Source: http://docplayer.it/3414239-Collegio-di-milano-prof-antonella-sciarrone-alibrandi-membro-designato-dalla-banca-d-italia.html
Timestamp: 2018-09-25 03:53:11+00:00

Document:
COLLEGIO DI MILANO. - Prof. Antonella Sciarrone Alibrandi Membro designato dalla Banca d Italia - PDF
Download "COLLEGIO DI MILANO. - Prof. Antonella Sciarrone Alibrandi Membro designato dalla Banca d Italia"
1 COLLEGIO DI MILANO composto dai signori: - Prof. Antonio Gambaro Presidente - Prof. Antonella Sciarrone Alibrandi Membro designato dalla Banca d Italia - Prof. Emanuele Lucchini Guastalla Membro designato dalla Banca d Italia (Estensore) - Dott. Dario Purcaro Membro designato dal Conciliatore Bancario Finanziario - Avv. Franco Estrangheros Membro designato da Confindustria, di concerto con Confcommercio, Confagricoltura e Confartigianato nella seduta del 28 febbraio 2012 dopo aver esaminato il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica FATTO Il ricorrente intratteneva presso la banca convenuta un rapporto di conto corrente bancario con accessorio servizio di home banking, attivato in data Il cliente ha riferito di essersi accorto, in data , che sul proprio c/c erano state compiute, da parte di ignoti, 13 operazioni con corrispondenti addebiti in conto, per l importo complessivo di ,76. In particolare, le disponibilità del c/c erano state abusivamente impiegate: i) in data , per effettuare n. 6 ricariche di carta di credito prepagata da 500,00 ciascuna; ii) in data , per effettuare altre n. 6 ricariche, del medesimo ammontare, della stessa carta prepagata; iii) per ordinare un bonifico verso conto corrente nazionale, dell importo di 7.894,76. Il cliente, quindi, si recava presso la filiale della propria banca. Segnalato quanto accaduto, riusciva a bloccare l esecuzione del bonifico e richiedeva (verbalmente) il rimborso delle movimentazioni disconosciute. Il giorno successivo ( ), il cliente sporgeva denuncia querela all Autorità di P.S., con la quale precisava: non ho mai dato i miei dati personali ad alcuno e non ho mai risposto ad che me li richiedevano. Presumo che ignoti si siano immessi nel servizio home banking di cui ho fruito e mi abbiano movimentato il denaro illecitamente e che quindi sia stato vittima di phishing. Arbitro Bancario Finanziario - Pag. 2/6
2 Con lettera datata il cliente formalizzava una richiesta di informazioni alla banca circa lo stato della pratica di rimborso. Il successivo la banca rassicurava il cliente dell avvenuta trasmissione all Autorità di P.S. di tutte le informazioni in suo possesso, ma nulla precisava circa il rimborso del denaro illecitamente sottratto. Di conseguenza, il cliente, con lettera del , sporgeva reclamo scritto all intermediario, con richiesta di rimborsare la somma di 6.000,00, oggetto delle 12 operazioni disconosciute di ricarica della carta prepagata n. 4106[ ]. Con raccomandata del , la banca riscontrava il reclamo, accogliendolo parzialmente e provvedendo al riaccredito di metà della somma sottratta, per un importo pari a 3.000,00 al fine di distribuire equamente, tra la stessa e il cliente, il danno derivante dagli effetti distorsivi del sistema di internet banking. L intermediario sosteneva che l azione fraudolenta non [era] avvenuta a causa di violazione del [proprio] sistema informativo [sic], ma [fosse] imputabile ad un episodio di phishing (ovvero furto di identità elettronica, di cui [il cliente era] stato inconsapevole vittima. Tanto potrebbe essere avvenuto tramite contaminazione della postazione dell utente di home banking con specifiche tipologie di virus informatici, denominate spyware, che possono reperire autonomamente alcune informazioni disponibili sui PC infetti e trasmetterle al truffatore. Viceversa, i livelli di sicurezza del sistema informatico della resistente sarebbero stati costantemente adeguat[i], mentre sul sito della banca sarebbe stato pubblicato un decalogo che illustra[va] all utente le modalità con cui difendersi, ed in particolare alcune regole di protezione della postazione di lavoro, quali il costante aggiornamento dell antivirus, dell antispyware [ ], nonché l istallazione di un firewall. La dimidiazione del rimborso, inoltre, era giustificata dalla mancata richiesta da parte del cliente del token di autenticazione, dispositivo di One Time Password (OTP) che l intermediario nel corso del 2010 aveva reso disponibile alla clientela per i servizi di home banking. Il ricorrente, ha presentato ricorso al Collegio (prot. n del ), affermando: i) di aver aggiornato con antivirus, antispyware e firewall la propria postazione di accesso al servizio home banking; ii) di aver ricevuto il token OTP di autenticazione solo dopo aver denunciato e iii) disconosciuto le operazioni fraudolente; che la banca gli aveva riaccreditato un indennizzo di 3.000,00, pari al 50% della somma sottratta. Per tali motivi, il cliente ha chiesto al Collegio che intimi alla Banca di provvedere (a) al rimborso integrale degli ammanchi, (b) al rimborso delle spese sostenute, e (c) al riconoscimento di un indennizzo per i disagi subiti. L intermediario ha trasmesso le proprie controdeduzioni alla Segreteria Tecnica, tramite PEC, il (termine fissato al ). Senza contestare i fatti della controversia, la resistente ha ribadito che l azione fraudolenta non sarebbe avvenuta a causa della violazione del sistema informatico della banca, essendo, invece, imputabile ad un episodio di phishing (ovvero un furto di identità elettronica) di cui il cliente sarebbe stato inconsapevole vittima. Infatti, il sistema operativo della banca, utilizzato da numerose BCC, è adeguatamente collaudato e per quanto riguarda la sicurezza ha posto in essere tutti gli accorgimenti utili per evitare intrusioni e manomissioni esterne. Ha precisato, inoltre: i) di aver reso obbligatorio per tutti gli utenti l utilizzo di dispositivi di identificazione OTP, alla fine del 2010 ; Arbitro Bancario Finanziario - Pag. 3/6
3 ii) che, all epoca del fatto, il ricorrente non impiegava il congegno OTP, che avrebbe escluso il perpetrarsi della frode informatica subita. Di conseguenza, la resistente ha ribadito la tesi secondo cui il furto di identità elettronica potrebbe essere avvenuto tramite contaminazione della postazione dell utente di home banking. La banca ha concluso chiedendo all ABF di rigettare le pretese del ricorrente, per le ragioni esposte in narrativa e di prendere atto dell avvenuto parziale rimborso di quanto richiesto in sede di reclamo dal cliente. Le controdeduzioni sono state trasmesse al ricorrente, il , via . DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa, attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking, da un lato, e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio, dall altro lato. Tuttavia, prima di passare all esame del merito della questione, è bene ricordare in fatto alcuni aspetti essenziali ai fini della decisione. Anzitutto, va sottolineato che tutte le operazioni disconosciute sono state effettuate in un periodo successivo all entrata in vigore del D.Lgs. 27 gennaio 2010 n. 11 in vigore dal 1 marzo 2010 con il quale è stata recepita la Direttiva 2007/64/CE. Con il reclamo, il cliente ha chiesto il rimborso dell importo complessivo delle operazioni di ricarica di carta prepagata effettuate con l abusivo impiego delle disponibilità del proprio conto, per un ammontare di 6.000,00. A fronte della rifusione da parte dell intermediario di metà della somma richiesta, con il ricorso all origine del presente procedimento, il cliente ha chiesto la condanna della banca all integrale restituzione di quanto fraudolentemente sottratto dal conto corrente (vale a dire il residuo, pari a 3.000,00) ed ha domandato, inoltre, il rimborso delle spese sostenute ed il riconoscimento di un indennizzo (rectius: risarcimento del danno) per i disagi subiti. Risultano pacifici i seguenti fatti: il numero e l importo delle operazioni fraudolente; la sequenza temporale dei fatti, così come riportata nel ricorso e nella denuncia querela allegata; l estraneità del cliente alle movimentazioni effettuate. Il cliente ha espressamente negato di aver risposto ad con richiesta di credenziali identificative. Anche l intermediario (che pure si riferisce alla fattispecie con il termine phishing) ritiene che il cliente sia stato inconsapevole vittima di furto d identità elettronica, dovuto alla mancata attivazione di presidi (antivirus, antispyware o firewall) al PC del ricorrente. Le parti sembrano impiegare, quindi, il termine phishing come sinonimo di generico furto d identità. Il cliente ha sostenuto che si sono verificati, a danno di altri clienti della banca, diversi episodi di furto d identità elettronica. Secondo quanto lo stesso ha riferito, taluni dipendenti della filiale dell intermediario resistente avrebbero confermato tale circostanza. La Banca, al contrario, ha sostenuto che il sistema operativo della banca, utilizzato da numerose BCC, [fosse] adeguatamente collaudato e per quanto riguarda la sicurezza [avesse] posto in essere tutti gli accorgimenti utili per evitare intrusioni e manomissioni esterne. Le operazioni fraudolente sarebbero, invece, effetto di furto telematico causato da un operazione di sottrazione di identità telematica (password e quant altro) direttamente dal sistema informatico del cliente, in quanto il sistema di sicurezza della Banca non consente alcun altro accesso. Non è stata prodotta alcuna documentazione sulle specifiche di sicurezza per il servizio di home banking della resistente. Arbitro Bancario Finanziario - Pag. 4/6
4 Va, infine, ricordato che il cliente ha riferito che il servizio di home banking della convenuta non prevedeva l impiego di dispositivi OTP e la banca non ha contestato tale circostanza, limitandosi a riferire che la clientela era stata invitata, prima dei fatti cui si riferisce la presente controversia, a dotarsi di token identificativi. Tale sistema di autenticazione personale sarebbe stato, infatti, ampiamente proposto nel corso degli anni come applicazione aggiuntiva alla sicurezza dell operatività, per poi essere reso obbligatorio per tutti gli utenti alla fine del A questo proposito, il ricorrente ha negato di aver avuto comunicazione da parte dell intermediario della possibilità di impiego di dispositivi OTP ed ha, invece, affermato che la banca glielo avrebbe consegnato subito dopo il phishing. La banca non ha prodotto documentazione circa le informative asseritamente rese alla clientela sui sistemi OTP di strong authentication. Quanto alla richiesta di condanna della banca al risarcimento del danno, per le spese affrontate e per i disagi subiti a causa del mancato positivo riscontro del reclamo, il ricorrente non ha versato in atti prova documentale né dell an né del quantum del pregiudizio patito, circostanza che consente fin d ora di poter concludere nel senso del non accoglimento della relativa istanza. Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi come già si è avuto occasione di rilevare in altre occasioni che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat, disposizioni di operazioni per mezzo di servizi on-line o pagamenti via Internet. Tuttavia, all epoca dei fatti all origine del presente procedimento era già in vigore la normativa (di recepimento della c.d. Direttiva PSD) di cui al D. Lgs. 27 gennaio 2010, n. 11, secondo la quale salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell articolo 7, comma 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento (art. 12, comma 3 ); nel contempo, qualora abbia agito in modo fraudolento o non abbia adempiuto ad uno o più obblighi di cui all art. 7 con dolo o colpa grave, l utilizzatore sopporta tutte le perdite derivanti da operazioni di pagamento non autorizzate e non si applica il limite di 150 euro di cui al comma precedente (art. 12, comma 4 ). Ciò chiarito, è ora necessario verificare quale sia la corretta soluzione della controversia alla luce delle norme sopra riportate, considerato che tali regole sono vigenti dal 1 marzo 2010 e che le norme del citato decreto sostituiscono di diritto le condizioni contrattuali concernenti le fattispecie ivi disciplinate. Giova anzitutto sottolineare che, sulla scorta della recente normativa citata, l argomentazione secondo la quale l effettuazione delle operazioni con l utilizzo dei codici identificativi corretti concreterebbe per ciò solo un omessa diligente custodia dei medesimi da parte del cliente non può ritenersi condivisibile in quanto è chiaramente smentita dal dettato dell art. 10 comma 2 del decreto legislativo precitato, il quale prevede testualmente che l utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che ( ) questi [il cliente] non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all articolo 7. Da quanto appena evidenziato emerge pianamente che il compimento di una o più operazioni disconosciute non induce alcuna presunzione di prova a carico del cliente, Arbitro Bancario Finanziario - Pag. 5/6
5 tanto meno una presunzione di dolo o colpa grave (la cui accertata sussistenza comporterebbe la responsabilità esclusiva e totale del cliente), dovendosi anzi sottolineare che l imputazione di colpa grave esclude un concetto di normalità della colpa, posto che, com è noto, le conseguenze giuridiche della colpa grave sono trattate allo stesso modo di quelle proprie della condotta dolosa, tanto che si parla comunemente di equiparazione della colpa grave al c.d. dolo eventuale, la cui sussistenza deve essere provata in concreto (cfr., ex multis, Cass. Civ. n del 2006). Ora, valutando le circostanze del caso concreto, non pare potersi riscontrare, nella condotta del ricorrente, gli elementi in fatto per poter riconoscere una colpa grave. Allo stesso modo, non risulta altrimenti provata, da parte dell intermediario, la sussistenza di fatti ulteriori e specifici costitutivi della colpa grave del ricorrente medesimo. A ciò deve aggiungersi che non può neppure venire attenuata la responsabilità dell Intermediario sulla base dell ulteriore circostanza secondo la quale il cliente non si sarebbe prontamente munito dei nuovi sistemi di protezione, più sicuri, offerti dall Intermediario; ciò in quanto, non avendo l intermediario provato la circostanza dell offerta de qua per mezzo dell invio di una comunicazione ad hoc al ricorrente, si deve concludere che quest ultimo non fosse stato adeguatamente informato della possibilità di godere di un maggior grado di sicurezza dei diversi mezzi di protezione esistenti per il servizio de quo, nonché del fatto che l intermediario resistente si era già attivato per proporli alla propria clientela. Ebbene, a questo punto pare doversi concludere che, secondo quanto previsto dalla normativa vigente all epoca dei fatti, con riferimento alle operazioni compiute prima del blocco, come nel caso concreto, è espressamente previsto che il cliente sia responsabile entro il limite di Euro 150,00, delle conseguenze dannose derivanti dall uso fraudolento del servizio di home banking. Per quanto fin qui esposto, ritiene, dunque, questo Collegio che, in parziale accoglimento del ricorso, sia applicabile al caso di specie la franchigia di cui all art. 12, comma 3, D.Lgs. cit., disponendo, per il residuo, l obbligo della restituzione da parte della banca resistente delle operazioni contestate, al netto, ovviamente, di quanto già restituito antecedentemente alla proposizione del ricorso all origine del presente procedimento. P.Q.M. Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario rimborsi al ricorrente la somma di 2.850,00. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Arbitro Bancario Finanziario - Pag. 6/6

References: articolo 7
 art. 7
 art. 10
 articolo 7
 Cass. 
 art. 12