Responsabilità banca phishing: la Cassazione sta con i clienti
La crescente diffusione dei servizi di home banking ha reso le truffe online, come il phishing, un fenomeno sempre più comune. Ma chi paga quando un correntista viene frodato? Una recente sentenza della Corte di Cassazione fa luce sulla responsabilità della banca in caso di phishing, stabilendo principi chiari a tutela dei consumatori. Vediamo nel dettaglio cosa è successo e quali sono le implicazioni di questa importante decisione.
I fatti di causa: una frode da 2.900 euro
Un correntista riceve una mail apparentemente inviata dal proprio fornitore di servizi di pagamento. Il messaggio lo invita a cliccare su un link per modificare la password del suo account. L’utente, in buona fede, segue le istruzioni, inserendo le proprie credenziali su un sito che si rivelerà essere un clone di quello ufficiale. Poco dopo, si accorge di un addebito non autorizzato di 2.900 euro sulla sua carta prepagata, a favore di un beneficiario sconosciuto.
Dopo il rifiuto del rimborso da parte dell’istituto, il cliente avvia un’azione legale. Mentre il Giudice di Pace inizialmente respinge la sua richiesta, il Tribunale in appello ribalta la decisione, condannando il fornitore di servizi al risarcimento. Il caso approda così in Corte di Cassazione.
L’onere della prova e la responsabilità della banca per phishing
Il fornitore di servizi finanziari, nel suo ricorso, sosteneva che la colpa fosse esclusivamente del cliente, il quale avrebbe agito con negligenza comunicando i propri dati a terzi. La Corte di Cassazione, tuttavia, ha rigettato questa tesi, basando la sua decisione su principi consolidati in materia di responsabilità contrattuale e sicurezza informatica.
La Corte ha ribadito che la responsabilità per le operazioni effettuate con strumenti elettronici è, in linea di principio, a carico della banca o del prestatore di servizi di pagamento. Questo perché la loro responsabilità ha natura contrattuale e richiede una diligenza di tipo tecnico, da valutarsi con il parametro del “banchiere accorto”.
Il rischio d’impresa
Secondo i giudici, la possibilità che i codici di accesso di un cliente vengano sottratti con tecniche fraudolente (come il phishing) è un’eventualità prevedibile e rientra nel rischio d’impresa tipico di chi offre servizi di pagamento digitali. Di conseguenza, non è il cliente a dover provare la propria assenza di colpa, ma è la banca a dover dimostrare di aver fatto tutto il possibile per prevenire la frode.
Le motivazioni della decisione
La Suprema Corte ha affermato che, per essere esonerata da responsabilità, la banca deve fornire una prova rigorosa su due fronti:
- Adozione di misure di sicurezza adeguate: L’istituto deve dimostrare di aver implementato sistemi tecnologici idonei a prevenire o ridurre l’uso fraudolento degli strumenti di pagamento. Un esempio citato è l’invio di notifiche SMS di allerta per ogni operazione effettuata, un sistema che consente al titolare della carta di accorgersi immediatamente di eventuali anomalie e di bloccare l’operazione o la carta stessa.
- Colpa grave del cliente: Non è sufficiente una semplice disattenzione. La banca deve provare che il comportamento del cliente sia stato di una gravità tale da configurarsi come “colpa grave”, ovvero una condotta talmente imprudente da interrompere il nesso di causalità tra la falla nel sistema di sicurezza e il danno subito.
Nel caso specifico, il fornitore di servizi non ha fornito la prova di aver adottato tutte le cautele necessarie. L’assenza di questa prova ha reso corretta la decisione dei giudici di merito di imputare alla banca il rischio professionale legato a questo tipo di frodi.
Conclusioni: cosa cambia per i consumatori
Questa sentenza rafforza significativamente la posizione dei consumatori vittime di phishing. Il principio chiave è che l’onere della prova grava interamente sulla banca. Non basta sostenere che il cliente sia stato ingenuo; l’istituto finanziario deve dimostrare attivamente di aver protetto il proprio sistema con le migliori tecnologie disponibili e che il cliente abbia agito con una negligenza eccezionale. In assenza di tale prova, la banca è tenuta a rimborsare integralmente il cliente frodato. Si tratta di una vittoria importante per la trasparenza e la sicurezza nei servizi finanziari digitali.
In caso di frode tramite phishing, chi è tenuto a risarcire il danno?
In linea di principio, la responsabilità ricade sul prestatore di servizi di pagamento (la banca), a meno che non dimostri di aver adottato tutte le misure di sicurezza tecnicamente idonee a prevenire la frode e che il cliente abbia agito con colpa grave.
Cosa deve dimostrare la banca per non essere considerata responsabile?
La banca deve fornire la prova positiva di due elementi: primo, di aver implementato sistemi di sicurezza efficaci (come gli alert SMS per ogni transazione) per proteggere il cliente; secondo, che il comportamento del cliente sia stato talmente negligente da costituire una “colpa grave”.
Il fatto che un cliente inserisca i propri dati su un sito falso è considerato colpa grave?
Non automaticamente. La sentenza chiarisce che il phishing è un rischio professionale prevedibile per la banca. La semplice caduta nella trappola non costituisce di per sé colpa grave, specialmente se la banca non ha adottato adeguate contromisure per rilevare e bloccare l’operazione fraudolenta.