La negligenza grave del cliente non esonera il prestatore di servizi di pagamento dal rimborso immediato dell’importo di un’operazione di pagamento non autorizzata. Tuttavia il prestatore di servizi di pagamento può richiedere successivamente al cliente il rimborso delle perdite derivanti da una negligenza grave da parte di quest’ultimo. È quanto stabilito dalla Corte di giustizia Ue, nell’ambito di un caso di frode tramite phishing.
Phishing e pagamenti non autorizzati, la vicenda
Una cliente di una banca polacca è stata vittima di una frode tramite phishing: un terzo si è presentato come interessato all’acquisto di un oggetto che la donna stava vendendo su una piattaforma e le ha inviato un link fraudolento, presentato come proveniente da tale piattaforma e destinato a confermare la vendita.
Tale link conduceva a un sito internet che riproduceva l’aspetto di quello della banca della vittima, che ha inserito i propri dati di connessione al servizio di e-banking. Grazie a tali dati, il terzo in questione è riuscito a trasferire dal conto bancario della cliente a un conto a lui intestato un importo pari a circa euro 700.
Il giorno successivo la cliente ha segnalato l’operazione fraudolenta alla propria banca. Quest’ultima ha tuttavia rifiutato di rimborsare l’importo dell’operazione di pagamento non autorizzata ritenendo che la cliente, per negligenza grave, avesse reso possibile tale operazione, venendo meno al proprio obbligo di proteggere le credenziali di sicurezza personalizzate.
A seguito di tale rifiuto, la cliente ha adito un tribunale polacco, il quale ha chiesto alla Corte di giustizia se – alla luce del diritto dell’Unione – la banca, in qualità di prestatore di servizi di pagamento, sia tenuta a rimborsare immediatamente l’importo di un’operazione non autorizzata, anche qualora ritenga che il cliente abbia commesso una negligenza grave.
La sentenza della Corte Ue
Nella sua sentenza, la Corte risponde affermativamente: “in caso di operazione di pagamento non autorizzata – spiega la Corte – il prestatore di servizi di pagamento è, in linea di principio, tenuto a rimborsare immediatamente l’importo di tale operazione, al più tardi entro la fine del primo giorno lavorativo successivo a quello in cui ne è venuto a conoscenza o ne è stato informato, a condizione che il cliente ne informi senza indugio tale prestatore di servizi di pagamento“.
È prevista un’unica eccezione a tale obbligo di rimborso immediato: “nel caso in cui il prestatore di servizi di pagamento abbia ragionevoli motivi per sospettare una frode commessa dal cliente e comunichi tali motivi per iscritto all’autorità nazionale competente”.
Mentre, “il fatto che il prestatore di servizi di pagamento ritenga che il cliente abbia reso possibile l’operazione non autorizzata a causa di una negligenza grave – in particolare omettendo di adottare le misure necessarie per proteggere le credenziali di sicurezza personalizzate – non gli consente di rifiutare il rimborso immediato“.
Pertanto, in un primo momento, il prestatore di servizi di pagamento è tenuto a procedere al rimborso immediato. In un secondo momento, esso può, se del caso, richiedere al cliente il rimborso delle perdite subite, qualora “dimostri che queste derivino dal fatto che il cliente, dolosamente o per negligenza grave, ha violato gli obblighi a lui incombenti, in particolare quello di proteggere le credenziali di sicurezza personalizzate. Spetta al prestatore di servizi di pagamento dimostrare l’esistenza di tale negligenza grave da parte del cliente“.
