1. Premessa
La digitalizzazione dei servizi bancari ha reso l’home banking una prassi quotidiana, ma ha anche aperto nuove e insidiose frontiere per le frodi informatiche. Di fronte alla crescente sofisticazione delle tecniche di social engineering, il contenzioso tra clienti e istituti di credito per operazioni non autorizzate si è intensificato, rendendo sempre più attuale l’esigenza di chiarire i confini della responsabilità civile in tali ambiti.
La sentenza del Tribunale Civile di Bari n. 544 del 13 febbraio 2025 offre una buona occasione per approfondire il regime di responsabilità dei prestatori di servizi di pagamento ai sensi del D.lgs. 27 gennaio 2010, n. 11 (attuativo della direttiva PSD1 e PSD2), nonché per evidenziare i doveri informativi e comportamentali del cliente in relazione alla custodia e gestione dei dispositivi di autenticazione.
2. Il caso
Il ricorrente, titolare di un conto corrente e del servizio di home banking, rilevava nel luglio 2019 quattro bonifici eseguiti a suo nome, per un importo complessivo di quasi 39.000 euro, da lui mai disposti né autorizzati. Sosteneva di aver sempre custodito correttamente le proprie credenziali e di aver appreso dell’accaduto soltanto consultando la lista movimenti, procedendo quindi al disconoscimento delle operazioni e alla denuncia alle autorità.
La banca, costituitasi in giudizio, contestava la domanda rilevando che tutte le operazioni erano state effettuate mediante corrette procedure di autenticazione (OTP inviati via SMS al numero certificato del cliente), che non si era verificata alcuna violazione dei propri sistemi informatici e che il cliente non aveva rispettato l’obbligo contrattuale di comunicare tempestivamente lo smarrimento o il blocco del dispositivo mobile utilizzato per l’autenticazione.
3. La decisione
Il Tribunale di Bari ha rigettato la domanda risarcitoria, ravvisando un grave inadempimento da parte del cliente agli obblighi di custodia e diligenza previsti dal contratto e dalla legge. In particolare, la decisione pone l’accento su:
- La mancata comunicazione tempestiva alla banca del blocco del cellulare avvenuto il 18 luglio 2019, ossia prima dell’esecuzione dei bonifici fraudolenti (tra il 19 e il 23 luglio).
- L’omessa informazione circa il cambio di operatore e di numero di telefono, circostanza che avrebbe dovuto essere immediatamente notificata alla banca, essendo il numero di cellulare uno dei fattori di autenticazione forti (Strong Customer Authentication).
- Il ritardo nella denuncia (24 luglio 2019) e nel disconoscimento delle operazioni presso la banca (25 luglio 2019), ritenuti dal giudice “colpevolmente tardivi”.
Tali condotte, secondo il giudice barese, integrano un comportamento incauto idoneo a escludere la responsabilità della banca, alla luce dell’art. 12, comma 3, del D.lgs. n. 11/2010, che esonera il prestatore di servizi dal rimborso in caso di dolo o colpa grave dell’utente. Quest’ultima è stata nel caso di specie individuata nella straordinaria negligenza e nella mancata adozione di misure minime di diligenza, come la comunicazione immediata dell’indisponibilità di un dispositivo fondamentale per l’autenticazione.
Il Tribunale richiama correttamente la giurisprudenza di legittimità secondo cui l’attività bancaria connessa all’erogazione dei servizi di home banking, implicando l’uso di tecnologie complesse e potenzialmente pericolose, deve essere qualificata come attività pericolosa ai sensi dell’art. 2050 c.c. (v. Cass. civ., sez. III, 15.05.2023, n. 13204).
Pertanto, la banca è presuntivamente responsabile per le operazioni non autorizzate, ma può andare esente da responsabilità solo dimostrando:
- di aver adottato tutte le misure idonee a prevenire il danno e
- l’esistenza di una causa esterna imprevedibile e inevitabile, come il dolo del cliente o un comportamento di colpa grave, che nel caso di specie è stato ravvisato nella gestione negligente del dispositivo certificato e nella comunicazione tardiva degli eventi anomali
4. Le criticità
La sentenza offre lo spunto per una riflessione strutturale: la sicurezza informatica nei servizi bancari è oggi subordinata alla capacità del cliente di comprendere e gestire correttamente i dispositivi e le procedure digitali, ma questa capacità non è sempre presunta né presupponibile, soprattutto per le fasce di utenza meno alfabetizzate digitalmente.
Infatti, gli obblighi dell’utente – spesso richiamati in via teorica nei contratti e nelle procedure bancarie – si scontrano con un divario generazionale e culturale profondo, che coinvolge in particolare la clientela anziana o non abitualmente all’uso consapevole di strumenti tecnologici. Per questi soggetti, concetti come l’OTP, la Strong Customer Authentication, il SIM swap o il phishing restano inaccessibili o privi di significato operativo, rendendo di fatto inattuabili molte delle cautele richieste.
Nel caso esaminato, la mancata reazione del cliente all’interruzione del servizio di fonia mobile – credenziale necessaria all’autenticazione – è stata considerata segno di colpa grave, ma è inevitabile domandarsi se il correntista fosse effettivamente in grado di percepire il rischio derivante da tale evento e di comprendere la necessità di una comunicazione tempestiva alla banca.
Il profilo della custodia dei dispositivi si intreccia così con quello della comprensione del ruolo giuridico e tecnico che essi rivestono nel sistema bancario digitale. In assenza di una formazione reale, continuativa e personalizzata, il rischio di frode ricade inevitabilmente su clienti che non hanno strumenti per riconoscerlo e fronteggiarlo.
Ben venga pertanto la Giurisprudenza di Legittimità in tema di responsabilità della Banca che, anche al fine di garantire la fiducia degli utenti nella sicurezza del sistema, riconduce nell’area del rischio professionale del prestatore dei servizi di pagamento la possibilità di un’utilizzazione dei codici di accesso al sistema da parte dei terzi, non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo e l’erogatore di servizi è, dunque, tenuto a fornire prova della riconducibilità dell’operazione al cliente (Cassazione civile sez. III, 15/05/2023, n.13204
5. Conclusioni: verso un equilibrio consapevole e realistico tra protezione e responsabilità
La sentenza del Tribunale di Bari si inserisce nel solco di una giurisprudenza rigorosa, che, pur riconoscendo in capo alla banca una responsabilità oggettiva ai sensi dell’art. 2050 c.c. per le attività connesse alla prestazione dei servizi digitali di pagamento, non esclude che tale responsabilità possa essere superata in presenza di comportamenti dell’utente qualificabili come gravemente negligenti. Il principio di diritto che ne emerge non è quello di una responsabilità incondizionata dell’intermediario, ma di una responsabilità distribuita, in cui l’accertamento del nesso eziologico tra l’inadempimento dell’obbligazione di sicurezza e l’evento dannoso passa attraverso la valutazione concreta della condotta del cliente.
La pronuncia conferma che l’adozione di meccanismi di autenticazione forte – conformi ai requisiti imposti dalla PSD2 – costituisce per la banca un elemento necessario, ma non sufficiente, per liberarsi dall’obbligo risarcitorio. Essa deve dimostrare anche che l’utente ha violato, con un grado qualificato di negligenza, gli obblighi di custodia dei dispositivi e di comunicazione tempestiva di eventi potenzialmente lesivi. Tuttavia, come già evidenziato, questa impostazione incontra limiti evidenti nella realtà operativa. Se è vero che l’ordinamento impone all’utente un ruolo attivo nella difesa della propria identità digitale, è altrettanto vero che non tutti i clienti sono in condizione di comprendere il significato tecnico e giuridico dei presidi di sicurezza, né di reagire in modo tempestivo ed efficace ad eventi che risultano critici (magari solo a posteriori). Ciò vale in particolare per la clientela più anziana, o comunque estranea all’ambiente digitale, per la quale l’alfabetizzazione informatica rappresenta ancora una barriera sostanziale.
Solo attraverso un approccio realistico ed equilibrato sarà possibile preservare la fiducia del pubblico nel sistema dei pagamenti elettronici, senza sacrificare la tutela delle fasce più vulnerabili dell’utenza.
