Corte UE: le banche devono rimborsare le vittime di frode per prime, anche se negligenti

La Corte di Giustizia dell'Unione Europea (CGUE) ha stabilito il 15 ottobre 2026 che le banche e altri fornitori di servizi di pagamento non possono ritardare o rifiutare il rimborso di un cliente colpito da una transazione non autorizzata solo perché sospettano che il cliente sia stato gravemente negligente. La sentenza è stata emessa nel caso C-70/25, N.O. contro PKO BP S.A., a seguito di una richiesta di rinvio pregiudiziale da parte di un tribunale distrettuale a Koszalin, Polonia, presentata il 3 febbraio 2025.

Cosa è accaduto nel caso originale

Il caso è iniziato con una cliente di una banca polacca, identificata nei documenti giudiziari solo come N.O., che è stata presa di mira da un truffatore che si fingeva un acquirente su una piattaforma di vendita online. Il truffatore ha inviato un link di pagamento fraudolento mascherato da messaggio della piattaforma. Dopo che la cliente ha fatto clic sul link e ha inserito le sue credenziali bancarie su una pagina di accesso falsa, il truffatore ha trasferito circa 700 euro dal suo conto. La sua banca, PKO BP, ha rifiutato di rimborsarla, sostenendo che era stata gravemente negligente inserendo le sue credenziali sulla pagina falsa.

Cosa ha deciso la Corte

La CGUE ha ritenuto che il diritto dell'UE sui servizi di pagamento – la Direttiva sui servizi di pagamento (Direttiva 2015/2366, nota come PSD2) – richieda che una banca rimborsi l'importo di una transazione non autorizzata immediatamente, e non più tardi della fine della giornata lavorativa successiva alla segnalazione da parte del cliente, indipendentemente dal fatto che la banca ritenga che il cliente abbia agito con negligenza grave. La Corte ha ritenuto che permettere alle banche di trattenere il rimborso mentre indagano sui reclami di negligenza comporterebbe privare l'obbligo di rimborso della sua efficacia pratica e costringerebbe le vittime ad andare in tribunale semplicemente per recuperare i propri soldi.

La sentenza non impedisce alle banche di tentare di recuperare il denaro rimborsato successivamente. Se una banca ritiene che il cliente abbia deliberatamente o per negligenza grave non abbia protetto le sue credenziali di sicurezza personalizzate, può intraprendere un'azione contro il cliente successivamente – ma l'onere della prova di tale negligenza incombe sulla banca, generalmente dinanzi a un giudice, anziché sul cliente al momento della frode.

Perché conta in tutta l'UE

Poiché PSD2 è una direttiva dell'UE applicata in tutti i 27 Stati membri, la sentenza è un orientamento vincolante per i tribunali nazionali e le autorità di regolamentazione in tutto il blocco, non solo in Polonia. Le organizzazioni dei consumatori affermano che l'effetto pratico è significativo perché molte banche hanno regolarmente invertito la sequenza prevista dalla legge: indagare prima sulla negligenza sospetta e pagare solo successivamente, se non del tutto. L'organizzazione belga di consumatori Test-Achats/Testaankoop ha definito la decisione un punto di svolta. Il suo portavoce, Julie Frère, ha riassunto l'obbligo come "Les banques doivent payer d'abord, discuter ensuite" ("le banche devono pagare prima, discutere dopo"), affermando che conferma una regola che le banche avevano aggirato nella pratica.

The Brussels Times ha riferito che la sentenza sfida direttamente la pratica attuale presso le banche belghe, diverse delle quali hanno rifiutato il rimborso immediato mentre indagano se un cliente è stato negligente con i dettagli di accesso o i codici monouso. I commenti legali sul caso, inclusa l'analisi pubblicata dal media spagnolo Ara, notano che la risposta della Corte si applica specificamente alla scadenza di rimborso stabilita in PSD2, che la sentenza parla in termini di 'fornitori di servizi di pagamento' più ampiamente piuttosto che solo banche, e che consente ai fornitori di contendere la negligenza grave separatamente, dopo che il denaro è già stato rimborsato.

L'entità del problema

La sentenza arriva mentre le perdite dovute alle frodi di pagamento sono in aumento in tutta l'UE e l'Area economica europea. Una relazione congiunta dell'Autorità bancaria europea e della Banca centrale europea ha rilevato che le perdite totali dovute alle frodi di pagamento hanno raggiunto 4,2 miliardi di euro nel 2024, rispetto a 3,5 miliardi di euro nel 2023 e 3,4 miliardi di euro nel 2022 – un aumento di circa il 20% dal 2023 al 2024. All'interno di questo totale, le frodi collegate ai trasferimenti di credito sono aumentate del 16% anno su anno a 2,2 miliardi di euro, e le frodi su carte emesse da UE ed EEA sono aumentate del 29% a circa 1,33 miliardi di euro. Per le frodi di trasferimento di credito specificamente, la stessa relazione ha rilevato che gli utenti dei servizi di pagamento hanno sostenuto circa l'85% delle perdite risultanti, in gran parte perché le truffe inducono le persone ad autorizzare il trasferimento da sole.

Cosa rimane ancora poco chiaro

La sentenza affronta le transazioni non autorizzate – i casi in cui qualcun altro ha avuto accesso ai soldi del cliente o li ha dirottati, come nel phishing. Non cambia il trattamento legale separato delle situazioni in cui una banca ha motivi oggettivi per sospettare che il cliente abbia autorizzato il pagamento stesso o sia stato complice nella frode, il che può ancora giustificare il rifiuto di rimborsare. La rapidità con cui le singole banche in tutta l'UE modificheranno le loro procedure di rimborso interne in risposta alla sentenza, e se le autorità di regolamentazione nazionali l'applicheranno attivamente, rimane da vedere dal 16 ottobre 2026.