Sentenza TJUE del 15 ottobre 2026: rimborsi phishing entro il giorno successivo
- Il TJUE stabilisce che le banche devono rimborsare le operazioni non autorizzate entro un giorno lavorativo.
- L'onere di provare la negligenza grave del cliente spetta ora all'istituto bancario, non più alla vittima.
- La sentenza C-70/25 chiarisce che il rimborso è indipendente dalla successiva valutazione della responsabilità dell'utente.
- I tribunali nazionali, come l'Audiencia Provincial di Zaragoza, stanno già applicando questa dottrina per condannare gli istituti al risarcimento.
Un cliente scopre il furto di fondi dal proprio conto corrente. Segue la segnalazione immediata alla banca. Fino a ieri, la risposta standard degli istituti era un rifiuto basato sulla presunta negligenza dell'utente, che aveva inserito i propri codici in un sito clone o fornito un OTP via SMS. Il risultato era un vicolo cieco: il cliente, per recuperare i propri soldi, doveva intraprendere lunghe e costose battaglie legali per dimostrare di non essere stato colposo.
Oggi lo scenario è ribaltato. La sentenza C-70/25 del Tribunale di Giustizia dell'Unione Europea (TJUE), emessa il 15 ottobre 2026, stabilisce che il rimborso deve avvenire in modo immediato. Nello specifico, l'OCU riporta che le banche sono obbligate a restituire le somme sottratte tramite operazioni non autorizzate, come quelle derivanti dal phishing, entro e non oltre la fine del giorno lavorativo successivo alla notifica.
L'onere della prova cambia mano
Il cuore della decisione risiede nello spostamento della responsabilità probatoria. In precedenza, molte banche utilizzavano l'ipotesi di negligenza grave per negare il rimborso, costringendo la vittima a ricorrere ai tribunali. Il TJUE ha chiarito che l'obbligo di rimborso è indipendente dalla responsabilità finale del consumatore.
Analisi strategica: Questo passaggio trasforma il rischio operativo. Se prima il rischio finanziario del phishing era parzialmente traslato sull'utente finale, ora ricade interamente e immediatamente sull'istituto di credito. La banca non può più usare la 'negligenza' come scudo per trattenere i fondi; deve prima restituirli e solo in un secondo momento, se lo ritiene opportuno, avviare un'azione legale per recuperare le somme, portando le prove della colpa grave del cliente.
La dottrina è già stata recepita a livello nazionale. L'Audiencia Provincial di Zaragoza, nella sentenza 522/2026, ha condannato la banca Ibercaja a restituire 6.000 euro a una coppia di clienti vittima di smishing. Nonostante l'istituto avesse contestato una 'reiterada negligencia grave' poiché i clienti avevano rivelato chiavi di sicurezza e dati bancari a un truffatore via WhatsApp e telefono, il tribunale ha applicato la dottrina europea, privilegiando la tutela dell'utente.
Come funziona la direttiva PSD2
La decisione del TJUE non crea un diritto dal nulla, ma interpreta rigorosamente la Direttiva sui Servizi di Pagamento (PSD2). Secondo questa normativa, quando si verifica un'operazione di pagamento non autorizzata, il fornitore di servizi di pagamento ha il dovere di restituire l'importo sottratto.
Il nodo giuridico riguardava l'interpretazione della 'negligenza grave'. Le banche sostenevano che l'inserimento di credenziali in un sito di phishing costituisse di per sé una colpa tale da annullare il diritto al rimborso immediato. Il TJUE ha invece ribadito che l'unica eccezione che permette di ritardare il rimborso è l'esistenza di motivi ragionevoli per sospettare una frode da parte del cliente stesso, ma tale sospetto non può essere usato per bloccare preventivamente la restituzione dei fondi senza prove certe.
Per approfondire i dettagli tecnici della normativa, è possibile consultare i documenti ufficiali sulla sentenza C-70/25.
Il caso PKO BP a Lussemburgo
La scintilla che ha portato a questa sentenza è stata una disputa tra una cliente e la banca polacca PKO BP. La vicenda è iniziata su un portale di aste online: la cliente aveva messo in vendita un oggetto e un truffatore, fingendosi un acquirente, le ha inviato un link falso per confermare la vendita. Il link conduceva a una pagina specchio che imitava perfettamente l'interfaccia della banca.
La vittima inserì le credenziali e fornì un codice SMS, permettendo al criminale di trasferire 3.000 zlotys (circa 705 euro). Nonostante la segnalazione immediata il giorno seguente, PKO BP si rifiutò di rimborsare la somma, sostenendo che l'inserimento dei dati in un sito falso fosse un atto di negligenza grave. Il caso è arrivato fino al Lussemburgo, dove il TJUE ha stabilito che tale condotta non giustifica il rifiuto del rimborso immediato.
Requisiti per il rimborso immediato
Per poter invocare la tutela della sentenza C-70/25 e della PSD2, devono essere soddisfatti determinati criteri procedurali:
- Notifica tempestiva: Il cliente deve comunicare l'operazione non autorizzata alla banca non appena ne viene a conoscenza.
- Natura dell'operazione: L'operazione deve essere classificata come non autorizzata (es. phishing, smishing, vishing o spoofing).
- Tempistica di esecuzione: La banca deve procedere al riaccredito entro la fine del giorno lavorativo successivo alla notifica.
- Inversione della prova: In caso di contestazione, spetta alla banca dimostrare in sede legale la negligenza grave, non al cliente dimostrare la propria buona fede.
Smishing e tutele bancarie in Italia ed Europa
L'impatto di questa sentenza si estende a tutto il mercato unico europeo. In Italia, dove le truffe di smishing (SMS fraudolenti) e vishing (telefonate ingannevoli) sono in costante aumento, l'orientamento del TJUE obbliga gli istituti a rivedere i propri protocolli di customer care e gestione dei reclami.
Analisi di business e geopolitica: La pressione normativa si sposta ora sulla sicurezza tecnologica. Se le banche non possono più scaricare il costo della frode sull'utente finale appellandosi alla sua ingenuità, saranno costrette a investire massicciamente in sistemi di AI per il rilevamento delle anomalie in tempo reale e in sistemi di autenticazione più robusti che vadano oltre il semplice SMS OTP, ormai facilmente intercettabile o manipolabile tramite ingegneria sociale.
L'integrazione con framework come il NIS2 (Network and Information Security Directive) renderà obbligatoria una gestione del rischio molto più rigorosa per le entità finanziarie, considerate infrastrutture critiche. La tendenza è chiara: la responsabilità della sicurezza digitale si sposta dal 'utente consapevole' al 'sistema resiliente'.
Per i consumatori e le imprese, questo significa una protezione finanziaria senza precedenti. Come evidenziato da OCU, l'invito è di invocare esplicitamente questa sentenza in caso di rifiuto del rimborso.
Per ulteriori dettagli sulle applicazioni giudiziarie di questa dottrina, si può fare riferimento ai casi trattati da Confilegal.
Scenari futuri e indicatori: 1. Aumento dei contenziosi tra banche e clienti per la definizione di 'negligenza grave'. Indicatore: Numero di sentenze di merito nei tribunali civili europei nel 2027. 2. Abbandono definitivo dell'SMS come secondo fattore di autenticazione a favore di chiavi hardware o biometria avanzata. Indicatore: Percentuale di banche UE che rimuovono l'OTP via SMS dai loro standard di sicurezza entro il 2028. 3. Revisione delle polizze assicurative cyber per le banche. Indicatore: Variazione dei premi assicurativi per il rischio frode operativa nel prossimo anno fiscale.
Implicazioni per le imprese italiane e l'UE
Per le imprese italiane, questa sentenza sottolinea l'importanza di una gestione rigorosa della tesoreria e l'adozione di protocolli di sicurezza interni che non si affidino solo alla formazione del personale. A livello UE, il coordinamento tra PSD2, AI Act e NIS2 sta creando un ecosistema dove la responsabilità legale segue la capacità tecnica: chi detiene il controllo dell'infrastruttura (la banca) ne assume il rischio finanziario. Questo spingerà l'industria fintech verso soluzioni di sicurezza 'zero trust' per minimizzare le perdite derivanti da errori umani.
Domande frequenti
Entro quanto tempo la banca deve restituire i soldi dopo un phishing?
Secondo la sentenza del TJUE e quanto riportato dall'OCU, il rimborso deve avvenire in modo immediato e, al più tardi, entro la fine del giorno lavorativo successivo alla notifica.
La banca può rifiutarsi di rimborsare se ho dato io il codice SMS al truffatore?
No, non può rifiutarsi a priori. Deve prima rimborsare la somma e successivamente, se ritiene che ci sia stata negligenza grave, dovrà provarlo e reclamare i fondi attraverso le vie legali.
Qual è la differenza tra phishing e smishing citati nel dossier?
Il phishing avviene tramite email, mentre lo smishing utilizza gli SMS per ingannare l'utente e sottrarre credenziali o fondi.
Fonti: Confilegal, Bufetepadillatorrevieja, Ocu ·
glacom · IA per studi legali: i fascicoli non escono dallo studio →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
