Una banca deve restituire subito al cliente il denaro sottratto con il phishing, anche quando è convinta che la vittima abbia agito con negligenza grave. Potrà chiedere indietro la somma più avanti, ma toccherà all’istituto dimostrare la colpa del correntista.
È il principio fissato dalla Prima Sezione della Corte di giustizia dell’Unione europea con la sentenza depositata il 15 ottobre 2026 nella causa C-70/25, conosciuta con il nome fittizio di Tukowiecka, che interpreta la direttiva 2015/2366 sui servizi di pagamento, nota tra gli addetti ai lavori come PSD2. La decisione recepisce la linea indicata il 5 marzo scorso dall’avvocato generale Athanasios Rantos e vincola i giudici di tutti gli Stati membri chiamati a pronunciarsi su controversie analoghe, Italia compresa. Interviene inoltre su una prassi molto diffusa in diversi Paesi europei, dal Belgio alla Romania, dove numerosi istituti di credito oppongono la presunta imprudenza del cliente come motivo sufficiente per bloccare i rimborsi a chi è rimasto vittima di una truffa online.
Come funziona la truffa del finto acquirente sui marketplace
La vicenda nasce in Polonia, dove una correntista di PKO Bank Polski aveva messo in vendita un oggetto su una piattaforma online. Un sedicente acquirente si è fatto avanti e le ha inviato un link, presentato come un messaggio ufficiale della piattaforma, con cui avrebbe dovuto confermare la vendita. Il collegamento portava invece a una pagina che riproduceva l’aspetto del sito della sua banca, dove la donna ha digitato le credenziali dell’home banking.
Con quei dati il truffatore ha trasferito circa 700 euro su un conto a lui intestato.
Il giorno successivo la cliente ha segnalato l’operazione fraudolenta all’istituto, che però ha respinto la richiesta di rimborso. Secondo la banca era stata lei, per negligenza grave, a rendere possibile il prelievo, venendo meno all’obbligo previsto dalla direttiva di custodire con attenzione le credenziali di sicurezza personalizzate. Di fronte al rifiuto la donna si è rivolta al tribunale distrettuale di Koszalin, il quale ha sospeso il giudizio per interpellare la Corte di Lussemburgo con un rinvio pregiudiziale, lo strumento che consente ai giudici nazionali di chiedere come vada interpretata una norma europea prima di decidere la causa. La domanda era precisa: il prestatore di servizi di pagamento deve rimborsare immediatamente un’operazione non autorizzata anche quando attribuisce al cliente una colpa grave, oppure quella valutazione gli consente di rifiutare la restituzione?
Entro quando la banca deve rimborsare un pagamento non autorizzato
La Corte ha risposto in senso favorevole alla cliente. In presenza di un’operazione fraudolenta, la banca è tenuta in linea di principio a restituire l’importo al più tardi entro la fine della prima giornata lavorativa successiva a quella in cui ne è venuta a conoscenza, purché il cliente l’abbia avvisata senza indugio. La direttiva prevede una sola deroga a quest’obbligo, che scatta quando il prestatore ha ragionevoli motivi per sospettare una frode commessa dallo stesso titolare del conto e comunica per iscritto tali motivi all’autorità nazionale competente. Al di fuori di questa ipotesi, il denaro va riaccreditato nei tempi indicati.
La convinzione della banca che il cliente abbia agevolato il furto, omettendo per esempio di proteggere i codici di accesso, resta fuori dall’eccezione e quindi non autorizza alcun rifiuto.
Quando la banca può chiedere indietro i soldi al cliente
Il ragionamento dei giudici poggia sulla distinzione tra due questioni che il diritto dell’Unione tiene separate, cioè la restituzione della somma sottratta e l’individuazione di chi debba sopportare, alla fine, la perdita economica.
In una prima fase l’istituto paga. In un secondo momento può chiedere al cliente di farsi carico del danno, a condizione di provare che la perdita deriva da una violazione dolosa o gravemente negligente degli obblighi che gravano sull’utente, a cominciare dalla custodia delle credenziali, con un onere della prova che ricade interamente sulla banca. Per la Corte questa impostazione risponde all’obiettivo, evidentemente centrale nella PSD2, di garantire un livello elevato di protezione dei consumatori: riconoscere al prestatore la facoltà di negare a priori il rimborso invocando la colpa grave svuoterebbe di efficacia l’obbligo di restituzione immediata e costringerebbe la vittima della truffa a prendere l’iniziativa di una causa, con tutti i costi e i disagi che un contenzioso comporta per chi ha appena perso dei soldi.
Spetterà ora al tribunale di Koszalin chiudere la controversia applicando il principio stabilito a Lussemburgo.
