LA CORTE DI GIUSTIZIA DELL’UNIONE EUROPEA SULLE FRODI CONCERNENTI LE OPERAZIONI DI PAGAMENTO: RIMBORSO DOVUTO SOLO SE LA DENUNCIA È TEMPESTIVA. UN BREVE CENNO ALLA SENTENZA DELLA QUARTA SEZIONE DEL 1° AGOSTO 2025 RESA NELLA CAUSA C-665/23.

19 Dic LA CORTE DI GIUSTIZIA DELL’UNIONE EUROPEA SULLE FRODI CONCERNENTI LE OPERAZIONI DI PAGAMENTO: RIMBORSO DOVUTO SOLO SE LA DENUNCIA È TEMPESTIVA. UN BREVE CENNO ALLA SENTENZA DELLA QUARTA SEZIONE DEL 1° AGOSTO 2025 RESA NELLA CAUSA C-665/23.

Quali tutele spettano all’utente di un servizio di pagamento – ad esempio al titolare di un conto corrente bancario – quando riscontra sul proprio conto un’operazione, come un prelievo di contante o un bonifico, che non ha mai autorizzato?

Nonostante il rafforzamento progressivo delle misure di sicurezza, soprattutto dopo l’introduzione della Strong Customer Authentication (SCA) prevista dalla normativa europea sui servizi di pagamento[1], le frodi non sono diminuite: si sono trasformate. Oggi la minaccia principale proviene dalle tecniche di social engineering, mediante le quali il truffatore, presentandosi come un operatore bancario o come un soggetto ritenuto affidabile, induce la vittima a rivelare credenziali riservate o ad autorizzare inconsapevolmente operazioni dispositive.

Accanto a tali modalità, continuano a verificarsi frodi “tradizionali”, quali il furto della carta associato alla conoscenza del PIN o la clonazione mediante sottrazione dei dati. Non mancano all’appello nemmeno le “frodi 3.0.”, ossia quelle particolari frodi legate all’associazione non autorizzata della carta a portafogli digitali (Apple Pay, Google Wallet).

Di fronte a tecniche fraudolente sempre più sofisticate, questo testo mira a fornire al consumatore-utente un orientamento pratico anche nei casi in cui l’anomalia venga individuata solo dopo settimane o mesi.

Una vicenda verificatasi in Francia ha portato la Corte di Giustizia dell’Unione Europea a pronunciarsi, il 1° agosto 2025, nella causa C-665/23. Il caso riguardava un cliente che aveva subito prelievi non autorizzati tramite una carta di pagamento che egli non ricordava di aver richiesto né ricevuto. I prelievi vennero effettuati quotidianamente tra il 30 marzo e il 17 maggio 2017; l’utente si accorse della frode soltanto il 23 maggio, dunque sei giorni dopo l’ultimo prelievo ma quasi due mesi dopo il primo.

I giudici francesi di primo e secondo grado negarono il rimborso, ritenendo che la contestazione non fosse stata presentata “senza indugio”, come richiesto dalla normativa europea, pur essendo avvenuta entro il termine complessivo di tredici mesi.

Per comprendere la questione occorre richiamare brevemente il quadro normativo applicabile all’epoca. Era in vigore la prima direttiva sui servizi di pagamento, la PSD1 (Direttiva 2007/64/CE), entrata progressivamente nel tessuto normativo di tutti gli Stati Membri.

La direttiva in questione è stata recepita in Italia dal d.lgs. 11/2010. In particolare, l’art. 9 di tale decreto – tuttora in vigore – impone all’utente l’obbligo di informare il prestatore di servizi di pagamento “senza indugio” quando venga a conoscenza di un’operazione non autorizzata, fissando comunque un limite massimo di tredici mesi per la comunicazione. Tale limite, però, non trova applicazione se l’intermediario non ha fornito le informazioni relative all’operazione contestata.[2]

Sebbene la PSD1 sia stata sostituita dalla Direttiva (UE) 2015/2366 (PSD2), la disciplina nazionale continua a richiamare la struttura originaria, poiché la nuova direttiva non ha riprodotto integralmente le norme sugli obblighi di comunicazione, limitandosi a disciplinare responsabilità e rimborso immediato (si vedano, ad ogni modo, gli artt. 71 e 74 PSD2).

Nel caso di specie, la Cour de cassation ha pertanto chiesto alla Corte di Giustizia se il mancato rispetto dell’obbligo di tempestività comporti la perdita del diritto al rimborso anche quando la comunicazione avvenga entro i tredici mesi; se tale perdita richieda dolo o colpa grave dell’utente; e se, in caso di più operazioni fraudolente, il diniego debba riguardare solo quelle che una segnalazione tempestiva avrebbe potuto evitare.

Il Giudice unionale ha chiarito che l’art. 58 della PSD1 deve essere interpretato nel senso che l’utente perde, in linea di principio, il diritto alla rettifica se non informa il prestatore “senza indugio” dopo aver preso conoscenza della frode, anche qualora la comunicazione avvenga entro il limite di tredici mesi. La perdita del diritto, tuttavia, opera soltanto in presenza di un comportamento intenzionale o gravemente negligente dell’utente, ossia di una violazione qualificata dei suoi obblighi di diligenza. Inoltre, l’esclusione del rimborso riguarda solo le operazioni la cui mancata contestazione tempestiva sia imputabile a tale comportamento colposo.

Sebbene riferita a una norma ormai superata a livello europeo, l’interpretazione offerta resta fondamentale per il sistema italiano, che continua a fare riferimento nel già citato art. 9 del d.lgs. 11/2010 in combinazione con la disciplina della PSD2.

Lo scarto apparente tra l’obbligo di comunicare “senza indugio” e il termine di tredici mesi si comprende considerando che nel 2007 l’home banking non era diffuso quanto oggi: il legislatore aveva quindi previsto un limite ampio per consentire comunque l’individuazione tardiva delle anomalie. Oggi, invece, la disponibilità di app bancarie, notifiche push e consultazioni frequenti del conto rende meno tollerabili i ritardi, e la diligenza dell’utente assume un ruolo centrale. Non a caso, la Corte ha ritenuto negligente il comportamento dell’utente che per un lungo periodo non aveva controllato il proprio conto né informato tempestivamente la banca delle numerose operazioni contestate.

Che cosa significa tutto questo per il consumatore-cliente italiano?

Significa che, in presenza di un’operazione non autorizzata, è necessario informare tempestivamente il prestatore di servizi di pagamento, anche se si è ancora entro il termine di tredici mesi. La tempestività è un requisito sostanziale: un ritardo ingiustificato può comportare la perdita del diritto al rimborso, salvo che la banca non abbia adempiuto ai propri obblighi informativi.

La tutela dipende dunque anche dalla diligenza dell’utente, valutata alla luce degli strumenti oggi disponibili per il monitoraggio costante del conto.

Il messaggio proveniente dalla Corte pertanto è chiaro: il diritto interviene per ristabilire l’equilibrio nei rapporti tra banca e utente, ma richiede a quest’ultimo una cooperazione attiva, fondata su un comportamento diligente anziché dormiente.

Dott. Luca De Vita

[1] V. PSD2 – Direttiva 2015/23667UE, recepita in Italia attraverso il D.lgs. 218/2017

[2] Ex art. 58 Direttiva 64/2007/CE – PSD1:

“Notifica di operazioni non autorizzate o effettuate in modo inesatto

L’utente dei servizi di pagamento ottiene una rettifica dal prestatore di servizi di pagamento solo se, venuto a conoscenza di un’operazione di pagamento non autorizzata o effettuata in modo inesatto che ha dato origine ad una richiesta, ivi compresi i casi di cui all’articolo 75, ne informa il suo prestatore di servizi di pagamento senza indugio ed entro 13 mesi dalla data di addebito, salvo che, se del caso, il prestatore di servizi di pagamento abbia omesso di fornire o mettere a disposizione le informazioni relative a tale operazione di pagamento conformemente alle disposizioni del titolo III”.