Un prestatore di servizi di pagamento non può rifiutarsi di rimborsare immediatamente a un pagatore l’importo di un’operazione di pagamento non autorizzata, per il motivo che tale pagatore avrebbe reso possibile detta operazione per negligenza grave, in violazione degli obblighi ad esso incombenti in virtù dell’articolo 69 della direttiva 2015/2366. Secondo la Corte di Giustizia dell’Unione Europea così devono essere interpretati l’articolo 73, paragrafo 1, e l’articolo 74, paragrafo 1, della direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015, relativa ai servizi di pagamento nel mercato interno (sentenza del 15 ottobre 2026, causa C‑70/25).
Nel caso giunto all’esame della Corte, come si legge anche nel comunicato stampa ufficiale, la cliente di una banca aveva riferito di essere vittima di una frode tramite phishing: un soggetto si era presentato come interessato all’acquisto di un oggetto che la signora stava vendendo su una piattaforma di vendita online e le aveva inviato un link fraudolento, presentato come proveniente da tale piattaforma e destinato a confermare la vendita. La medesima cliente aveva cliccato su tale link che conduceva ad un sito Internet che riproduceva l’aspetto di quello della sua banca ed aveva così inserito i propri dati di connessione al servizio di e-banking. Grazie a tali dati, il terzo era riuscito a trasferire dal conto bancario della cliente a un conto a lui intestato un importo pari a circa € 700. Il giorno successivo la cliente aveva segnalato l’operazione fraudolenta alla propria banca che, però, si era rifiutata di rimborsare l’importo dell’operazione di pagamento non autorizzata ritenendo che la cliente, per negligenza grave, avesse reso possibile tale operazione venendo meno al proprio obbligo di proteggere le credenziali di sicurezza personalizzate. A seguito di tale rifiuto, la cliente aveva adito il tribunale nazionale polacco, il quale aveva chiesto alla Corte di giustizia se, alla luce del diritto dell’Unione, la banca, in qualità di prestatore di servizi di pagamento, sia tenuta a rimborsare immediatamente l’importo di un’operazione non autorizzata, anche qualora ritenga che il cliente abbia commesso una negligenza grave.
La Corte, come si è accennato, ha risposto in senso affermativo.
La pronuncia ricorda che gli articoli 73 e 74 della direttiva 2015/2366 disciplinano, rispettivamente, la responsabilità del prestatore di servizi di pagamento e quella del pagatore in caso di operazioni di pagamento non autorizzate.
Dalla formulazione dell’articolo 73, paragrafo 1, di tale direttiva, risulta che, in linea di principio, il prestatore di servizi di pagamento del pagatore rimborsa a quest’ultimo l’importo di un’operazione di pagamento non autorizzata immediatamente dopo essere venuto a conoscenza dell’operazione o esserne stato informato, e in ogni caso entro la fine del primo giorno lavorativo successivo.
Tale obbligo di rimborso si applica “fatto salvo l’articolo 71” di tale direttiva, il cui paragrafo 1 prevede che l’utente di servizi di pagamento ottenga dal prestatore di servizi di pagamento la rettifica di un’operazione di pagamento non autorizzata o non correttamente eseguita solo se quest’ultimo ne informa senza indugio il prestatore di servizi di pagamento.
Inoltre – ricorda la Corte - la formulazione dell’articolo 73, paragrafo 1, prevede un’unica eccezione all’obbligo di rimborso immediato, vale a dire il caso in cui il prestatore di servizi di pagamento abbia ragionevoli motivi per sospettare una frode e comunichi tali motivi per iscritto alla pertinente autorità nazionale. Ne consegue che “l’articolo 73, paragrafo 1, della direttiva 2015/2366 non prevede alcuna eccezione all’obbligo di rimborso immediato in caso di sospetto che il pagatore abbia reso possibile un’operazione di pagamento non autorizzata per negligenza grave, in violazione degli obblighi ad esso incombenti in forza dell’articolo 69 di tale direttiva”.
Secondo la Corte, in sintesi, il sospetto di colpa grave a carico dell'utente – inclusa la mancata protezione dei codici di accesso personali – non esonera il prestatore di servizi di pagamento dall'obbligo di rimborso immediato della transazione disconosciuta. Il diritto dell'Unione scinde il diritto al rimborso immediato della transazione disconosciuta dall'accertamento definitivo della responsabilità.
Di conseguenza, il prestatore è obbligato a riaccreditare tempestivamente i fondi immediatamente. Solo in una fase successiva, e a condizione di fornire la prova rigorosa della colpa grave o del dolo del cliente nella custodia delle credenziali di sicurezza, l'istituto potrà esercitare un'azione di rivalsa per il recupero delle perdite subite.
Tale impostazione persegue l'obiettivo eurounitario di assicurare un'elevata tutela del consumatore. Riconoscere al prestatore la facoltà di negare a priori il riaccredito, eccependo la colpa grave dell'utente, svuoterebbe di efficacia il principio del rimborso tempestivo. E questo graverebbe ingiustamente il cliente dell'onere di promuovere un'azione giudiziaria per far valere i propri diritti, con i conseguenti costi ed inconvenienti.