Phishing, Corte Ue: la banca deve rimborsare subito anche se c'è negligenza

Quando un cliente subisce un pagamento non autorizzato dal proprio conto, la banca è obbligata a rimborsarlo immediatamente, anche se sospetta che il cliente stesso abbia agito con negligenza grave. Lo ha stabilito la Corte di giustizia dell'Unione europea, chiamata a pronunciarsi su un caso di phishing avvenuto in Polonia.

Come riporta Help Consumatori, la sentenza chiarisce che la negligenza grave del cliente non esonera il prestatore di servizi di pagamento dal rimborso immediato dell'importo di un'operazione non autorizzata. L'istituto di credito può però, in un secondo momento, chiedere al cliente il rimborso delle perdite se riesce a dimostrare che sono dovute proprio a una sua negligenza grave.

La vicenda che ha portato alla sentenza riguarda una cliente di una banca polacca, rimasta vittima di una truffa tramite phishing: un truffatore si era finto interessato all'acquisto di un oggetto che la donna stava vendendo su una piattaforma online e le aveva inviato un link fraudolento, presentato come proveniente dalla piattaforma stessa e destinato a confermare la vendita. Il link conduceva in realtà a un sito che riproduceva fedelmente l'aspetto di quello della banca della vittima, dove la donna aveva inserito i propri dati di accesso al servizio di home banking. Grazie a quelle credenziali, il truffatore era riuscito a trasferire dal conto della cliente a un conto a lui intestato una somma di circa 700 euro.

Il giorno successivo la cliente aveva segnalato l'operazione fraudolenta alla propria banca, che però aveva rifiutato il rimborso, sostenendo che la donna avesse reso possibile l'operazione per negligenza grave, non avendo adeguatamente protetto le proprie credenziali di sicurezza personalizzate. Di fronte al diniego, la cliente si è rivolta a un tribunale polacco, che ha poi interpellato la Corte di giustizia Ue chiedendo se la banca fosse comunque tenuta al rimborso immediato anche in presenza di un sospetto di negligenza grave da parte del correntista.

Nella sentenza, i giudici di Lussemburgo hanno risposto affermativamente: in caso di operazione di pagamento non autorizzata, il prestatore di servizi di pagamento è in linea di principio tenuto a rimborsare immediatamente l'importo, al più tardi entro la fine del primo giorno lavorativo successivo a quello in cui ne è venuto a conoscenza o ne è stato informato, a condizione che il cliente lo abbia avvisato senza indugio. A questo obbligo è prevista una sola eccezione: il prestatore di servizi di pagamento può sospendere il rimborso immediato unicamente se ha ragionevoli motivi per sospettare una frode commessa dal cliente stesso, e a condizione che comunichi tali motivi per iscritto all'autorità nazionale competente.

Il semplice sospetto che il cliente abbia reso possibile l'operazione non autorizzata a causa di una negligenza grave, invece, non è sufficiente a giustificare il rifiuto o il ritardo del rimborso. Solo dopo aver restituito la somma, la banca può eventualmente rivalersi sul cliente e chiedergli di sostenere le perdite, ma a condizione di dimostrare concretamente che queste derivano da un comportamento doloso o da una negligenza grave, ad esempio il mancato rispetto degli obblighi di protezione delle credenziali di sicurezza.