Il TJUE stabilisce che le banche devono rimborsare immediatamente i fondi sottratti tramite phishing, anche in caso di sospetta negligenza grave del cliente.

Immaginate un imprenditore o un privato che, dopo aver scoperto un prelievo non autorizzato sul proprio conto, contatta la banca chiedendo il ripristino della somma. La risposta dell'istituto è spesso un muro di gomma: 'Lei ha inserito i codici in un sito falso, è stata negligente, non rimborsiamo nulla'. Fino a poco tempo fa, questa dinamica costringeva la vittima a intraprendere lunghe e costose battaglie legali per recuperare i propri fondi. La situazione cambia radicalmente con la sentenza C-70/25 del Tribunale di Giustizia dell'Unione Europea (TJUE), emessa il 15 ottobre 2026.

Rimborso immediato per phishing: cosa cambia per l'utente

La domanda che molti si pongono è semplice: riavrò i miei soldi subito? La risposta, secondo il nuovo orientamento europeo, è sì. Il TJUE ha stabilito che le banche e i fornitori di servizi di pagamento non possono rifiutarsi di restituire immediatamente l'importo di un'operazione non autorizzata basandosi sulla semplice ipotesi che il cliente abbia agito con negligenza grave.

Il termine temporale è perentorio. L'entità bancaria deve procedere al rimborso al più tardi entro la fine del giorno lavorativo successivo a quello in cui ha rilevato l'operazione o ha ricevuto la notifica della stessa. Questo meccanismo sposta l'onere della gestione del rischio dal consumatore all'istituto finanziario, eliminando la necessità per la vittima di avviare una causa legale solo per ottenere la restituzione di somme sottratte tramite frode.

Il principio del 'restituisci prima, contesta poi'

Il cuore giuridico della sentenza C-70/25 risiede nell'interpretazione della Direttiva (UE) 2015/2366 (nota come PSD2), che disciplina i servizi di pagamento nel mercato interno. In particolare, l'articolo 73.1 della Direttiva impone l'obbligo di restituire immediatamente l'importo delle operazioni non autorizzate.

Il TJUE ha chiarito che esiste una distinzione netta tra l'obbligo di rimborso iniziale e la successiva possibilità di richiedere i danni. In sostanza, viene introdotto un protocollo sequenziale: 1. Il cliente denuncia l'operazione non autorizzata senza ritardi ingiustificati. 2. La banca rimborsa la somma entro il giorno lavorativo successivo. 3. Solo in un secondo momento, la banca può reclamare le perdite se è in grado di dimostrare che l'utente ha agito in modo fraudolento o ha violato deliberatamente e con negligenza grave i propri obblighi di sicurezza.

L'unica eccezione che permette di bloccare il rimborso immediato è l'esistenza di motivi ragionevoli per sospettare che l'utente stesso abbia commesso una frode, a condizione che tale sospetto venga comunicato per iscritto all'autorità nazionale competente. La mera sospetta negligenza, invece, non è più una scusa valida per trattenere i fondi.

Un link falso e 3.000 zloty svaniti: i dettagli del caso Tukowiecka

La vicenda che ha portato a questa storica decisione riguarda una cittadina polaca, cliente della banca PKO BP S.A. La dinamica è un classico esempio di ingegneria sociale applicata al phishing. La donna aveva messo in vendita un oggetto su un portale di aste online; un presunto acquirente l'ha contattata inviandole un link fraudolento per confermare la vendita. Il link conduceva a una pagina web che imitava perfettamente l'interfaccia della sua banca.

Convinta di trovarsi su un sito sicuro, la cliente ha inserito le proprie credenziali di accesso e ha fornito un codice SMS, anch'esso richiesto dagli estafadores. Grazie a queste informazioni, i criminali hanno trasferito 3.000 zloty (circa 705 euro) su un conto di loro proprietà. Nonostante la tempestiva segnalazione del giorno successivo, la banca PKO BP si è rifiutata di rimborsare la somma, sostenendo che la cliente fosse stata gravemente negligente nel fornire le proprie chiavi di sicurezza. Il caso, dopo essere passato per i tribunali polacchi, è arrivato al TJUE, che ha dato ragione alla consumatrice.

La negligenza grave giustifica il blocco del rimborso?

Da un punto di vista critico, la sentenza affronta il nodo della responsabilità. Le banche hanno sempre sostenuto che l'imprudenza dell'utente (come l'inserimento di password in siti sospetti) dovesse esonerarle dal rimborso. Tuttavia, il tribunale europeo ha stabilito che la protezione del consumatore prevale sulla valutazione discrezionale della banca in fase di rimborso.

'La mera sospetta negligenza grave del cliente non costituisce un'eccezione che permetta alla banca di ritardare la restituzione'

Questa interpretazione, riportata dall'analisi di Juan Carlos Añón, presidente della Sezione Consumo del Colegio de la Abogacía de Valencia, suggerisce che il rischio operativo legato alla sicurezza dei sistemi di pagamento debba essere gestito dall'istituto. Se la banca ritiene che l'utente sia stato troppo imprudente, non può farsi giustizia da sola bloccando i fondi, ma deve rimborsare e poi provare la colpa in sede di reclamo o giudiziaria.

L'impatto della sentenza C-70/25 sulle banche e i consumatori in Italia

Sebbene il caso sia nato in Polonia, l'effetto è immediato in tutta l'Unione Europea, Italia inclusa, poiché si basa su una Direttiva comunitaria. Per gli imprenditori e i gestori di conti aziendali, questo rappresenta un potenziamento della liquidità protetta in caso di attacchi cyber.

Analisi strategica e implicazioni business:
Le banche dovranno rivedere i propri processi di compliance e i flussi di gestione dei reclami. Il costo operativo per gli istituti aumenterà, poiché dovranno automatizzare i rimborsi per evitare sanzioni o contenziosi. Parallelamente, potremmo assistere a un inasprimento dei contratti di servizio, con clausole più stringenti sulla definizione di negligenza grave per facilitare le azioni di recupero post-rimborso.

Per approfondire i dettagli tecnici della sentenza, è possibile consultare l'analisi pubblicata da Abogacia o i commenti di Ceutanegocios.

Possiamo ipotizzare due scenari evolutivi per il mercato europeo:

• Scenario A: Standardizzazione dei rimborsi. Le banche implementano sistemi di rimborso automatico per somme sotto una certa soglia per ridurre i costi legali. Indicatore verificabile: Pubblicazione di nuove linee guida da parte dell'EBA (European Banking Authority) entro il 2027.
• Scenario B: Inasprimento dei controlli di identità. Per evitare rimborsi massivi, le banche introducono sistemi di autenticazione biometrica più invasivi, riducendo la dipendenza dagli SMS. Indicatore verificabile: Aumento della quota di login tramite passkey o biometria hardware nei report annuali di settore 2026-2027.

Significato per le imprese italiane e l'UE

Per le imprese italiane, questa sentenza si inserisce in un quadro di crescente regolamentazione della sicurezza digitale. Mentre l'AI Act e la direttiva NIS2 pongono l'accento sulla resilienza delle infrastrutture e sulla gestione del rischio cyber, la sentenza C-70/25 tutela l'aspetto finanziario finale. In sintesi, l'UE sta spostando l'onere della prova e del rischio economico verso i fornitori di servizi, obbligando il settore bancario a investire in sistemi di prevenzione più efficaci piuttosto che fare affidamento sull'errore umano dell'utente.

Domande frequenti

---

Fonti: Abogacia, Bufetepadillatorrevieja, Ceutanegocios ·

glacom · IA per studi legali: i fascicoli non escono dallo studio →