È questo il principio affermato dalla Corte di giustizia dell’Unione europea nella sentenza relativa alla causa C-70/25, pubblicata il 15 ottobre.
La decisione introduce un chiarimento particolarmente rilevante per chi utilizza quotidianamente l’home banking e i pagamenti digitali: anche quando il cliente abbia tenuto un comportamento negligente, la banca non può semplicemente rifiutarsi di restituire il denaro sottratto attraverso un’operazione non autorizzata.
Il rimborso, in linea di principio, deve essere effettuato immediatamente; la valutazione di un’eventuale negligenza grave del cliente viene dopo.
La vicenda nasce in Polonia e riguarda una donna che aveva messo in vendita un oggetto su una piattaforma online.
A contattarla è stato un individuo che si è presentato come un potenziale acquirente. Per completare quella che sembrava una normale procedura di vendita, il truffatore le ha inviato un link apparentemente riconducibile alla piattaforma.
Il collegamento, però, conduceva a una pagina web costruita per imitare quella della sua banca.
La donna, convinta di trovarsi davanti a un sistema autentico, ha inserito le proprie credenziali per accedere all’home banking. È stato proprio questo passaggio a consentire al truffatore di entrare nel conto e trasferire circa 700 euro su un conto a lui intestato.
La cliente ha informato la banca già il giorno successivo, segnalando l’operazione come fraudolenta.
L’istituto, tuttavia, ha negato il rimborso. Secondo la banca, la cliente aveva commesso una negligenza grave, perché non aveva adeguatamente protetto le proprie credenziali di sicurezza.
La questione è così arrivata davanti ai giudici polacchi, che hanno chiesto alla Corte di giustizia dell’Ue di chiarire quale fosse l’obbligo della banca in una situazione di questo tipo.
Il rimborso deve arrivare subito?
La risposta della Corte è stata netta: quando viene effettuato un pagamento non autorizzato, il prestatore di servizi di pagamento deve, in linea generale, rimborsare immediatamente il cliente, e comunque non oltre la fine del primo giorno lavorativo successivo a quello in cui è venuto a conoscenza dell’operazione o ne ha ricevuto comunicazione.
La regola vale anche quando la banca ritiene che il cliente possa aver agito con negligenza grave.
C'è però un'eccezione precisa: la banca può sottrarsi all'obbligo di rimborso immediato se ha ragionevoli motivi per sospettare che la frode sia stata commessa direttamente dal cliente e comunica per iscritto questi motivi all'autorità nazionale competente.
Al di fuori di questa ipotesi, il sospetto di una condotta negligente non consente alla banca di bloccare automaticamente il rimborso.
In particolare, secondo la Corte, il diritto dell’Unione europea distingue tra due questioni che non devono essere necessariamente affrontate nello stesso momento: il diritto del cliente a ottenere il rimborso e l’eventuale responsabilità finale per la perdita subita.
In altre parole, la banca deve innanzitutto rimborsare la somma relativa all’operazione non autorizzata. Solo successivamente può chiedere al cliente di sopportare la perdita, se riesce a dimostrare che quest’ultima è stata provocata da un comportamento doloso o da una negligenza grave nella protezione delle credenziali di sicurezza.
E l'onere della prova spetta al prestatore dei servizi di pagamento.
Non è quindi il cliente a dover avviare una lunga procedura per dimostrare di avere diritto al rimborso.
La decisione introduce un chiarimento particolarmente rilevante per chi utilizza quotidianamente l’home banking e i pagamenti digitali: anche quando il cliente abbia tenuto un comportamento negligente, la banca non può semplicemente rifiutarsi di restituire il denaro sottratto attraverso un’operazione non autorizzata.
Il rimborso, in linea di principio, deve essere effettuato immediatamente; la valutazione di un’eventuale negligenza grave del cliente viene dopo.
La vicenda nasce in Polonia e riguarda una donna che aveva messo in vendita un oggetto su una piattaforma online.
A contattarla è stato un individuo che si è presentato come un potenziale acquirente. Per completare quella che sembrava una normale procedura di vendita, il truffatore le ha inviato un link apparentemente riconducibile alla piattaforma.
Il collegamento, però, conduceva a una pagina web costruita per imitare quella della sua banca.
La donna, convinta di trovarsi davanti a un sistema autentico, ha inserito le proprie credenziali per accedere all’home banking. È stato proprio questo passaggio a consentire al truffatore di entrare nel conto e trasferire circa 700 euro su un conto a lui intestato.
La cliente ha informato la banca già il giorno successivo, segnalando l’operazione come fraudolenta.
L’istituto, tuttavia, ha negato il rimborso. Secondo la banca, la cliente aveva commesso una negligenza grave, perché non aveva adeguatamente protetto le proprie credenziali di sicurezza.
La questione è così arrivata davanti ai giudici polacchi, che hanno chiesto alla Corte di giustizia dell’Ue di chiarire quale fosse l’obbligo della banca in una situazione di questo tipo.
Il rimborso deve arrivare subito?
La risposta della Corte è stata netta: quando viene effettuato un pagamento non autorizzato, il prestatore di servizi di pagamento deve, in linea generale, rimborsare immediatamente il cliente, e comunque non oltre la fine del primo giorno lavorativo successivo a quello in cui è venuto a conoscenza dell’operazione o ne ha ricevuto comunicazione.
La regola vale anche quando la banca ritiene che il cliente possa aver agito con negligenza grave.
C'è però un'eccezione precisa: la banca può sottrarsi all'obbligo di rimborso immediato se ha ragionevoli motivi per sospettare che la frode sia stata commessa direttamente dal cliente e comunica per iscritto questi motivi all'autorità nazionale competente.
Al di fuori di questa ipotesi, il sospetto di una condotta negligente non consente alla banca di bloccare automaticamente il rimborso.
In particolare, secondo la Corte, il diritto dell’Unione europea distingue tra due questioni che non devono essere necessariamente affrontate nello stesso momento: il diritto del cliente a ottenere il rimborso e l’eventuale responsabilità finale per la perdita subita.
In altre parole, la banca deve innanzitutto rimborsare la somma relativa all’operazione non autorizzata. Solo successivamente può chiedere al cliente di sopportare la perdita, se riesce a dimostrare che quest’ultima è stata provocata da un comportamento doloso o da una negligenza grave nella protezione delle credenziali di sicurezza.
E l'onere della prova spetta al prestatore dei servizi di pagamento.
Non è quindi il cliente a dover avviare una lunga procedura per dimostrare di avere diritto al rimborso.
