Un bonifico mai autorizzato compare tra i movimenti del conto corrente. Il correntista se ne accorge solo dopo diversi giorni, quando ormai la somma è già stata trasferita altrove. Chi risponde di quella sottrazione, l'istituto di credito o il titolare del conto?
L'home banking come attività pericolosa
Per rispondere al quesito bisogna partire dall'art. 2050 del c.c., dedicato alla responsabilità per l'esercizio di attività pericolose. La gestione telematica del denaro rientra in questa categoria, perché espone il cliente a rischi che il singolo utente non può controllare né prevedere. Ne discende un'inversione dell'onere probatorio, per cui non è il correntista a dover dimostrare la negligenza della banca, bensì l'istituto a dover provare di aver adottato ogni misura idonea a impedire l'intrusione. Si tratta di una diligenza professionale, superiore a quella richiesta al comune cittadino, coerente con il ruolo di operatore qualificato che la banca riveste nei confronti della clientela.
La Corte d'Appello di Palermo conferma: la banca risponde anche di fronte a un attacco sofisticato
Un caso deciso di recente conferma questo orientamento e offre indicazioni operative aggiornate. La Corte d'Appello di Palermo, con la sentenza n. 1929/2026, ha respinto integralmente l'appello proposto da un istituto di credito, confermando la condanna già pronunciata in primo grado per una disposizione di bonifico non autorizzata, dell'importo di 23.500 euro, effettuata attraverso i servizi di home banking a danno di una società correntista.
Nel caso di specie, la frode era stata resa possibile da una campagna malevola nota come BRATA: gli autori avevano indotto la vittima a scaricare un'applicazione fraudolenta tramite un link presentato come proveniente dalla banca, sottraendo così le credenziali di accesso e disponendo il bonifico da remoto. La consulenza tecnica disposta in giudizio ha evidenziato due elementi ritenuti decisivi, ossia il fatto che la transazione contestata provenisse da un indirizzo IP mai utilizzato in precedenza dal cliente e che, nello stesso giorno, il sistema della banca avesse già bloccato altri tentativi di accesso ritenuti sospetti. Per la Corte, questi segnali imponevano all'istituto un livello di attenzione superiore a quello dimostrato.
La banca, quindi, non può liberarsi dalla responsabilità limitandosi a provare che l'operazione è stata autenticata, registrata e contabilizzata in modo regolare, deve dimostrare, con elementi concreti e verificabili, che a determinare la sottrazione è stato un comportamento negligente del cliente. Questa negligenza qualificata non si presume per il solo fatto che le credenziali corrette siano state usate da chi ha materialmente disposto il bonifico.
La disciplina europea sulla protezione dei dati come ulteriore livello di garanzia
La tutela del risparmiatore non si esaurisce nella responsabilità civile generale, ma si intreccia con la disciplina europea sulla protezione dei dati personali. Le credenziali di accesso e le informazioni relative ai movimenti del conto costituiscono dati personali la cui gestione è regolata dal Regolamento UE 2016/679, il GDPR, che riconosce il diritto al risarcimento a chi subisce un danno da un trattamento non conforme dei propri dati (art. 82 GDPR) e impone al titolare del trattamento misure di sicurezza tecniche e organizzative adeguate al rischio (art. 32 GDPR). Se un terzo riesce a introdursi nel sistema informatico dell'istituto, questa intrusione rappresenta di per sé un indizio della carenza delle misure di custodia adottate.
Quando la colpa ricade sul correntista
La tutela accordata al cliente non è però incondizionata. L'istituto viene esonerato dall'obbligo risarcitorio quando riesce a dimostrare che la sottrazione è stata resa possibile da una condotta imprudente del correntista. Rientrano in questa ipotesi la comunicazione volontaria dei codici a terzi, la caduta in un tentativo di phishing con inserimento dei dati su siti contraffatti, l'annotazione delle credenziali in luoghi facilmente accessibili o l'utilizzo di dispositivi privi di protezione antivirus. In queste circostanze il nesso causale tra l'eventuale falla del sistema bancario e il danno subito si interrompe, perché la causa determinante dell'evento è riconducibile al comportamento dell'utente.
La prova della prudenza a favore del cliente
Secondo l’orientamento della giurisprudenza di merito che si è occupata di frodi informatiche bancarie, il cliente che vuole ottenere il rimborso deve dimostrare di aver agito con diligenza. Contano la protezione tecnica del dispositivo usato per l'home banking, come un antivirus aggiornato e l'assenza di applicazioni non verificate installate su indicazione di terzi, nonché un insieme di comportamenti che i giudici considerano indice di prudenza, come la mancata condivisione della password con terzi, la sostituzione periodica dei codici di accesso, il controllo regolare dei movimenti del conto.
A questi si aggiunge la tempestività nella denuncia dell'accaduto, elemento che nel caso deciso dalla Corte d'Appello di Palermo è stato valorizzato a favore della società danneggiata, che aveva disconosciuto l'operazione e sporto denuncia non appena rilevata l'anomalia. Quando il correntista dimostra questo tipo di condotta, l'onere di giustificare l'accaduto si sposta interamente sulla banca.
L'innovazione tecnologica come dovere contrattuale della banca
La giurisprudenza chiarisce che la sicurezza informatica è parte integrante del servizio bancario. Un istituto è tenuto a monitorare le operazioni anomale per importo o destinazione, a bloccare in via preventiva i bonifici verso soggetti sospetti, a inviare notifiche istantanee via sms o push per ogni movimento e a implementare sistemi di autenticazione avanzata, come il riconoscimento biometrico o i token temporanei. Utilizzare ancora tecnologie superate espone la banca a responsabilità, perché il progresso tecnico diventa, in questa materia, un parametro di valutazione della diligenza dovuta.
Dalla scoperta della frode alla tutela giudiziale
Chi si accorge di un'operazione non autorizzata deve muoversi rapidamente. Il primo passo consiste nel blocco immediato di carte e servizi di home banking, contattando la linea telefonica gratuita messa a disposizione dall'istituto, seguito dalla denuncia alle autorità competenti per il reato di accesso abusivo a sistema informatico. È poi opportuno inviare un reclamo scritto tramite raccomandata o PEC, chiedendo formalmente lo storno dell'operazione e la restituzione della somma, conservando nel frattempo ogni documento utile a provare la propria diligenza. Se la banca respinge il reclamo, resta la via dell'Arbitro Bancario Finanziario e, in ultima istanza, quella giudiziale.
L'home banking come attività pericolosa
Per rispondere al quesito bisogna partire dall'art. 2050 del c.c., dedicato alla responsabilità per l'esercizio di attività pericolose. La gestione telematica del denaro rientra in questa categoria, perché espone il cliente a rischi che il singolo utente non può controllare né prevedere. Ne discende un'inversione dell'onere probatorio, per cui non è il correntista a dover dimostrare la negligenza della banca, bensì l'istituto a dover provare di aver adottato ogni misura idonea a impedire l'intrusione. Si tratta di una diligenza professionale, superiore a quella richiesta al comune cittadino, coerente con il ruolo di operatore qualificato che la banca riveste nei confronti della clientela.
La Corte d'Appello di Palermo conferma: la banca risponde anche di fronte a un attacco sofisticato
Un caso deciso di recente conferma questo orientamento e offre indicazioni operative aggiornate. La Corte d'Appello di Palermo, con la sentenza n. 1929/2026, ha respinto integralmente l'appello proposto da un istituto di credito, confermando la condanna già pronunciata in primo grado per una disposizione di bonifico non autorizzata, dell'importo di 23.500 euro, effettuata attraverso i servizi di home banking a danno di una società correntista.
Nel caso di specie, la frode era stata resa possibile da una campagna malevola nota come BRATA: gli autori avevano indotto la vittima a scaricare un'applicazione fraudolenta tramite un link presentato come proveniente dalla banca, sottraendo così le credenziali di accesso e disponendo il bonifico da remoto. La consulenza tecnica disposta in giudizio ha evidenziato due elementi ritenuti decisivi, ossia il fatto che la transazione contestata provenisse da un indirizzo IP mai utilizzato in precedenza dal cliente e che, nello stesso giorno, il sistema della banca avesse già bloccato altri tentativi di accesso ritenuti sospetti. Per la Corte, questi segnali imponevano all'istituto un livello di attenzione superiore a quello dimostrato.
La banca, quindi, non può liberarsi dalla responsabilità limitandosi a provare che l'operazione è stata autenticata, registrata e contabilizzata in modo regolare, deve dimostrare, con elementi concreti e verificabili, che a determinare la sottrazione è stato un comportamento negligente del cliente. Questa negligenza qualificata non si presume per il solo fatto che le credenziali corrette siano state usate da chi ha materialmente disposto il bonifico.
La disciplina europea sulla protezione dei dati come ulteriore livello di garanzia
La tutela del risparmiatore non si esaurisce nella responsabilità civile generale, ma si intreccia con la disciplina europea sulla protezione dei dati personali. Le credenziali di accesso e le informazioni relative ai movimenti del conto costituiscono dati personali la cui gestione è regolata dal Regolamento UE 2016/679, il GDPR, che riconosce il diritto al risarcimento a chi subisce un danno da un trattamento non conforme dei propri dati (art. 82 GDPR) e impone al titolare del trattamento misure di sicurezza tecniche e organizzative adeguate al rischio (art. 32 GDPR). Se un terzo riesce a introdursi nel sistema informatico dell'istituto, questa intrusione rappresenta di per sé un indizio della carenza delle misure di custodia adottate.
Quando la colpa ricade sul correntista
La tutela accordata al cliente non è però incondizionata. L'istituto viene esonerato dall'obbligo risarcitorio quando riesce a dimostrare che la sottrazione è stata resa possibile da una condotta imprudente del correntista. Rientrano in questa ipotesi la comunicazione volontaria dei codici a terzi, la caduta in un tentativo di phishing con inserimento dei dati su siti contraffatti, l'annotazione delle credenziali in luoghi facilmente accessibili o l'utilizzo di dispositivi privi di protezione antivirus. In queste circostanze il nesso causale tra l'eventuale falla del sistema bancario e il danno subito si interrompe, perché la causa determinante dell'evento è riconducibile al comportamento dell'utente.
La prova della prudenza a favore del cliente
Secondo l’orientamento della giurisprudenza di merito che si è occupata di frodi informatiche bancarie, il cliente che vuole ottenere il rimborso deve dimostrare di aver agito con diligenza. Contano la protezione tecnica del dispositivo usato per l'home banking, come un antivirus aggiornato e l'assenza di applicazioni non verificate installate su indicazione di terzi, nonché un insieme di comportamenti che i giudici considerano indice di prudenza, come la mancata condivisione della password con terzi, la sostituzione periodica dei codici di accesso, il controllo regolare dei movimenti del conto.
A questi si aggiunge la tempestività nella denuncia dell'accaduto, elemento che nel caso deciso dalla Corte d'Appello di Palermo è stato valorizzato a favore della società danneggiata, che aveva disconosciuto l'operazione e sporto denuncia non appena rilevata l'anomalia. Quando il correntista dimostra questo tipo di condotta, l'onere di giustificare l'accaduto si sposta interamente sulla banca.
L'innovazione tecnologica come dovere contrattuale della banca
La giurisprudenza chiarisce che la sicurezza informatica è parte integrante del servizio bancario. Un istituto è tenuto a monitorare le operazioni anomale per importo o destinazione, a bloccare in via preventiva i bonifici verso soggetti sospetti, a inviare notifiche istantanee via sms o push per ogni movimento e a implementare sistemi di autenticazione avanzata, come il riconoscimento biometrico o i token temporanei. Utilizzare ancora tecnologie superate espone la banca a responsabilità, perché il progresso tecnico diventa, in questa materia, un parametro di valutazione della diligenza dovuta.
Dalla scoperta della frode alla tutela giudiziale
Chi si accorge di un'operazione non autorizzata deve muoversi rapidamente. Il primo passo consiste nel blocco immediato di carte e servizi di home banking, contattando la linea telefonica gratuita messa a disposizione dall'istituto, seguito dalla denuncia alle autorità competenti per il reato di accesso abusivo a sistema informatico. È poi opportuno inviare un reclamo scritto tramite raccomandata o PEC, chiedendo formalmente lo storno dell'operazione e la restituzione della somma, conservando nel frattempo ogni documento utile a provare la propria diligenza. Se la banca respinge il reclamo, resta la via dell'Arbitro Bancario Finanziario e, in ultima istanza, quella giudiziale.
