Truffe digitali “sotto dettatura” e responsabilità del PSP

Due recenti decisioni del Collegio di Milano dell’Arbitro Bancario Finanziario (nn. 2419 e 2587 del marzo 2025) hanno nuovamente affrontato il tema della responsabilità del prestatore di servizi di pagamento (PSP) nei casi di truffa ai danni del cliente. In entrambi i casi, il cliente aveva disposto personalmente l’operazione: nel primo, trasferendo fondi verso una piattaforma lavorativa rivelatasi fraudolenta; nel secondo, seguendo le istruzioni ricevute tramite SMS e telefonata da un finto operatore della banca. Il Collegio ha confermato l’indirizzo già consolidato: le operazioni eseguite direttamente dal cliente, anche se indotto in errore, sono da considerarsi autorizzate. Rientrano in tale categoria – sempre più frequente nella prassi – le operazioni “sotto dettatura”: il cliente, convinto della legittimità dell’operazione, inserisce le credenziali dispositive seguendo passo dopo passo le istruzioni del frodatore, senza percepire l’effettiva natura del pagamento.

Non si applica, dunque, il regime delle operazioni “non autorizzate” ex direttiva PSD2 (2015/2366/UE) e d.lgs. 11/2010. Nessun onere probatorio sull’intermediario, nessuna responsabilità oggettiva. Il punto, semmai, resta aperto sul piano dell’adeguatezza delle misure preventive e sulla possibilità – teorica – di una diversa forma di responsabilità secondo le regole del diritto comune, qualora emerga un contributo causale alla frode. In particolare, sono rilevanti (a) la mancata disponibilità, anche temporanea, del numero verde, che impedisca al cliente di verificare la legittimità delle istruzioni ricevute; (b) la risposta inadeguata da parte del personale dell’intermediario, cui il cliente si sia rivolto durante l’interazione fraudolenta; (c) l’omesso riconoscimento di segnali di frode, in particolare quando il cliente ritenga di effettuare un accredito a proprio favore, e il blocco dell’operazione avrebbe potuto disvelare l’inganno. Il Collegio, dunque, consolida la regola per cui l’autenticazione comporta autorizzazione, ma lascia spazio – ove giustificato dagli atti – a una valutazione di responsabilità dell’intermediario.