La banca deve riaccreditare subito la somma al cliente quando riceve la segnalazione di un pagamento fraudolento. Deve farlo anche se ritiene che la vittima abbia agito con negligenza grave. Lo ha stabilito la Prima Sezione della Corte di giustizia dell’Unione europea con la sentenza del 15 ottobre 2026 nella causa C-70/25. La causa è indicata con il nome fittizio di Tukowiecka. È stata pronunciata su rinvio pregiudiziale del Tribunale circondariale di Koszalin, in Polonia. I giudici hanno seguito la linea tracciata il 5 marzo dall’avvocato generale Athanasios Rantos. Hanno interpretato gli articoli 73 e 74 della direttiva 2015/2366 sui servizi di pagamento, la PSD2. Hanno così chiarito un punto che da anni alimenta il contenzioso tra intermediari e correntisti in tutta Europa sul rimborso pagamento fraudolento.
Quanto deve e cosa può la banca deve decidere ora la Corte di giustizia UE
Davanti a un’operazione non autorizzata, il prestatore di servizi di pagamento deve rimborsare l’importo al più tardi entro la fine del primo giorno lavorativo successivo. Il termine parte da quello in cui ne viene a conoscenza. Il rimborso è dovuto purché il cliente lo abbia informato senza indugio. La direttiva conosce una sola eccezione: scatta quando l’intermediario ha ragionevoli motivi per sospettare una frode e li comunica per iscritto all’autorità nazionale competente. Il sospetto che il correntista abbia reso possibile il furto per negligenza grave resta fuori da questa ipotesi.
Il cuore del ragionamento sta nei punti 38 e 42 della motivazione. I giudici spiegano che la deroga prevista per la colpa grave riguarda soltanto il carattere definitivo del rimborso. La banca deve pagare in un primo tempo e solo in un secondo tempo può, se del caso, esigere dal pagatore la restituzione delle perdite.
«Mediante i mezzi di ricorso previsti a tale scopo», così la Corte indica la strada per il recupero delle somme da parte dell’istituto.
Il caso polacco che ha fatto da precedente
La vicenda segue uno schema noto a chiunque operi online. Una cliente di PKO BP aveva messo in vendita un oggetto su un portale di aste. Un sedicente acquirente le aveva inviato un link per confermare la transazione. Il link era presentato come proveniente dal portale. La pagina riproduceva l’aspetto del sito della sua banca e la donna ha inserito le credenziali dell’home banking. Il truffatore ha usato quei dati insieme al codice di conferma ricevuto via SMS e carpito con lo stesso inganno. Ha trasferito 3.000 zloty, circa 705 euro, su un conto a lui intestato.
Il giorno seguente la cliente ha avvisato la banca e la polizia, ricevendo dall’istituto un rifiuto motivato con la violazione dell’obbligo di custodire con diligenza lo strumento di pagamento. Davanti al giudice la banca ha rivendicato la possibilità di valutare da sola i presupposti della responsabilità. Voleva sottrarsi al rimborso ogni volta che riscontrasse una condotta gravemente negligente del cliente.
Nell’ordinanza di rinvio il tribunale polacco ha descritto una situazione familiare anche da questa parte delle Alpi. Nessuna banca aveva mai citato in giudizio un consumatore per ottenere la restituzione di somme rimborsate a causa della sua colpa grave. Le aule erano piene di cause promosse dai clienti contro i rifiuti degli istituti. Secondo il giudice del rinvio, l’eccezione al diritto al rimborso era diventata la regola. Questo effetto scaricava sui pagatori l’onere di far valere i propri diritti in tribunale.
I motivi della Corte: prima si paga, poi si contesta
L’articolo 73 della direttiva impone l’obbligo di rimborso immediato. L’articolo 74 disciplina la ripartizione della responsabilità in una fase successiva. L’onere della prova della negligenza grave è collocato dalla direttiva sul prestatore di servizi di pagamento. La Corte osserva al punto 45 che ammettere un rifiuto preventivo priverebbe di efficacia l’obbligo di rimborso immediato. Costringerebbe l’utente ad assumere l’iniziativa davanti agli organi giurisdizionali. L’utente sopporterebbe gli inconvenienti che ne derivano, a cominciare dalle spese processuali.
Nel procedimento il governo italiano aveva sostenuto una tesi insieme a quello ceco. La Corte ha respinto l’argomento e ha osservato che quei meccanismi coprono ogni tipo di controversia in materia di servizi di pagamento. Non possono funzionare come un filtro obbligatorio da attraversare prima di ottenere il rimborso.
L’impatto sull’ordinamento italiano
Per l’Italia la sentenza cambia poco sulla carta e molto nei fatti. La regola del rimborso entro il giorno lavorativo successivo esiste già nell’articolo 11 del d.lgs. 11/2010, che ha recepito la PSD2 e prevede un’unica eccezione. Tale eccezione è legata al motivato sospetto di una frode commessa dal cliente, fondato su elementi oggettivi e comunicato alla Banca d’Italia. Con la comunicazione del 30 ottobre 2023 la vigilanza aveva precisato che quegli elementi devono rivelare l’intenzione dell’utente, e non di terzi, di raggirare l’intermediario. Lo stesso articolo lascia alla banca la possibilità di dimostrare, anche dopo il rimborso, che l’operazione era stata autorizzata. In quel caso la banca può chiedere la restituzione dell’importo.
In Italia, però, succede regolarmente che le banche neghino il rimborso richiamando la colpa grave del cliente. Lo fanno sulla base di un’interpretazione di altri articoli dello stesso decreto. Tali articoli evocano la colpa grave come presupposto per la restituzione delle somme dal cliente all’intermediario. Quegli articoli disciplinano invece la ripartizione finale della perdita: la possibilità di trattenere le somme resta estranea al loro contenuto. La pronuncia di Lussemburgo chiude questa interpretazione a livello europeo, con un principio che vincola anche i giudici nazionali.
Chi subisce un prelievo fraudolento ha una mossa a disposizione. Può presentare un reclamo scritto che richiami anche la sentenza C-70/25 e chieda il riaccredito immediato. La colpa grave, se provata, attribuisce alla banca il diritto di chiedere la restituzione delle somme, mentre trattenerle o riprenderle in attesa di quella prova le è precluso. La causa, se c’è, deve avviarla la banca. Il peso del contenzioso si inverte. L’istituto dovrà dimostrare concretamente la negligenza del cliente, che nel rapporto con l’intermediario resta la parte debole.
Quando il pagamento è davvero “non autorizzato”
L’applicazione della sentenza dipende dal significato di “pagamento non autorizzato”. Per la normativa è non autorizzato il pagamento disposto da un terzo senza il consenso del titolare del conto. Ciò vale anche quando il truffatore lo conferma con credenziali o codici sottratti alla vittima. Rientrano in questa categoria il bonifico eseguito dopo l’inserimento dei dati su un sito clone della banca, l’uso dei dati di una carta clonata per acquisti online e, secondo l’orientamento prevalente dell’Arbitro Bancario Finanziario, anche l’operazione confermata con il codice OTP che il finto operatore si è fatto dettare al telefono con il pretesto di bloccare un accesso sospetto, oppure la notifica approvata sull’app nella convinzione di annullare una transazione, che finisce invece per convalidare quella del truffatore.
Diverso è il caso in cui l’ordine parte dal cliente stesso, per quanto ingannato. Chi trasferisce i propri risparmi sul presunto conto sicuro indicato da un falso operatore compie un’operazione che la legge considera autorizzata. Chi paga un prodotto mai spedito da un venditore fittizio rientra nello stesso caso. Anche l’ufficio amministrativo che salda una fattura sull’IBAN modificato di un finto fornitore o la vittima di un investimento inesistente compiono un’operazione autorizzata. Tali operazioni sono quindi escluse dal regime del rimborso immediato. Il criterio guarda a chi ha impartito l’ordine di pagamento, a prescindere dagli strumenti utilizzati per confermarlo.
Restano fermi gli obblighi di segnalazione tempestiva, entro il limite massimo di tredici mesi dall’addebito. Le imprese hanno motivo per rileggere i propri contratti. La PSD2 consente di derogare con i clienti non consumatori ad alcune regole sulla responsabilità del pagatore, comprese quelle sulla colpa grave. Le frodi da impersonificazione vedono il criminale fingersi un dipendente della banca. Per esse il nuovo regolamento europeo sui servizi di pagamento prevede un diritto al rimborso specifico. Ma il testo attende ancora il voto finale del Parlamento europeo, indicato in via provvisoria per il 14 dicembre 2026.
Fonti:
Punti chiave
Da ricordare
- La banca deve rimborsare un pagamento non autorizzato entro la fine del primo giorno lavorativo successivo alla segnalazione, anche in caso di presunta colpa grave del cliente.
- L'unica eccezione al rimborso immediato riguarda i ragionevoli motivi di sospetto di frode comunicati per iscritto all'autorità nazionale competente.
- L'onere della prova della negligenza grave grava sulla banca, che può chiedere la restituzione solo dopo aver rimborsato.
- La colpa grave del cliente non esclude il pagamento non autorizzato, ma rileva solo nella fase successiva al rimborso
- In Italia il rimborso entro il giorno lavorativo successivo è previsto dall'articolo 11 del d.lgs. 11/2010, con l'eccezione del sospetto di frode comunicato alla Banca d'Italia.
- Il cliente vittima di phishing dovrebbe presentare un reclamo scritto che richiami la sentenza C-70/25, perché l'eventuale causa deve avviarla la banca.
