IL COLLEGIO DI MILANO. Prof. Avv. Emanuele Cesare Lucchini Guastalla Membro designato dalla Banca d Italia (Estensore)

Transcript

1 IL COLLEGIO DI MILANO composto dai signori: Prof. Avv. Antonio Gambaro Presidente Prof. Avv. Emanuele Cesare Lucchini Guastalla Membro designato dalla Banca d Italia (Estensore) Prof. Avv. Mauro Orlandi Membro designato dalla Banca d Italia Prof. Vittorio Santoro Membro designato dal Conciliatore Bancario Finanziario Prof. Avv. Andrea Tina Membro designato dal C.N.C.U. nella seduta del 7 febbraio 2013 dopo aver esaminato: il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica FATTO La ricorrente ha chiesto la restituzione dell importo delle 3 operazioni disconosciute (di 481, 481 e di 472) e delle commissioni pagate ( 3), per un totale di 1.437,00 Più precisamente, il 25 ottobre 2011, in sede di denuncia presentata ai Carabinieri, la ricorrente ha dichiarato: - di essersi collegata - il precedente sabato [ ] - al sito dell intermediario per verificare il proprio saldo contabile e durante le attività di verifica le veniva chiesto - al fine di migliorare la sicurezza dei dati personali di inserire tramite la scheda [ ] (lettore che riproduce di volta in volta una nuova identificazione di accesso al sito) l username e la password; - di aver eseguito - dopo aver verificato che il saldo era pari a 1.893,65 - una ricarica telefonica di 15,00, di cui constatava il buon fine dell operazione; in relazione a ciò non aveva alcun dubbio sulla regolarità del sito in questione; - di aver effettuato il primo accesso anomalo il , alle ore 19:24, e la seconda operazione alle ore 19:31 della medesima data e l ultima connessione alle ore 11:15 del ; - di aver scoperto solo successivamente che, in occasione dei suddetti collegamenti, venivano prelevati dal conto le seguenti cifre 481,00, 481,00 e 472,00 e, appena avuta la consapevolezza della truffa, di aver bloccato la carta nr. [ ] agganciato al conto nr. [ ]; - nonostante l avvenuto blocco, il giorno , alle ore 14:33, collegandosi sul sito Arbitro Bancario Finanziario Pag. 2/6

2 dell intermediario stampava l estratto conto che riportava sempre il saldo di 1.893,65. Con il reclamo del 9 maggio 2012, la ricorrente, nel far rimando alla denuncia presentata ai Carabinieri ed escludendo di essere incorsa in attività di phishing, ha precisato di aver: - conservato i codici di accesso in modo riservato ed inaccessibile a terzi; - utilizzato la stessa postazione informatica, pertanto potrebbe essere verificabile che le transazioni non proverrebbero dal proprio computer; - sempre digitato manualmente l indirizzo internet del sito dell intermediario, verificando che fosse presente nel browser, in basso a destra, il lucchetto dal quale è possibile verificare i certificati di autenticità del sito stesso; - allegato la videata del collegamento eseguito il , dopo il blocco della carta, dal quale sarebbe possibile rilevare la presenza del lucchetto per l autenticità del sito e l indirizzo internet digitato - disposto una ricarica telefonica andata a buon fine e, pertanto, necessariamente l operazione è stata eseguita sul sito internet dell intermediario; da ciò ha escluso ogni responsabilità a proprio carico. Infine, in sede di ricorso, la ricorrente ha aggiunto che il fatto accaduto non può che essere attribuito al cattivo funzionamento del circuito telematico dell intermediario, che non ha garantito la dovuta inviolabilità e sicurezza dei depositi nel conto corrente. Con ricorso sottoscritto il 12/06/2012 la ricorrente ha chiesto la restituzione dell importo delle 3 operazioni disconosciute (n. 2 da 481 e 1 da 472,00) e delle commissioni pagate ( 3), per un totale di 1.437,00 Con le proprie controdeduzioni, presentate, tramite il Conciliatore Bancario, il 27/08/2012, l intermediario resistente ha così ricostruito i fatti all origine della presente controversia: - in data 10/05/2005 la ricorrente otteneva l attivazione del conto corrente presso l Intermediario e il successivo 11/05/2005 l abilitazione ad operare on-line; - il 6/08/2010 è stato consegnato alla ricorrente il dispositivo necessario ad autorizzare le transazioni online mediante carta (cd. Lettore ); - tale dispositivo è un Personal Card Reader (PCR) che, insieme alla carta dotata di microchip e a un certificato digitale (memorizzato all interno del chip della carta) permette, al momento della disposizione di una transazione online, la generazione e lo scambio di codici univoci tra il sito web e il correntista al fine di verificare l identità di quest ultimo; - il 23/12/2011 e il 10/01/2012 venivano disposte in addebito sul conto del ricorrente 2 operazioni di ricarica online dell importo di 490 e di 488; - le operazioni venivano disposte da soggetto autenticatosi come legittimo titolare mediante il corretto inserimento di tutte le successive serie di riconoscimenti informatici indispensabili per l esecuzione delle operazione: userid del titolare password conosciuta esclusivamente dal titolare e modificabile in ogni momento dallo stesso digitazione sul lettore del primo codice univoco usa-e-getta ( ID operazione ) proposto dal sistema inserimento del PIN, noto solo al titolare, nel lettore digitazione nell apposito campo della schermata del sito dell Intermediario del secondo codice univoco usa-e-getta ( codice risposta ) fornito dal lettore. - È possibile che l autore delle transazioni ha indotto la ricorrente ad utilizzare la propria carta [ ], il proprio prc e il proprio pin per generare il codice risposta ed a fornirlo via internet ; - in data alle ore 19:24 e 19:32, tramite l'indirizzo IP , venivano Arbitro Bancario Finanziario Pag. 3/6

3 regolarmente disposte in addebito sul conto corrente della ricorrente due operazioni di ricarica entrambe di 481,00 a favore della carta prepagata intestata a [ ] (all.1 ); - in data alle ore 11:16, tramite l indirizzo IP , veniva regolarmente disposta in addebito sul conto corrente della ricorrente un operazione di ricarica di 472,00 a favore della carta prepagata intestata a [ ] (all. 1 ); - in data 25/10/2011 la ricorrente sporgeva denuncia all A.G. Infine, l intermediario, nel proporre un articolata e complessa difesa, ha richiamato numerose seguenti Decisioni ABF in senso favorevole. La resistente ha chiesto che la domanda della ricorrente venga respinta, in quanto infondata. DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro lato. Tuttavia, prima di passare all esame del merito della questione, è bene ricordare in fatto alcuni aspetti essenziali ai fini della decisione. La contestazione riguarda la richiesta di rimborso dell importo di 1.437,00 (comprensivo di 3 di commissioni) fraudolentemente sottratto dal conto corrente on-line della ricorrente attraverso 3 operazioni di ricarica on-line di carte prepagate. Le operazioni disconosciute, avvenute rispettivamente il e il sono successive all entrata in vigore (il 1 marzo 2010) del decreto legislativo n. 11/2010, di recepimento della PSD (Direttiva 2007/64/CE) e del relativo Provvedimento attuativo della Banca d Italia del La ricorrente ha presentato denuncia alla P. G. in data 25/10/2011. Il sistema di sicurezza adottato dall intermediario, così come descritto nelle controdeduzioni, sembrerebbe a due fattori. L intermediario sostiene di avere correttamente in base alle condizioni contrattuali dato esecuzione agli ordini impartiti mediante il corretto inserimento di tutte le successive serie di riconoscimenti informatici, e che il ricorrente ha verosimilmente consegnato a terzi i codici dispositivi e omesso la custodia dei suoi dati finanziari sensibili. L intermediario resistente ha allegato un estratto delle norme contrattuali relative servizio home banking oggetto del ricorso. Tale allegato non riporta alcuna data, non risulta essere stato sottoscritto dal cliente e non appare congruente con quanto descritto nelle controdeduzioni (nell allegato si parla di codice dispositivo segreto, composto di dieci caratteri alfanumerici). Non vi sono informazioni sull eventuale disponibilità del servizio di SMS-Alert. La ricorrente afferma che in data , dopo aver avuto accesso al sito dell intermediario per verificare le proprie disponibilità, durante le procedure successive le veniva richiesto al fine di migliorare la sicurezza dei dati personali di inserire i propri dati personali tramite la scheda banco[ ]; quindi di aver disposto una ricarica telefonica di 15,00, questa avvenuta alle ore 19:26:29, circa due minuti dopo la prima operazione disconosciuta. Inoltre, ha dichiarato di aver effettuato i collegamenti di cui alle operazioni contestate, ma di non essersi resa conto di aver eseguito operazioni dispositive, posto che anche dopo il blocco della carta avvenuto il l estratto conto visualizzava un saldo di 1.893,65. In relazione a ciò, ha incluso all interno del reclamo la videata della pagina web visitata, affermando che la barra degli indirizzi del browser riportava il seguente riferimento e il Arbitro Bancario Finanziario Pag. 4/6

4 lucchetto in basso a destra conteneva i certificati digitali del sito in questione; tali riferimenti però non sono ben visibili sul predetto documento per una scarsa qualità dell immagine. Nelle proprie difese, l intermediario ha riconosciuto che l autore delle transazioni ha indotto la ricorrente ad utilizzare la propria carta [ ]mat, il proprio prc e il proprio pin per generare il codice risposta ed a fornirlo via internet. Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi come già si è avuto occasione di rilevare in altre occasioni che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat, disposizioni di operazioni per mezzo di servizi on-line o pagamenti via Internet. Il punto è essenziale per una corretta interpretazione del rapporto contrattuale, posto che, in linea generale, appare corretto affermare che al cliente sono opponibili le operazioni effettuate con la digitazione dei codici in suo possesso (indipendentemente da chi effettivamente le abbia disposte), proprio perché nell utilizzo del servizio di home banking il cliente viene identificato esclusivamente mediante la verifica dei codici di sicurezza che gli sono stati assegnati. Tuttavia, all epoca dei fatti all origine del presente procedimento era già in vigore la normativa (di recepimento della c.d. Direttiva PSD) di cui al D. Lgs. 27 gennaio 2010, n. 11, secondo la quale salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell articolo 7, comma 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento (art. 12, comma 3 ); nel contempo, qualora abbia agito in modo fraudolento o non abbia adempiuto ad uno o più obblighi di cui all art. 7 con dolo o colpa grave, l utilizzatore sopporta tutte le perdite derivanti da operazioni di pagamento non autorizzate e non si applica il limite di 150 euro di cui al comma precedente (art. 12, comma 4 ). Ciò chiarito, è ora necessario verificare quale sia la corretta soluzione della controversia alla luce delle norme sopra riportate, considerato che tali regole sono vigenti dal 1 marzo 2010 e che le norme del citato decreto sostituiscono di diritto le condizioni contrattuali concernenti le fattispecie ivi disciplinate. Ora, come è noto, la diligenza professionalmente qualificata cui fa riferimento il secondo comma dell art cod. civ., deve essere parametrata alle specificità tecnico-scientifiche della professione esercitata, trattandosi di nozione superiore e più specifica di quella relativa al buon padre di famiglia, richiamata dal primo comma dello stesso articolo. L adempimento dell obbligazione, quindi, deve avvenire con la diligenza del regolato ed accorto professionista (banchiere, nel caso che ne occupa), pena il risarcimento dei danni secondo i normali canoni della responsabilità contrattuale. Per gli aspetti che qui interessano, tale parametro rileva in relazione alla specificità del servizio bancario oggetto di contestazione (home banking) che implica l utilizzazione del canale telematico e l uso di codici dispositivi. In particolare, la valutazione coinvolge l adeguatezza - considerati gli standard esistenti - dei presidi tecnici adottati dall intermediario per rendere sicure le transazioni on-line da attacchi di pirateria informatica. Sui presidi di sicurezza più idonei a fronteggiare il fenomeno della pirateria informatica non c è attualmente una specifica normativa vincolante, anche se esistono diversi documenti, sia a livello nazionale che internazionale, trattano della sicurezza dell e-banking e, in particolare, della diversa efficacia dei vari meccanismi di autenticazione. L utente viene, infatti, autenticato attraverso la presentazione di credenziali. Generalmente si intende per credenziale uno o più dei seguenti elementi: qualcosa che l utente sa (es. la password); Arbitro Bancario Finanziario Pag. 5/6

5 qualcosa che l utente ha (es. il token, che può contenere un certificato digitale); qualcosa che l utente è (in questo caso si parla di caratteristiche biometriche, es. le impronte digitali). Quando l autenticazione dell utente utilizza congiuntamente due di questi sistemi, si parla di autenticazione a due fattori. Alcune modalità tecniche consentono già oggi, in associazione all utilizzo di user-id e password, di effettuare una autenticazione a due fattori: si tratta soprattutto di Segreti condivisi e Token. Nel caso in esame deve ritenersi che l intermediario resistente abbia adempiuto con la dovuta diligenza ai propri obblighi. Questo ha, infatti, messo a disposizione del cliente un sistema per il compimento di operazioni on-line, che è basato sull utilizzo contemporaneo di più fattori, ossia quel tipo di sistema che sia questo Collegio sia il Collegio di coordinamento non ha mancato di considerare come (attualmente) il più sicuro e tale da assicurare la migliore tutela degli utilizzatori in base all attuale stato della tecnica, anche se giova ricordarlo non esistono strumenti totalmente sicuri [cfr., sul punto, la Premessa all allegato tecnico ( Tipologie di strumenti di più elevata qualità sotto il profilo della sicurezza ) al Provvedimento Banca d Italia dell Diritti e Obblighi delle parti (di attuazione del titolo II del D.lgs. n. 11/2010 relativo ai servizi di pagamento), ove si legge che gli strumenti qualificati come a maggior sicurezza non vanno intesi come mezzi intrinsecamente sicuri, cioè privi di rischio, ma come strumenti che presentano un livello di rischio connesso con frodi o disconoscimenti inferiore rispetto agli altri strumenti di pagamento alla luce dell evoluzione tecnologica ]. Ebbene, è chiaro che l adozione, da parte dell intermediario, dei più efficaci strumenti di protezione presenti sul mercato, se da un lato non può considerarsi tout court condotta sufficiente ad escludere in ogni caso la sua responsabilità, dall altro lato non può non influire in modo determinante sulla posizione processuale del ricorrente. Infatti, qualora come nel caso che ne occupa l intermediario abbia fornito al cliente dispositivi di autenticazione a doppio fattore, in modo tale da elevare al massimo livello attualmente possibile il grado di protezione del cliente e, nel contempo, rendere sicuramente molto più complicato un eventuale uso fraudolento dello strumento di pagamento da parte di un terzo, sul ricorrente grava l onere di fornire allegazioni che rendano altamente verosimile il carattere fraudolento dell operazione disconosciuta pur in presenza di un sistema di protezione a due fattori. Ora, nel caso di specie ciò non è affatto avvenuto, dovendosi, al contrario, trarre argomenti di prova di senso contrario, posto che l operazione disconosciuta ed altra operazione regolarmente compiuta dalla ricorrente sono state poste in essere a breve distanza di tempo e la ricorrente medesima ha escluso di essere mai stata vittima di phishing da parte di terzi malintenzionati. Il Collegio non accoglie il ricorso. P.Q.M. IL PRESIDENTE firma 1 Arbitro Bancario Finanziario Pag. 6/6