Phishing, la banca deve rimborsare subito anche se contesta la negligenza del cliente

La Corte di giustizia UE distingue il diritto al rimborso immediato dall’accertamento delle responsabilità. Martorana, presidente ASSOdata: «La protezione delle vittime deve accompagnarsi alla prevenzione e alla formazione digitale»

Una banca non può rifiutare il rimborso immediato di un pagamento non autorizzato soltanto perché ritiene che il cliente abbia custodito le proprie credenziali con grave negligenza. L’eventuale responsabilità dell’utente deve essere accertata separatamente e può giustificare, in un secondo momento, una richiesta di restituzione delle somme.

È il principio chiarito dalla Corte di giustizia dell’Unione europea nella sentenza del 15 ottobre 2026, causa C-70/25, che interviene su un problema concreto per chi subisce una frode informatica: ottenere tempestivamente il riaccredito del denaro sottratto senza dover prima affrontare un contenzioso sulle proprie responsabilità.

La truffa attraverso una falsa piattaforma di vendita

La vicenda riguarda una cliente di una banca polacca che aveva messo in vendita un oggetto online. Un falso acquirente le aveva inviato un collegamento presentato come necessario per confermare la vendita. Il link conduceva a un sito che riproduceva l’aspetto della sua banca: inserendo le credenziali di accesso, la donna aveva inconsapevolmente consegnato al truffatore i dati utilizzati per sottrarle circa 700 euro.

La cliente aveva segnalato l’operazione il giorno successivo. La banca aveva però negato il rimborso, sostenendo che la violazione degli obblighi di protezione delle credenziali integrasse una negligenza grave. Da qui il ricorso al giudice polacco e il rinvio alla Corte di giustizia.

Rimborso e responsabilità sono due questioni distinte

Interpretando la direttiva europea sui servizi di pagamento, la Corte chiarisce che, in presenza di un’operazione non autorizzata segnalata senza indugio, il prestatore deve procedere al rimborso immediatamente e, comunque, entro la fine del primo giorno lavorativo successivo a quello in cui ha avuto conoscenza dell’operazione o ne è stato informato.

L’eccezione riguarda l’esistenza di ragionevoli motivi per sospettare una frode commessa dal cliente: tali motivi devono essere comunicati per iscritto all’autorità nazionale competente. La semplice contestazione di una negligenza grave non consente invece di bloccare il rimborso.

Resta possibile chiedere successivamente al cliente la restituzione delle perdite, dimostrando che derivino dalla violazione dolosa o gravemente negligente dei suoi obblighi. L’onere di provare la negligenza grave ricade sul prestatore di servizi di pagamento.

Martorana: tutela effettiva e consapevolezza digitale

«La distinzione indicata dalla Corte è essenziale per rendere effettiva la tutela delle vittime: il cliente non può essere lasciato senza le somme sottratte soltanto perché la banca gli contesta una condotta gravemente negligente. Il rimborso immediato e l’accertamento di chi debba sostenere definitivamente la perdita seguono due momenti distinti», osserva Marco Martorana, presidente di ASSOdata.

«Questo principio deve accompagnarsi a un investimento continuo nella prevenzione. Il phishing sfrutta la fiducia, la fretta e la familiarità con strumenti che utilizziamo ogni giorno. La protezione delle credenziali richiede sistemi sicuri, informazioni comprensibili e formazione: le persone devono poter riconoscere i segnali di una frode e sapere come intervenire tempestivamente».

Per ASSOdata, la decisione offre quindi l’occasione per richiamare l’attenzione sul legame tra sicurezza dei dati e tutela economica degli utenti. Credenziali sottratte e pagine contraffatte possono trasformare un’attività ordinaria, come una vendita online, in un danno finanziario.

«La consapevolezza digitale si costruisce prima dell’incidente, con indicazioni concrete e accessibili. Dopo una frode, invece, servono procedure di segnalazione chiare e risposte tempestive. Prevenzione e tutela devono procedere insieme», conclude Martorana.

La pronuncia riguarda specificamente le operazioni di pagamento non autorizzate: non introduce un diritto indistinto al rimborso per qualsiasi truffa online e non esclude l’eventuale responsabilità finale del cliente. Chiarisce, però, che la contestazione della negligenza grave non può diventare un ostacolo preventivo al riaccredito dovuto.