Phishing bancario: rimborso immediato e responsabilità del cliente per operazioni non autorizzate

La Corte di Giustizia UE, Sez. I, 15 ottobre 2026, causa C-70/25, è intervenuta su un profilo centrale nei rapporti tra cliente e prestatore di servizi di pagamento: il rimborso delle operazioni non autorizzate eseguite a seguito di una frode informatica.

Il principio affermato è netto. La banca non può rifiutare il rimborso immediato solo perché ritiene che il cliente abbia agito con negligenza grave nella custodia delle credenziali. Tale valutazione può rilevare in una fase successiva, ma non consente di sospendere il primo obbligo restitutorio.

La frode tramite phishing e la contestazione dell’addebito

La vicenda nasce in Polonia, nell’ambito di una compravendita online. Una cliente aveva messo in vendita un bene e aveva ricevuto da un soggetto apparentemente interessato all’acquisto un collegamento che sembrava riferibile alla piattaforma utilizzata per l’operazione.

Quel collegamento conduceva invece a un sito fraudolento, costruito per imitare l’interfaccia del servizio di home banking. La cliente, indotta in errore, aveva inserito le credenziali di accesso. Con quei dati, il truffatore era riuscito a disporre trasferimenti di denaro dal conto della vittima verso un conto a lui riconducibile.

La cliente aveva segnalato l’operazione fraudolenta alla banca il giorno successivo e aveva chiesto la restituzione delle somme sottratte. L’istituto aveva respinto la richiesta, sostenendo che la condotta della correntista integrasse negligenza grave, poiché non avrebbe custodito con la dovuta attenzione le credenziali di sicurezza personalizzate.

Il quesito posto alla Corte di Giustizia

Il giudice polacco ha chiesto se il prestatore di servizi di pagamento sia comunque tenuto al rimborso immediato di un’operazione non autorizzata quando ritenga che l’esecuzione sia stata resa possibile da una condotta gravemente negligente dell’utilizzatore.

La Corte ha risposto in senso favorevole al cliente, precisando che la negligenza grave non costituisce, di per sé, una ragione sufficiente per negare il rimborso immediato.

Rimborso immediato e responsabilità del cliente sono piani distinti

Secondo i giudici europei, il prestatore di servizi di pagamento deve, in linea di principio, rimborsare l’operazione non autorizzata immediatamente e comunque entro la fine della giornata lavorativa successiva a quella in cui ha avuto conoscenza dell’operazione o ne ha ricevuto comunicazione.

L’obbligo viene meno soltanto in presenza di fondati sospetti circa una condotta fraudolenta del cliente, purché tali sospetti siano comunicati per iscritto all’autorità nazionale competente.

Il ruolo della negligenza grave

La negligenza grave dell’utilizzatore non scompare dal quadro giuridico. Essa non opera però come causa preventiva di rifiuto del rimborso.

La banca deve prima restituire le somme relative all’operazione non autorizzata. Solo successivamente potrà agire per recuperarle, se prova che le perdite derivano da una violazione dolosa o gravemente negligente degli obblighi gravanti sull’utilizzatore, compreso quello di proteggere le credenziali di sicurezza personalizzate.

L’onere probatorio dell’intermediario

La prova non grava sul cliente. È l’intermediario a dover dimostrare sia la negligenza grave dell’utilizzatore sia il collegamento causale tra quella condotta e le perdite subite a seguito dell’operazione non autorizzata.

Non è quindi sufficiente invocare in modo generico l’incauta comunicazione delle credenziali o l’accesso a un sito fraudolento. Occorre accertare, nel caso concreto, se la condotta del cliente abbia integrato una violazione qualificata degli obblighi di sicurezza e se tale violazione abbia effettivamente consentito l’operazione contestata.

Effetti pratici nel contenzioso bancario

La decisione rafforza la distinzione tra tutela immediata dell’utilizzatore e successivo accertamento delle responsabilità. Nel contenzioso in materia di phishing, la banca non può paralizzare la richiesta restitutoria limitandosi ad affermare che il cliente è stato imprudente.

Il rapporto tra rimborso e recupero delle somme deve essere letto in sequenza. Prima opera la restituzione dell’importo relativo all’operazione non autorizzata. In un secondo momento, l’intermediario può chiedere la ripetizione di quanto rimborsato, ma soltanto se riesce a fornire la prova richiesta.

Per i clienti, la pronuncia valorizza la tempestiva comunicazione dell’operazione sospetta. Per gli intermediari, impone una gestione documentata della contestazione, soprattutto quando intendano sostenere che la perdita sia stata determinata da dolo o negligenza grave dell’utilizzatore.