In caso di phishing, la negligenza grave del cliente non consente alla banca di negare il rimborso immediato di un’operazione di pagamento non autorizzata. La responsabilità del cliente può essere accertata solo successivamente.
La banca può rifiutarsi di rimborsare immediatamente al cliente l’importo di un’operazione di pagamento non autorizzata perché ritiene che il cliente stesso abbia agito con negligenza grave?
La Corte di giustizia dell’Unione europea, con la sentenza 15 ottobre 2026, causa C-70/25, risponde di no.
La regola può essere sintetizzata così:
prima si rimborsa, poi si stabilisce chi deve sopportare definitivamente la perdita.
Vediamo i passaggi.
Il caso: phishing e credenziali consegnate al truffatore
Una cliente di una banca polacca mette in vendita un oggetto su una piattaforma online.
Un falso acquirente le invia un link per confermare la vendita. Il collegamento conduce a un sito che riproduce quello della banca, nel quale la cliente inserisce le proprie credenziali di accesso all’home banking.
Il truffatore utilizza i dati per trasferire dal conto circa 700 euro.
Il giorno successivo la cliente segnala l’operazione alla banca e alla polizia. La banca rifiuta però il rimborso, sostenendo che la cliente abbia reso possibile la frode con negligenza grave, non avendo protetto adeguatamente le proprie credenziali.
Da qui il problema:
la negligenza grave del cliente permette alla banca di rifiutare il rimborso immediato?
1. L’operazione è stata autorizzata?
Il primo passaggio è stabilire se l’operazione sia autorizzata o non autorizzata.
Solo nel secondo caso entra in gioco il regime previsto dalla direttiva (UE) 2015/2366, la cosiddetta PSD2, per le operazioni di pagamento non autorizzate.
Se il cliente nega di aver autorizzato il pagamento, il semplice utilizzo dello strumento di pagamento o delle credenziali registrate dalla banca non basta, da solo, a dimostrare né l’autorizzazione né il dolo o la negligenza grave del cliente.
2. Il cliente ha segnalato tempestivamente l’operazione?
Il cliente deve informare il prestatore di servizi dell’operazione non autorizzata senza indugio dopo esserne venuto a conoscenza e, comunque, entro il termine massimo di tredici mesi dall’addebito previsto dall’art. 71 della direttiva.
Nel caso esaminato dalla Corte la segnalazione avviene il giorno successivo.
A questo punto entra in gioco l’obbligo di rimborso.
3. La banca deve rimborsare subito?
Sì.
L’art. 73, par. 1, stabilisce che il prestatore deve rimborsare l’importo dell’operazione non autorizzata immediatamente e, comunque, entro la fine della giornata operativa successiva a quella in cui ne viene a conoscenza o riceve la relativa comunicazione.
Se necessario, il conto deve essere riportato nella situazione in cui si sarebbe trovato se l’operazione non fosse avvenuta.
C’è però un’eccezione.
Il prestatore può non procedere immediatamente al rimborso quando ha ragionevoli motivi per sospettare una frode commessa dal cliente e comunica tali motivi per iscritto all’autorità nazionale competente.
Per la Corte questa è l’unica eccezione prevista dall’art. 73 all’obbligo di rimborso immediato.
4. E se il cliente è stato gravemente negligente?
Qui arriviamo al punto centrale.
La banca sostiene che la cliente abbia reso possibile il phishing violando con negligenza grave l’obbligo di proteggere le proprie credenziali.
Questo consente di negare il rimborso immediato?
No.
La negligenza grave del cliente non costituisce un’eccezione all’art. 73.
Anche se ritiene che il cliente sia stato gravemente negligente, il prestatore deve quindi procedere, in un primo momento, al rimborso.
Attenzione però: la Corte non stabilisce se, nel caso concreto, il comportamento della cliente costituisca effettivamente negligenza grave.
Decide una questione diversa: anche qualora la negligenza grave sussista, non può essere utilizzata per bloccare il rimborso immediato.
5. Chi sopporta definitivamente la perdita?
Qui entra in gioco l’art. 74 della direttiva.
La Corte distingue nettamente due momenti:
art. 73 → rimborso immediato
art. 74 → responsabilità definitiva
Il fatto che la banca debba restituire subito la somma non significa quindi che debba necessariamente sopportare la perdita in via definitiva.
Dopo il rimborso, il prestatore può far valere la responsabilità del cliente se dimostra che questi ha agito dolosamente oppure ha violato con negligenza grave gli obblighi previsti dall’art. 69, tra cui quello di adottare misure ragionevoli per proteggere le credenziali di sicurezza.
L’onere della prova grava sul prestatore di servizi.
È quindi la banca che deve dimostrare il dolo o la negligenza grave del cliente, non il cliente a dover provare di essere stato diligente.
E in Italia?
La disciplina europea è recepita nel d.lgs. 27 gennaio 2010, n. 11.
L’art. 11 disciplina il rimborso delle operazioni non autorizzate e prevede, come regola, il rimborso immediato e comunque entro la giornata operativa successiva. In presenza di un motivato sospetto di frode dell’utente, la sospensione deve essere comunicata per iscritto alla Banca d’Italia.
L’art. 12 disciplina invece la responsabilità del pagatore.
Le disposizioni nazionali devono quindi essere lette alla luce dell’interpretazione fornita dalla Corte di giustizia: la contestazione della negligenza grave riguarda la ripartizione definitiva della perdita, non consente di per sé di bloccare il rimborso immediato.
Perché la Corte sceglie questa soluzione?
La conclusione deriva dal testo della direttiva, dalla distinzione tra gli artt. 73 e 74 e dall’obiettivo di assicurare un elevato livello di protezione dei consumatori.
Se la banca potesse rifiutare immediatamente il rimborso semplicemente contestando una negligenza grave, sarebbe il cliente a dover iniziare una causa per recuperare il denaro, sopportandone costi e inconvenienti.
L’obbligo di rimborso immediato perderebbe così gran parte della propria efficacia.
Check-list operativa: cosa ci portiamo a casa?
Di fronte a un’operazione derivante da phishing, occorre verificare nell’ordine:
L’operazione è non autorizzata?
Se sì, entra in gioco il regime previsto dalla PSD2.Il cliente l’ha segnalata tempestivamente?
Se sì, può chiedere il rimborso previsto dall’art. 73.Esiste un motivato sospetto di frode commessa dal cliente, comunicato all’autorità competente?
È l’eccezione all’obbligo di rimborso immediato.La banca contesta soltanto una negligenza grave?
Non basta per negare il rimborso immediato.La banca prova successivamente il dolo o la negligenza grave?
Può far valere la responsabilità del cliente ai sensi dell’art. 74.
La regola finale è quindi semplice:
prima si rimborsa, poi si discute su chi debba sopportare definitivamente la perdita.
Nel phishing, dunque, l’eventuale negligenza grave del cliente può incidere su chi alla fine dovrà sostenere il danno, ma non consente alla banca di saltare il primo passaggio.
Documenti correlati:
- Testo integrale di Corte di Giustizia UE, Sentenza 15/10/2026 (causa C-70/25)
- Phishing: Poste Italiane condannate a risarcire il cliente — Cass. civ., sez. III, sent. n. 3780/2024
- Truffa online: l’accredito sul conto può provare la responsabilità — Cass. pen., sez. II, sent. n. 25792/2026