La Corte di giustizia dell’Unione europea, nella sua Prima Sezione, ha pronunciato il 15 ottobre 2026 una sentenza storica (causa C‑70/25, “Tukowiecka”) che impone alle banche di riaccreditare entro il primo giorno lavorativo i pagamenti non autorizzati, anche quando il cliente ha agito con colpa grave.
Il contesto giuridico europeo
La decisione si basa sull’interpretazione degli articoli 73 e 74 della direttiva 2015/2366 (PSD2), i quali disciplinano rispettivamente l’obbligo di rimborso immediato e la ripartizione della responsabilità in caso di negligenza grave del pagatore. L’avvocato generale Athanasios Rantos ha già, il 5 marzo, indicato la linea interpretativa che la Corte ha seguito.
Secondo la PSD2, il prestatore di servizi di pagamento deve rimborsare l’importo entro la fine del primo giorno lavorativo successivo a quello in cui ne è venuto a conoscenza, a patto che il cliente l’abbia segnalato “senza indugio”. L’unica eccezione prevista è il sospetto fondato di frode da parte del cliente, comunicato per iscritto all’autorità nazionale competente.
Deroga per colpa grave
La Corte ha chiarito che la deroga per colpa grave non riguarda il rimborso iniziale, ma il possibile recupero successivo delle somme da parte della banca. In altre parole, la banca deve pagare subito e solo successivamente può tentare di recuperare l’importo, dimostrando la negligenza grave del cliente attraverso i mezzi di ricorso previsti.
Il caso concreto: la truffa su PKO BP
Il caso di partenza riguarda una cliente di PKO BP che, vendendo un oggetto su un portale di aste, ha ricevuto un link fasullo presentato come proveniente dal portale per confermare la transazione. La pagina imitava l’interfaccia della banca, inducendo la vittima a inserire le credenziali dell’home banking e il codice SMS ricevuto.
Con questi dati, il truffatore ha trasferito 3.000 zloty (circa 705 euro) su un conto a lui intestato. Il giorno successivo la cliente ha segnalato l’accaduto alla banca e alla polizia, ma l’istituto ha rifiutato il rimborso, motivando la decisione con la presunta violazione dell’obbligo di custodia diligente dello strumento di pagamento.
Il rifiuto della banca
In giudizio, la banca ha sostenuto di poter valutare autonomamente i presupposti della responsabilità e di non rimborsare qualora rilevasse una colpa grave del cliente. Tale prassi, sebbene comune in Italia, era priva di fondamento giuridico secondo la Corte di Lussemburgo.
Implicazioni per l’Italia
In Italia la regola del rimborso entro il giorno lavorativo successivo è già prevista dall’articolo 11 del d.lgs. 11/2010, che recepisce la PSD2. Tuttavia, le banche spesso interpretano altri articoli del medesimo decreto per giustificare il rifiuto del rimborso, invocando la colpa grave come presupposto per la restituzione delle somme.
La sentenza europea chiude definitivamente questa interpretazione, imponendo alle banche il rimborso immediato e limitando la possibilità di trattenere le somme a casi di sospetto di frode da parte del cliente, non a colpa grave.
Cosa fare per i consumatori
- Presentare un reclamo scritto alla banca, citando la sentenza C‑70/25 e chiedendo il riaccredito immediato.
- Segnalare il pagamento non autorizzato entro 13 mesi dall’addebito, come previsto dalla normativa.
- In caso di rifiuto, rivolgersi all’Arbitro Bancario Finanziario o al giudice.
Prospettive future e normativa in evoluzione
Il nuovo regolamento europeo sui servizi di pagamento prevede, per le frodi da impersonificazione, un diritto al rimborso specifico, ma attende ancora il voto finale del Parlamento, previsto provvisoriamente per il 14 dicembre 2026.
Inoltre, la PSD2 consente deroghe per clienti non consumatori, permettendo di escludere la colpa grave dalla responsabilità del pagatore in contratti commerciali.
Definizione di “pagamento non autorizzato”
È importante distinguere “pagamento non autorizzato” da “pagamento fraudolento”. La normativa definisce “non autorizzato” il pagamento disposto da un terzo senza il consenso del titolare del conto, anche se il truffatore utilizza credenziali o codici sottratti alla vittima.
Questa distinzione è fondamentale per l’applicazione della sentenza: il rimborso è obbligatorio indipendentemente dalla responsabilità del cliente, salvo sospetto fondato di frode da parte sua.
Conclusioni
La decisione della Corte di giustizia UE rappresenta un passo decisivo nella tutela dei consumatori contro le frodi di phishing. Le banche non potranno più rifiutare il rimborso basandosi sulla colpa grave del cliente; dovranno rimborsare immediatamente e, solo successivamente, dimostrare la negligenza per recuperare le somme.
Per i correntisti, la chiave è agire tempestivamente, invocare la normativa europea e, se necessario, ricorrere alle procedure di risoluzione delle controversie previste dalla legge. La sentenza cambia la dinamica del contenzioso, spostando l’onere della prova sulla banca e rafforzando la protezione dei pagatori.