Il furto digitale delle somme dal conto corrente è un tipo di truffa abbastanza diffuso, tant'è che ogni anno migliaia di consumatori scoprono, spesso con giorni o addirittura settimane di ritardo, di essere stati vittime di phishing, clonazione della carta, furto delle credenziali bancarie o altre sofisticate tecniche di social engineering.
A fronte della segnalazione avanzata dal cliente, la banca è solita opporre una prima e classica risposta: "la contestazione è arrivata troppo tardi".
Ma il ritardo nella segnalazione/denuncia da parte del cliente può fargli perdere il diritto al rimborso?
Su questo punto è intervenuta la Corte di Giustizia dell'Unione Europea con una decisione destinata ad incidere profondamente sul contenzioso tra consumatori e prestatori di servizi di pagamento.
La sentenza del 1° agosto 2025 (causa C-665/23) chiarisce infatti quando il ritardo nella segnalazione può realmente far perdere il diritto alla restituzione delle somme sottratte.
1.- Il caso
Il caso sottoposto al giudice europeo riguarda un consumatore francese titolare di un conto corrente presso Il protagonista della vicenda possedeva un conto presso un istituto di credito on line francese, tant'è che la banca gli spedisce una nuova carta di pagamento.
Il cliente afferma di non averla mai ricevuta, ma nel frattempo, tra il 30 marzo ed il 17 maggio 2017, dal conto vengono effettuati prelievi quotidiani che egli dichiara di non aver mai autorizzato.
Quando si accorge dell'accaduto presenta immediatamente denuncia al prestatore di servizi di pagamento.
Il problema è che la segnalazione avviene circa due mesi dopo il primo prelievo, pur rimanendo ampiamente entro il termine dei tredici mesi previsto dalla normativa europea.
I giudici di merito francesi negano il rimborso, ritenendo che il lasso di tempo decorso tra i prelievi oggetto di contestazione e la denuncia alla banca avrebbe fatto perdere al cliente il diritto al rimborso.
La Corte di Cassazione francese, tuttavia, dubita di questa interpretazione e chiede alla Corte di Giustizia come debba essere interpretata la Direttiva europea sui servizi di pagamento.
2.- La questione giuridica: esiste un periodo entro il quale il cliente deve inviare il reclamo alla banca? i due termini - la negligenza grave del cliente
La questione sottoposta al giudice comunitario è estremamente pratica: se il consumatore scopre tardi la frode ma denuncia comunque entro tredici mesi, perde automaticamente il diritto al rimborso?
E il punto non è solo teorico, in quanto il ritardo nelle contestazione inviata dal cliente è una delle prime eccezioni più frequentemente invocate dagli intermediari bancarie.
La Corte risponde distinguendo accuratamente due diversi profili.
2.a.- Il primo principio: esistono due termini distinti
La Corte conferma che la normativa europea prevede effettivamente due diversi obblighi temporali.
Il consumatore deve:
- comunicare l'operazione senza indugio, cioè appena ne viene a conoscenza;
- effettuare comunque la contestazione entro tredici mesi dall'addebito.
Si tratta di due termini temporali che hanno natura diversa, in quanto:
(A) Il primo dipende dal momento in cui il cliente scopre la frode.
(B) Il secondo decorre sempre dalla data dell'operazione contestata.
Pertanto il termine dei tredici mesi non sostituisce l'obbligo della tempestiva segnalazione, ma si aggiunge ad esso, introducendo due diverse condotte che deve tenere il cliente.
È qui che la decisione assume un'importanza enorme, poiché la Corte afferma che il semplice ritardo non basta.
Quando la frode deriva dallo smarrimento, dal furto, dall'appropriazione indebita o dall'uso non autorizzato dello strumento di pagamento, il prestatore non può negare automaticamente il rimborso solo perché la comunicazione non è stata immediata.
Il diritto al rimborso viene meno soltanto se il ritardo è stato:
- intenzionale;
- oppure determinato da negligenza grave del consumatore.
Non ogni ritardo, quindi, comporta la perdita della tutela, ma occorre verificare concretamente il comportamento dell'utente e la gravità della sua condotta.
Che cosa significa "negligenza grave"?
La Corte non identifica la negligenza grave con una semplice dimenticanza, dovendosi invece di trattare di una violazione particolarmente seria degli obblighi di diligenza.
E qui troviamo l'aspetto principale della sentenza, in quanto il consumatore medio non presta speciale attenzione ai propri conti on line, perché magari sono anziani o poco esperti nell'utilizzo degli strumenti digitali, od ancora sono vittime di tecniche di phishing estremamente sofisticate.
In situazioni di questo tipo non è affatto scontato che il ritardo integri una condotta che denota colpa grave ed anzi, spetta al giudice il compito di dover valutare tutte le circostanze concrete del caso.
3. L'onere della prova resta in capo alla banca
La Corte richiama inoltre un altro principio fondamentale della disciplina europea.
Non basta che la banca dimostri che la carta o il sistema di autenticazione sono stati utilizzati, in quanto tale passaggio non dimostra per se che:
- l'operazione sia stata autorizzata;
- né che il cliente abbia agito con dolo;
- né che abbia tenuto un comportamento gravemente negligente.
Sarà quindi il prestatore di servizi di pagamento a dover dimostrare gli elementi necessari per sottrarsi all'obbligo di rimborso.
Uno degli aspetti più importanti della sentenza riguarda il regime probatorio applicabile alle operazioni di pagamento non autorizzate, poiché troppo spesso, nella pratica, il consumatore si sente rispondere dalla banca che l'operazione deve considerarsi regolare perché è stata eseguita mediante la carta originale, il PIN corretto oppure attraverso l'autenticazione forte (OTP, SMS, App, token ecc.).
La Corte di Giustizia ricorda invece che questo ragionamento è giuridicamente insufficiente: l'art. 59 della Direttiva 2007/64/CE stabilisce infatti un principio preciso, sicché quando il cliente nega di aver autorizzato un'operazione, spetta al prestatore di servizi di pagamento dimostrare che essa:
- è stata correttamente autenticata;
- è stata regolarmente registrata;
- è stata contabilizzata senza anomalie tecniche.
4.- Nessun "effetto domino" sulle altre operazioni
La Corte affronta anche un problema molto frequente nelle frodi informatiche, in quanto accade quasi sempre che il truffatore effettui decine di operazioni in poco tempo, di piccoli importi.
Può bastare un ritardo nella segnalazione di una di esse per perdere il rimborso di tutte?
La risposta offerta dalla Corte di giustizia è negativa.
Ogni singola operazione deve essere valutata autonomamente e l'eventuale ritardo gravemente colposo relativo ad un prelievo non si estende automaticamente agli altri movimenti fraudolenti.
È una precisazione destinata ad incidere concretamente nelle controversie riguardanti phishing, SIM swap, clonazioni di carte e furti di credenziali bancarie.
Le frodi informatiche sono sempre più sofisticate e spesso il consumatore non si accorge immediatamente dell'utilizzo illecito del proprio conto o della propria carta.
Questa sentenza conferma un principio di grande equilibrio: la tempestività resta importante, ma non può trasformarsi in una trappola capace di far perdere automaticamente ogni tutela.
Naturalmente il consiglio resta quello di controllare periodicamente il conto corrente, attivare le notifiche in tempo reale e segnalare immediatamente qualsiasi operazione sospetta.
Se però la scoperta della frode avviene con qualche ritardo, ciò non significa automaticamente perdere il diritto al rimborso.
L'intermediario dovrà dimostrare che quel ritardo costituisce una vera e propria negligenza grave e non potrà limitarsi ad opporre un semplice formalismo.
Per questo motivo la pronuncia della Corte di Giustizia costituisce un importante precedente che rafforza la posizione delle vittime di phishing, vishing, smishing, clonazione delle carte e di tutte le più moderne forme di frode nei pagamenti elettronici.
Di seguito, il provvedimento della Corte di giustizia.
