Collegio di Roma, 18 giugno 2010, n.561

Transcript

1 Collegio di Roma, 18 giugno 2010, n.561 Categoria Massima: Responsabilità della banca / Carte di credito, Carte di credito / Obblighi per il cliente Parole chiave: Carte di credito, Corretta digitazione dei codici, Onere probatorio, Utilizzo fraudolento Il fatto che le operazioni contestate siano avvenute con il corretto inserimento delle credenziali di utilizzo della carta non è circostanza di per sé idonea a far ritenere che la frode sia riconducibile ad un comportamento, commissivo ovvero omissivo, del titolare. L esperienza dimostra, infatti, che gli attacchi informatici finalizzati a carpire le credenziali digitali dell utente dei servizi on-line sono spesso rivolti (anziché al cliente) agli archivi informatici delle banche e alle reti telematiche di collegamento con i singoli utenti. In mancanza di più specifici elementi, quindi, l apparente regolarità delle operazioni contestate non esclude la responsabilità a carico all intermediario per violazione dell obbligo di protezione dell altro contraente. Testo sentenza: IL COLLEGIO DI ROMA composto dai signori: - Dott. Giuseppe Marziale (Presidente) - Avv. Bruno De Carolis (Membro designato dalla Banca d Italia - Estensore) - Avv. Alessandro Leproux (Membro designato dalla Banca d Italia) - Prof. Avv. Saverio Ruperto (Membro designato dal Conciliatore Bancario Finanziario per le controversie in cui sia parte un cliente consumatore) - Dott.ssa Daniela Primicerio (Membro designato dal C.N.C.U.) Pagina 1 di 7

2 nella seduta del 07 maggio 2010 dopo aver esaminato - il ricorso e la documentazione allegata; - le controdeduzioni dell intermediario e la relativa documentazione; - la relazione istruttoria della Segreteria tecnica FATTO Il 7 gennaio 2008 il ricorrente ha sporto denuncia al Commissariato di Polizia per 2 prelievi non autorizzati (in data 14/10 e il 14/12 del 2007) effettuati tramite la sua carta prepagata per un totale di 180,05 euro. In tale sede il cliente ha fatto presente che la carta è sempre rimasta in suo possesso. Il 9 gennaio 2008 il cliente ha presentato all intermediario una dichiarazione di disconoscimento delle citate operazioni al fine di ottenere il rimborso delle relative spese, tutte a favore di un operatore telefonico. Nel reclamo, il ricorrente riferisce che, dopo aver atteso mesi per avere una risposta dall intermediario, si è poi rivolto ad un associazione di consumatori che per suo conto ha inviato numerose richieste al medesimo intermediario (rispettivamente a luglio del 2008, a gennaio e a ottobre del 2009) prima di ottenere una risposta. Con lettera del 10 novembre 2009 acclusa alle controdeduzioni, l intermediario rispondeva al reclamo rilevando che: 1) le operazioni disconosciute risultano effettuate mediante la correttaautenticazione, avvenuta con l inserimento dei codici segreti di accesso necessari per il riconoscimento del titolare ; 2) i fatti segnalati sarebbero dunque riconducibili ad un caso di frode informatica; 3) deve essere cura di chi utilizza strumenti informatici adottare le cautele necessarie per garantire la riservatezza dei propri dati ; 4) i servizi online forniti sono realizzati con sistemi di protezione che rispettano elevati standard di sicurezza per la salvaguardia delle informazioni trasmessevia internet (la connessione protetta si attiva appena vengono inseriti il nome utente e la password; il cliente ha la possibilità di sostituire la password ogni volta che lo desidera; per ogni operazione disposta online, il sistema richiede l inserimento di quattro caratteri sempre diversi del codice Pagina 2 di 7

3 dispositivo). Evidenziava, infine, di aver provveduto già da tempo a fornire informazioni (pubblicate tramite il suo sito ufficiale e diffuse, già a partire dall anno 2005, tramite gli organi di stampa e le associazioni dei consumatori) circa il pericolo di frodi con il sistema di phishing e i modi di protezione cui attenersi. In mancanza di accoglimento del reclamo, il ricorrente ha presentato ricorso chiedendo la restituzione delle somme prelevate in modo fraudolento dal conto della propria carta prepagata. Il ricorrente riferisce: che dall esame dell estratto conto della carta si evince che i prelievi contestati sono avvenuti il 14 ottobre 2007 alle ore 23,42 per un importo di euro 118,20 tramite POS-esercenti e l 11 dicembre 2007 alle ore 4,43 on line per un importo di 61,85 euro. Entrambi i prelievi risultavano effettuati a favore di un determinato operatore telefonico; di non avere alcun rapporto commerciale con tale operatore telefonico; che l intermediario avrebbe potuto verificare l estraneità delle operazioni mediante controlli dei movimenti effettuati nel tempo che non prevedevano mai operazioni a favore di tale operatore telefonico. A riprova delle proprie affermazione fa presente che sono solo sei i siti visitati e nei quali sono stati inseriti i codici d accesso necessari a convalidare i pagamenti; di aver acquistato lo strumento di pagamento con il fine precipuo di utilizzarlo su Internet e in quanto l emittente lo pubblicizzava proprio per tale uso in relazione ai particolari requisiti di sicurezza che avrebbero dovuto caratterizzare la carta; che il primo prelievo fraudolento è avvenuto tramite POS-esercenti per il quale è necessaria la carta che è sempre rimasta in suo possesso; di aver attivato anche un collegamento on-line con l intermediario al fine di monitorare la carta ma che non vi era nessun avviso o comunicazione che facesse riferimento al rischio di frodi durante le operazioni di pagamento on-line. Pagina 3 di 7

4 Conclude affermando di essere vittima di un inganno in quanto l intermediario al momento della frode evidentemente non disponeva di un sistema e/o di una procedura..in grado di garantire le transazioni on-line in assoluta sicurezza come invece la pubblicità e le affermazioni dei propri dipendenti lasciavano bene intendere. Infine, il ricorrente lamenta che non vi è un mezzo efficiente per comunicare con l intermediario e che questi ha risposto ai propri numerosi solleciti scritti dopo quasi 2 anni. Nelle controdeduzioni l intermediario ha osservato che: 1) il ricorrente ha richiesto la carta il ed ha sottoscritto l apposito modulo con le condizioni di contratto dove all art 7 sono riportate la modalità di riconoscimento dell utilizzatore; 2) le due ricariche contestate non sono state effettuate sul portale di poste italiane ma direttamente dal sito della compagnia telefonica; 3) per l effettuazione delle operazioni è necessario essere a conoscenza dei riferimenti numerici presenti sulla carta, compreso il nome del titolare che sulla stessa non è riportato ; 4) il sito della compagnia telefonica sul quale sono state eseguite le operazioni viene identificato come sito sicuro, secondo le disposizioni Visa, infatti quest ultimo partecipa a 3d secure in quanto per ogni transazione viene richiesto il codice di sicurezza di tre cifre (CVV2) stampato sul retro che identifica in modo univoco la carta; 5) le operazioni eseguite su questa categoria di siti impedisce di intraprendere all intermediario convenuto iniziative nei confronti della banca che gestisce gli incassi del merchant ; 6) quindi, rispettati tutti i passaggi delle transazioni e verificata la genuinità e paternità delle stesse sul web [l intermediario] ha autorizzato i pagamenti con autorizzazione n del e n dell DIRITTO La vertenza si inquadra nel fenomeno dell utilizzo fraudolento degli strumenti di pagamento, le cui modalità nella fattispecie hanno dato luogo a due transazioni mediante l uso di carta Pagina 4 di 7

5 prepagata. L intermediario nelle sue controdeduzioni fa presente che sussiste una variegata casistica di frodi informatiche, ma nella fattispecie non è dato di ricostruire quale specifica modalità di uso indebito della carta sia stato adottato. A fronte del disconoscimento da parte del ricorrente della paternità di n.2 operazioni di pagamento on-line, l intermediario - pur riconoscendo che risulta evidente che il numero della carta, la sua data di scadenza ed i codici di sicurezza siano stati carpiti in modo fraudolento (alricorrente) e che siano stati utilizzati a sua insaputa - oppone che, essendo stati rispettatitutti i passaggi delle transazioni e verificate la paternità e genuinità delle stesse sul web nessuna responsabilità può essergli ascritta e che, pertanto, le conseguenze dannose di tale intrusione non possono che far carico al titolare della carta. Questa conclusione potrebbe essere condivisa solo nel caso in cui la frode fosse stata resa possibile dalla violazione, da parte del titolare, dell obbligo assunto con il contratto di custodire con ogni cura la carta e le sue credenziali di accesso, o da altro suo comportamento colposo o doloso. Non varrebbe osservare, in contrario, che le clausole del contratto attribuiscono al titolare della carta la responsabilità esclusiva di ogni conseguenza dannosa derivata dall uso indebito della stessa da parte di terzi fino al momento della segnalazione del suo smarrimento, della sua sottrazione o della sua clonazione; e pongono, pertanto, il rischio di eventuali pagamenti non autorizzati solo a carico di tale soggetto, esonerando l emittente da ogni responsabilità. Simili previsioni - basate sulla supposizione, non di rado smentita dalla realtà, che l uso non autorizzato della carta postuli necessariamente la violazione, da parte del titolare, dell obbligo, assunto con il contratto, di custodire con ogni cura sia la carta medesima che il relativo codice segreto - non sono infatti conformi al nostro ordinamento. Invero, l art. 1229, comma 1, c.c., dichiara nullo qualsiasi patto che esclude o limiti preventivamante la responsabilità del debitore per dolo o per colpa grave. E del pari nulle, anche nel caso in cui siano state oggetto di trattativa, sono poi dichiarate, in quanto vessatorie, dagli artt. 33, comma 2, lett. b, e 36, comma 2, lett. b, d.lgs. 6 settembre 2005, n con specifico riferimento a coloro che, come il ricorrente, sono da considerare quali consumatori - le clausole che hanno per oggetto o per effetto di escludere o limitare le azioni del consumatore nei confronti del professionista o di un altra parte in caso di inadempimento totale o parziale o di adempimento inesatto da parte del professionista. Per la corretta soluzione del problema è necessario muovere dalla considerazione che l uso delle Pagina 5 di 7

6 carte di pagamento si inserisce nell ambito dei servizi di pagamento, vale a dire di attività della cui esecuzione l intermediario risponde secondo le regole del mandato (art c.c.), per cui è tenuto ad esercitare con una diligenza adeguata alla sua condizione professionale e alla natura dell attività svolta (artt. 1710, comma 1, 1176, comma 2, c.c.), alla quale si ricollega un obbligo di protezione dell altro contraente (Cass. 12 giugno 1996, n. 5409); obbligo che, in relazione al servizio bancomat, si specifica nel dovere di adottare le misure idonee a garantire la sicurezza del servizio da eventuali manomissioni (Cass., 12 giugno 2007, n ). Versandosi in tema di responsabilità contrattuale l onere di provare la non imputabilità dell inadempimento non può che far carico all intermediario che con il contratto aveva assunto l obbligo di assicurare al proprio cliente il corretto svolgimento del servizio. Non può dirsi che tale onere sia stato assolto. La resistente si è invero limitata ad affermare che le operazioni contestate sono avvenute con il corretto inserimento delle credenziali di utilizzo della carta. Ma tale circostanza, anche se esatta, non autorizza a ritenere che la frode sia riconducibile ad un comportamento, commissivo ovvero omissivo, del titolare. L esperienza dimostra, infatti, che gli attacchi informatici finalizzati a carpire le credenziali digitali dell utente dei servizi on-line sono spesso rivolti (anziché al cliente) agli archivi informatici delle banche e alle reti telematiche di collegamento con i singoli utenti. Peraltro, lo stesso intermediario, riconoscendo che risulta evidente che i codici di sicurezza sono stati carpiti in modo fraudolento al ricorrente e utilizzati a sua insaputa, esclude che all utilizzatore siano imputabili dolo o colpa grave. In mancanza di più specifici elementi - che nella specie non sono stati dedotti e tanto meno provati dalla resistente - l apparente regolarità delle operazioni contestate non può quindi essere invocata a riprova che l operazioni stesse siano riconducibili ad un comportamento doloso o colposo del titolare. E questo spiega perché il legislatore abbia di recente puntualizzato - recependo all interno del nostro ordinamento un principio già stabilito in sede comunitaria (art. 59.2, Dir. 2007/64 CE) - che, ove l utilizzatore di servizi di pagamento neghi di aver autorizzato un operazione di pagamento la sua apparenteregolarità non è di per sé necessariamente sufficiente a dimostrare che l operazione siastata autorizzata dall utilizzatore medesimo, né che questi abbia agito in modo fraudolentoo non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi a lui imposti dallalegge (art. 10, comma 2, d.lgs. 27 gennaio 2010, n. 11, entrato in vigore il 1 marzo 2010). Pagina 6 di 7

7 Il ricorso deve essere quindi accolto e deve conseguentemente disporsi che l intermediario corrisponda al ricorrente la somma complessiva di euro 190,00 (centonovanta/00), da ritenersi comprensiva di quanto dovuto a titolo di interessi, e concorra, inoltre, alle spese della presente procedura nella misura indicata in dispositivo. P.Q.M. Il Collegio accoglie il ricorso nei sensi di cui in motivazione. Dispone, inoltre, aisensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di Euro 200,00 (duecento/00) quale contributo alle spese della procedura e al ricorrente quella di Euro 20,00 (venti/00) quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE Giuseppe Marziale Pagina 7 di 7