[ddlpres]

Portando tutto alla normalità il presente disegno di legge prevede (riformando in toto il suddetto articolo 24) che la banca dovrà verificare anche in automatico che le credenziali indicate corrispondano a quel beneficiario e a quella determinata banca o istituto di credito, pena la responsabilità della banca che, in presenza di anomalie, dovrà bloccare l'operazione. Non ultima, in tema d'importanza, è la possibilità di richiamo e blocco successivo dell'operazione in presenza di denuncia penale. In tali casi, sarà onere della banca richiamare immediatamente il pagamento con conseguente obbligo dell'istituto beneficiario di bloccare le somme ricevute e restituirle al legittimo proprietario. Sul tema della necessità di un controllo di corrispondenza tra IBAN e beneficiario è intervenuta anche la Corte di giustizia europea, che sul tema ha articolato l'enunciazione del principio contenuto nella decisione C-245/18 del 21 marzo 2019. L'articolo 74, paragrafo 2, della direttiva 2007/64/CE del Parlamento europeo e del Consiglio, del 13 novembre 2007, relativa ai servizi di pagamento nel mercato interno, recante modifica delle direttive 9717/CE, 2002/65/CE, 2005/60/CE e 2006/48/CE, che abroga la direttiva 97/5/CE, deve essere interpretato nel senso che, ove un ordine di pagamento sia eseguito conformemente all'identificativo unico fornito dall'utente di servizi di pagamento, che non corrisponde al nome del beneficiario specificato dall'utente stesso, la limitazione della responsabilità del prestatore di servizi di pagamento, prevista dalla disposizione in parola, si applica sia al prestatore di servizi di pagamento del pagatore, sia al prestatore di servizi di pagamento del beneficiario. Invero, il dibattito sul tema si era già formato anche nella giurisprudenza dell'arbitro bancario finanziario, dove si fronteggiavano due opposti orientamenti, il primo formatosi nel collegio romano e il secondo in quello milanese, poi superato con l'enunciazione del principio formulato dal collegio di coordinamento (decisione 162 del 17) secondo il quale: « l'art. 24 d.lgs. 27 gennaio 2010, n. 11, va interpretato nel senso che, nell'esecuzione di un bonifico bancario, il prestatore di servizi di pagamento dell'ordinante ed il prestatore di servizi di pagamento del beneficiario sono autorizzati a realizzare l'operazione in conformità esclusivamente all'identificativo unico, anche qualora l'utilizzatore abbia fornito al suo prestatore di servizi di pagamento informazioni ulteriori rispetto all'IBAN. In particolare, il prestatore di servizi di pagamento di destinazione del bonifico non è tenuto a verificare la corrispondenza fra il nominativo del beneficiario ed il titolare del conto di accredito identificato tramite l'IBAN. Se l'identificativo unico fornito dall'utilizzatore è inesatto, i prestatori di servizi di pagamento coinvolti nella realizzazione del bonifico non sono responsabili, ai sensi dell'articolo 25, della mancata o inesatta esecuzione dell'operazione di pagamento. Nel caso in cui l'utilizzatore abbia fornito un codice identificativo inesatto, i prestatori di servizi di pagamento dell'ordinante e del ricevente si adoperano per il recupero dei fondi oggetto dell'operazione di pagamento sulla base degli obblighi di diligenza professionale che loro competono ». Pertanto, con il presente disegno di legge si propone di modificare la norma recata dagli articoli 5 e 17 decreto legislativo n. 11 del 2010, inserendo l'obbligo che il bonifico debba essere sempre revocato e la somma restituita, anche se decorse le ventiquattro ore dalla sua esecuzione, ogni volta sia stata presentata una denuncia per truffa informatica o, comunque, per esigenze di giustizia. Sul punto, preme ricordare come gli obblighi di consegna della documentazione non siano solo afferenti alle disposizioni di cui al testo unico delle leggi in materia bancaria e creditizia (TUB), di cui al decreto legislativo n. 385 del 1993, (articoli 119 e successivi) ma anche e soprattutto al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, cosiddetto GDPR, in quanto trattamento di dati personali riservati. Autenticarsi o accedere a un account significa, infatti, dimostrare la propria identità fisica a livello digitale e informatico con i conseguenti obblighi di gestione e conservazione del dato e conseguenti diritti dell'interessato (articoli 15 e successivi del GDPR). Il presente disegno di legge mira, inoltre, a imporre agli istituti bancari di fornire, entro quindici giorni dalla richiesta, prova di aver adottato le procedure di RECALL della disposizione, esibendo tutta la relativa documentazione completa di date ed orari delle singole operazioni di RECALL. In ogni caso, l'istituto di credito che fornisce tali servizi, dovrà provvedere a rafforzare la tutela con un'autenticazione ulteriore in aggiunta a quelle previste, con l'invio di un codice OTS dedicato sul dispositivo di recupero comunicato dal cliente per le emergenze, in sede di registrazione. Infine, un obiettivo che la norma deve raggiungere, consiste nella finalmente corretta applicazione dell'articolo 11 decreto legislativo n. 11 del 2010. Si è affermata, nella prassi bancaria, la modalità di rimborso dell'operazione disconosciuta dal cliente con modalità salvo buon fine: ma è una modalità errata rispetto al dato letterale della norma e una sua interpretazione non solo esegetica ma anche e soprattutto teleologica. Tale cattiva prassi viene, inoltre, accompagnata da una successiva lettera della banca che dichiara di aver terminato l'istruttoria sulla frode informatica, senza dame alcuna evidenza (che emerge poi compiutamente nel corso dei giudizi) e di procedere al riaddebito degli importi accreditati in un primo momento s.b.f. (salvo buon fine). In ogni caso, la comunicazione del riaddebito deve pervenire al cliente entro un termine minimo di quindici giorni, onde evitare possibili scoperti di conto, pena la risarcibilità del danno in caso di omesso tempestivo avviso.. 1 (Condizioni di blocco delle operazioni bancarie) 1 Gli istituti di credito hanno l'obbligo di bloccare e non processare alcuna operazione bancaria in presenza di una delle seguenti condizioni: a la scheda anagrafica del cliente è stata modificata, apportando modifiche al numero di telefono del cliente sul quale l'istituto bancario deve inviare le comunicazioni; b l'applicazione informatica dell'istituto di credito risulta essere stata disinstallata dal telefono cellulare o altro dispositivo in uso al correntista e successivamente installata su un dispositivo con un diverso codice international mobile equipment identity (IMEI), con una diversa carta SIM o con un diverso indirizzo internet protocol (IP), in particolare qualora all'istituto di credito risulti che il nuovo dispositivo si trovi in una città o regione diversa da quella comunicata dal correntista e dalla quale egli ha frequentemente utilizzato l'applicazione informatica per le sue operazioni abituali; c è richiesta l'autenticazione di una nuova applicazione informatica che permette di effettuare operazioni bancarie su un nuovo dispositivo che obblighi il cliente a inserire ogni volta che accede le sue credenziali e la password ; d sono state richieste operazioni per un ammontare pari o superiore al 60 per cento delle somme disponibili sul conto;