, dovendo il fatto ascriversi a colpa grave dell utilizzatore ricorrente. Appare, infatti, verosimile che il ricorrente abbia incautamente fornito una serie di dati completa e tale da permettere di compiere operazioni fraudolente, condotta che integra pienamente gli elementi in fatto per poter riconoscere una colpa grave, con conseguente esclusione dell applicabilità della limitazione di responsabilità prevista dalla più recente normativa in materia. Dalle osservazioni che precedono, infatti, consegue necessariamente che il Collegio pur prendendo atto della natura fraudolenta dell operazione in questione non può esimersi dal rilevare che il comportamento dell utilizzatore appare connotato da una negligenza che si presenta rilevante, tale da poterla qualificare alla stregua della colpa grave. In tal caso, com è noto, la colpa grave Pag. 5/6

5 dell utilizzatore esclude la responsabilità dell intermediario ai sensi degli artt. 7, comma 2 e 12, comma 3, del D. Lgs. N. 11/2010. Il Collegio non accoglie il ricorso. P.Q.M. IL PRESIDENTE firma 1 Pag. 6/6