Collegio di Napoli, 15 luglio 2010, n.732
Categoria Massima: Home banking / Phishing
Parole chiave: Carte prepagata, Circostanze rilevanti, Home banking, Imputabilità al cliente, Phishing, Utilizzo fraudolento
Il rischio della frode informatica mediante phishing non può essere posto a carico del cliente, salvo che non sia a lui imputabile un difetto di prudenza o di diligenza nella conservazione e custodia dei propri dati personali, nel qual caso troverebbero applicazione i principi in tema di concorso di colpa (nel caso di specie, il Collegio, in accoglimento delle ragione della ricorrente, evidenziava come: la carta fraudolentemente ricaricata era stata consegnata nella medesima data in cui risulta apposto il blocco cautelativo; inoltre, i movimenti della citata carta evidenziano una serie di operazioni di ricarica nella medesima data del rilascio, e a distanza di pochi minuti tra di loro. La tempistica e la sequenza delle operazioni (ricariche/prelievo), infatti, avvaloravano l’ipotesi di frode informatica sollevata dalla ricorrente).
Testo sentenza:
IL COLLEGIO DI NAPOLI composto dai signori:
- Prof. Avv. Enrico Quadri (Presidente)
- Dott. Comm. Leopoldo Varriale (Membro designato dalla Banca d’Italia) - Prof. Avv. Ferruccio Auletta (Membro designato dalla Banca d’Italia)
- Prof.ssa Marilena Rispoli Farina (Membro designato dal Conciliatore Bancario Finanziario - Estensore)
- Avv. Roberto Manzione (Membro designato dal C.N.C.U.) nella seduta del 15 giugno 2010 dopo aver esaminato
- il ricorso e la documentazione allegata;
- le controdeduzioni dell’intermediario e la relativa documentazione;
- la relazione istruttoria della Segreteria tecnica FATTO
La ricorrente, titolare di una carta prepagata, rilevava dall’estratto conto, in data 13.11.2008, che era stata effettuata un’operazione di ricarica di € 711,00, il precedente 10 novembre e a beneficio di una diversa carta prepagata intestata ad altro soggetto e da lei disconosciuta.
Pertanto, in pari data, la cliente provvedeva a bloccare la carta e a sporgere denuncia presso la locale stazione dei Carabinieri; poi con raccomandata formalizzava il disconoscimento dell’operazione e chiedeva all’intermediario il rimborso della somma indebitamente sottrattale.
Con nota del 10.11.2009 - essendo rimasta inevasa la sua richiesta - la ricorrente tramite il proprio legale, costituiva in mora l’intermediario al fine di ottenere il predetto rimborso.
L’intermediario, nel fornire riscontro con lettera del 25.11.2009, respingeva la richiesta della cliente precisando che la transazione disconosciuta risultava effettuata con il corretto inserimento dei codici di accesso segreti per il riconoscimento del titolare e che il fatto segnalato era riconducibile ad un caso di frode informatica.
Forniva poi alcuni riferimenti circa le modalità di attuazione del furto d’identità on lineprecisando che “deve essere cura di chi utilizza strumenti informatici adottare tutte le cautele necessarie per garantire la riservatezza dei propri dati”. Sottolineava inoltre di aver avviato sull’argomento una massiccia campagna informativa avvalendosi di diversi canali di comunicazione sin dal 2005.
Nel successivo ricorso dopo aver esposto i fatti la ricorrente ha chiesto all’Arbitro il rimborso della somma di € 711,00 indebitamente prelevata. Ha inoltre precisato di aver utilizzato la carta sempre con la massima riservatezza e seguendo le istruzioni dell’emittente.
Ha poi aggiunto, secondo quanto riferito dall’operatrice telefonica e riportato anche nella denuncia, che l’intermediario aveva identificato il titolare della carta che aveva effettuato l’operazione fraudolenta, in quanto autore anche di altre violazioni, provvedendo al blocco della
carta. In relazione a ciò ha osservato che non può escludersi la responsabilità dell’intermediario per aver rilasciato all’autore della sottrazione - acquisendolo come cliente identificato - una carta senza alcun tipo di accertamento preliminare.
In sede di controdeduzioni l’intermediario ha ribadito che l’operazione in contestazione è stata posta in essere da un soggetto autenticatosi come legittimo titolare mediante il corretto inserimento di tutte le credenziali di accesso, pertanto l’ordine di addebito oggetto di contestazione “era riconducibile al cliente mandatario in virtù del principio della rappresentanza apparente”. Secondo la resistente il corretto inserimento di tutte le credenziali sarebbe indicativo di una mancanza di diligenza da parte della cliente nella custodia dei propri dati identificativi e dispositivi. Per escludere la propria responsabilità ha poi richiamato l’art. 6, comma 5 delle “Condizioni per la richiesta e l’utilizzo della carta” e ha fatto presente il verificarsi, nel caso in questione, di un furto d’identità facendo riferimento alle considerazioni relative alla campagna informativa in argomento posta in essere già da diversi anni.
Con riguardo al mancato blocco della carta beneficiaria dell’operazione fraudolenta, in presenza di precedenti violazioni, così come riferito nella denuncia, l’intermediario ha precisato che l’operatrice a cui viene attribuita l’affermazione intendeva probabilmente riferirsi all’“attività tempestivamente avviata proprio a seguito del riconoscimento di operatività fraudolente, e quindi in anticipo rispetto alla denunciadella [ricorrente]”. Ha quindi sottolineato che il blocco cautelativo della carta in questione sarebbe stato apposto dopo sei minuti dall’accredito sulla stessa di presunta operatività fraudolenta; le somme non sarebbero state tuttavia recuperate. Alla luce di tali considerazioni ha chiesto al Collegio di respingere il ricorso.
DIRITTO
Ai fini di assumere la decisione del caso in questione va preliminarmente sottolineato che dall’esame delle evidenze informatiche prodotte dall’intermediario riferite alla carta fraudolentemente ricaricata emerge che la stessa è stata consegnata nella medesima data in cui risulta apposto il blocco cautelativo. I movimenti della citata carta evidenziano una serie di operazioni di ricarica nella medesima data del rilascio, e a distanza di pochi minuti tra di loro.
La tempistica e la sequenza delle operazioni (ricariche/prelievo) avvalora l’ipotesi di frode informatica sollevata dalla ricorrente e ammessa pure dall’intermediario, che parrebbe aver coinvolto più clienti.
Nonostante tale evidenza, ammessa più volte dallo stesso intermediario come si è già rilevato, questi insiste sulla circostanza che le operazioni sono state poste in essere da un soggetto autenticatosi come legittimo titolare mediante il corretto inserimento di tutte le credenziali di accesso, e che pertanto l’ordine di addebito oggetto di contestazione è “riconducibile al cliente [mandante] in virtù del principio della rappresentanza apparente”. Secondo la resistente il corretto inserimento di tutte le credenziali sarebbe indicativo di una mancanza di diligenza da parte della cliente nella custodia dei propri dati identificativi e dispositivi. Di conseguenza essa invoca la clausola, contenuta nelle “Condizioni per la richiesta e l’utilizzo della carta prepagata“, all’art. 6, comma 5, sottoscritte dalla cliente, in base alla quale il titolare risulta “ responsabile…per i danni..derivanti…dall’aver incautamente fornito a terzi i propri dati personali e/o strumenti di identificazione e legittimazione“.
In merito a tale clausola va subito rilevato che la stessa può essere considerata sospetta di vessatorietà, ai sensi dell’art. 33 del Codice del consumo, laddove esclude la responsabilità della banca per fatti non direttamente imputabili ad essa, come afferma la Giurisprudenza (si veda Trib. Roma 21 gennaio 2000) e la prevalente dottrina, e di conseguenza è da considerarsi nulla ai sensi dell’art.36 del Codice del consumo.
Va poi rilevato che questo Collegio si è pronunziato in altre circostanze su ipotesi di frode informatica accompagnate ad uso abusivo di strumenti di pagamento. Va ricordata la decisione 196/10 che, riconducendo nelle operazioni di conto corrente il rapporto tra cliente e banca al paradigma del mandato - ove appunto il cliente assume la veste di mandante, la banca quella di mandatario, e dove allora gli ordini volta a volta impartiti definiscono i limiti del mandato - ha precisato che la questione proposta dalla controversia, proprio in considerazione della formulazione concreta della domanda, dovesse essere affrontata e risolta interamente alla luce dell’art. 1711 c.c. che al primo comma sancisce appunto il principio per cui il mandatario non può eccedere i limiti del mandato, e dunque l’atto che esorbita da tali limiti resta a carico del mandatario. Nella specie il cliente aveva disconosciuto l’ordine - con assoluta tempestività, ed in forma pienamente idonea attraverso la denuncia ai Carabinieri (e così assumendosi anche tutte le responsabilità connesse alla dichiarazione resa), non appena rilevata la frode informatica ai suoi danni - e, per altro verso, lo stesso intermediario, pur affermando che l’ordine era stato impartito con l’uso delle chiavi di identificazione assegnate al cliente, riconosceva che quell’ordine non era ad esso autenticamente riferibile, arrivando lo stesso intermediario ad
ipotizzare il “furto di identità”. Il Collegio ha ritenuto che nella vicenda ricorresse l’ipotesi considerata dall’art. 1711, primo comma, c.c. e che dunque, stante la mancanza di un ordine imputabile al cliente - mandante, l’operazione eseguita dovesse porsi a carico della banca - mandataria, la quale, avendola già conteggiata in addebito sul conto del cliente, dovesse senz’altro procedere al richiesto rimborso. Né a una soluzione diversa, affermava ancora il Collegio, potrebbe condurre la circostanza – evocata dall’intermediario – che le condizioni generali di contratto espressamente approvate dal cliente, ed in particolare il richiamato art. 4, comma 1, della sezione VI, abbiano previsto che il cliente “accetta gli addebiti delle operazioni disposte mediante il servizio”, giacché in tanto tale clausola può entrare in gioco solo sulla premessa che le operazioni siano state disposte dal cliente attraverso il sistema, ossia siano riconducibili ad un ordine cosciente e volontario del cliente. Il che mancava nella fattispecie, come riconosciuto dallo stesso intermediario che, a fronte della denuncia all’Autorità giudiziaria, ha prospettato che il cliente fosse rimasto vittima di un “furto informatico d’identità
”.
Il Collegio di Milano, investito in più occasioni delle decisioni su ipotesi di frodi informatiche, (si veda in particolare la decisione n.87/10), ha messo in discussione l’atteggiamento più volte ricorrente negli intermediari che, sulla base delle clausole contrattuali che obbligano l’utente alla custodia dei codici di accesso, desumono che ogni accesso al sistema che implichi l’uso di questi da parte di terzi, comporti una violazione dei doveri di custodia e la conseguente responsabilità del cliente. “Una volta dimostrato che l’ordine almeno apparentemente proviene dal clientemandatario”, ha sostenuto il Collegio, da ciò non deriva la dimostrazione della violazione degli obblighi di custodia, poiché tale dato di fatto integra una presunzione semplice destinata ad acquistare valore dalle circostanze che la contornarono e non già una prova definitiva dell’inadempimento del cliente, essendo fatto notorio che l’uso dei codici personali da parte di terzi sia un evento compatibile con una pluralità di accadimenti causativi alcuni dei quali non implicano l’inadempimento degli obblighi di custodia.
Anche il Collegio di Roma, si veda in particolare la decisione n.289/10, ha ritenuto che il rischio della frode informatica mediante phishing non possa essere posto a carico del cliente, salvo che non sia a lui imputabile un difetto di prudenza o di diligenza nella conservazione e custodia dei propri dati personali (nel qual caso troverebbero applicazione i principi in tema di concorso di colpa). Il Collegio ha inoltre rilevato che debba prestarsi adesione all’indirizzo della Cassazione
secondo il quale “ai fini della valutazione della responsabilità contrattuale della banca (…) non puòessere omessa la verifica dell’adozione da parte dell’istituto bancario delle misure idonee a garantire la sicurezza del servizio da eventuali manomissioni (…): infatti, la diligenza posta a carico del professionista ha natura tecnica e deve essere valutatatenendo conto dei rischi tipici della sfera professionale di riferimento ed assumendoquindi come parametro la figura dell’accorto banchiere” (cfr., per es., Cass. 12 giugno 2007 n. 13777).
Le considerazioni precedentemente formulate e le decisioni del Collegi di Milano e di Roma adottate in casi analoghi a quello oggetto del ricorso in esame, che qui si intende condividere, fanno propendere per l’accoglimento delle ragioni del ricorrente, al quale inoltre non pare imputabile alcuna negligenza o colpa nella custodia della carta e dei codici.
P.Q.M.
Il Collegio, in accoglimento del ricorso, dispone il rimborso della somma dieuro 711,00 al cliente.
Il Collegio dispone inoltre, ai sensi della vigente normativa, che l’intermediario corrisponda alla Banca d’Italia la somma di € 200,00 quale contributo alle spese della procedura e al ricorrente la somma di € 20,00 quale rimborso della somma versata alla presentazione del ricorso.
IL PRESIDENTE Enrico Quadri
