IL COLLEGIO DI ROMA
composto dai signori:
Dott. Giuseppe Marziale... Presidente
Dott.ssa Claudia Rossi ………… Membro designato dalla Banca d'Italia
Avv. Massimiliano Silvetti……….. Membro designato dalla Banca d'Italia [Estensore]
Avv. Michele Maccarone…… ……. ……….. Membro designato dal Conciliatore Bancario e Finanziario – per le controversie in cui sia parte un consumatore
Prof.ssa Daniela Primicerio…………. Membro designato dal C.N.C.U.
nella seduta del 06/03/2012, dopo aver esaminato x il ricorso e la documentazione allegata;
x le controdeduzioni dell'intermediario e la relativa documentazione;
x la relazione istruttoria della Segreteria tecnica,
Fatto
Il ricorrente, titolare di un conto corrente on-line, dichiarava di essere stato telefonicamente contattato, in data 26 giugno 2007, da un operatore dell’intermediario resistente che gli chiedeva conferma di alcuni movimenti effettuati dal predetto conto corrente a beneficio di titolari di carte di pagamento emesse dallo stesso intermediario.
A seguito di una successiva richiesta di estratto conto, il ricorrente apprendeva che erano state effettuate, a sua insaputa, tre distinte operazioni, in data 23 giugno 2007, per importi di € 2.800,00, € 2.900,00 ed € 1.900,00.
Il ricorrente immediatamente disconosceva tali movimentazioni, sporgendo atto di denuncia querela presso la polizia giudiziaria. In tale occasione egli dichiarava di aver ricevuto, qualche giorno prima delle operazioni fraudolente, alcuni “messaggi di posta apparentemente inviati [dalla parte resistente] con i quali [gli] veniva chiesto di digitare i codici di accesso e di sicurezza al portale [internet
dell’intermediario], ai quali [aveva] aderito fornendo i dati richiesti”.
Il giorno successivo, il ricorrente sporgeva reclamo all’intermediario, disconoscendo ulteriormente le riferite operazioni.
L’intermediario resistente comunicava al ricorrente, in data 9 luglio 2007, di aver interessato della posizione uno specifico servizio e, in data 12 novembre 2007, di poter procedere alla valutazione della sua posizione solo all’esito delle indagini di polizia giudiziaria e dell’accertamento delle relative responsabilità.
In data 28 giugno 2010, trascorsi alcuni anni dall’accaduto senza che l’intermediario fornisse ulteriori notizie, il ricorrente reiterava le proprie richieste di chiarimenti.
Con lettera del 26 novembre 2010, l’intermediario comunicava al ricorrente il rigetto dell’istanza di rimborso.
Con successivo reclamo presentato, a detta del ricorrente, in data 23 maggio 2011, quest’ultimo chiedeva la restituzione della somma totale di € 7.600,00, fraudolentemente sottrattagli, rilevando il grave ritardo con cui l’intermediario aveva fornito un riscontro, sia pur negativo, alla propria iniziale istanza e sottolineando l’inadeguatezza, all’epoca dei fatti, del livello di protezione garantito dalla parte resistente.
Non ricevendo riscontro alcuno, presenta quindi ricorso all’Arbitro Bancario Finanziario in data 30 giugno 2011, con il quale chiede la “restituzione della somma di denaro indebitamente sottratta” o, in alternativa, un “congruo risarcimento del danno subito”.
Costituitosi ritualmente, l’intermediario evidenzia, in punto di fatto, che il ricorrente, come da lui stesso dichiarato nell’atto di denuncia querela, nei giorni precedenti alla data delle operazioni disconosciute aveva ricevuto delle e-mail
“esca” apparentemente inviate dalla resistente e, a seguito delle indicazioni ivi contenute, aveva dato seguito fornendo le credenziali richieste. E che quindi, in data 23 giugno 2007, venivano “regolarmente” disposte le operazioni di ricarica on-line a beneficio dei titolari di carte prepagate, all’esito delle quali costoro provvedevano, pochi minuti dopo l’accredito, a ritirare la totalità della somma accreditata. Risulta in particolare che, pochi istanti dopo le disposizioni on-line, le somme sono state prelevate nell’arco di 22 minuti presso tre diversi sportelli dell’intermediario resistente.
L’intermediario resistente ha quindi aggiunto che, non essendo più nella sua disponibilità la somma richiesta dal ricorrente, in quanto trasferita a terzi, la domanda di restituzione è infondata e avrebbe dovuto essere rivolta a coloro che, in base a quanto affermato dalla ricorrente, ne sarebbero indebiti percettori.
Per altro verso, il resistente afferma che, sulla base di quanto previsto dal contratto, “è del tutto pacifico che gli ordini oggetto del ricorso in esame risultano impartiti in modo assolutamente regolare cioè attraverso l'utilizzo dei codici personali e secondo le condizioni contrattuali” e pertanto l'uso del servizio con le modalità previste comporta l’identificazione del titolare e autorizza l’intermediario a eseguire le operazioni disposte con piena liberazione da ogni responsabilità.
Del resto, secondo l’intermediario, in base al sistema di crittografia dei dati e di riconoscimento dell’utente e alle certificazioni prodotte, risulta comprovato che sono state adottate tutte le metodologie e gli accorgimenti atti a garantire un adeguato sistema di sicurezza delle informazioni, secondo i più rigorosi e affidabili standards internazionali. In base a tale rilievo, “è possibile rilevare che sono state poste in essere tutte le misure volte a impedire a terzi accessi fraudolenti”. In virtù di quanto previsto dalle condizioni contrattuali, l’intermediario ritiene dunque di aver pienamente assolto i propri obblighi con la diligenza qualificata, eseguendo gli ordini regolarmente impartiti ed al contempo assicurando la sicurezza dei propri sistemi.
In ordine alla e-mail “esca” ricevuta dal ricorrente, l’intermediario evidenzia che il cliente era stato informato, sin dal 2005, come tutti gli altri titolari di conti on-line, circa l’esistenza del fenomeno del c.d. “phishing”. Inoltre, asserisce di non chiedere mai attraverso messaggi di posta elettronica, lettere o telefonate, di fornire i codici personali ed i dati e di non inviare comunicazioni se non nella apposita sezione di posta elettronica prevista per i correntisti abilitati al servizio on-line. In proposito, afferma di aver attivato (sin dal dicembre 2008) un nuovo sistema di posta elettronica sicura che consente al cliente di avere la certezza che tutti i messaggi che arrivano in tale spazio elettronico siano stati inviati dalla banca stessa e di averne dato notizia a tutti i clienti con apposita comunicazione.
L’intermediario chiede pertanto che il ricorso venga respinto.
Diritto
1. Risulta pacifico, per essere stato ammesso dallo stesso ricorrente, che quest’ultimo è stato vittima del fenomeno del c.d. “phishing”. Nell’eseguire le istruzioni contenute nella e-mail “esca” ricevuta prima delle operazioni abusive, il ricorrente ha di fatto comunicato al terzo frodatore le credenziali del proprio conto corrente on line, permettendo a quest’ultimo di poter eseguire il giroconto.
2. Le operazioni contestate sono state effettuate in data 23 giugno 2007, in epoca antecedente all’emanazione della Direttiva n. 2007/64/CE del 13 novembre 2007, relativa ai servizi di pagamento nel mercato interno e, ovviamente, ben prima della sua attuazione nel nostro ordinamento (avvenuta in data 1° marzo 2010, a seguito dell’entrata in vigore del D. Lgs. 27 gennaio 2010, n. 11).
Deve pertanto escludersi che nel caso di specie possano trovare applicazione i principi contenuti nella citata Direttiva 2007/64/CE, e, in particolare, quello enunciato dall’art. 61, che limita fino alla concorrenza di € 150 “la perdita” posta a carico del titolare di uno strumento di pagamento utilizzato indebitamente da terzi, salvo che tale uso sia stato reso possibile da un suo comportamento doloso o colposo.
3. Il ricorrente ammette di aver aderito, tratto in inganno dalla apparente veridicità della pagina web, alla richiesta – contenuta nella e-mail “esca” – di digitare le credenziali del proprio conto corrente. Come già ritenuto dall’Arbitro Bancario Finanziario in fattispecie consimili, un comportamento siffatto, evidenzia certamente “una non corretta gestione dell'home banking ed un approccio alquanto superficiale agli strumenti informatici ad esso connessi” sufficiente ad integrare gli estremi della colpa (cfr. Collegio di Roma, decisione del 29 luglio 2011, n. 1678).
Appare tuttavia evidente, a parere del Collegio, la prevalente responsabilità dell’intermediario, da ascriversi a gravi carenze del proprio sistema organizzativo.
Gli intermediari bancari sono invero tenuti ad un obbligo di diligenza particolarmente qualificata, che come tale deve essere valutata con particolare
rigore, stante la connotazione professionale del soggetto e dell’attività esercitata (ex multis, Coll. Roma, dec. n. 665 del 2 luglio 2010, secondo cui “non può essere omessa (…) la verifica dell’adozione da parte dell’istituto bancario delle misure idonee a garantire la sicurezza del servizio”, proprio in ragione del carattere qualificato della diligenza del buon banchiere, da valutare tenendo conto dei rischi tipici della sfera professionale di riferimento; conf. Cass. 24 settembre 2009 n.20543).
Come noto, nei rapporti contrattuali con il cliente, l’intermediario “risponde secondo le regole del mandato (art. 1856 c.c.), che impongono una diligenza rafforzata, la diligenza del buon banchiere, qualificata dal maggior grado di prudenza e attenzione che la connotazione professionale dell’agente consente e richiede" (cfr. Cass. 24 settembre 2009, n. 20543; v. anche Cass. 31 marzo 2010, n. 7956, sulle cautele che la banca è tenuta ad adottare).
Ciò comporta, con specifico riferimento all'utilizzazione di servizi e strumenti con funzione di pagamento che si avvalgono di mezzi meccanici o elettronici, che
"non può essere omessa la verifica dell'adozione da parte dell'istituto bancario delle misure idonee a garantire la sicurezza del servizio; infatti, la diligenza posta a carico del professionista ha natura tecnica e deve essere valutata tenendo conto dei rischi tipici della sfera professionale di riferimento ed assumendo quindi come parametro la figura dell'accorto banchiere" (Cass. 12 giugno 2007 n. 13777).
Sul punto deve osservarsi che, diversamente da quanto si afferma nelle controdeduzioni, vertendosi in tema di responsabilità contrattuale è l’intermediario convenuto a dover fornire la prova di aver agito con la dovuta diligenza (art. 1218 c.c.). Prova che, nel caso di specie, non è stata raggiunta, essendosi l'intermediario convenuto limitato a dedurre che l'accesso alle funzioni on-line del conto corrente ha richiesto l’uso dei codici identificativi e che i sistemi di sicurezza predisposti al riguardo offrono sufficienti garanzie (cfr., per l’insufficienza di tali deduzioni ai fini della prova della diligenza, Collegio di Roma, decisione del 9 giugno 2011, n. 1214). In proposito, come pure già rilevato in precedenti decisioni da questo Collegio (v. decisione del 1° marzo 2011, n. 405) è necessario evidenziare che costituisce dato acquisito, anche negli ambienti bancari (cfr. il
“Rapporto ABI CIPA CNIPA sul furto di identità elettronica tramite internet. Analisi del fenomeno”, Roma, 2006, 23 e ss.), quello secondo cui, allo stato delle conoscenze tecnologiche, non si può affatto escludere la possibilità della
sottrazione al cliente, da parte del terzo frodatore, dei codici identificativi per l’accesso ai servizi bancari on-line o per l'utilizzo di strumenti di pagamento, senza che al comportamento del cliente possa riconoscersi determinante efficienza causale nella produzione del fatto illecito.
L’esame della documentazione prodotta ha evidenziato che la somma di € 7.600 è stata sottratta mediante 3 operazioni on line, avvenute nell’arco temporale di circa 20 minuti (dalle ore 9.04 alle ore 9.25 del 23.6.07) a beneficio di altri titolari di carte prepagate emesse dello stesso intermediario, ciascuno dei quali ha provveduto “dopo pochi minuti” a prelevare la totalità dell’importo accreditato.
Le modalità che hanno contrassegnato gli avvenimenti appena descritti – e soprattutto la circostanza che alcuni titolari di carte prepagate possano prelevare indebitamente somme di denaro da conti o carte prepagate intestate ad altri correntisti dello stesso intermediario e poi svanire nel nulla,rendendosi irreperibili, secondo modalità operative che questo Collegio ha avuto modo di riscontrare anche in relazione ad altri ricorsi portati al suo esame e che, per quanto è stato possibile constatare nel presente procedimento, non sono state ancora efficacemente contrastate – evidenzia una singolare carenza dei presidi di sicurezza.
Anche a voler prescindere da quest’ultimo aspetto, invero inquietante, appena rilevato, appare evidente infatti la grave insufficienza del monitoraggio sulla trasmissione dei dati, che ha reso possibile il reiterarsi di operazioni che avrebbero dovuto invece essere bloccate e ha impedito che scattasse un presidio di sicurezza al determinarsi di anomalie, quali quelle denunciate dal ricorrente e non contestate dall’intermediario. Altrettanto censurabile è poi la mancata previsione negli schemi contrattuali dell’intermediario della possibilità per il correntista di indicare un massimale di utilizzo giornaliero che, se previsto, avrebbe consentito di limitare i danni. Né minor rilievo assume, infine, la mancata predisposizione di un ulteriore ed adeguato livello di autenticazione, come ad es. il token, la cui adozione era stata raccomandata dall’associazione di categoria bancari fin dal 2006 quale efficace contromisura contro gli attacchi informatici realizzati con modalità similari(phishing) a quelle di cui è rimasto vittima il ricorrente (Decalogo
per le Banche,in ABI-CNIPA, Rapporto sul furto di identità elettronica tramite internet, All. 1).
Per altro verso, non può non darsi rilievo alla circostanza che, addirittura per interi anni successivi all’accaduto e nonostante le relative denunce da parte del ricorrente, l’intermediario non l’abbia più contattato per aggiornarlo sullo stato di avanzamento delle sue richieste.
In considerazione di quanto precede, ai sensi dell’art. 1227 c.c., appare congruo determinare l’incidenza dei comportamenti colposi del ricorrente e dell’intermediario nella causazione del danno rispettivamente nella misura del 30%
e del 70%.
4. Deve conseguentemente affermarsi che l’intermediario è tenuto a risarcire al ricorrente la complessiva somma di € 5.320,00, pari al 70% della somma indebitamente sottratta, oltre agli interessi nella misura legale dalla data delle operazioni fraudolente sino al saldo effettivo.
P.Q.M.
Il Collegio accoglie parzialmente il ricorso nei sensi di cui in motivazione.
Dispone inoltre che l’intermediario corrisponda alla Banca d’Italia la somma di Euro 200,00 (duecento/00) quale contributo alle spese della procedura e al ricorrente di Euro 20,00 (venti/00) quale rimborso della somma versata alla presentazione del ricorso.
IL PRESIDENTE
firma 1
