In sintesi
Frode bancaria - Phishing - La banca deve rimborsare subito, anche se invoca la colpa grave del cliente - Corte di Giustizia UE, sentenza 15 ottobre 2026, causa C-70/25.
Con la sentenza del 15 ottobre 2026, resa nella causa C-70/25 (Tukowiecka), la Corte di Giustizia dell'Unione europea (CGUE) ha stabilito che se un’operazione di pagamento non è stata autorizzata, la banca è tenuta all’immediato rimborso, immediatamente dopo essere venuta a conoscenza dell’operazione o esserne stata informata e in ogni caso entro la fine del primo giorno lavorativo successivo. La presunta colpa grave del correntista, per esempio nella custodia delle credenziali, non basta per giustificare il rifiuto del rimborso. La banca potrà eventualmente chiedere la restituzione delle somme solo dopo aver provato la colpa grave del correntista. L'unica eccezione riguarda il caso in cui la banca abbia ragionevoli motivi per sospettare una frode e li comunichi per iscritto all'autorità competente.
Il caso di phishing oggetto di esame
La vicenda nasce da uno schema di phishing molto diffuso anche in Italia. Una correntista di una banca con sede in Polonia aveva messo in vendita un oggetto su un portale di aste online. Un sedicente acquirente le aveva inviato un link - apparentemente proveniente da detto portale - al fine di confermare la vendita.
Dopo avervi cliccato, la correntista approdava su un sito che riproduceva l’aspetto di quello della sua banca. La cliente vi aveva pertanto inserito le credenziali di home banking. Con i dati così ottenuti, il truffatore aveva trasferito sul proprio conto 3.000 zloty polacchi (circa 705 euro), confermando l'operazione con un codice ricevuto via SMS che la correntista gli aveva fornito - per effetto di tale inganno - senza rendersene conto.
Il giorno dopo la cliente si era accorta della frode e aveva avvisato subito la banca. La banca aveva rifiutato il rimborso: a suo dire, la cliente aveva violato con grave negligenza l'obbligo di custodire le credenziali. La correntista si era quindi rivolta al Tribunale polacco di Koszalin.
La questione posta alla Corte
Il giudice polacco ha chiesto se gli articoli 73 e 74 della direttiva (UE) 2015/2366 (PSD2) consentano alla banca di rifiutare il rimborso immediato quando ritiene che il cliente abbia reso possibile la frode per negligenza grave, violando gli obblighi di cui all'articolo 69.
Ai sensi dell’art. 69 della PSD2, il cliente deve usare lo strumento di pagamento secondo le condizioni contrattuali e adottare tutte le ragionevoli misure per proteggere le credenziali di sicurezza.
In caso di operazione non autorizzata, stabilisce l’art 73 PSD2, la banca ne rimborsa immediatamente l’importo e in ogni caso entro la fine della giornata operativa successiva, a meno che vi siano ragionevoli motivi per sospettare una frode e vengano comunicati per iscritto all’autorità nazionale competente.
Il successivo art. 74 direttiva 2015/2366 stabilisce che il cliente sopporta le perdite fino a 50 euro, ma le sopporta per intero se ha agito in modo fraudolento o ha violato gli obblighi previsti dall'art. 69 con dolo o colpa grave.
La Corte è stata chiamata a interpretare gli artt. 73 e 74, scegliendo tra due possibili letture. Da un lato, la colpa grave del cliente farebbe venire meno l'obbligo di rimborso: se la banca ritiene il cliente gravemente negligente, può non procedere al rimborso. Secondo diversa lettura, l'art. 74 non riguarda il rimborso immediato, ma stabilisce solo chi debba sopportare la perdita in maniera definitiva: la banca rimborsa in un primo tempo e, se riesce a provare la colpa grave, chiede al cliente la restituzione in un secondo tempo.
Cosa ha deciso la Corte di Giustizia UE
Con la pronuncia in esame, la Corte ha stabilito che la banca non può rifiutarsi di rimborsare immediatamente l’importo di un’operazione di pagamento non autorizzata sostenendo che il cliente l’abbia resa possibile per negligenza grave.
Il nòcciolo della sentenza risiede nella distinzione tra due momenti successivi alla segnalazione della frode. Il primo è il rimborso, che scatta immediatamente, senza che la banca possa valutare da sola la condotta del cliente. Il secondo è la ripartizione definitiva della perdita, che interviene in una fase successiva: se la banca dimostra la colpa grave del cliente, potrà chiedergli la restituzione delle somme con gli ordinari mezzi di tutela.
Per la Corte, tale ripartizione dell’onere della prova riflette l’impianto complessivo della disciplina, volto a rafforzare la tutela del pagatore. Questa impostazione è coerente con l’art. 72, secondo paragrafo, PSD2, secondo cui spetta alla banca fornire gli elementi di prova che dimostrano la frode o la negligenza grave da parte dell’utente.
L'unica eccezione ammessa: il sospetto di frode
L'art. 73 PSD2 prevede una sola eccezione all'obbligo di rimborso immediato. La banca può sospendere il rimborso solo se ha ragionevoli motivi per sospettare una frode e comunica per iscritto tali motivi all'autorità nazionale competente. La negligenza grave, anche se ritenuta evidente dalla banca, non rientra in quest’ultima ipotesi.
La posizione dell'Italia
Il governo italiano è intervenuto nel procedimento e si è visto respingere le proprie osservazioni. Insieme al governo ceco, sosteneva che l'interpretazione favorevole al cliente avrebbe comportato l’aggiramento delle procedure di risoluzione alternativa delle controversie (ADR), previste dall’art. 102 PSD2.
In argomento, la Corte, nel richiamare le conclusioni dell’avvocato generale, ha osservato come tali procedure riguardino qualsiasi tipo di controversia in materia di servizi di pagamento, non solo quelle sul rimborso immediato. L’ADR non può quindi essere inteso come un passaggio obbligatorio in cui verificare, prima del rimborso, se il cliente abbia rispettato gli obblighi di custodia delle credenziali.
Ne consegue che il correntista non dovrà passare da un sistema di risoluzione alternativa per ottenere ciò che il diritto dell’Unione gli riconosce immediatamente. Il meccanismo potrà essere adoperato nella fase successiva, quella della ripartizione definitiva della perdita, qualora il cliente intenda contestare la richiesta di restituzione avanzata dalla banca per colpa grave.
Possibili effetti nel sistema giuridico italiano
In Italia la PSD2 è stata recepita nel decreto legislativo 27 gennaio 2010, n. 11. Tale decreto riproduce lo schema della direttiva. Gli articoli 69, 72, 73 e 74 della PSD2 trovano corrispondenza, rispettivamente, negli articoli 7 (Obblighi a carico dell’utente dei servizi di pagamento in relazione agli strumenti di pagamento e alle credenziali di sicurezza personalizzate), 10 (Prova di autenticazione ed esecuzione delle operazioni di pagamento), 11 (Responsabilità del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate) e 12 (Responsabilità del pagatore per l’utilizzo non autorizzato di strumenti o servizi di pagamento) del d.lgs. 11/2010.
Alla luce della pronuncia in commento, le comunicazioni con cui la banca rifiuta il rimborso immediato invocando la colpa grave del cliente sono in contrasto con il diritto dell’Unione. L’interpretazione fornita dalla Corte vincola anche il giudice italiano chiamato a decidere casi analoghi.
Il testo della sentenza è al momento disponibile in "edizione provvisoria" sul sito EUR-Lex - Access to European Union law.
(Riproduzione riservata)
Lo studio segue il contenzioso bancario in materia di operazioni di pagamento non autorizzate, sia nella fase stragiudiziale sia dinanzi all’Autorità giudiziaria.
Per approfondire i temi trattati in questo contributo è possibile scrivere a [email protected] o visitare la pagine Contatti.
Il presente approfondimento ha finalità esclusivamente informative e non costituisce parere legale. Ogni fattispecie richiede una valutazione specifica.