Corte di giustizia UE, Sez. I, sentenza 15 ottobre 2026, causa C-70/25 [Tukowiecka], N.O. c. PKO BP S.A.
Presidente Biltgen – Relatore Bošnjak
In sintesi
Con la sentenza del 15 ottobre 2026 la Corte di giustizia dell’Unione europea chiarisce un punto di grande rilievo pratico per chiunque subisca una truffa informatica: la banca non può rifiutare il rimborso immediato di un’operazione non autorizzata sostenendo che il cliente sia stato gravemente negligente. Il rimborso va effettuato subito; l’eventuale colpa grave del cliente potrà essere fatta valere solo in un secondo momento, per recuperare le somme rimborsate.
Il principio di diritto
«L’articolo 73, paragrafo 1, e l’articolo 74, paragrafo 1, della direttiva (UE) 2015/2366 […] devono essere interpretati nel senso che un prestatore di servizi di pagamento non può rifiutarsi di rimborsare immediatamente a un pagatore l’importo di un’operazione di pagamento non autorizzata, per il motivo che tale pagatore avrebbe reso possibile detta operazione per negligenza grave, in violazione degli obblighi ad esso incombenti in virtù dell’articolo 69 della direttiva 2015/2366».
(CGUE, C-70/25, dispositivo – testo su EIUS)
Il caso
La vicenda nasce in Polonia ed è, purtroppo, uno schema ben noto anche in Italia. Una correntista mette in vendita un oggetto su un portale di aste online. Un finto acquirente le invia un link, apparentemente proveniente dal portale, per “confermare la vendita”. Il link la porta su un sito che imita quello della sua banca, dove inserisce le credenziali di home banking. Con quei dati il truffatore dispone un bonifico di 3.000 zloty (circa 705 euro), confermato con il codice ricevuto via SMS e ottenuto con lo stesso inganno.
Il giorno successivo la cliente si accorge della frode e avvisa subito banca e polizia. La banca rifiuta il rimborso: a suo dire, la perdita deriva dalla colpa grave della cliente nella custodia delle credenziali, e l’istituto si ritiene libero di valutare da sé questa circostanza. Il Tribunale circondariale di Koszalin sospende il giudizio e chiede alla Corte se un simile rifiuto sia compatibile con la direttiva PSD2 (CGUE, C-70/25, punti 14-27).
Il giudice del rinvio segnala un dato significativo: nei tribunali polacchi non arrivano azioni delle banche contro i clienti negligenti, ma numerose cause dei consumatori contro i rifiuti di rimborso. L’eccezione, in altre parole, era diventata la regola, e l’onere di agire in giudizio finiva sempre sul cliente (punti 23-26).
La decisione
La Corte risponde che il rifiuto non è consentito, con un ragionamento articolato su quattro piani.
- La lettera della norma. L’art. 73 PSD2 prevede una sola eccezione al rimborso immediato: il ragionevole sospetto di frode del pagatore, comunicato per iscritto all’autorità nazionale competente. Il sospetto di colpa grave non è contemplato (punti 31-34).
- Il sistema. Gli artt. 73 e 74 regolano momenti diversi. L’art. 73 impone il rimborso immediato; l’art. 74, che fa gravare sul pagatore l’intera perdita in caso di dolo o colpa grave, opera in una fase successiva e riguarda solo il carattere definitivo del rimborso. A ciò si aggiunge che l’art. 72, par. 2, pone a carico della banca la prova della negligenza grave del cliente (punti 37-42).
- Lo scopo. Consentire alla banca di trattenere le somme in base a una propria valutazione di colpa grave svuoterebbe il diritto al rimborso immediato e costringerebbe il cliente ad agire in giudizio, con costi e tempi a suo carico: un esito difficilmente conciliabile con l’elevato livello di tutela dei consumatori perseguito dalla direttiva (punti 43-47).
- La genesi. La direttiva 2007/64 non prevedeva eccezioni al rimborso; il legislatore della PSD2 ne ha introdotta una sola e specifica, la frode, vietando agli Stati membri di mantenere o introdurre regole diverse in ragione della piena armonizzazione (art. 107) (punti 48-49).
La Corte respinge infine la tesi dei Governi ceco e italiano, secondo cui questa lettura eluderebbe le procedure di risoluzione alternativa delle controversie (in Italia, l’Arbitro Bancario Finanziario): tali procedure riguardano ogni tipo di lite in materia di servizi di pagamento e non sostituiscono la verifica degli obblighi del cliente (punti 50-51).
Cosa cambia in Italia
La PSD2 è attuata dal d.lgs. 27 gennaio 2010, n. 11. L’art. 11 impone al prestatore di servizi di pagamento un rimborso integrale, immediato (al più tardi entro la fine della giornata operativa successiva) e con valuta non successiva all’addebito; consente di sospenderlo solo in caso di motivato sospetto di frode, con immediata comunicazione scritta alla Banca d’Italia; e lascia ferma la possibilità di dimostrare successivamente che l’operazione era stata autorizzata, chiedendo la restituzione delle somme (Banca d’Italia, nota esplicativa sull’obbligo di segnalazione ex art. 11).
Fin qui il quadro normativo è in linea con la sentenza. Il punto delicato riguarda alcune indicazioni di vigilanza.
- Nella stessa nota esplicativa la Banca d’Italia precisa correttamente che il comportamento fraudolento non può consistere nella mera inosservanza, dolosa o colposa, degli obblighi di custodia; ma aggiunge che, se il prestatore dispone già entro la giornata operativa successiva di elementi idonei a provare la colpa grave dell’utente, non ricorrono i presupposti per la sospensione e la segnalazione (Banca d’Italia, nota esplicativa).
- La Comunicazione al sistema del 17 giugno 2024 sui disconoscimenti afferma che, in presenza di autenticazione forte, il prestatore «ha facoltà di non rimborsare l’utente se ha accertato» che l’operazione è stata causata dal mancato rispetto degli obblighi di custodia per dolo o colpa grave (Banca d’Italia, Comunicazione 17 giugno 2024).
Dopo C-70/25 queste indicazioni vanno rilette: la valutazione della colpa grave, anche se il prestatore ritiene di averne già la prova, non giustifica il mancato rimborso immediato. Può fondare soltanto la successiva richiesta di restituzione. L’unica via per non rimborsare subito resta il motivato sospetto di frode del cliente, da comunicare alla Banca d’Italia.
Indicazioni pratiche
Per il cliente vittima di una truffa
- Disconoscere l’operazione per iscritto e senza ritardo (la PSD2 fissa comunque il limite di 13 mesi dall’addebito) e sporgere denuncia.
- Chiedere espressamente il rimborso immediato richiamando l’art. 11 d.lgs. 11/2010 e la sentenza C-70/25.
- Un rifiuto motivato soltanto con la “colpa grave” è oggi contestabile, tramite reclamo, ricorso all’ABF o azione giudiziale.
Per banche e intermediari
- Rivedere procedure interne e modulistica di riscontro ai disconoscimenti, separando la fase del rimborso da quella dell’accertamento della responsabilità.
- Rimborsare entro i termini e, se ne ricorrono i presupposti, agire poi per la restituzione, conservando una documentazione accurata della dinamica della frode e degli elementi che dimostrano la colpa grave, il cui onere probatorio grava sul prestatore.
- Riservare la sospensione ai soli casi di motivato sospetto di frode dell’utente, con comunicazione scritta alla Banca d’Italia.
Osservazioni conclusive
La pronuncia non stabilisce se cadere in un phishing integri o meno colpa grave: questa valutazione resta affidata al giudice nazionale, caso per caso, e potrà incidere sull’esito finale della lite. La Corte decide un profilo diverso e altrettanto concreto: chi deve sopportare il peso del tempo e del processo. La risposta è netta: la banca paga prima e, se ha ragione, recupera dopo. È una scelta che riequilibra i rapporti di forza tra intermediario professionale e consumatore e che, per gli operatori italiani, impone un adeguamento delle prassi di gestione dei disconoscimenti.
Corte di giustizia dell’Unione Europea 15.10.2026 – Causa C-70:25
