COLLEGIO DI NAPOLI. Membro designato dalla Banca d'italia. (NA) GULLO Membro designato da Associazione rappresentativa degli intermediari

Transcript

1 COLLEGIO DI NAPOLI composto dai signori: (NA) CARRIERO (NA) BLANDINI (NA) FEDERICO Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (NA) GULLO Membro designato da Associazione rappresentativa degli intermediari (NA) GIGLIO Membro designato da Associazione rappresentativa dei clienti Relatore GULLO DOMENICO Nella seduta del 23/05/2017 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO In data 09/12/2015, il ricorrente, intestatario di una carta di credito, consultando l estratto conto ad essa relativo, constatava che risultava un addebito datato 03/12/2015 a proprio carico e relativo ad una operazione di 794,58, eseguita mediante un acquisto on line presso un esercente estero. Il ricorrente contattava telefonicamente il Servizio Clienti dell intermediario per disconoscere l operazione e procedere contestualmente al blocco della carta stessa e, poche ore più tardi, sporgeva denuncia presso le forze dell ordine, dichiarandosi vittima di una truffa. In data 21/01/2016, il ricorrente provvedeva a notificare all intermediario il disconoscimento formale dell operazione, a seguito del quale l istituto di credito procedeva a riaccreditare salvo buon fine la somma oggetto di contestazione. Tuttavia, dopo aver proceduto alle verifiche del caso ed aver fornito riscontro negativo ai controlli effettuati, l intermediario provvedeva ad addebitare nuovamente al cliente la somma contestata ed oggetto del precedente accredito. Il ricorrente, ricevendo risposta di diniego al proprio reclamo, presentava ricorso all ABF, evidenziando che la carta era in suo possesso al Pag. 2/6

2 momento dell operazione, che era stata eseguita in luogo diverso da quello della sua abituale residenza, dove egli si trovava il giorno in cui questa era stata effettuata. In ragione di ciò, il ricorrente sostiene che la propria richiesta di rimborso (sia) fondata sul fatto che non è addebitabile allo stesso alcun dolo e/o colpa grave nell accaduto e, pertanto, chiede all ABF di disporre nei confronti dell intermediario convenuto la restituzione della complessiva somma di euro 794,58 relativa all operazione da lui disconosciuta. In sede di controdeduzioni, l intermediario rendeva noto che l operazione contestata è il risultato dell utilizzo di una carta virtuale generata con regolare utilizzo dell apparecchiatura c.d. O-Key con la quale vengono generate le c.d. OTP One Time Passwords necessarie all accesso al servizio ed al conferimento di singoli ordini dispositivi. L intermediario ne deduceva che il ricorrente sia stato vittima di una truffa telematica, usualmente denominata phishing che esula da responsabilità della Banca ed anzi risulta essere stata direttamente resa possibile da comportamenti del ricorrente che comunque integrano violazioni alle previsioni contrattuali che riconducono al cliente stesso la responsabilità di eventuali conseguenze dannose. L intermediario deduceva, altresì, che la carta virtuale è stata creata in data 17/03/2015 alle ore 23:45, attraverso l area riservata di home banking, utilizzando la funzionalità carta di durata, con la relativa possibilità di indicare il numero di mesi (massimo 12) di validità, allegando a sostegno di tale assunto copia del giornale di fondo relativo alle operazioni compiute sulla carta in questione. Per compiere tale operazione, sostiene l intermediario, è necessario entrare nel sito internet della banca, accedere alla propria area riservata inserendo il codice titolare, il codice PIN e la cifra originata dall O-Key a suo tempo affidati alla custodia del ricorrente, cosicché appare plausibile configurare due scenari: o il ricorrente potrebbe aver ricevuto una sospetta, probabilmente qualche giorno prima della creazione della carta virtuale, consentendo in tal modo l accesso alle proprie credenziali, ovvero il cliente, una volta creata la carta virtuale, la avrebbe lasciata incustodita in modo che, una volta sottratta, il malfattore avrebbe potuto effettuare i propri acquisti on line. Secondo l intermediario, il comportamento del ricorrente risulta, in ogni caso, affetto da colpa grave e si pone logicamente e tecnicamente, come unico presupposto possibile e necessario rispetto all'accaduto. Pertanto, premesso che il sistema informatico della banca non risulta essere stato violato in alcun modo, la resistente ne deduce che: la rivelazione dei codici di sicurezza ovvero l aver lasciato incustoditi i codici della carta virtuale supera i limiti della semplice negligenza per configurare quanto meno gli estremi della colpa grave, se non addirittura della temerarietà. In ragione di ciò, la parte resistente si oppone alla domanda azionata dal ricorrente, e chiede al Collegio, in via principale, di riconoscere e dichiarare l inaccoglibilità del ricorso in quanto manifestamente infondato. DIRITTO La fattispecie all esame del Collegio concerne un caso di disconoscimento di una operazione di pagamento realizzata mediante addebito sulla carta di credito di proprietà del ricorrente. In particolare, il ricorrente ha sostenuto la propria assoluta estraneità al pagamento effettuato in un luogo rispetto al quale assume di non avere nessuna relazione e, sostenendo che l accaduto non sia addebitabile alla propria condotta di natura dolosa o gravemente colposa, chiede che l intermediario disponga in suo favore il rimborso della somma indebitamente pagata. Pag. 3/6

3 L Arbitro Bancario Finanziario ha avuto modo di pronunciarsi in più occasioni con riguardo alle ipotesi di prelievi fraudolenti effettuati in seguito a frodi informatiche (vd., ex multis, Collegio di Milano, decisione n. 4107/2012 e decisione n. 3953/2013). La questione nodale da affrontare, in fattispecie di questo tipo, concerne la verifica del rispetto da parte del cliente degli obblighi circa la custodia e l uso dei codici di accesso da un lato, e il grado di diligenza che l intermediario deve impiegare nell erogazione di servizi di pagamento e, più in generale, di home banking; tanto al fine di stabilire la eventuale responsabilità della banca per i danni derivanti dalle operazioni fraudolente. Per la controversia odierna, soccorrono le disposizioni del d. lgs. 11/2010, il quale ha recepito la direttiva 2007/64/CE (PSD), relativa ai servizi di pagamento nel mercato interno europeo. In particolare l art. 10 dello stesso decreto legislativo, prescrive che in caso di disconoscimento di un operazione di pagamento, è onere dell intermediario dimostrare che l operazione sia stata correttamente autenticata, registrata e contabilizzata e che la sua patologia non sia dovuta a malfunzionamenti delle procedure esecutive o ad altri inconvenienti del sistema. Ed in tal senso, è opportuno richiamare l interpretazione fornita dal Collegio di Coordinamento, secondo il quale, grava sul prestatore la prova (non solo dell adozione da parte sua dei presidi di sicurezza degli strumenti di pagamento, bensì anche) della sussistenza di quell elevato e abnorme grado di negligenza in capo all utilizzatore, al ricorrere del quale possa imputarsi allo stesso la responsabilità delle conseguenze di un utilizzo fraudolento della carta rubata (Coll. di Coordinamento, decisione n. 3498/2012). Come già rilevato in altre decisioni di questo Arbitro, la prova della colpa grave indica, più specificamente, la prova dei fatti che, in connessione tra loro, possono ragionevolmente condurre a ritenere gravemente negligente la condotta del cliente. Detta prova può ovviamente essere fornita pure per mezzo di presunzioni, purché queste, com è noto, siano gravi, precise e concordanti secondo quanto dispone l art c.c. E evidente che l onere della prova da parte dell intermediario che non ha accesso ad informazioni ulteriori rispetto a quelle dichiarate dai clienti stessi in sede di denuncia e di reclamo, relativamente all organizzazione dei propri clienti ed alle modalità di custodia dei citati dispositivi - possa essere assolto solo ed esclusivamente mediante un insieme di elementi gravi, precisi e concordanti dai quali possa desumersi la sussistenza di comportamenti negligenti da parte dell utilizzatore (Coll. Napoli, dec. n. 1033/2012; 2179/2016 e 11189/2016). Nel caso di specie il Collegio ritiene sussistere detta serie univoca e concordante di elementi atti a dimostrare la negligenza del ricorrente. In particolare, il ricorrente non ha fornito alcun elemento utile che consenta di individuare le modalità tramite le quali è stata realizzata a suo danno la truffa informatica, limitandosi a riferire che la carta de qua era in possesso del sottoscritto anche al momento della operazione disconosciuta, oltretutto eseguita in un luogo diverso da quella della abituale residenza [ ], e così confermando le circostanze già riferite in occasione della comunicazione di contestazione del inviata all intermediario e della denuncia presentata presso la stazione dei carabinieri in data Dall esame della documentazione prodotta, può ritenersi attendibile la ricostruzione dei fatti compiuta dall intermediario che, sulla base della cronologia delle operazioni effettuate sulla carta di credito del ricorrente, sostiene che il pagamento sia stato disposto mediante un ordine a valere non sulla carta materiale, bensì sulla carta virtuale, creata mediante l inserimento dei codici di sicurezza in data Infatti, è documentato in atti che il ricorrente abbia dato luogo alla creazione di una carta virtuale, intendendosi con questa espressione una carta prepagata, priva dunque di supporto materiale, che può essere facilmente generata dai siti di home banking dei singoli istituti di credito e che prevede un limite di spesa ed una durata temporalmente definita. Può ragionevolmente ipotizzarsi, Pag. 4/6

4 dalla descrizione dei fatti di causa, che il ricorrente sia rimasto vittima di una mail civetta o di altra forma di pirateria informatica su una pagina web fittizia non soggetta al possibile controllo della banca resistente. E certo, e risulta dal tracciato degli accessi dell home banking prodotto dalla Banca, che costui abbia immesso nel sistema le sue credenziali protette e le sue password OTP (one time password), tanto da attivare una carta virtuale. Secondo la ricostruzione del resistente, il pagamento contestato può essere ricondotto a due diversi possibili accadimenti, entrambi addebitabili a colpa grave dell utilizzatore del servizio: o il ricorrente ha attivato volontariamente la carta virtuale non provvedendo a custodire diligentemente le relative password di accesso (che avrebbero potuto essere sottratte ed utilizzate da un ignoto malfattore), ovvero il ricorrente, ingannato da c.d. mail phishing, ha comunicato involontariamente i propri codici di accesso al servizio di home banking, consentendo a terzi la creazione e l utilizzo occulto della carta. In tale ultima e frequente ipotesi, l accesso a siti internet fasulli è circostanza non controllabile da parte della banca e può essere evitata dal cliente con un grado ordinario di diligenza non rispondendo ad da contenuti generalmente poco credibili o controllando l esatta denominazione dell indirizzo internet (in particolare i siti delle banche e delle carte di credito evidenziano un lucchetto o un protocollo https) o, ancora, evitando di cliccare link che rimandino a siti sconosciuti, oltre che dotandosi, e la cosa vale soprattutto per chi utilizzi il computer per lo svolgimento di operazioni bancarie e di pagamento, di adeguati programmi antivirus e antispyware. Dal canto suo l intermediario risulta aver assolto agli obblighi di sicurezza posti a suo carico dotando il cliente di un sistema one time password e quindi di un sistema di autenticazione a più fattori caratterizzato notoriamente da elevata capacità protettiva. Ha inoltre provveduto a bloccare, successivamente alla denuncia dell utilizzatore, la suddetta carta virtuale evitando così il ripetersi di condotte illecite. Sebbene il contenuto dell art. 12 D. Lgs. n. 11/2010, ponga generalmente a carico del fornitore del servizio i rischi dell utilizzo non autorizzato dello strumento di pagamento, nel caso di specie possono dirsi sussistenti gli elementi per ritenere che l odierno ricorrente abbia mostrato un comportamento gravemente colposo nei fatti che hanno determinato il danno a suo carico. In particolare, gli elementi forniti dall intermediario consentono di ritenere che l utilizzatore sia stato vittima di una truffa secondo lo schema della mail phishing, rispetto alle quali emerge documentalmente che la banca si sia attivata, sia predisponendo metodi efficaci di tutela delle operazioni bancarie telematiche, sia mediante un diffuso sistema di informazione e prevenzione dei rischi. Pertanto, l adozione di un sistema a due fattori e l informativa prestata da parte dell intermediario, nonché la comune esperienza e notorietà di questo di truffe informatiche induce a ritenere, in assenza di ulteriori indici di anomalia dell operazione, da un lato, che la banca abbia assolto all onere di provare l adempimento degli obblighi su di essa gravanti ai sensi dell art. 8 del d.lgs. n. 11/2010 (in questo senso Coll. Milano, dec. 6309/2013, dec. 1458/2015) e, dall altro lato, che il cliente si sia reso gravemente inadempiente all obbligo di custodia degli strumenti e dei codici di accesso che consentono l utilizzo del servizio online. Alla luce delle caratteristiche tecniche di sicurezza adottate dall intermediario sembra dunque lecito presumere che l operazione fraudolenta di cui si discute sia stata resa possibile da un comportamento inadempiente del cliente, il quale ha omesso di adottare tutte le cautele necessarie a custodire i codici di accesso e i dispositivi connessi. Il ricorso non può quindi essere accolto. Pag. 5/6

5 P.Q.M. Il Collegio non accoglie il ricorso. IL PRESIDENTE firma 1 Pag. 6/6