Cassazione Civile, Sentenza n. 3780/2024 del 12/02/2024

Esito

La controversia

Il ricorso verte su un caso di sottrazione di € 2.900 dalla carta Postepay Evolution del Polizza in conseguenza di un accesso fraudolento ottenuto tramite una e-mail di phishing. Il cliente aveva inserito le proprie credenziali su un link apparentemente riconducibile a Poste Italiane; la somma è stata poi addebitata a favore di terzi. Il cliente aveva chiesto il rimborso; Poste Italiane sosteneva che la responsabilità fosse del cliente per avere comunicato le credenziali a terzi. Il Tribunale di Paola aveva ritenuto invece che il rischio dell'uso fraudolento dei codici rientrasse nel rischio professionale del prestatore di servizi di pagamento e aveva condannato Poste al risarcimento. Poste Italiane ha impugnato la sentenza in Cassazione con motivi basati sulla violazione di norme che attribuirebbero oneri di cautela all'utente e su omissione di esame di fatto decisivo (consegna spontanea delle credenziali).

La decisione

La Corte di Cassazione ha rigettato il ricorso proposto da Poste Italiane, confermando la decisione del Tribunale di Paola che aveva accertato la responsabilità di Poste e la condanna al risarcimento della somma sottratta. La Corte ha richiamato il principio secondo cui, nell'ambito della responsabilità contrattuale del prestatore di servizi di pagamento, grava sul prestatore l'onere di provare fatti estintivi della pretesa del cliente e dimostrare di aver adottato misure tecniche adeguate per prevenire l'uso fraudolento dei codici (es.: sistemi di alert, conferme di operazione, misure di sicurezza). La Corte ha ritenuto infondati i motivi di impugnazione e non ha posto spese di giudizio in Cassazione, rilevando inoltre l'obbligo dell'appellante al versamento dell'ulteriore contributo unificato ai sensi dell'art. 13, co. 1-quater d.P.R. n. 115/2002.

Norme richiamate

• D.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)

  citato come "Dlgs. n. 196 del 2003" nella motivazione del Tribunale di Paola

  Il Tribunale ha richiamato la disciplina sulla protezione dei dati per ritenere che il prestatore di servizi risponda degli effetti dannosi connessi al trattamento dei dati personali implicante un'attività pericolosa; la Cassazione ha però incentrato la decisione sul regime della responsabilità contrattuale e sull'onere probatorio del prestatore circa l'adozione di misure idonee a prevenire accessi fraudolenti

• D.lgs. 27/1/2010, n. 11 (recepimento norme UE in materia di servizi di pagamento)

  art. 7 co. 2; art. 10 co. 2; art. 12 co. 4 (richiamati nel ricorso)

  Le disposizioni richiamate disciplinano oneri di diligenza e di cautela in capo all'utente nell'uso dei codici; la ricorrente le invocava per esonerarsi. La Corte ha però chiarito che tali obblighi dell'utente non escludono il regime di responsabilità contrattuale del prestatore né il suo onere di provare l'adozione di misure tecniche adeguate; il ricorso è stato ritenuto infondato

• Codice di procedura civile

  art. 360, co. 1, nn. 3 e 5 c.p.c. (motivi di cassazione riferiti a violazione di legge e omesso esame di fatto decisivo)

  Gli articolati motivi processuali invocati dal ricorrente sono stati esaminati e ritenuti infondati: la Corte ha ritenuto correttamente valutati i fatti e la normativa applicabile dal giudice di merito

• d.P.R. 30 maggio 2002, n. 115

  La Corte ha dato atto dell'obbligo del ricorrente al versamento dell'ulteriore importo a titolo di contributo unificato previsto per il ricorso in Cassazione

Massime di principio

• In caso di operazioni non autorizzate su strumenti di pagamento elettronici il rapporto è valutato secondo la responsabilità contrattuale del prestatore di servizi: il cliente prova il fatto dannoso; il prestatore deve provare fatti estintivi o di esonero.
• La banca/fornitore di servizi di pagamento può essere ritenuta responsabile anche se le credenziali sono state sottratte tramite tecniche fraudolente, salvo che dimostri la sopravvenienza di eventi al di là dello sforzo diligente richiesto (cioè che abbia adottato misure tecniche e organizzative adeguate).
• La mera invocazione di errori o imprudenze del cliente (es. inserimento delle credenziali su sito falso) non è automaticamente sufficiente ad esonerare il prestatore: occorre valutare se il comportamento del cliente integri colpa grave e se il prestatore abbia adottato misure di sicurezza proporzionate al rischio.
• Misure consigliate al prestatore per ridurre il rischio di responsabilità: sistemi di autenticazione forte, alert/sms per conferma operazioni, monitoraggio delle anomalie, registrazione e dimostrazione delle procedure di sicurezza adottate.
• Per l'utente: mantenere la riservatezza delle credenziali, attivare strumenti di sicurezza offerti (es. notifiche, autenticazione a due fattori) e segnalare tempestivamente operazioni non autorizzate per evitare che il ritardo possa configurare colpa grave.