AGI – In caso di phishing una banca non può rifiutarsi di procedere al rimborso. È il parere dell’avvocato generale della Corte di giustizia dell’Unione europea, Athanasios Rantos, pubblicato oggi.
La truffa del phishing
Il caso riguarda un cliente di una banca polacca vittima di una frode mediante phishing: un terzo, fingendosi un acquirente su una piattaforma di vendita, le ha trasmesso un link fraudolento che imitava la pagina Internet della sua banca. Tratta in inganno, la cliente ha inserito le proprie credenziali, consentendo cosi’ all’autore della frode di recuperarle e di effettuare un pagamento non autorizzato dal suo conto bancario. Il giorno successivo la cliente ha segnalato l’operazione fraudolenta alla sua banca. Quest’ultima ha tuttavia rifiutato di rimborsare l’importo dell’operazione non autorizzata, ritenendo che la cliente avesse commesso una negligenza grave nel divulgare i propri dati bancari. A seguito di tale rifiuto, la cliente ha agito in giudizio. Il giudice nazionale si è rivolto alla Corte di giustizia per chiedere se, alla luce del diritto dell’Unione, la banca – in qualità di prestatore di servizi di pagamento – sia obbligata a rimborsare immediatamente un’operazione non autorizzata anche quando ritenga che il cliente abbia commesso una negligenza grave, oppure se possa rifiutare il rimborso per tale motivo.
Le conclusioni della Corte Ue
Nelle sue conclusioni, l’avvocato generale Athanasios Rantos ritiene che il diritto dell’Unione obblighi la banca, in un primo momento, a rimborsare immediatamente l’importo dell’operazione non autorizzata, salvo che disponga di ragionevoli motivi per sospettare una frode, circostanza che deve essere comunicata per iscritto all’autorità nazionale competente. Non è prevista alcun’altra eccezione al principio del rimborso immediato e il legislatore dell’Unione non ha lasciato agli Stati membri alcun margine di discrezionalità al riguardo. Tale rimborso, tuttavia, non è definitivo.
In un secondo momento, qualora la banca accerti che il cliente è venuto meno, deliberatamente o per negligenza grave, a uno degli obblighi che gli incombono – in particolare per quanto riguarda la tutela delle credenziali di sicurezza personalizzate – essa può chiedergli di sopportare le perdite corrispondenti. Se il cliente si rifiuta di restituire l’importo dell’operazione non autorizzata, spetta alla banca promuovere un’azione giudiziaria nei suoi confronti per ottenerne il pagamento.