Operazioni bancarie fraudolente: la banca deve provare il dolo o la colpa grave del cliente

RAGIONI IN FATTO E IN DIRITTO DELLA DECISIONE
I fatti di causa.

1. Te. S.U.R.L. ha chiamato in giudizio Ba.Ge. s.p.a. (di seguito solo Ba.Ge. o la banca) allegando di essere titolare di un conto corrente bancario (n. (…)) presso la convenuta (doc. 1 attore). Prosegue affermando che nella mattina del giorno 12.03.2018 il sig. Ti., amministratore della società attrice, si avvide di un malfunzionamento della rete del proprio telefono cellulare e che, contattato l'operatore telefonico, gli venne riferito che vi era stato un cambio di SIM sulla sua utenza, cambio non da lui disposto. In seguito, nella giornata del 13.03.2018, vennero disposti dal conto corrente dell'attrice due bonifici, uno per Euro 13.998,00 e l'altro di Euro 14.000,00; il sig. Ti., consapevole di non averli disposti, nella mattina del 14.03.2018 si recò in banca per cercare, vanamente, di bloccare l'operazione e poi sporse querela presso la stazione dei Carabinieri di Brusciano (NA) (doc. 3 attore, da dove si ricava anche la tempistica della visita personale alla filiale). Dalle successive indagini della Polizia giudiziaria è emerso che, in effetti, l'attrice aveva subito una frode del tipo c.d. sim swap, che aveva permesso di confermare i bonifici, disposti con il servizio di internet banking dopo aver carpito fraudolentemente il codice cliente e la password, tramite il codice inviato al telefono.

2. A fondamento della domanda svolta contro Ba.Ge., l'attrice afferma che, nel caso di pagamento non autorizzato dal cliente, è sufficiente che questi provi la fonte dell'obbligazione contrattuale e alleghi l'inadempimento dell'obbligo di garantire la sicurezza dei dati personali, mentre grava sulla banca l'onere di dimostrare che il danno si è verificato per causa non imputabile; sul punto richiama delle decisioni della Corte di Cassazione.

3. Ba.Ge. si è costituita in giudizio resistendo alla pretesa attorea, affermando che nessuna responsabilità può esserle attribuita, dal momento che adotta tutti i sistemi di sicurezza richiesti dalla vigente normativa e che, invece, l'avvenuta frode deve essere ricondotta al comportamento colposo dell'attrice. Tale comportamento sarebbe da ricondurre a due profili: l'aver custodito senza la richiesta diligenza i codici e le password e l'essersi attivato non tempestivamente con la banca per il blocco del conto, avendo avuto conoscenza del cambio non autorizzato di SIM nel pomeriggio del giorno 12.03.2018 ma avendo atteso fino alla mattina del 14.03.2018 per recarsi in filiale. In subordine per il caso di propria condanna, la convenuta chiede che il risarcimento dovuto sia ridotto ex art. 1227, comma 2 c.c., sempre per il comportamento colposo dell'attrice.

4. La causa è stata istruita su base documentale e con lo svolgimento di c.t.u.; dalle conclusioni di quest'ultima è però possibile prescindere ai fini della decisione, dal momento che ha accertato solo che il sistema di autenticazione della banca era del tipo "a due fattori" e che oltre al cambio di SIM, devono essere stati carpiti anche i codici personali perché la truffa del tipo avvenuto posso essere compiuta.

Decisione della causa.

Il quadro normativo di riferimento.

1. La responsabilità degli istituti bancari nell'utilizzo degli strumenti di pagamento elettronici è disciplina dal D. Lgs. 11/2010 (Attuazione della direttiva 2007/64/CE) agli artt. 7-12. L'art. 10 prevede in particolare che "Qualora l'utente di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento già eseguita", il prestatore di servizi di pagamento ha l'onere di provare che "l'operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze dei malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti oltre a dover "fornire la prova della frode, dei dolo o della colpa grave dell'utente", così da escludere ogni rimborso a favore del correntista.

2. Secondo il dettato normativo, dunque, non è sufficiente che l'intermediario dimostri di aver agito con la diligenza qualificata richiesta dall'art. 1176 co. 2 c.c. attraverso l'adozione delle misure di sicurezza idonee a prevenire il rischio di eventuali frodi. Deve fornire una prova assai più pregnante e cioè che l'utilizzatore ha con dolo o colpa grave comunicato ad altri i codici di sicurezza o non li ha correttamente conservati (vedi Cass. 13204/2023, Cass. 16417/2022; Cass. 2950/2017).

3. Il regime probatorio appena descritto è in effetti fortemente sbilanciato a sfavore del prestatore di servizi, il quale - si ribadisce - non può limitarsi a dimostrare (sovente attraverso certificazioni) di essersi adeguato ai più recenti standard di sicurezza richiesti dalla legislazione europea e nazionale; deve anche dimostrare il dolo e la colpa grave dell'utente, con fatti o azioni che appartengono alla sfera di conoscenza e controllo dell'utilizzatore del servizio. La giurisprudenza e la dottrina pongono correttamente in evidenza che la legislazione in materia è fondata sul principio dell'allocazione del rischio professionale in capo al soggetto che è in grado di farvi fronte, nonché sui principi della tutela del contraente debole e mirano, in ultima istanza, alla salvaguardia della fiducia nel sistema bancario ed alla tutela del risparmio ex art. 47 Cost. Alla base della legislazione europea, cui l'Italia si è adeguata, vi è l'idea solidaristica che la responsabilità civile debba gravare sull'operatore professionale, essendo egli ritenuto il soggetto maggiormente in grado di prevenire e contrastare i rischi specifici, nonché di ammortizzarli o assicurarli.

Il caso concreto.

1. Fatta questa necessaria premessa sul quadro normativo e sulla distribuzione dell'onere della prova, si scende ora all'analisi del caso di specie. È emerso dagli atti di indagine della Procura della Repubblica svolte dopo la denuncia dell'attrice (v. doc. 6-8 attrice, riferiti alle indagini e ai procedimenti penali contro persone identificate come partecipanti nella frode) che T. EP s.u.r.l. è stata vittima di una truffa cosicché sotto questo profilo non emergono suoi profili di colpa grave.

2. Per completezza deve ulteriormente evidenziarsi che sulla base delle regole sulla distribuzione del rischio del danno la banca sarebbe stata tenuta comunque a rispondere, anche se non fosse stata provata la truffa. Invero, la responsabilità del prestatore del servizio viene affermata anche quando non sia individuabile la causa dell'addebito perché dalle prove acquisite non emergano elementi utili per ricostruire la dinamica dell'operazione non autorizzata (Cass. 9158/2018; Cass. 290/2017); si tratta del c.d. "ignoto tecnologico". Dinanzi alle deduzioni di parte attrice, che nel disconoscere le operazioni di bonifico ha affermato di non aver mai comunicato le credenziali di userid e password deve ritenersi che la convenuta non abbia ottemperato l'onere della prova su di sé gravante ex art. 10 c. 2 del D.Lgs. n. 11 del 2010, giacché non è possibile inferire la colpa grave del cliente esclusivamente dalla formale regolarità delle operazioni contestate provata da documenti informatici, essendo altresì necessario che la banca indichi specificamente ulteriori elementi di fatto che hanno caratterizzano le modalità esecutive della truffa informatica, dai quali possa trarsi la prova, anche in via presuntiva, della colpa grave dell'utente, allegazioni che, nel caso di specie, sono risultate assenti.

3. Quanto, poi, all'essersi attivato per il blocco del conto con un giorno di ritardo, tale condotta può al limite configurare un'ipotesi di colpa lieve, tenuto conto del tempo normalmente necessario per rendersi conto di avere subito una truffa informatica, che nel caso ora in esame non è stato tale da postulare una seria mancanza di cura dei propri interessi. Di conseguenza, non configurandosi nemmeno sotto il profilo del tempo impiegato per ottenere il blocco del conto bancario un comportamento gravemente colposo, tale condotta non è idonea a far venir meno la responsabilità di Ba.Ge., né può rilevare ai fini della riduzione equitativa del danno risarcibile.

4.In definitiva, quindi, deve ritenersi alla luce delle regole sopra enucleate, che la banca convenuta sia tenuta a restituire le somme sottratte. Su tali somme vanno calcolati gli interessi legali dal 13.03.2018.

Le spese di lite.

Le spese di lite seguono la soccombenza, comprese quelle per c.t.u., secondo la regola generale dettata dall'art. 91 c.p.c., e sono liquidate come da dispositivo secondo i parametri previsti dal D.M. 55/2014, in base allo scaglione della causa (Valore della causa: da Euro 26.001 a Euro 52.000).

P.Q.M.
ogni altra istanza, deduzione ed eccezione disattesa, definitivamente pronunziando, il Tribunale di Trieste così provvede:

1. condanna Ba.Ge. s.p.a. a restituire a Te. s.u.r.l. la somma di Euro 27.998,00, oltre agli interessi legali dal 13.03.2018 al pagamento;

2. condanna la convenuta al pagamento delle spese processuali a favore dell'attrice, liquidate in Euro 6.000,00 per competenze di avvocato ed Euro 545,00 per esborsi, oltre a spese generali nella misura del 15%, IVA e CNAP come per legge;

3. pone definitivamente a carico della soccombente Ba.Ge. s.p.a. il pagamento delle spese per la c.t.u.

Manda alla cancelleria per gli adempimenti.

Così deciso in Trieste il 16 luglio 2024.

Depositata in Cancelleria il 25 luglio 2024.