IL COLLEGIO DI NAPOLI. - prof. avv. Giuseppe Leonardo Carriero...membro designato dalla Banca d'italia

Transcript

1 IL COLLEGIO DI NAPOLI composto dai signori: - prof. avv. Enrico Quadri...Presidente - prof. avv. Giuseppe Leonardo Carriero...membro designato dalla Banca d'italia - avv. Domenico Parrotta...membro designato dalla Banca d'italia - prof.ssa Marilena Rispoli Farina...membro designato dal Conciliatore Bancario Finanziario (estensore) - avv. Pierfrancesco Bartolomucci...membro designato dal Consiglio Nazionale Consumatori Utenti (CNCU) nella seduta del , dopo aver esaminato il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica FATTO Il ricorrente, titolare di un conto corrente con annesso servizio di home banking, in data veniva contattato dal responsabile della propria filiale di riferimento che lo informava dell insufficienza di fondi per il pagamento di un assegno da lui emesso. Certo dell esistenza della provvista, si recava prontamente presso la filiale e da una lista movimenti esibitagli costatava le presenza di ben sette operazioni di bonifico per il complessivo importo di ,00 disposte on line tra il 2 e l 8 maggio in favore di soggetti a lui sconosciuti; provvedeva tempestivamente a disconoscere le operazioni, a bloccare il conto e sporgeva denuncia alle competenti autorità. Con successiva lettera del 15 maggio il ricorrente chiedeva il rimborso delle somme fraudolentemente sottrattegli. La banca, nel fornire i dettagli delle operazioni, riscontrava negativamente la richiesta in quanto dalle verifiche effettuate non era emersa alcuna violazione del proprio sistema informatico; le operazioni inoltre risultavano regolarmente disposte attraverso il servizio di internet banking con l inserimento dei codici personali attribuiti al ricorrente. Richiamava al riguardo le previsioni contrattuali relative alla responsabilità del cliente per l utilizzo illegittimo dei codici, nonché le campagne informative condotte sulla sicurezza informatica. Precisava infine di aver reso disponibile ai clienti a partire dal un servizio di sms security proprio per neutralizzare gli effetti di eventuali frodi; servizio che il ricorrente non risultava aver Pag. 2/6

2 attivato. Faceva comunque presente di essersi attivata per il recupero delle somme di essere riuscita ad ottenere la restituzione del bonifico di 2.950,00 disposto l e il blocco di altro bonifico di 3.100,00 disposto il la cui restituzione era stata subordinata da parte della banca beneficiaria all esibizione di un provvedimento di sequestro delle competenti autorità. Il ricorrente operava replicava, contestando le affermazioni della banca, e reiterando le proprie richieste; l intermediario riaffermava la propria posizione. Insoddisfatto dalla risposta ricevuta, il ricorrente proponeva il ricorso in esame. In tale sede, rinnovava le contestazioni relative all adeguatezza del sistema di autenticazione adottato dall intermediario basato sulla security card che infatti era stato successivamente sostituito con altro denominato secure call idoneo a generare un codice cd. usa e getta. Sottolineava sulla base degli orientamenti dell ABF la violazione del dovere di diligenza da parte della banca, affermando che le operazioni in questione non risultavano neanche in linea con la normale operatività posta in essere dal ricorrente e provenivano da un IP diverso da quelli normalmente usati. La banca ha precisato di essersi tempestivamente attivata per il recupero delle somme in seguito al disconoscimento delle operazioni; per quattro dei sette bonifici contestati, tuttavia, le banche presso cui risultavano radicati i rapporti di conto corrente destinatari delle operazioni comunicavano la mancata autorizzazione da parte dei beneficiari al relativo storno. In un caso il beneficiario manifestava la propria volontà di restituire l importo di 2.200,00 attraverso bonifici mensili di 50,00; faceva presente al riguardo che risultavano già pervenuti n. 4 bonifici per un totale di 200,00. Relativamente ad altro bonifico di 3.100,00 dell la banca destinataria comunicava di aver disposto il blocco della somma subordinandone la restituzione all esibizione di un provvedimento di sequestro delle competenti autorità. L importo relativo all ultima operazione di 2.950,00 dell veniva invece recuperato il successivo 15 maggio. L intermediario precisava inoltre che, dalle verifiche effettuate, le operazioni poste in essere nei giorni 2, 3 e 8 maggio risultavano disposte da tre diversi indirizzi IP attraverso il corretto inserimento dei codici segreti assegnati al titolare (codice identificativo cliente, password, ulteriore codice tratto dalla security card sulla quale sono riportate 24 terne di numeri). Quest ultima circostanza, in assenza di violazioni del proprio sistema informatico, denotava, ad avviso della resistente, una violazione dell obbligo di diligente custodia dei codici da parte del ricorrente; in proposito richiamava le relative clausole contrattuali. L intermediario precisava inoltre di avvalersi sin dal luglio 2009 dei servizi e prodotti antifrode forniti da una società leader nel settore; richiamava inoltre le numerose campagne informative sulle frodi informatiche pubblicate sul proprio sito internet. Sottolineava di aver reso disponibile gratuitamente, a far tempo dal , il servizio Sms Security non attivato dal ricorrente. Inoltre, la banca precisava di aver reso a partire dal disponibile alla propria clientela, gratuitamente fino al , il servizio secure call che permette la creazione - attraverso una chiamata al numero verde dedicato - di una password usa e getta valevole per il singolo accesso e per ogni operazione di pagamento on line. La relativa informativa era stata resa alla clientela, tra l altro, mediante inbox di carattere obbligatorio nella pagina iniziale di accesso personale al sito visionata dal ricorrente il 6 aprile 2012; neanche tale servizio tuttavia veniva attivato dal ricorrente. In conclusione, il ricorrente ha chiesto all Arbitro di accertare e dichiarare e per l effetto condannare la resistente al rimborso e/o al risarcimento dei danni in proprio favore nella misura di ,00 o di quella diversa somma, maggiore o minore, che sarà accertata, oltre interessi legali e svalutazione monetaria dalla data dei singoli prelievi al soddisfo, nonché di condannare l intermediario alla rifusione delle spese di lite. La resistente, dal ccanto suo, sulla base delle considerazioni esposte, ha chiesto al Collegio di respingere il ricorso o comunque Pag. 3/6

3 di decurtarlo degli importi in corso di restituzione, nonché di riconoscere il concorso colposo del cliente nella causazione del danno per non essersi avvalso degli strumenti di sicurezza messi a disposizione. DIRITTO Il Collegio affronta un caso di utilizzo fraudolento di strumento di pagamento: trattasi del disconoscimento di n. 7 operazioni di bonifico disposte on line a favore di soggetti sconosciuti, utilizzando le disponibilità di un conto corrente con annesso servizio home banking, che il ricorrente intrattiene con la banca resistente. Si osserva, innanzitutto, che il ricorrente lamenta l incoerenza delle operazioni rispetto alle sue normali modalità operative e che l intermediario non replica sul punto. Come in molti analoghi casi affrontati da questo Collegio, ai fini della decisione della presente controversia, riguardante un ipotesi di sottrazione di somme dal conto corrente del ricorrente mediante l effettuazione di operazioni dispositive on line di cui egli afferma il carattere fraudolento, occorre ancora una volta valutare come in relazione ad analoghe vicende portate all esame del Collegio (cfr., ad esempio, Collegio ABF di Napoli, decisioni n. 648/2012, n. 1719/2012; n. 2191/2012) se l intermediario, con specifico riferimento al servizio di home banking, abbia adottato le cautele e gli accorgimenti idonei, in base al criterio della diligenza professionale, ad evitare e prevenire eventuali operazioni di truffa informatica. Non si può trascurare di considerare in proposito come dalle evidenze difensive prodotte dalla stessa resistente emerga la predisposizione da parte di quest ultimo di una lunga e complessa procedura basata, però, solo su fattori di autenticazione di un unico tipo, non adeguati alle più recenti e ormai diffuse tecnologie. Il sistema predisposto non vale, quindi, a soddisfare le esigenze di protezione che strumenti più avanzati di sicurezza possono garantire. Sul livello di sicurezza di un sistema di autenticazione quale quello adottato dall intermediario, vale ricordare la decisione del Collegio di Napoli, decisione n. 147/2011, per la quale è da rilevare che il sistema di sicurezza della banca (sopra descritto) tende ad adeguarsi ad una metodologia a due fattori, scelti fra i seguenti tre: qualcosa che l utente conosce (es.: password/pin) ; qualcosa che l utente possiede (es.: smart card, token, OTP, Sim cellulare) ; qualcosa che l utente è (es.: caratteristiche biometriche). Peraltro, le modalità non hardware di generazione delle One Time Password come quella adottata dalla resistente offrono indiscutibilmente minori garanzie di sicurezza, rispetto ai sistemi informatici di autenticazione, ormai di gran lunga prevalentemente diffusi. Mancando, dunque, un sistema di autenticazione a più fattori tecnicamente adeguato, deve ritenersi che l intermediario non abbia pienamente ed efficacemente assolto all onere della diligenza professionale nell esecuzione della prestazione, desumibile dall art c.c. letto in combinazione con l art. 1176, comma 2, c.c. Può richiamarsi, ancora, l orientamento espresso da questo Collegio (Collegio ABF di Napoli, decisione n. 1477/2011), secondo cui a prescindere dagli accorgimenti tecnici di sicurezza un ulteriore elemento meritevole di considerazione attiene all adempimento da parte dell intermediario del dovere di costante monitoraggio delle transazioni, al fine di riscontrare eventuali anomalie che possano essere indice di attività illecite. Anche in relazione a siffatto adempimento la condotta dell intermediario non pare risultare essere stata del tutto adeguata e scevra di profili di contraddittorietà: non si può negare, infatti, la singolarità, nel loro complesso, in particolare quanto alla relativa provenienza da vari indirizzi IP (oltretutto diversi da quelli normalmente usati), delle disposizioni di bonifico disconosciute (il cui carattere Pag. 4/6

4 fraudolento si presenta, del resto, in sostanza pacifico, come emerge dai tentativi recuperatori operati dallo stesso intermediario). Si osserva, ancora, che la resistente ha sostenuto che il ricorrente, non avvalendosi degli strumenti di sicurezza a sua disposizione, a lui resi noti mediante inbox di carattere obbligatorio, avrebbe contribuito al perpetrarsi della frode ai suoi danni. Con riguardo ai mezzi ulteriori di sicurezza predisposti dagli intermediari, su cui questo Collegio si è soffermato in numerose decisioni, va ricordato la pronuncia del Collegio di coordinamento n. 3498/2012 che, in un caso analogo a quello odierno, ha affermato che ad escludere ulteriormente ogni negligenza comportamentale del ricorrente e, parallelamente, ad affermare una carenza organizzativa della resistente come tale rilevante ai fini di cui all art. 8 del d.lgs. n. 11 del 2010, la messa a disposizione di strumenti accessori al rafforzamento della sicurezza non possa valere a tramutare in colpa grave il fatto che il cliente non se ne sia avvalso ove la disponibilità di tali strumenti non sia resa nota con adeguata, enfatica evidenza al cliente e tale modalità di comunicazione non può certo ritenersi assolta, come consta nel caso di specie, ove la messa a disposizione venga genericamente menzionata, senza, cioè, alcuna personalizzazione della comunicazione medesima. Va aggiunto infatti che, in base al dettato dell art. 10, comma 2, d.lgs. n. 11/2010, applicabile ratione temporis alla fattispecie per cui è controversia, quando l'utilizzatore di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento eseguita, l'utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata dall'utilizzatore medesimo, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all'articolo 7. Inoltre, il primo comma dell art. 11 dispone che fatto salvo l'articolo 9, nel caso in cui un'operazione di pagamento non sia stata autorizzata, il prestatore di servizi di pagamento rimborsa immediatamente al pagatore l'importo dell'operazione medesima. Ove per l'esecuzione dell'operazione sia stato addebitato un conto di pagamento, il prestatore di servizi di pagamento riporta il conto nello stato in cui si sarebbe trovato se l'operazione di pagamento non avesse avuto luogo. Ebbene, in sede di interpretazione e di applicazione di detta disciplina, questo Arbitro Bancario Finanziario ha affermato in più occasioni come l onere della prova circa la sussistenza di dolo o colpa grave in capo al cliente incomba sull intermediario (cfr., al riguardo, Collegio ABF di Napoli, decisioni n. 1725/2012 e n. 247/2012; Collegio ABF di Milano, decisione n. 242/2012; Collegio ABF di Roma, decisione n. 1555/2012), il quale non può limitarsi come nel caso di specie ad affermare, senza darne prova specifica, che il cliente avrebbe tenuto comportamenti inadeguati a garantire la sicurezza dei dispositivi personalizzati o la sicurezza delle proprie credenziali; circostanza, questa che non può discendere unicamente dal loro utilizzo da parte di terzi (cfr., fra le altre, Collegio ABF di Milano, decisione n. 2843/2011). D altro canto, si vuole evidenziare come già espresso in precedenti decisioni dell ABF (Collegio ABF di Roma, decisioni n. 221/2011 e n. 654/2010; Collegio ABF di Milano, decisione n. 1698/2011) che il concetto di colpa generica non va confuso con quello specifico di colpa grave, consistente nella condotta consapevolmente contraria ai principi di correttezza e buona fede (Cass. n. 654/2010), le cui conseguenze giuridiche, in tema di inadempimento contrattuale, sono trattare dall ordinamento allo stesso modo di quelle proprie della condotta dolosa (cfr. Cass. n. 5910/2004). Pertanto questo Collegio è orientato ad accogliere la richiesta di rimborso delle somme fraudolentemente sottratte, con i relativi interessi legali a far data dal reclamo. Non accoglie invece la domanda di ristoro delle spese legali, perché non provate e comunque non strettamente necessarie in relazione alle peculiarità della controversia (trattandosi di materia ormai caratterizzata da orientamenti costanti di questo Collegio). Né accoglie la richiesta di Pag. 5/6

5 rivalutazione della somma da rimborsare, essendo la controversia relativa ad obbligazioni pecuniarie. P.Q.M. In parziale accoglimento del ricorso, il Collegio dichiara l intermediario tenuto al rimborso della somma di ,00, oltre interessi legali dalla data del reclamo. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. firma 1 IL PRESIDENTE Pag. 6/6