LA RESPONSABILITA’ DELLE BANCHE NELLE OPERAZIONI TRUFFALDINE DI HOME BANKING
La Cassazione[1] si è recentemente pronunciata in una fattispecie di truffa informatica on-line consistita nel carpire l’username e la password del correntista per l’accesso al conto (c.d. phishing).
Nel caso in esame, il correntista aveva digitato i propri codici personali, verosimilmente richiestigli con una mail fraudolenta in tal modo consentendo ad un ignoto truffatore di utilizzarli successivamente per effettuare un bonifico online.
La vicenda si deve inquadrare nell’ambito della responsabilità per l’esercizio di cose attività pericolose di cui all’art. 2050 c.c. in base al rinvio all’art. 2050 c.c., operato dall’art. 15 del codice della privacy, pertanto l’istituto che svolge un’attività di tipo finanziario o in generale creditizio risponde, quale titolare del trattamento di dati personali, dei danni conseguenti al fatto di non aver impedito a terzi di introdursi illecitamente nel sistema telematico del cliente mediante la captazione dei suoi codici di accesso e le conseguenti illegittime disposizioni di bonifico, se non prova che l’evento dannoso non gli è imputabile perché discendente da trascuratezza, errore (o frode) dell’interessato o da forza maggiore[2].
La possibilità della sottrazione dei codici del correntista, attraverso tecniche fraudolente, rientra nell’area del rischio di impresa, tale rischio è destinato ad essere fronteggiato attraverso l’adozione di misure che consentano all’istituto di credito di verificare, prima di dare corso all’operazione, se essa sia effettivamente attribuibile al cliente. Al fine di garantire la fiducia degli utenti nella sicurezza del sistema, si deve ritenere ragionevole ricondurre nell’area del rischio professionale del prestatore di servizi di pagamento, prevedibile ed evitabile con appropriate misure destinate a verificare la riconducibilità delle operazioni alla volontà del cliente, la possibilità di una utilizzazione dei codici da parte di terzi, non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo.
La Suprema Corte di Cassazione[3] statuisce infatti che: “in tema di responsabilità della banca in caso di operazioni effettuate a mezzo di strumenti elettronici, anche al fine di garantire la fiducia degli utenti nella sicurezza del sistema (il che rappresenta interesse degli stessi operatori), è del tutto ragionevole ricondurre nell’area del rischio professionale del prestatore dei servizi di pagamento, prevedibile ed evitabile con appropriate misure destinate a verificare la riconducibilità delle operazioni alla volontà del cliente, la possibilità di una utilizzazione dei codici di accesso al sistema da parte dei terzi, non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo. Ne consegue che, la banca, cui è richiesta una diligenza di natura tecnica, da valutarsi con il parametro dell’accorto banchiere, è tenuta a fornire la prova della riconducibilità dell’operazione al cliente”.
Leonardo Vecchione
Avvocato in Roma
[1] Cfr. Cass. civ. Sez. VI, Ord., 12 aprile 2018, n. 9158.
[2] Cfr. Cass. civ. Sez. I, Sent., (ud. 13-04-2016) 23-05-2016, n. 10638: “In tema di ripartizione dell’onere della prova, al correntista abilitato a svolgere operazioni “on line” che, alla stregua degli artt. 15 del d.lgs. n. 196 del 2003 e 2050 c.c., agisca per l’abusiva utilizzazione (nella specie, mediante illegittime disposizioni di bonifico) delle sue credenziali informatiche, spetta soltanto la prova del danno siccome riferibile al trattamento del suo dato personale, mentre l’istituto creditizio risponde, quale titolare del trattamento di dato, dei danni conseguenti al fatto di non aver impedito a terzi di introdursi illecitamente nel sistema telematico mediante la captazione dei codici d’accesso del correntista, ove non dimostri che l’evento dannoso non gli sia imputabile perché discendente da trascuratezza, errore o frode del correntista o da forza maggiore”.
[3] [3] Cfr. Cass. civ. Sez. VI, Ord., 12 aprile 2018, n. 9158, conforme a Cass. civ. Sez. I, 03 febbraio 2017, n. 2950.