La vicenda decisa dalla Corte di giustizia UE, causa C-70/25,trae origine da una frode informatica subita da una cliente di una banca polacca nell’ambito di una compravendita online. Un soggetto, fingendosi interessato all’acquisto di un oggetto che la donna aveva messo in vendita su una piattaforma online, le aveva inviato un link fraudolento, apparentemente riconducibile alla piattaforma e finalizzato a confermare la vendita. Il collegamento conduceva, tuttavia, a un sito Internet che riproduceva l’aspetto di quello della banca della cliente, inducendola a inserire le proprie credenziali di accesso al servizio di e-banking. Grazie ai dati così acquisiti, il truffatore era riuscito a trasferire dal conto della vittima a un conto a lui intestato una somma di circa 700 euro.
Il giorno successivo, la cliente aveva segnalato l’operazione fraudolenta alla banca, chiedendo il rimborso dell’importo sottratto. L’istituto di credito aveva tuttavia respinto la richiesta, sostenendo che la condotta della correntista integrasse un’ipotesi di negligenza grave, per non aver adottato le necessarie cautele nella protezione delle proprie credenziali di sicurezza personalizzate. A seguito del rifiuto, la cliente aveva adito un tribunale polacco, che ha sottoposto alla Corte di Giustizia dell’Unione Europea una questione interpretativa relativa alla direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015, inerente ai servizi di pagamento nel mercato interno.
In particolare, il giudice del rinvio chiedeva se il prestatore di servizi di pagamento fosse tenuto a rimborsare immediatamente l’importo di un’operazione non autorizzata anche qualora ritenesse che il cliente, con una condotta gravemente negligente, ne avesse consentito l’esecuzione. La questione investe, dunque, il rapporto tra l’obbligo di rimborso immediato posto a carico dell’intermediario e la responsabilità del cliente per le perdite derivanti da un’operazione non autorizzata, quando quest’ultima sia riconducibile a una condotta dolosa o gravemente negligente dell’utilizzatore.
La Corte risponde affermativamente al quesito, chiarendo che la negligenza grave del cliente non costituisce, di per sé, un motivo legittimo per rifiutare il rimborso immediato dell’operazione non autorizzata. Secondo i giudici europei, il prestatore di servizi di pagamento è tenuto, in linea di principio, a rimborsare l’importo dell’operazione immediatamente e, comunque, entro la fine del primo giorno lavorativo successivo a quello in cui ne abbia avuto conoscenza o ne sia stato informato, a condizione che il cliente abbia effettuato la relativa segnalazione senza indugio. L’obbligo di rimborso immediato viene meno soltanto nell’ipotesi prevista dall’art. 73, paragrafo 1, della direttiva 2015/2366, ossia quando il prestatore abbia ragionevoli motivi per sospettare una frode commessa dal cliente e comunichi per iscritto tali motivi all’autorità nazionale competente. Non è quindi sufficiente che l’intermediario ritenga che l’operazione sia stata resa possibile dalla negligenza grave del cliente, ad esempio per non aver adottato le misure necessarie a proteggere le proprie credenziali di sicurezza personalizzate: una simile circostanza non consente alla banca di sottrarsi all’obbligo di rimborso immediato.
La pronuncia chiarisce che il diritto dell’Unione impone di distinguere il rimborso dell’importo dell’operazione non autorizzata dalla successiva individuazione del soggetto sul quale debbano gravare, in via definitiva, le perdite derivanti dall’operazione. La disciplina europea prevede, dunque, due momenti distinti. In un primo momento, il prestatore di servizi di pagamento è tenuto a rimborsare immediatamente l’importo dell’operazione non autorizzata, senza poter opporre al cliente la propria valutazione circa la sussistenza di una sua negligenza grave. In un secondo momento, il prestatore può richiedere al cliente il rimborso delle perdite subite, qualora dimostri che queste siano riconducibili alla violazione dolosa o gravemente negligente degli obblighi gravanti sull’utilizzatore, tra cui quello di adottare tutte le misure ragionevoli per proteggere le credenziali di sicurezza personalizzate. L’onere della prova della negligenza grave grava sull’intermediario, al quale spetta dimostrare la sussistenza dei presupposti per imputare al cliente le perdite derivanti dall’operazione non autorizzata.
La decisione si inserisce nell’obiettivo della direttiva 2015/2366 di garantire un elevato livello di protezione dei consumatori. Se fosse consentito al prestatore di rifiutare il rimborso immediato sulla base della propria valutazione circa la negligenza grave del cliente, l’obbligo previsto dalla disciplina europea perderebbe gran parte della sua efficacia. Il cliente sarebbe inoltre costretto ad avviare un procedimento per ottenere la restituzione delle somme, con i relativi costi e inconvenienti. La negligenza grave, pertanto, non giustifica il rifiuto del rimborso immediato, ma può rilevare nella successiva valutazione della responsabilità per le perdite subite.
