Phishing, sì al rimborso da parte della banca anche se il cliente è negligente

Più tutele, e il riconoscimento a un rimborso immediato, per gli utenti che effettuano pagamenti digitali non autorizzati (dettati da operazioni fraudolente), anche se il loro comportamento è caratterizzato da negligenza. È questo il punto chiave della sentenza della Corte di giustizia dell’Unione europea nella causa C-70/25, pubblicata oggi, 15 ottobre.

La vicenda

La questione, che è arrivata fino alla Corte di giustizia dell’Ue, è iniziata quando una donna, cliente di una banca polacca, è stata vittima di una frode tramite phishing (ovvero una truffa informatica in cui un malintenzionato si finge un ente affidabile per rubare dati personali, credenziali di accesso o denaro). Un individuo si è presentato come interessato all’acquisto di un oggetto che la donna stava vendendo su una piattaforma online e le ha inviato un link fraudolento, ma che sembrava provenire dalla piattaforma e destinato a confermare la vendita. La donna ha quindi cliccato sul link, che conduceva a un sito web con il medesimo aspetto di quello della sua banca, e ha inserito i propri dati per connettersi all’e-banking. In questo modo, il truffatore è riuscito a trasferire dal conto bancario della cliente a un conto a lui intestato una somma pari a circa 700 euro.

Il giorno successivo la cliente ha segnalato l’operazione fraudolenta alla propria banca, che però si è rifiutata di rimborsare l’importo dell’operazione di pagamento non autorizzata ritenendo la cliente colpevole di negligenza grave, in quanto era venuta meno all’obbligo di proteggere le credenziali di sicurezza personalizzate.

La cliente si è allora rivolta a un tribunale polacco, che, a sua volta, ha chiesto alla Corte di giustizia se, alla luce del diritto dell’Unione, la banca, in qualità di prestatore di servizi di pagamento, sia tenuta a rimborsare immediatamente l’importo di un’operazione non autorizzata, anche qualora ritenga che il cliente abbia commesso una negligenza grave.

Le conclusioni della Corte

Nella sua sentenza nella causa C-70/25, la Corte di giustizia dell’Unione europea ha risposto affermativamente. Quando si verifica un’operazione di pagamento non autorizzata, il prestatore dei servizi di pagamento è, in linea di principio, tenuto a rimborsare immediatamente l’importo dell’operazione, al più tardi entro la fine del primo giorno lavorativo successivo a quello in cui ne è venuto a conoscenza o ne è stato informato, a condizione che il cliente riferisca immediatamente l’accaduto. Prevista un’unica eccezione all’obbligo di rimborso immediato: nel caso in cui il prestatore di servizi di pagamento abbia ragionevoli motivi per sospettare una frode commessa direttamente dal cliente e lo comunichi per iscritto all’autorità nazionale competente. Il fatto che l’operazione non autorizzata sia stata causata da una negligenza grave da parte del cliente non esime il prestatore di servizi di pagamento (la banca in questo caso) dall’effettuare il rimborso immediato.