Come ottenere il rimborso dopo una truffa sul conto online?

Come difenderti dalle truffe online, quando scatta il dovere di rimborso della banca e quali sono i nuovi standard di sicurezza europea.

Negli ultimi anni, l’aumento della digitalizzazione ha portato con sé un incremento delle truffe digitali, sempre più sofisticate e difficili da individuare. Chiunque utilizzi i servizi di home banking o faccia acquisti sul web si chiede giustamente come ottenere il rimborso dopo una truffa sul conto online. Questa domanda nasce dalla necessità di capire come si ripartiscono le responsabilità tra il cliente e l’istituto di credito quando un estraneo sottrae somme non autorizzate. La normativa europea ha fatto grandi passi avanti per proteggere i risparmiatori, introducendo sistemi di sicurezza avanzati e stabilendo criteri rigorosi per il risarcimento. In questa guida analizziamo i doveri delle banche, definiti dal modello del banchiere accorto, e i limiti della colpa grave del correntista. Il sistema legale attuale tutela il contraente debole, spostando il rischio professionale sulle spalle delle banche, le quali devono garantire l’integrità dei sistemi.

Quali sono le leggi che proteggono dai pagamenti non autorizzati?

Lo sviluppo tecnologico ha spinto il legislatore a intervenire più volte per regolare i servizi di pagamento elettronici. Il primo passo è avvenuto nel 2007 con la direttiva PSD (n. 2007/64/CE), recepita in Italia con il (D.lgs n. 11/2010). Poiché le truffe sono diventate sempre più complesse, l’Unione Europea ha introdotto nel 2018 la seconda direttiva, nota come PSD2, recepita con il (D.lgs n. 218/2017). Questa normativa ha l’obiettivo di innalzare il livello di protezione degli utenti. È inoltre già prevista per il 2025 l’emanazione di una terza direttiva (PSD3) per rispondere alle nuove sfide della sicurezza informatica.

Inizialmente, i tribunali proteggevano gli utenti basandosi sul Codice della Privacy (D.lgs n. 196/2003), che puniva l’illecito trattamento dei dati personali. Successivamente, la giurisprudenza ha richiamato la responsabilità contrattuale della banca legata al contratto di mandato (art. 1856 c.c.). Tra il 2016 e il 2018, la Corte di Cassazione ha stabilito che la sicurezza del sistema rientra nel rischio professionaledell’intermediario, configurando una responsabilità molto forte in capo agli istituti di credito.

Come funziona il sistema di autenticazione forte (SCA)?

La direttiva PSD2 ha introdotto l’autenticazione forte del cliente (SCA), un meccanismo che rende più difficile l’accesso abusivo ai conti. Questo sistema si basa sull’utilizzo di almeno due fattori indipendenti tra loro, scelti tra tre categorie specifiche:

• 1. conoscenza: qualcosa che solo l’utente sa, come un PIN o una password specifica:

• 2. possesso: qualcosa che solo l’utente ha, come lo smartphone, un token o l’accesso a una e-mail:

• 3. inerenza: un tratto fisico univoco, come l’impronta digitale o il riconoscimento facciale.

Il sistema è progettato affinché la violazione di un elemento non comprometta l’intero processo. Sebbene questa innovazione abbia ridotto le frodi basate sulle semplici password, non ha eliminato del tutto il rischio di raggiri basati sull’inganno o sulla manipolazione psicologica della vittima.

Quale diligenza deve avere la banca per prevenire le frodi?

La banca è tenuta a una diligenza di natura tecnica molto elevata, definita dalla giurisprudenza come quella dell’accorto banchiere (Cass. sent. n. 23683/2024). L’istituto di credito deve adottare tutte le misure necessarie per prevenire intrusioni prevedibili, come l’uso illecito dei codici da parte di terzi. Poiché l’uso di servizi telematici come l’home banking genera profitti per la banca, essa deve farsi carico dei rischi connessi.

La responsabilità della banca è esclusa solo se l’operazione è direttamente riconducibile alla volontà del cliente o se l’istituto dimostra di aver fatto tutto il possibile per garantire la sicurezza (Cass. sent. n. 9158/2018). In pratica, non basta che la banca dimostri di avere sistemi moderni; deve provare che la frode è avvenuta per un evento eccezionale che va oltre il suo controllo professionale (Cass. sent. n. 3780/2024).

Chi deve fornire le prove in caso di operazione contestata?

Quando un utente nega di aver autorizzato un pagamento, l’onere della prova ricade sulla banca. L’istituto deve dimostrare che l’operazione è stata autenticata correttamente e regolarmente registrata (Cass. sent. n. 10638/2016). Inoltre, per evitare di rimborsare il cliente, la banca deve provare che la transazione è stata causata dal dolo o dalla colpa grave dell’utilizzatore.

Il cliente, dal canto suo, deve solo provare la fonte del proprio diritto (l’esistenza del conto) e il fatto che i soldi sono spariti. La banca deve invece dimostrare di aver adottato misure di sicurezza idonee e che l’utente è stato negligente (Corte d’Appello di Bologna, sent. n. 1352/2020). La legge obbliga la banca a rimborsare il correntista quasi immediatamente dopo il disconoscimento, a meno che non vi sia un sospetto motivato di frode da parte dell’utente stesso.

Quando si perde il diritto al rimborso per colpa grave?

Il diritto al rimborso viene meno se la banca prova la colpa grave del cliente. Questa si verifica quando l’utente agisce con un’imprudenza o una negligenza ingiustificabile. Esempi comuni includono la mancata custodia dei codici segreti o il ritardo eccessivo nel denunciare il furto o lo smarrimento della carta (Cass. sent. n. 18045/2019).

Un caso tipico di colpa grave è la risposta a messaggi di phishing. Se un utente, spinto da un’irragionevole credulità, consegna volontariamente le proprie credenziali a un truffatore inserendole in un sito falso richiesto via e-mail, il giudice può escludere la responsabilità della banca (Cass. ord. n. 7214/2023). Tuttavia, l’istituto deve comunque dimostrare concretamente la negligenza del titolare; il semplice fatto che i codici siano stati usati non prova automaticamente la colpa del cliente (Cass. ord. n. 31136/2023).