Truffe online, la banca deve rimborsare subito: la sentenza Ue

19/10/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   La banca deve rimborsare immediatamente il cliente vittima di una truffa online quando dal suo conto viene eseguito un pagamento non autorizzato, anche se ritiene che il correntista abbia agito con grave negligenza. Lo ha stabilito la Corte di giustizia dell'Unione europea con la sentenza del 15 ottobre 2026, relativa alla causa C-70/25. La decisione chiarisce che l'eventuale responsabilità del cliente non permette all'istituto di credito di bloccare automaticamente la restituzione del denaro sottratto. La normativa europea distingue infatti l'obbligo di rimborso iniziale dalla successiva attribuzione delle perdite economiche provocate dalla frode.

Rimborso dei pagamenti non autorizzati: tempi ed eccezioni

Secondo la direttiva europea sui servizi di pagamento PSD2, il prestatore di servizi di pagamento deve restituire l'importo dell'operazione non autorizzata al più tardi entro la fine del giorno lavorativo successivo a quello in cui viene a conoscenza dell'addebito o riceve la segnalazione del cliente. Quest'ultimo deve informare senza indugio il proprio istituto dell'operazione contestata. La disposizione riguarda i pagamenti effettuati senza il consenso del titolare del conto e impone una procedura di restituzione che non può essere subordinata alla preventiva dimostrazione dell'assenza di negligenza da parte della vittima.

La Corte individua una specifica eccezione all'obbligo di restituzione immediata. La banca può non procedere nei termini ordinari quando dispone di ragionevoli motivi per sospettare che la frode sia stata commessa direttamente dal cliente e comunica tali motivi per iscritto all'autorità nazionale competente. Questa situazione è diversa dal caso in cui una persona venga ingannata da un truffatore e, attraverso il proprio comportamento, renda possibile l'accesso abusivo al conto. Il sospetto di una condotta gravemente negligente, da solo, non equivale a quello di una frode intenzionalmente commessa dal correntista.

Phishing e negligenza grave: chi deve dimostrare la responsabilità

La restituzione iniziale delle somme non significa che il cliente abbia necessariamente diritto a conservarle in via definitiva. Se l'istituto di credito ritiene che l'operazione sia stata resa possibile dalla violazione degli obblighi di sicurezza dell'utente, può successivamente chiedere il recupero delle perdite. Per ottenere tale risultato deve però dimostrare che il comportamento del correntista sia stato doloso oppure caratterizzato da negligenza grave. Tra gli obblighi considerati dalla disciplina europea figura quello di proteggere le credenziali di sicurezza personalizzate utilizzate per accedere ai servizi bancari.

La distinzione deriva dal rapporto tra gli articoli 73 e 74 della direttiva UE 2015/2366, che disciplinano rispettivamente la responsabilità del prestatore di servizi di pagamento per le operazioni non autorizzate e quella del pagatore per le perdite derivanti dall'utilizzo fraudolento degli strumenti di pagamento. Nell'interpretazione dei giudici europei, le due disposizioni operano in momenti diversi. La verifica della condotta del cliente può incidere sull'attribuzione definitiva del danno economico, ma non costituisce una condizione preliminare per l'adempimento dell'obbligo iniziale previsto dalla normativa.

Il caso della cliente polacca truffata durante una vendita online

All'origine della controversia c'è una donna che aveva messo in vendita un oggetto attraverso una piattaforma online. Un truffatore, fingendosi interessato all'acquisto, le aveva inviato un collegamento presentato come necessario per confermare la vendita. La donna aveva aperto il link ed era stata indirizzata a una pagina Internet che riproduceva l'aspetto del sito della propria banca. Convinta di utilizzare un servizio autentico, aveva inserito le credenziali di accesso all'e-banking, consegnando inconsapevolmente all'autore della frode le informazioni necessarie per entrare nel conto.

Il responsabile aveva utilizzato i dati acquisiti per trasferire circa 700 euro su un conto a lui intestato. Il giorno successivo la vittima aveva comunicato alla banca l'operazione fraudolenta, chiedendo la restituzione dell'importo. L'istituto aveva respinto la richiesta, sostenendo che la donna non avesse adeguatamente protetto le proprie credenziali personali e che tale comportamento configurasse una negligenza grave. Il rifiuto aveva quindi portato la correntista ad avviare un procedimento giudiziario contro la banca.

La controversia è arrivata davanti al Tribunale circondariale di Koszalin, in Polonia, che ha sottoposto alla giustizia europea una questione pregiudiziale sull'interpretazione della disciplina dei servizi di pagamento. Il procedimento nazionale vede contrapposte la cliente, identificata con le iniziali N.O., e l'istituto PKO BP S.A. La domanda di pronuncia pregiudiziale è stata formulata con decisione del 23 gennaio 2025 ed è pervenuta alla cancelleria della Corte il 3 febbraio dello stesso anno. Prima della pronuncia definitiva, l'avvocato generale Athanasios Rantos aveva presentato le proprie conclusioni il 5 marzo 2026, sostenendo l'impossibilità di negare la restituzione iniziale per la sola negligenza grave dell'utente.