La Corte di giustizia dell’Unione europea (CGUE) rafforza in modo significativo i diritti dei clienti bancari dopo attacchi di phishing. Con sentenza del 15 ottobre 2026 (causa C-70/25), ha chiarito che le banche o altri prestatori di servizi di pagamento non possono rifiutare il rimborso di operazioni di pagamento non autorizzate sostenendo che il cliente abbia reso possibile la frode per colpa grave.
Per gli interessati ciò comporta un miglioramento decisivo della loro posizione giuridica: la banca deve, in linea di principio, procedere anzitutto al rimborso. Se il cliente debba poi, in via definitiva, sopportare personalmente il danno subito è una questione distinta.
Phishing tramite una falsa pagina bancaria
La decisione della CGUE nella causa C-70/25 si fondava su un tipico caso di phishing.
Una cliente di una banca polacca aveva messo in vendita un articolo su una piattaforma di vendita online. Un presunto acquirente le inviò un link che dava l’impressione di provenire dalla piattaforma di vendita e di servire alla conferma della vendita. In realtà, il link conduceva a un sito Internet fraudolento, modellato sul sito web della sua banca.
La cliente inserì sul sito fraudolento le proprie credenziali di accesso all’online banking. I truffatori poterono poi utilizzare tali dati per trasferire denaro dal conto della cliente a un proprio conto.
La banca rifiuta il rimborso
La cliente segnalò l’accaduto alla propria banca già il giorno successivo. Quest’ultima rifiutò tuttavia il rimborso, sostenendo che la cliente avesse reso possibile l’operazione di pagamento non autorizzata per colpa grave, non avendo adeguatamente protetto le proprie credenziali di sicurezza personalizzate.
La banca poteva rifiutare il rimborso immediato?
Il giudice polacco del rinvio voleva sapere dalla CGUE se un prestatore di servizi di pagamento possa rifiutare per tale motivo il rimborso di un’operazione di pagamento non autorizzata.
La CGUE ha risposto negativamente. La colpa grave del cliente non autorizza la banca a rifiutare il rimborso che, in linea di principio, è dovuto immediatamente ai sensi del diritto dell’Unione. La questione di chi debba sopportare definitivamente la perdita finanziaria deve piuttosto essere valutata separatamente.
Gli effetti della decisione non si limitano alla Polonia, poiché la CGUE interpreta la direttiva sui servizi di pagamento (UE) 2015/2366 in modo vincolante per tutti gli Stati membri. La sentenza è pertanto rilevante anche in Germania.
Obbligo di rimborso della banca
Ai sensi dell’art. 73, par. 1, della direttiva sui servizi di pagamento (UE) 2015/2366, il prestatore di servizi di pagamento è, in linea di principio, tenuto in caso di operazione di pagamento non autorizzata a rimborsare immediatamente al pagatore l’importo. Il rimborso deve avvenire al più tardi entro la fine della giornata lavorativa successiva a quella in cui il prestatore è venuto a conoscenza dell’operazione di pagamento o in cui essa è stata notificata. Un’eccezione si applica in particolare quando il prestatore di servizi di pagamento abbia motivi ragionevoli per sospettare che il pagatore abbia commesso una frode e comunichi tali motivi per iscritto all’autorità nazionale competente.
Colpa grave
La banca non può invece rifiutare il rimborso soltanto perché contesta al cliente una violazione per colpa grave dei suoi obblighi ai sensi dell’art. 69 della direttiva.
Tale disposizione obbliga gli utenti di servizi di pagamento, tra l’altro, a proteggere adeguatamente le proprie credenziali di sicurezza personalizzate. Una violazione di tali obblighi può avere conseguenze sotto il profilo della responsabilità. Tuttavia, non elimina l’obbligo preliminare di rimborso gravante sul prestatore di servizi di pagamento.
La CGUE distingue due questioni giuridicamente diverse
La CGUE distingue così due questioni giuridicamente diverse:
-
Obbligo di rimborso: la banca deve anzitutto restituire l’importo dell’operazione di pagamento non autorizzata?
-
Sopportazione definitiva della perdita: la banca può successivamente pretendere che il cliente restituisca l’importo rimborsato a causa di una violazione dolosa o gravemente colposa dei propri obblighi?
La novità decisiva risiede nella separazione vincolante di queste due fasi di verifica. La banca non può respingere semplicemente una pretesa di rimborso richiamandosi al fatto che il cliente avrebbe agito con colpa grave nella gestione delle proprie credenziali di accesso.
Conseguenze della sentenza della CGUE per i clienti bancari
Nella prassi, le banche respingono spesso il rimborso dopo attacchi di phishing sostenendo che il cliente abbia agito con colpa grave comunicando credenziali di accesso, inserendo un TAN su un sito web falso oppure confermando una transazione apparentemente legittima.
Secondo la sentenza della CGUE, tale argomentazione non è sufficiente per rifiutare il rimborso immediato.
Per i clienti bancari interessati ciò è di notevole importanza. Anche qualora sussista il sospetto di una violazione gravemente colposa degli obblighi, la banca deve anzitutto adempiere al proprio obbligo di rimborso. Non può anticipare l’esame della ripartizione definitiva della responsabilità per impedire la restituzione del denaro.
Rilevanza del § 675u BGB
Per il diritto tedesco è particolarmente rilevante il § 675u BGB (Bürgerliches Gesetzbuch, Codice civile tedesco). In base a tale norma, in caso di operazione di pagamento non autorizzata il prestatore di servizi di pagamento è, in linea di principio, tenuto a rimborsare immediatamente l’importo del pagamento e, se necessario, a riportare il conto di pagamento addebitato allo stato in cui si sarebbe trovato senza l’addebito.
Il titolare del conto non è in linea di principio esonerato dalla responsabilità
La sentenza della CGUE non significa che, dopo ogni attacco di phishing, i clienti siano in ogni circostanza definitivamente liberati dalla responsabilità finanziaria.
L’art. 74, par. 1, della direttiva prevede, a determinate condizioni, una responsabilità del pagatore per operazioni di pagamento non autorizzate, qualora questi abbia violato determinati obblighi intenzionalmente o per colpa grave.
La banca può quindi, dopo aver effettuato il rimborso, tentare in linea di principio di recuperare dal cliente la perdita subita. A tal fine deve però esporre e provare i presupposti di una corrispondente pretesa.
Responsabilità del cliente bancario ai sensi del § 675v BGB
Nel diritto tedesco occorre considerare in particolare il § 675v BGB. La norma disciplina la responsabilità del pagatore in caso di utilizzo abusivo di uno strumento di pagamento e distingue, tra l’altro, in base al grado di colpa.
Secondo tale disciplina, può venire in considerazione una responsabilità del pagatore per l’intero danno subito qualora egli abbia reso possibile l’operazione di pagamento non autorizzata con intento fraudolento oppure abbia violato i propri obblighi intenzionalmente o per colpa grave. La CGUE ha chiarito che il prestatore di servizi di pagamento può successivamente chiedere al cliente il rimborso delle perdite riconducibili alla sua colpa grave. Il denaro inizialmente rimborsato può quindi essere nuovamente richiesto in via di regresso, fermo restando che i presupposti di tale pretesa devono essere esposti separatamente.
La richiesta di restituzione costituisce dunque una fase procedurale autonoma e successiva nel tempo: la banca deve anzitutto rimborsare il danno e può solo in seguito richiedere indietro l’importo per una via separata. A tal fine deve però provare al cliente una condotta illecita. L’onere della prova del dolo o della colpa grave grava quindi, in questa seconda fase, sulla banca, mentre nel frattempo il cliente dispone dell’importo rimborsato.
Per la prassi ciò significa che la questione se un cliente abbia effettivamente agito con colpa grave resta rilevante. Essa però non decide più se la banca possa rifiutare il rimborso inizialmente dovuto, ma può essere determinante per la successiva ripartizione del danno.
Necessaria una verifica caso per caso
Occorre sempre esaminare le circostanze concrete. Non ogni inserimento di credenziali di accesso su un sito web falso integra automaticamente una colpa grave. Vanno considerati, ad esempio, la configurazione del sito Internet fraudolento, le modalità di contatto, eventuali avvisi, la concreta autorizzazione della transazione e la riconoscibilità dell’inganno.
Sentenza interessante anche per casi di phishing più risalenti
La sentenza è interessante anche per i clienti bancari la cui richiesta di rimborso sia già stata respinta prima del 15 ottobre 2026.
Chi, dopo un attacco di phishing, abbia ricevuto un diniego fondato essenzialmente sull’addebito di colpa grave dovrebbe far verificare se sia ancora possibile far valere pretese.
Nella sua decisione, la CGUE non ha disposto alcuna limitazione temporale degli effetti della sentenza. Ciò depone, in linea di principio, nel senso che l’interpretazione del diritto dell’Unione debba essere presa in considerazione anche nelle controversie ancora pendenti.
Non tutti i casi possono essere riaperti
Da ciò non consegue tuttavia che tutti i casi conclusi possano essere automaticamente riaperti. La possibilità di una nuova rivendicazione dipende, tra l’altro, dalla prescrizione, dal passaggio in giudicato di decisioni giudiziarie, da eventuali transazioni e dalle ulteriori circostanze del singolo caso.
Nei casi più risalenti si dovrebbe quindi verificare in particolare se la pretesa sia ancora azionabile e quali iniziative legali siano già state intraprese.
Ciò vale soprattutto per i casi di phishing più datati che siano stati respinti unicamente con riferimento alla colpa grave, purché non siano prescritti né definitivamente decisi con sentenza passata in giudicato. Una nuova richiesta integrativa nei confronti del prestatore di servizi di pagamento può venire in considerazione, in particolare, quando il diniego sia stato fondato esclusivamente sull’addebito di colpa e l’operazione fosse incontestabilmente non autorizzata.
Un passo importante a favore delle vittime di phishing
Con la sua sentenza del 15 ottobre 2026 nella causa C-70/25, la CGUE rafforza la posizione dei clienti bancari divenuti vittime di operazioni di pagamento non autorizzate.
Il messaggio centrale è il seguente: la banca non può rifiutare il rimborso immediato basandosi unicamente sull’argomento che il cliente abbia reso possibile la frode per colpa grave.
In tal modo si impedisce che il rimborso venga anzitutto subordinato a un esame della colpa spesso complesso e controverso.
La sentenza non significa tuttavia che ogni rimborso debba restare definitivamente al cliente. Una violazione dolosa o gravemente colposa degli obblighi può continuare, alle condizioni previste dalla legge, a comportare una responsabilità del cliente. Tale questione deve però essere esaminata separatamente dall’obbligo di rimborso inizialmente sussistente.
Inquadramento da parte di MTR Legal
Gli attacchi digitali ai conti bancari riguardano regolarmente questioni di diritto bancario e dei servizi di pagamento, spesso connesse a complesse delimitazioni relative all’autorizzazione e alla ripartizione del rischio. MTR Legal Rechtsanwälte assiste i clienti quando, in relazione ad addebiti su conto non chiari, episodi di accesso non autorizzato o accessi all’online banking bloccati, sorgono questioni giuridiche e offre una consulenza legale in materia di diritto bancario.
