L’aumento delle frodi bancarie online ha reso sempre più frequenti i casi in cui un cliente si trova improvvisamente di fronte a operazioni mai autorizzate, bonifici verso soggetti sconosciuti o conti correnti svuotati senza alcuna apparente spiegazione.
In tale contesto, assume particolare rilievo la sentenza n. 3780 del 12 febbraio 2024 della Corte di Cassazione, chiamata a chiarire un tema di crescente importanza nel rapporto tra banca e correntista: quando un’operazione bancaria può dirsi realmente autorizzata e, soprattutto, chi deve dimostrarlo.
La decisione si inserisce in un quadro caratterizzato dalla progressiva digitalizzazione dei servizi bancari, in cui l’utilizzo di app, home banking, notifiche push, codici OTP e sistemi di autenticazione a più fattori ha certamente aumentato la rapidità delle operazioni, ma ha anche ampliato il rischio di frodi informatiche.
La crescente esposizione ai rischi digitali
L’evoluzione tecnologica del settore bancario ha modificato profondamente il rapporto tra cliente e istituto di credito. Se da un lato la gestione del conto è diventata più semplice e immediata, dall’altro sono aumentate le ipotesi di phishing, accessi abusivi, furti di credenziali e operazioni eseguite senza il consenso del titolare del conto.
In questo scenario, il tema centrale riguarda la distribuzione del rischio: chi risponde quando il cliente sostiene di non aver disposto un bonifico o un pagamento?
La risposta della giurisprudenza, sempre più frequentemente, tende a valorizzare il ruolo dell’intermediario bancario quale soggetto professionalmente organizzato e tenuto ad adottare strumenti di sicurezza adeguati.
La vicenda esaminata dalla Cassazione
La controversia esaminata dalla Corte nasce dalla contestazione di alcune operazioni ritenute non autorizzate dal correntista. La banca aveva negato il rimborso sostenendo che le operazioni risultavano regolarmente autenticate mediante le procedure di sicurezza previste.
In sostanza, l’istituto riteneva sufficiente dimostrare che il sistema informatico avesse registrato un utilizzo corretto delle credenziali per considerare il cliente responsabile dell’operazione.
La Cassazione, tuttavia, ha chiarito che il problema non può essere affrontato in termini così automatici.
Autenticazione e autorizzazione non coincidono
Uno degli aspetti più rilevanti della sentenza riguarda la distinzione tra autenticazione tecnica e autorizzazione effettiva dell’operazione.
Secondo la Corte, il fatto che un bonifico risulti eseguito mediante password, OTP o altri sistemi di autenticazione non significa automaticamente che il cliente lo abbia realmente disposto o autorizzato.
La regolarità tecnica dell’operazione costituisce certamente un elemento importante, ma non rappresenta, da sola, una prova sufficiente della volontà del correntista.
In altre parole, la banca non può limitarsi ad affermare che “l’operazione risulta autorizzata dai sistemi” senza fornire ulteriori elementi circa il corretto funzionamento delle misure di sicurezza adottate.
L’onere della prova a carico della banca
La sentenza richiama inoltre il principio secondo cui, in caso di contestazione dell’operazione, grava sull’istituto di credito un preciso onere probatorio.
La banca deve infatti dimostrare:
• il corretto funzionamento del sistema di autenticazione;
• l’assenza di anomalie o vulnerabilità;
• l’idoneità dei sistemi antifrode predisposti;
• l’eventuale comportamento gravemente negligente del cliente.
Ciò significa che non basta produrre semplicemente i log informatici o sostenere che le credenziali siano state utilizzate correttamente.
Occorre, piuttosto, dimostrare che l’operazione sia effettivamente riconducibile al cliente e che il sistema predisposto fosse adeguato a prevenire utilizzi fraudolenti.
Il ruolo della condotta del cliente
La decisione non comporta, tuttavia, una responsabilità automatica della banca.
Resta infatti possibile per l’istituto dimostrare una condotta gravemente imprudente del cliente, tale da interrompere il nesso di responsabilità.
Si pensi, ad esempio, ai casi in cui il correntista comunichi volontariamente password o codici dispositivi a terzi, oppure ignori evidenti segnali di rischio.
Anche sotto questo profilo, però, la Cassazione invita a evitare automatismi: la colpa grave del cliente non può essere semplicemente presunta, ma deve essere provata in concreto.
Considerazioni conclusive
La sentenza n. 3780/2024 conferma un orientamento giurisprudenziale sempre più attento alla tutela del correntista nell’ambito delle frodi digitali.
Il principio affermato appare chiaro: la mera autenticazione tecnica di un’operazione non equivale automaticamente alla sua autorizzazione.
In un sistema bancario sempre più digitalizzato, la sicurezza informatica costituisce parte integrante dell’attività dell’intermediario e, proprio per questo, non può gravare esclusivamente sul cliente il rischio derivante da eventuali vulnerabilità o anomalie dei sistemi di pagamento.
La decisione rappresenta dunque un importante punto di equilibrio tra innovazione tecnologica, tutela dell’utente e responsabilità professionale dell’istituto di credito.
