Source: http://blog.ilcaso.it/news_760/06-02-19/%E2%80%9CHome_banking%E2%80%9D_e_la_responsabilita_dell%E2%80%99istituto_di_credito-_il_recente_orientamento_della_Suprema_Corte
Timestamp: 2019-04-22 04:06:37+00:00

Document:
Pubblicato il 06/02/19 02:00 [Articolo 760]
Con la presente nota, si intende operare un’interessante ricostruzione del recente orientamento della giurisprudenza di legittimità in tema di responsabilità della banca per le operazioni elettroniche poste in essere abusivamente da terzi, a danno di clienti titolari di conti correnti e di carte di credito.
Nel caso di operazioni effettuate con strumenti elettronici (home banking), spetta all’istituto di credito verificare la riconducibilità delle stesse alla volontà del cliente. L’eventuale uso dei codici di accesso al sistema da parte dei terzi rientra nel rischio professionale del prestatore dei servizi di pagamento, prevedibile ed evitabile con appropriate misure tecniche, volte a verificare la riferibilità delle operazioni suddette alla volontà del correntista. La banca non risponde del danno patito dal cliente, solo qualora dimostri che il fatto sia attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo[1].
Ciò è quanto statuito recentemente dalla Suprema Corte in un’ordinanza, la n. 9158 del 2018, la quale richiama un principio anche più volte ribadito dalla stessa Corte ( si consideri Cass., sent. n. 2950/2017)[2], secondo cui è onere della banca fornire la prova della riconducibilità di ogni singola operazione al cliente, titolare del conto o della carta di credito. La diligenza richiesta alla banca nello svolgimento delle sue attività è una diligenza di natura tecnico-professionale, parametrabile sullo stereotipo del c.d. “accorto banchiere”.
Ma cos’è la “Home Banking”[3]?
Premesso ciò, è bene ribadire che i prestatori dei servizi di pagamento che forniscono gli strumenti di home banking, dispongono dei dati sensibili dei clienti, ed infatti trova piena applicazione il Codice in materia di protezione dei dati personali. In particolare, l’art. 15 prevede che chiunque cagioni un danno ad altri per effetto del trattamento dei dati personali è tenuto al risarcimento ai sensi dell’art. 2050 c.c. (esercizio di attività pericolose). L’art.31 dello stesso Decreto, dispone che i dati personali oggetto di trattamento siano custoditi e controllati in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Alla luce di quanto sopra, l’intermediario, quindi, ha l’obbligo di adottare degli accorgimenti adeguati a prevenire l’illecita captazione di dati, onde evitare accessi non autorizzati. L’adeguatezza dei sistemi impiegati dall’istituto di credito viene valutata avendo riguardo alle conoscenze acquisite in base al progresso tecnico. Qualora si verifichi un accesso non autorizzato o l’impiego dei dati raccolti per finalità non conformi alla legge, il gestore risponde ex art. 2050 c.c.. Si tratta di una forma di responsabilità oggettiva “aggravata”, in cui il prestatore del servizio, per andare esente da responsabilità, non deve solo dimostrare di aver adottato tutte le misure idonee ad evitare il danno (cosiddetta “prova liberatoria”), ma è tenuto a fornire la prova positiva di una causa esterna. Può trattarsi di fatto naturale, di fatto del terzo o di fatto dello stesso danneggiato che, per imprevedibilità ed inevitabilità, sfugge alla sfera di controllo dell’esercente l’attività pericolosa[4].
A questo punto, rileva evidenziare che nell’ambito delle operazioni telematiche, prima richiamate, ricorrente è l’espressione “phishing[5]” con la quale si fa riferimento ad una truffa, operata tramite Internet, caratterizzata dall’invio di messaggi di posta elettronica mendaci, che imitano perfettamente la grafica di istituti di credito e postali. Tali e-mail inducono in errore l’utente, il quale ritiene di essere stato contattato dalla propria banca, ignaro del fatto che l’e-mail incriminata, contiene un link che rinvia ad un sito-truffa, in apparenza del tutto simile all’originale. Lo scopo dei cyber-criminali, si sostanzia nel carpire le credenziali del correntista (user id e password), per poi impiegarle fraudolentemente, al fine di sottrarre liquidità.
Concludendo, dal breve excursus condotto, deriva un importante corollario: nell’ambito dei pagamenti online è ragionevole l’affidamento, in termini di sicurezza, che il titolare di un conto corrente online ripone nel prestatore del servizio di pagamento, dal momento che la riconducibilità alla volontà del cliente delle operazioni compiute mediante il servizio, rientra nel rischio d’impresa che il prestatore deve sopportare e fronteggiare, anticipando il potenziale utilizzo fraudolento dei codici segreti che autorizzano le suddette operazioni. Nonostante tale principio[6] rappresenti la base necessaria per una generale e diffusa fiducia degli utenti nella sicurezza dei sistemi di pagamento online, ciò non toglie, comunque, che il titolare del conto ha l’obbligo di custodire con diligenza i propri codici segreti, contribuendo così al mantenimento di un sistema di transazioni di denaro più sicuro.
[1] Cass. Civ. Ordinanza n. 9158/2018.
[2] Si vedano ex plurimus: Cass. Civ. n. 2950/2017; Cass. Civ. n. 806/2016; Cass. Civ. N. 10638/2016; Cass. Civ. N. 13777/2007.
[3] Con la locuzione inglese home banking o internet banking (letteralmente "banca da casa"), in italiano telebanca o banca a domicilio, si definiscono quei servizi bancari che consentono al cliente di effettuare operazioni bancarie da casa o dall'ufficio, mediante collegamento telematico. Anche detta banca online o banca via internet, prevede che le operazioni bancarie siano effettuate dai clienti degli istituti di credito tramite una connessione remota con la propria banca, funzionalità resasi possibile con la nascita e lo sviluppo di internet e delle reti di telefonia cellulare.
[4] Cfr. P.Perlingieri, Manuale di diritto civile, ESI, ed. 2018
[5] Il termine phishing è una variante di fishing (letteralmente "pescare" in lingua inglese, probabilmente influenzato da phreaking e allude all'uso di tecniche sempre più sofisticate per "pescare" dati finanziari e password di un utente. La parola può anche essere collegata al linguaggio leet, nel quale la lettera f è comunemente sostituita con ph. La teoria popolare è che si tratti di un portmanteau di password harvesting, è un esempio di pseudo-etimologia.
[6] Trattasi del principio di diritto espresso dalla Suprema Corte di Cassazione in più pronunce, già ivi richiamate.

References: art. 2050
 Cass. 
 Cass. 
 Cass. 
 Cass. 
 Cass.