Decisione N. 694 del 28 gennaio 2015

Transcript

1 COLLEGIO DI ROMA composto dai signori: (RM) SIRENA (RM) MELI (RM) SILVETTI Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (RM) CARATELLI Membro designato da Associazione rappresentativa degli intermediari (RM) MARINARO Membro designato da Associazione rappresentativa dei clienti Relatore MELI VINCENZO Nella seduta del 20/10/2014 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO Con ricorso pervenuto l 1/04/2014, i ricorrenti espongono che in data 21/11/2013, controllando la lista dei movimenti del conto corrente cointestato, si accorgevano della presenza di due operazioni mai autorizzate: si tratta di due bonifici effettuati in data 12/11/2013 e 15/11/2013, a favore di due differenti signori sconosciuti ai ricorrenti, per un importo complessivo di euro 1.963,00. Il marito dichiara di consultare il conto online solamente tramite il computer di casa, mentre la moglie cointestataria del conto pur avendo le proprie credenziali, non usufruisce mai di tale servizio. In data 22/11/2013 hanno provveduto a sporgere denuncia dell accaduto presso gli uffici del Compartimento Polizia Postale e delle Comunicazioni per la Toscana. Chiedono il rimborso della somma complessivamente loro sottratta, pari ad euro 1.963,00. Pag. 2/6

2 Con controdeduzioni dell 8/07/2014, la resistente espone che in data 20/10/2012 il ricorrente chiedeva l attivazione del conto corrente, cointestato con la moglie, con contestuale richiesta del servizio di Internet home banking. Al momento dell apertura del conto, il ricorrente era già in possesso (dal 30/07/2010) del dispositivo necessario ad autorizzare le transazioni on line, mediante apposito dispositivo, in quanto già titolare di altro conto presso lo stesso intermediario: il dispositivo in questione è un Personal Card Reader (PCR) che, in unione con la carta di debito a microchip e ad un certificato digitale (memorizzato all'interno del chip della carta), permette, al momento della disposizione di una transazione online, la generazione e lo scambio di codici univoci tra il sito web ed il correntista, al fine di verificarne l'identità. In data 12/11/2013 alle ore 21:11 e in data 15/11/2013 alle ore 12:36, venivano regolarmente disposte, mediante l account del ricorrente, due operazioni di bonifico online, rispettivamente di euro 963,00 ed euro 1.000,00, in addebito sul conto corrente in oggetto, a favore di due persone terze. La resistente ritiene di non dovere alcun rimborso, reputandosi esente da ogni responsabilità, per i seguenti motivi: Le operazioni sono state disposte da soggetto autenticatosi come legittimo titolare, mediante il corretto inserimento di tutte le successive serie di riconoscimenti informatici indispensabili per l esecuzione di operazioni on-line, nello specifico: a) userid del titolare e password (conosciuta esclusivamente dal titolare e modificabile in ogni momento dallo stesso) ai fini dell identificazione e accesso ai servizi di home banking; b) ai fini, invece, dell autorizzazione di operazioni on-line è necessaria la digitazione di codici usa e getta : il codice ID Operazione (che viene visualizzato nella pagina web di Banco Posta on-line e deve essere digitato sul Personal Card Reader ) e il codice Risposta (che viene visualizzato sul display del PCR dopo aver inserito la carta di debito nello stesso e digitato sulla sua tastiera il codice ID Operazione e il PIN della carta stessa: il codice Risposta così generato deve essere inserito negli appositi campi della pagina web dell home banking, per autorizzare l operazione di pagamento). Per poter disporre tali operazioni è, pertanto, necessario avere la disponibilità effettiva della carta di debito, dotata di microchip, associata al conto e conoscere tutti i suddetti codici che dovranno essere correttamente digitati nella giusta sequenza. L intermediario ha dato corso ai due bonifici in contestazione, risultando essi perfettamente autorizzati a seguito della corretta esecuzione di tutte le attività previste dal sistema di securizzazione delle operazioni on-line. Pag. 3/6

3 Nella pagina web utilizzata è ben evidente un avviso rivolto ai correntisti di fare particolarmente attenzione alle frodi informatiche, nonché un vademecum su come difendersi dal phishing. Nel reclamo, datato 25/11/2013, il ricorrente ha spontaneamente dichiarato di aver ricevuto, negli ultimi accessi al sito dell intermediario per controllare il saldo, la richiesta dei codici numerici tramite il lettore (PCR), con la motivazione di un controllo di sicurezza per la presenza di attività insolite sul proprio conto. Tutto ciò è chiara manifestazione che il pc del ricorrente fosse stato infettato da qualche malware tendente ad inserire degli input da riga di comando, e, pertanto, nelle giornate delle operazioni contestate, il ricorrente è stato indotto dall effettivo autore delle transazioni ad utilizzare la propria carta di debito, il proprio PCR ed il proprio pin per generare il codice risposta e a fornirlo via internet, così fornendo incautamente le proprie credenziali a terzi per i bonifici in questione. Dopo alcune digitazioni errate del PIN della Carta o del Codice Risposta, i poteri dispositivi on line sul conto dell account in questione vengono automaticamente bloccati (cosa non accaduta nel caso di specie). In tal caso, per richiedere lo sblocco della propria operatività dispositiva on-line, il cliente dovrà necessariamente recarsi presso la sua filiale. Secondo l art. 6, comma 1, del contratto quadro per lo svolgimento dei servizi di pagamento a valere sul conto corrente il cliente non appena riceve uno strumento di pagamento, è tenuto ad adottare le misure idonee a garantire la sicurezza dei dispositivi personalizzati, quali strumenti identificativi e operativi, che ne consentono l utilizzo. Da tutto ciò deriva, secondo l intermediario, la sua totale estraneità al verificarsi degli eventi disconosciuti, in ragione dell adozione di un sistema di sicurezza delle operazioni on-line conforme agli standard internazionali e idoneo ad impedire a terzi accessi fraudolenti e viceversa l assoluta mancanza di diligenza del ricorrente nell obbligo di custodia dei propri codici personali e di protezione del proprio apparato e della propria connessione web dall intrusione informatica. A sostegno delle proprie ragioni, l intermediario cita le decisioni dell ABF nn. 5482/13; 51/14, 2621/14. Pag. 4/6

4 DIRITTO Il ricorso è meritevole di accoglimento. L art. 12, co. 3, del d. lgs. n. 11 del 2010 (di attuazione della direttiva 2007/64/CE), stabilisce che, salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell art. 7, co. 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150,00 la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento. Il legislatore pone, dunque, a carico del prestatore del servizio di pagamento il rischio dell utilizzo fraudolento, ad opera di terzi, degli strumenti di pagamento, e cioè l intera perdita derivante da detto utilizzo, al netto di una franchigia. Come più volte stabilito da questo Collegio (si vedano, decc. n. 111/10; 665/10; 2365/11; 76/12; 81/12; 2652/12) e sancito dal Collegio di coordinamento (dec. n. 3298/12), si tratta di soluzione evidentemente ispirata al principio del rischio d impresa e cioè all idea secondo la quale è razionale far gravare sull intermediario i rischi statisticamente prevedibili legati ad attività oggettivamente pericolose, che interessano un ampia moltitudine di consumatorio utenti, sì da evitare che essi gravino esclusivamente e direttamente sul singolo pagatore. Versandosi in tema di responsabilità contrattuale, deve ritenersi, inoltre, che incomba ex art.1218 c.c. all intermediario, prestatore del servizio di pagamento, l onere di provare il dolo o la colpa grave del cliente in relazione all operazione di pagamento contestata. Nel caso di specie, tale onere non risulta assolto dall intermediario, il quale si limita ad enunciare delle presunzioni, circa la presenza nel PC del ricorrente di una malware, attraverso il quale gli sarebbero state carpite le credenziali di accesso al conto. Anche laddove ciò corrispondesse effettivamente a quanto accaduto, non si potrebbe imputare al ricorrente a titolo di colpa grave, tale da ribaltare su di lui le conseguenze dell abusiva utilizzazione dello strumento di pagamento. In conclusione, il Collegio ritiene che l intermediario debba rimborsare alla ricorrente la somma fraudolentemente sottrattale di euro 1963,00, dalla quale devono essere detratti a titolo di franchigia. Sulla somma da rimborsare sono dovuti gli interessi al tasso legale, dalla data del reclamo a quella del saldo. Pag. 5/6

5 P.Q.M. Il Collegio accoglie il ricorso e per l effetto dispone che l intermediario corrisponda ai ricorrenti la somma di euro 1.813,00 oltre interessi legali dalla data del reclamo al saldo. Dispone, inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di Euro 200,00 (duecento/00) quale contributo alle spese della procedura e ai ricorrenti quella di Euro 20,00 (venti/00) quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 6/6