COLLEGIO DI PALERMO composto dai signori: (PA) MAUGERI (PA) SANTANGELI (PA) MIRONE Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (PA) SERIO Membro designato da Associazione rappresentativa degli intermediari (PA) CAMBOA Membro designato da Associazione rappresentativa dei clienti Relatore FABIO SANTANGELI Nella seduta del 14/07/2017 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO Il ricorrente, con ricorso del 10.02.2017 preceduto da reclamo, affermava di essere titolare di una carta prepagata Postepay n. ***371 e di un c/c Banco Posta Click n. ***218, cui è associata sia la predetta prepagata Postepay sia una diversa carta di pagamento Postamat Click n. ***187, entrambe dotate del sistema security web. La ricorrente precisa di essere solita controllare con frequenza settimanale la lista movimenti delle carte e che in data 03.01.2017 rilevava la presenza di una serie di operazioni di pagamento non riconosciute e mai autorizzate. Chiedeva, pertanto, all odierno convenuto il blocco delle carte e comunicava l accaduto. In quella sede l addetta allo sportello la informava che, oltre alle operazioni già contabilizzate, erano presenti altre operazioni. Per tale motivo la ricorrente sporgeva denuncia in data 04.01.2017 relativamente al pagamento effettuato con carta Postamat n.***187 di 52,38 e in relazione a n. 8 pagamenti on line effettuati con carta Postpay n.***371; successivamente in data 07.01.2017, a seguito della contabilizzazione delle somme rimanenti nella postpay n.***371 provvedeva a integrare la denuncia del 04.01.2017. Successivamente, in data 09.01.2017 la ricorrente sporgeva formale reclamo, ma la sua richiesta rimaneva inevasa. Pag. 2/6
Con specifico riferimento alle operazioni contestate effettuate tramite la carta prepagata n.***371 la ricorrente evidenziava che: a) la maggior parte dei pagamenti era stata effettuata in un breve arco temporale; b) le operazioni hanno esaurito le somme presenti sulla carta; c) tutte le transazioni sono state effettuate in favore di carte prepagate molto diffuse nonché di banche virtuali e che entrambi i canali garantiscono il totale anonimato del possessore; d) che la stessa non è titolare di alcuna delle carte beneficiarie; e) l intermediario non ha valutato correttamente le operazioni contestate alla luce degli indicatori di rischio di cui al d.m. 112/2007 in materia di contrasto alle frodi sulle carte di pagamento; f) ha sempre utilizzato le proprie carte su siti che utilizzano protocolli di sicurezza per la protezione dei tali e che tali pagine riportano la dicitura https ; g) il proprio pc è dotato di un sistema antivirus di ultima generazione. La ricorrente, dunque, lamenta la mancata attivazione di idonei strumenti di sicurezza, non avendo ricevuto comunicazione circa le operazioni predisposte. Deduce, poi, l inadeguatezza del sistema OTP, in quanto sarebbe sufficiente duplicare la sim del cliente per ricevere il codice monouso su un diverso dispositivo. In definitiva, la ricorrente chiede al Collegio il rimborso della complessiva somma di 1.753,69, di cui 1.701,31 relativamente alla carta ricaricabile n.***371 e 52,38 per i pagamenti relativi alla seconda carta n.***187. Costituitosi l intermediario afferma, preliminarmente, di stare provvedendo al rimborso di 72,38 di cui 52,38 in parziale accoglimento della domanda della ricorrente relativa all operazione disposta in data 28.12.2016 ed 20,00 quale rimborso del contributo della presente procedura. Con riferimento alla domanda restitutoria avanzata dalla ricorrente, relativa alle operazioni disposte con carta prepagata n.***371, l intermediario afferma che: a) le operazioni sono state disposte ed eseguite regolarmente; b) l esecuzione e l autenticazione sono avvenute in assenza di qualsiasi irregolarità o anomalia; c) le transazioni avvenute tramite digitazione del numero della carta, della data di scadenza e del CVV2 non prevedono ulteriori azioni di verifica in quanto si presume che la carta sia fisicamente in possesso dell acquirente; tra l altro dalla denuncia non si ravvisa lo smarrimento della carta; d) le transazioni effettuate tramite protocollo 3DSecure consentono una maggiore tutela, poiché richiedono l autenticazione mediante l inserimento di una password dinamica (OTP) invita tramite SMS all utenza associata alla carta; e) le citate password sono state inviate all utenza che nei sistemi Poste è associata alla ricorrente. Per tali motivi, l intermediario ha chiesto all Abf di dichiarare la cessazione della materia del contendere con riferimento all operazione di 52,38 effettuata con la carta prepagata n.*** 187 e di rigettare il ricorso nel resto. DIRITTO Il ricorso è meritevole di accoglimento nei limiti e per le ragioni di seguito esposte. 1.La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi una carta prepagata su Internet da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro. 2.Prima di passare all esame del merito della questione, è opportuno precisare che il ricorso deve essere valutato alla luce della disciplina recata dal D.Lgs. 27 gennaio 2010, n. 11, adottato in attuazione della direttiva 2007/64/CE relativa ai servizi di pagamento nel mercato interno. Con il sopravvenire di tale disciplina incidenza e contenuti dell onere probatorio sono inquadrati dall art. 10 di tale decreto il quale, al primo comma, statuisce Pag. 3/6
che Qualora l'utilizzatore di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento già eseguita o sostenga che questa non sia stata correttamente eseguita, è onere del prestatore di servizi di pagamento provare che l'operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti. 3.Il successivo art. 12, comma 3, aggiunge poi che Salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell art. 7, comma 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento. 4.Nel caso di uso fraudolento di uno strumento di pagamento, tale disciplina stabilisce, quindi, una responsabilità oggettiva dell intermediario per le conseguenze dannose verificatesi prima della comunicazione di blocco dello stesso, contemperata dalla previsione di una franchigia a carico dell utilizzatore fissata nella misura massima di 150. Detta responsabilità viene meno nell ipotesi di dolo o colpa grave del cliente al quale il danno economico può essere attribuito per intero. Compete pertanto all intermediario l onere di dimostrare la colpa grave o il comportamento fraudolento del titolare dello strumento di pagamento, in base ai principi che regolano la responsabilità contrattuale (art. 1218 cod. civ.)(abf Roma dec. N. 743/13; Abf dec. N. 1138/12). 5.Come opportunamente messo in luce dalla dottrina, tali previsioni trovano la loro giustificazione nella ratio stessa sottesa alla normativa comunitaria che, se da un lato intende incentivare l utilizzo di questi strumenti di pagamento, dall altro impone che ciò avvenga nel rispetto di presidi di sicurezza che siano in grado di preservare l utilizzatore da impieghi fraudolenti, scoraggiando condotte negligenti. Si tratta, dunque, di valutare se l intermediario abbia adottato tutti i migliori accorgimenti tecnici per scongiurare ogni rischio e se, esclusa la condotta fraudolenta del cliente, l eventuale negligenza dello stesso possa ricadere o meno nella nozione di colpa grave di cui all art. 12 D.Lgs. 11/2010. Con riguardo al concetto di colpa grave, il Collegio ha già avuto modo di statuire che esso implica una valutazione della condotta in termini di totale trascuratezza verso i minimi accorgimenti che vengono utilizzati dai consociati al fine di evitare un accadimento dannoso. La colpa grave, cioè, connota un comportamento caratterizzato da un grado elevatissimo e del tutto abnorme, rispetto ai parametri dell essere medio, di negligenza ed imprudenza (ABF Roma dec. N. 5938 del 24/06/16; ABF Roma dec. N. 9126 del 13.10.16). 6.Con riferimento al caso in esame, in ordine alle operazioni effettuate tramite l utilizzo della carta prepagata n.***371, le prime tre operazioni (operazioni dall importo di 9,71) sono state poste in essere tramite metodi di autenticazione ad un solo fattore (procedure statiche), ossia inserendo il numero della carta, la data di scadenza e il CVV2. Al riguardo l intermediario, non ha fornito alcuna prova della condotta dolosa o colposa della ricorrente in quanto, si è limitato ad affermare che le operazioni disconosciute sono state poste in essere mediante il corretto inserimento dei dati relativi alla carta che, in quanto posti sul fronte/retro della carta, non richiederebbero altre azioni di verifica. Ma per quanto l inserimento di tali dati fa presumere che la carta sia rimasta nella disponibilità del ricorrente, ciò non esclude che i dati della stessa siano stati carpiti da un terzo frodatore. Dunque, non appare ragionevolmente ravvisabile alcun elemento tale da poter qualificare Pag. 4/6
come gravemente colposa (art. 12, comma 2, D.lgs. 11/2010) la condotta dell utilizzatore del servizio. 7. Con riferimento alle restanti operazioni, l autenticazione è, invece, avvenuta tramite una password dinamica di secondo livello; nel caso di specie l intermediario afferma di avere inviato un codice monouso via SMS all utenza telefonica della ricorrente. Quest ultima, al contrario, nega di aver ricevuto codici di autenticazione sulla propria utenza telefonica e rileva come, in ogni caso, sarebbe sufficiente la duplicazione della scheda SIM per ottenere l accesso ai codici. Anche in tal caso, non appare ravvisabile alcun elemento tale da poter qualificare come gravemente colposa (art. 12, comma 2, D.lgs. 11/2010) la condotta dell utilizzatore del servizio in quanto, l intermediario si è limitato ad affermare che il sistema 3DS prevede una autenticazione dinamica, ma non vi sono evidenze circa detta circostanza.. E a tal proposito, i Collegi Abf hanno più volte avuto modo di chiarire che l inserimento di una password statica sia una modalità identificativa inidonea a garantire la sicurezza di uno strumento di pagamento ( Coll. Abf di Napoli dec. N. 1937/14). Inoltre non vi è prova dell invio dei diversi codici monouso all utenza della ricorrente, né che l utenza corrisponda a quella indicata in sede contrattuale. 9. Pertanto, l argomentazione secondo la quale l effettuazione delle operazioni con l utilizzo dei codici identificativi corretti concreterebbe per ciò solo un omessa diligente custodia dello strumento di pagamento da parte del cliente non può, in realtà, ritenersi condivisibile (Coll. Roma, dec. N. 5428/16), in quanto, è chiaramente smentita dall art. 10, co. 2, D.lgs. n. 11/2010, il quale prevede che Quando l'utilizzatore di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento eseguita, l'utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per se' necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata dall'utilizzatore medesimo, ne' che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all'articolo 7. Il compimento di una o più operazioni disconosciute non induce, quindi, ad una presunzione di dolo o colpa grave, dovendosi anzi sottolineare che l imputazione di colpa grave esclude un concetto di normalità della colpa, posto che, le conseguenze giuridiche della colpa grave sono trattate allo stesso modo di quelle proprie della condotta dolosa, tanto che si parla di equiparazione della colpa grave al c.d. dolo eventuale, la cui sussistenza deve essere provata in concreto (Cass. civ. n. 11362/06; Abf Milano Dec. N. 2817/15; Abf Milano Dec. N. 6340 del 06.12.13). 10. Inoltre si rileva come il ricorrente, avvedutosi dell operazione fraudolenta, si sia attivato tempestivamente provvedendo al blocco della carta, presentando denuncia agli uffici dell A.g. e formalizzando il reclamo e il disconoscimento. Nel caso di specie, dunque, non risulta in alcun modo dimostrata, in capo al ricorrente, la ricorrenza di una condotta tale da integrare gli estremi della colpa grave prevista dal D.lgs. n. 11/2010. L assenza di colpa grave in capo al ricorrente, esclude che nella specie lo stesso debba sopportare conseguenza alcuna, inclusa la non applicazione della franchigia e ciò in quanto ai fini dell applicazione della c.d. franchigia, di cui all art. 12, co. 3, del D.lgs 11/2010, la perdita subita dall utilizzatore deve discendere dell indebito utilizzo dello strumento di pagamento conseguente al suo furto o smarrimento, condizioni queste non verificatesi nel caso in esame. Ciò posto, si conclude disponendo che la resistente sia tenuta a risarcire il danno patito dal ricorrente nella misura richiesta e pari all ammontare delle operazioni disconosciute per un importo complessivo di 1.701,31 In ordine al rimborso delle operazioni effettuate tramite carta prepagata n.*** 187 pari a 52,38 la dichiarazione dell intermediario il quale afferma di stare provvedendo al rimborso Pag. 5/6
di 72,38, vale come ricognizione di debito. Pertanto, l intermediario dovrà rimborsare la somma di 52,38 al netto di quanto eventualmente corrisposto. L intermediario è, dunque, tenuto alla restituzione del complessivo importo di 1.753,69. P.Q.M. In accoglimento del ricorso, il Collegio dichiara l Intermediario tenuto alla restituzione di 1.753,69. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 6/6