Contenuto informativo. Non costituisce consulenza legale: per valutazioni sul proprio caso è necessario rivolgersi a un professionista.
Per anni la spesa in sicurezza informatica è stata trattata come una voce di investimento discrezionale. Una sentenza appena depositata la riclassifica come parametro di responsabilità.
La Corte d’Appello di Palermo, con la decisione numero 1929 del 2026, ha respinto integralmente l’appello di un istituto di credito, confermando la condanna già pronunciata in primo grado per un bonifico non autorizzato da 23.500 euro disposto tramite home banking ai danni di una società correntista.
Cosa era successo
La frode era stata resa possibile da una campagna malevola nota come Brata.
Gli autori avevano indotto la vittima a scaricare un’applicazione fraudolenta attraverso un collegamento presentato come proveniente dalla banca. Sottratte le credenziali di accesso, il bonifico era stato disposto da remoto.
I due elementi che hanno deciso la causa
La consulenza tecnica disposta in giudizio ha individuato due circostanze ritenute decisive.
La prima è che la transazione contestata proveniva da un indirizzo Ip mai utilizzato in precedenza dal cliente.
La seconda è che, nella stessa giornata, il sistema dell’istituto aveva già bloccato altri tentativi di accesso considerati sospetti.
Per la Corte, quei segnali imponevano alla banca un livello di attenzione superiore a quello effettivamente dimostrato.
L’inversione dell’onere della prova
Il fondamento giuridico è l’articolo 2050 del codice civile, dedicato alla responsabilità per l’esercizio di attività pericolose.
La gestione telematica del denaro rientra in quella categoria, perché espone il cliente a rischi che il singolo utente non può controllare né prevedere.
Ne discende un’inversione dell’onere probatorio: non spetta al correntista dimostrare la negligenza dell’istituto, ma all’istituto provare di aver adottato ogni misura idonea a impedire l’intrusione. Il metro applicato è quello della diligenza professionale, superiore a quella richiesta al comune cittadino.
Perché non basta l’autenticazione regolare
È il passaggio che ha maggiori conseguenze operative.
La banca non può liberarsi dalla responsabilità limitandosi a provare che l’operazione è stata autenticata, registrata e contabilizzata correttamente.
Deve dimostrare, con elementi concreti e verificabili, che a determinare la sottrazione sia stato un comportamento negligente del cliente. E quella negligenza non si presume per il solo fatto che le credenziali corrette siano state utilizzate da chi ha materialmente disposto il bonifico.
Il secondo fronte normativo
Alla responsabilità civile si affianca la disciplina europea sulla protezione dei dati.
Credenziali di accesso e informazioni sui movimenti del conto costituiscono dati personali soggetti al Regolamento Ue 2016/679. L’articolo 82 riconosce il diritto al risarcimento a chi subisce un danno da trattamento non conforme, mentre l’articolo 32 impone al titolare misure di sicurezza adeguate al rischio.
L’intrusione di un terzo nel sistema informatico dell’istituto costituisce di per sé un indizio della carenza delle misure adottate.
Quando la responsabilità torna sul cliente
La tutela non è incondizionata e le esimenti sono definite con precisione.
L’istituto viene esonerato quando dimostra che la sottrazione è stata resa possibile da una condotta imprudente del correntista: comunicazione volontaria dei codici a terzi, caduta in un tentativo di phishing con inserimento dei dati su siti contraffatti, annotazione delle credenziali in luoghi facilmente accessibili, utilizzo di dispositivi privi di protezione antivirus.
In questi casi il nesso causale tra l’eventuale falla del sistema bancario e il danno si interrompe.
Cosa deve dimostrare il correntista
Sul versante opposto, chi chiede il rimborso deve provare di aver agito con diligenza.
Contano la protezione tecnica del dispositivo utilizzato, l’assenza di applicazioni non verificate installate su indicazione di terzi, la mancata condivisione della password, la sostituzione periodica dei codici e il controllo regolare dei movimenti.
Nel caso deciso a Palermo ha pesato in particolare la tempestività della denuncia: la società aveva disconosciuto l’operazione e sporto denuncia non appena rilevata l’anomalia.
Il punto che riguarda i bilanci
Qui sta la conseguenza economica della decisione.
Secondo l’orientamento richiamato, la sicurezza informatica è parte integrante del servizio bancario. L’istituto è tenuto a monitorare le operazioni anomale per importo o destinazione, a bloccare in via preventiva i bonifici verso soggetti sospetti, a inviare notifiche istantanee per ogni movimento e a implementare sistemi di autenticazione avanzata.
Il passaggio decisivo è l’ultimo: continuare a utilizzare tecnologie superate espone la banca a responsabilità, perché il progresso tecnico diventa in questa materia un parametro di valutazione della diligenza dovuta.
Tradotto in termini gestionali, l’obsolescenza dei sistemi cessa di essere un problema di efficienza e diventa una passività potenziale.
Il percorso per il cliente
Chi rileva un’operazione non autorizzata deve muoversi rapidamente.
Il primo passo è il blocco di carte e servizi di home banking, seguito dalla denuncia alle autorità competenti per il reato di accesso abusivo a sistema informatico.
Occorre poi inviare un reclamo scritto tramite raccomandata o posta elettronica certificata, chiedendo formalmente lo storno dell’operazione e la restituzione della somma, conservando ogni documento utile a provare la propria diligenza.
In caso di rigetto restano l’Arbitro Bancario Finanziario e, in ultima istanza, la via giudiziale.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Redazione
Source link
