INDICE
Responsabilità della banca per bonifico fraudolento: quando deve rimborsare il cliente
Le frodi bancarie online non sono più episodi eccezionali. Bonifici disposti all’insaputa del correntista, credenziali sottratte con malware o trojan, notifiche mai viste, operazioni eseguite in piena notte: tutto questo pone una domanda concreta, molto più importante delle formule tecniche usate dalle banche nelle loro difese. Chi deve sopportare la perdita quando il cliente disconosce l’operazione?
La sentenza del Giudice di Pace di Empoli, 18 marzo 2026, n. 32 offre una risposta particolarmente chiara. Il giudice non si limita a ribadire che la banca, in caso di operazione non autorizzata, sopporta l’onere della prova. Va oltre, e collega la responsabilità dell’istituto anche all’assenza di adeguati sistemi automatizzati di rilevamento delle operazioni anomale.
L’interesse della decisione sta proprio qui: non basta più dire che il pagamento è partito formalmente dal dispositivo del cliente o che è stato usato un sistema di autenticazione forte. Occorre dimostrare che l’operazione era davvero riconducibile alla volontà del correntista e che il sistema di sicurezza era concretamente adeguato a prevenire frodi del tipo verificatosi.
In questo articolo analizzerò:
- il caso deciso dal Giudice di Pace di Empoli;
- il significato dell’inversione dell’onere della prova;
- perché log informatici, SMS e notifiche push non bastano;
- quando la colpa grave del cliente può essere esclusa;
- perché i sistemi di rilevamento automatico delle anomalie stanno assumendo un ruolo centrale nella responsabilità bancaria.
Il caso deciso dal Giudice di Pace di Empoli
Il giudizio trae origine da un bonifico fraudolento di euro 2.700 eseguito il 2 maggio 2023 mediante il conto corrente del ricorrente. Il cliente agisce per ottenere la restituzione della somma, negando di avere autorizzato l’operazione. La banca si costituisce, ma la sua linea difensiva si concentra soprattutto sull’idea che l’operazione sia stata resa possibile da una condotta incauta del correntista, il cui dispositivo sarebbe stato compromesso da malware o trojan.
Il giudice, però, individua subito il punto decisivo: non è il cliente che deve spiegare in modo tecnico come sia avvenuta la frode, ma la banca che deve provare l’autorizzazione dell’operazione o almeno la sussistenza del dolo o della colpa grave dell’utente.
La sentenza afferma infatti:
La difesa della Banca, come era suo onere, non è riuscita a dimostrare che il pagamento sia stato autorizzato dal cliente né che lo stesso abbia agito con dolo o colpa grave
Già questo passaggio basta a chiarire un equivoco molto diffuso. Nelle controversie su operazioni non autorizzate, la banca non può limitarsi a dire che il pagamento risulta partito dalle credenziali del cliente. Deve offrire una prova vera, rigorosa, coerente con l’art. 10 del d.lgs. 11/2010.
La sentenza aggiunge poi un ulteriore chiarimento, molto utile in chiave pratica:
Anche a voler ritenere che il ricorrente sia stato vittima di un malware o di un trojan, tale circostanza non equivale affatto a una autorizzazione dell’operazione di pagamento né può essere automaticamente qualificata come colpa grave
Questo passaggio è importante perché smonta una delle difese più frequenti degli istituti di credito: trasformare la frode subita dal cliente in una colpa del cliente stesso. In realtà, il fatto che vi sia stato un malware non dimostra né il consenso all’operazione né, da solo, una negligenza grave del correntista.
Una decisione approfondita
Va però chiarito subito un punto importante sul valore della pronuncia.
La sentenza del Giudice di Pace di Empoli n. 32/2026 non esprime, da sola, un orientamento consolidato, né potrebbe farlo, trattandosi di una decisione di merito resa da un giudice di pace.
La sua importanza, però, non sta nell’avere creato una regola nuova, ma nell’avere sviluppato in modo particolarmente analitico, aderente ai fatti e tecnicamente consapevole un principio già stabile nella giurisprudenza di legittimità: la banca, quale prestatore di servizi di pagamento, è tenuta a una diligenza professionale qualificata e deve dimostrare che l’operazione contestata sia realmente riconducibile alla volontà del cliente, non essendo sufficiente la mera regolarità formale dell’autenticazione.
In questo senso, la decisione di Empoli ha un forte valore persuasivo, perché applica alle circostanze concrete del caso il criterio di diligenza elaborato dalla Cassazione con una motivazione approfondita.
Onere della prova nelle operazioni bancarie non autorizzate
Il cuore giuridico della decisione sta nell’applicazione dell’art. 10, comma 1, del d.lgs. 11/2010, che la sentenza riporta testualmente. Il giudice ricorda che, in presenza di un’operazione disconosciuta, è il prestatore di servizi di pagamento a dover provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata, e che non vi siano stati malfunzionamenti o altri inconvenienti.
La motivazione è molto netta:
La norma, dunque, inverte l’onere della prova: non è il cliente a dover dimostrare che non ha autorizzato l’operazione, ma è la Banca a dover provare che l’operazione è stata effettivamente autorizzata dal cliente, che il sistema di autenticazione era sicuro e non vulnerabile e che non vi sono stati malfunzionamenti o inconvenienti nelle procedure
Il punto non è stabilire se l’operazione appaia regolare nei sistemi interni della banca. Il punto è stabilire se quella operazione possa essere attribuita alla libera e consapevole volontà del cliente.
La stessa sentenza insiste sul fatto che la linea difensiva della banca tentava di spostare l’attenzione dall’unico elemento davvero rilevante: il mancato assolvimento dell’onere probatorio posto a suo carico dalla legge.
Qui si innesta perfettamente anche la giurisprudenza di legittimità richiamata dal provvedimento, secondo cui l’utilizzo di uno strumento di pagamento registrato non basta, di per sé, a dimostrare che l’operazione sia stata autorizzata dall’utente o che questi abbia agito con dolo o colpa grave. In altri termini: autenticazione tecnica e autorizzazione giuridica non coincidono.
-leggi anche: Donare denaro con bonifico bancario: quando la donazione è nulla e come tutelare i diritti degli eredi
Autenticazione non significa autorizzazione
Uno dei punti migliori della sentenza è la critica alla prova documentale offerta dalla banca. L’istituto aveva prodotto in giudizio i cosiddetti “Log del cliente” e gli “SMS alert”, ritenendoli sufficienti a dimostrare l’autorizzazione del bonifico. Il giudice respinge questa impostazione in modo molto deciso.
La formula usata è quasi tranchant:
Nulla di più errato
La motivazione spiega che i log informatici provano soltanto che l’operazione è stata eseguita usando le credenziali del cliente e il suo dispositivo mobile. Ma proprio questo, osserva il giudice, è ciò che accade ordinariamente nelle frodi informatiche basate su malware: il truffatore, dopo avere ottenuto il controllo del dispositivo, utilizza le credenziali legittime carpìte e fa apparire l’operazione come apparentemente regolare.
Per questo la sentenza afferma:
La mera circostanza che il pagamento risulti tecnicamente eseguito tramite le credenziali e il dispositivo del cliente non equivale a dimostrazione dell’autorizzazione
Il medesimo ragionamento viene esteso alle notifiche push e agli SMS alert. Il giudice ne ridimensiona radicalmente il valore probatorio:
Tali strumenti hanno natura meramente informativa e non possono trasformarsi, a posteriori, in una sorta di presunzione di consenso dell’utente
Il punto è molto importante.
Nella pratica bancaria capita spesso che la difesa dell’istituto si costruisca su una tesi implicita: ti abbiamo inviato un messaggio, quindi se non hai reagito subito l’operazione deve ritenersi autorizzata o quantomeno non adeguatamente contestata. La sentenza di Empoli esclude espressamente questa conclusione e riporta il ragionamento sul terreno corretto: la banca deve provare che l’operazione fosse voluta dal cliente, non limitarsi a mostrare che il sistema ha registrato un accesso o ha spedito una notifica.
-leggi anche: Libretto postale cointestato: il superstite può prelevare tutto (Cassazione 2025)
📩 Osservatorio di diritto civile applicato
Se desideri ricevere aggiornamenti su decisioni rilevanti e orientamenti significativi in materia civile, puoi iscriversi alla newsletter del nostro Osservatorio
Se il malware aggira il sistema, il problema è anche della banca
C’è poi un passaggio della sentenza che merita particolare attenzione, perché contiene una vera inversione di prospettiva rispetto a molte difese bancarie. La resistente aveva sostenuto che il truffatore, tramite un’app terza alla quale il cliente avrebbe consentito incautamente l’accesso, aveva assunto il controllo del device e carpito le credenziali di home banking.
Il giudice osserva che questa stessa affermazione, lungi dal provare la responsabilità del cliente, “rappresenta una prova a favore del ricorrente”.
La ragione è semplice: se è vero che il truffatore ha assunto il controllo del dispositivo e ha carpito le credenziali, allora è altrettanto vero che il sistema di autenticazione forte implementato dalla banca non è stato capace di impedire l’operazione.
La sentenza lo dice in modo inequivoco:
La Banca ammette che il truffatore ha ‘assunto il controllo del device’ e ‘carpito le credenziali’. Ma se ciò è stato possibile, significa che il sistema di autenticazione forte (Strong Customer Authentication – SCA) implementato dalla non era affatto sicuro
Subito dopo aggiunge:
In altre parole, la resistente afferma che il proprio sistema di sicurezza è stato aggirato
Ed ecco il punto decisivo:
E se un sistema di sicurezza può essere aggirato da un malware relativamente comune (i trojan bancari sono purtroppo diffusi), allora quel sistema non è adeguato ai sensi della normativa vigente
Questa parte della motivazione è particolarmente utile perché porta il discorso fuori da una lettura formalistica della PSD2 e della SCA. Non basta affermare di avere implementato l’autenticazione forte. Occorre che il sistema, nel suo complesso, sia effettivamente idoneo a prevenire o intercettare frodi prevedibili nel contesto dell’attività bancaria digitale.
Le red flags dell’operazione e il mancato blocco preventivo: log informatici e notifiche push prova dell’autorizzazione
Il tratto più innovativo della sentenza, però, è probabilmente un altro: il giudice evidenzia che la banca non ha fornito alcuna prova documentale dell’esistenza di sistemi automatizzati di rilevamento delle operazioni anomale, come algoritmi di intelligenza artificiale o sistemi di machine learning capaci di confrontare il bonifico con le abitudini del cliente.
Questo passaggio è centrale perché sposta la discussione dalla mera autenticazione alla capacità preventiva del sistema bancario di intercettare una transazione sospetta.
La sentenza individua poi una serie di red flags molto significative:
- il bonifico era stato disposto alle 04:46 del mattino;
- il beneficiario era nuovo;
- l’IBAN era estero;
- l’importo, pari a 2.700 euro, era significativo per un correntista privato.
Secondo il giudice, questi elementi avrebbero dovuto fare scattare immediatamente un allarme. La formula usata è netta:
Qualsiasi banca dotata di sistemi di sicurezza adeguati avrebbe bloccato automaticamente questa operazione, richiedendo una verifica aggiuntiva al cliente prima di procedere all’esecuzione
Questo passaggio è destinato ad avere peso anche oltre il caso concreto. Fino a poco tempo fa il contenzioso sulle frodi bancarie si concentrava quasi esclusivamente su password, OTP, SMS e comportamento del cliente. Qui, invece, il giudice valorizza il tema della sicurezza organizzativa della banca, e in particolare della sua capacità di leggere in tempo reale il carattere anomalo dell’operazione.
Non è una differenza marginale. Significa che la responsabilità della banca può emergere non solo perché il sistema è stato violato, ma anche perché non esistevano presìdi adeguati per rilevare anomalie evidenti rispetto al profilo del correntista.
È proprio qui che va colto correttamente il significato della decisione.
Non sarebbe tecnicamente esatto presentarla come una pronuncia che, da sola, introduce un obbligo giurisprudenziale ormai consolidato di adottare sistemi di intelligenza artificiale o machine learning. Una simile affermazione sarebbe eccessiva.
La portata della sentenza è diversa, e forse più interessante: il giudice utilizza il parametro della diligenza professionale della banca – già saldamente affermato dalla Cassazione – per valutare, in concreto, se le misure di sicurezza adottate fossero adeguate rispetto alle specifiche caratteristiche dell’operazione contestata.
In altre parole, la decisione non sostituisce il criterio consolidato della diligenza con un criterio nuovo; piuttosto, ne offre una applicazione particolarmente approfondita, affermando che, in presenza di plurime anomalie evidenti, l’assenza di strumenti idonei a rilevarle e bloccarle può costituire indice di inadeguatezza del presidio difensivo della banca.
-leggi anche: Rimborso delle spese per la casa intestata a un solo coniuge: cosa dice la Cassazione 2026
Perché SMS e notifiche inviate di notte non valgono come difesa: sistemi di rilevamento delle operazioni anomale banca
La banca aveva sostenuto che il cliente avrebbe potuto bloccare l’operazione se avesse prestato attenzione agli SMS e alle notifiche push inviate alle 03:30, 04:46 e 05:02 del 2 maggio 2023. Anche questa tesi viene demolita dal giudice.
La sentenza osserva anzitutto che, se il malware aveva assunto il controllo del dispositivo, allora poteva anche intercettare, nascondere o manipolare le notifiche. Ma soprattutto introduce un argomento di elementare buon senso, che spesso nelle cause fa più chiarezza di intere pagine di tecnicismi.
Il giudice scrive:
Pretendere che il cliente monitorasse il proprio smartphone alle ore 03:30 del mattino è una richiesta assurda e contraria al senso comune
Questo è un passaggio molto forte perché rimette al centro un criterio di ragionevolezza. Il cliente medio non è tenuto a una sorveglianza continua e notturna del proprio telefono per neutralizzare in tempo reale una frode in corso. Pretendere il contrario significa trasformare l’obbligo di diligenza in un onere irrealistico, incompatibile con la funzione di protezione che l’ordinamento assegna ai prestatori di servizi di pagamento.
Anche la circostanza che il correntista abbia contattato la banca il 4 maggio, due giorni dopo, viene ritenuta irrilevante ai fini della colpa grave. La sentenza parla di argomentazione “manifestamente pretestuosa”, sottolineando che il cliente, appena avuto il sospetto della frode, si è attivato immediatamente e che l’operazione fraudolenta si era comunque già consumata il 2 maggio.
-leggi anche: Restituzione di somme pagate per l’arredamento della casa all’ex partner: cosa dice la Cassazione 2026
Colpa grave del cliente nelle frodi bancarie online
Un altro punto centrale della motivazione riguarda la nozione di colpa grave. La banca aveva provato a costruire un quadro accusatorio sostenendo che il cliente si fosse collegato a un sito illegale per vedere una partita, che avesse consentito l’installazione del malware e che avesse ignorato segnali di pericolo.
Il giudice, però, rileva che:
- la natura “illegale” del sito non è stata provata;
- non è stato dimostrato il nesso causale tra la visione della partita e l’installazione del malware;
- il malware può essere veicolato da molteplici canali;
- l’installazione era stata mascherata da aggiornamento di Google Chrome.
La conclusione è molto chiara:
Non si tratta di negligenza, ma di frode qualificata
E ancora:
Questo dimostra che il Sig. (…) ha agito con la diligenza che ci si può ragionevolmente attendere da un utente medio, senza competenze tecniche avanzate in ambito informatico
Il passaggio è prezioso anche in chiave più generale. La colpa grave, per escludere o limitare la responsabilità della banca, non può essere desunta in modo automatico dal fatto che il cliente sia caduto nella trappola del truffatore. Nelle frodi informatiche moderne, spesso costruite con tecniche sofisticate di social engineering, l’errore dell’utente non coincide affatto con una condotta macroscopicamente imprudente.
Antiriciclaggio, protezione dei dati e mediazione: i profili ulteriori della decisione
La sentenza non si ferma alla sola disciplina delle operazioni di pagamento non autorizzate. Valorizza anche altri due profili.
Il primo riguarda la normativa antiriciclaggio. Il bonifico era diretto verso un conto lituano intestato a soggetto mai utilizzato in precedenza come beneficiario. Per il giudice, un’operazione del genere avrebbe imposto verifiche rafforzate, proprio perché presentava un livello di rischio superiore a quello ordinario. Anche questo viene letto come indice dell’inadeguatezza del sistema di controllo interno della banca.
Il secondo profilo riguarda il GDPR. La decisione ritiene configurabile anche la responsabilità dell’istituto quale titolare del trattamento, osservando che i dati personali e finanziari del cliente erano stati sottratti da terzi non autorizzati e che la banca non aveva dimostrato di avere adottato tutte le misure tecniche e organizzative adeguate per evitare il danno.
Infine, il giudice condanna la resistente anche ai sensi dell’art. 12-bis, comma 3, d.lgs. 28/2010 per mancata partecipazione alla mediazione senza giustificato motivo, liquidando euro 500,00 a tale titolo. È un profilo pratico da non trascurare: nei contenziosi bancari la fase di mediazione non è soltanto un passaggio formale, ma può produrre conseguenze economiche autonome.
Cosa insegna davvero la sentenza di Empoli
La sentenza del Giudice di Pace di Empoli n. 32/2026 è importante perché chiarisce, con linguaggio diretto e motivazione ordinata, alcuni principi destinati a pesare molto nel contenzioso bancario dei prossimi anni.
In sintesi:
- l’uso delle credenziali non dimostra da solo l’autorizzazione dell’operazione;
- log informatici, SMS alert e notifiche push non bastano a provare il consenso del cliente;
- la colpa grave del correntista deve essere provata dalla banca e non può essere semplicemente presunta;
- l’istituto deve dimostrare non solo il funzionamento formale del sistema, ma anche la sua adeguatezza sostanziale nel prevenire frodi prevedibili;
- l’assenza di sistemi di rilevamento automatico delle anomalie può diventare un indice decisivo di responsabilità.
In definitiva, il punto non è stabilire se l’operazione appaia correttamente registrata nei sistemi della banca. Il vero nodo è un altro: la banca è in grado di dimostrare che quell’operazione era davvero riconducibile alla volontà del cliente e che il proprio apparato di sicurezza era adeguato a impedirne o intercettarne l’esecuzione?
Quando la risposta è negativa, il rischio della frode non può essere trasferito con leggerezza sul correntista.
La sentenza del Giudice di Pace di Empoli n. 32/2026 non può essere letta come espressione di un orientamento già consolidato in ogni suo passaggio, soprattutto là dove attribuisce rilievo decisivo alla mancanza di sistemi automatizzati di rilevamento delle operazioni anomale.
La sua forza, però, non dipende da questo. Dipende piuttosto dal fatto che essa si colloca coerentemente dentro il quadro già tracciato dalla Cassazione in tema di diligenza dell’intermediario, onere della prova e rischio professionale del prestatore di servizi di pagamento, sviluppandolo con una motivazione molto puntuale sulle circostanze concrete del caso.
Il valore della decisione, dunque, è soprattutto persuasivo: non perché consacri da sola una regola nuova, ma perché mostra con chiarezza come il parametro della diligenza bancaria debba essere applicato oggi, di fronte a frodi informatiche rese possibili da sistemi di controllo incapaci di intercettare anomalie macroscopiche.
Conclusione
Le frodi bancarie online impongono oggi una lettura del problema più seria di quella, spesso semplicistica, che riduce tutto a un click sbagliato del cliente. La sentenza del Giudice di Pace di Empoli mostra invece che il tema va affrontato sul terreno corretto: onere della prova, adeguatezza dei sistemi di sicurezza, capacità di rilevare operazioni anomale, effettiva sussistenza della colpa grave.
Per il cliente vittima di un bonifico fraudolento, la questione decisiva non è soltanto sapere se vi sia stata una truffa, ma capire se la banca possa davvero dimostrare di avere fatto tutto ciò che era tecnicamente e giuridicamente esigibile per evitarla.
Lo Studio Legale Ticozzi Sicchiero & Partners assiste i clienti nella valutazione delle responsabilità bancarie, nella fase di reclamo, mediazione e giudizio, e nell’analisi della documentazione necessaria per verificare se sussistano i presupposti per ottenere il rimborso delle somme sottratte.
Hai bisogno di una consulenza?
Ricevo i miei clienti in un moderno studio vicino al centro di Mestre in via Torino 180. A breve distanza dall’uscita autostradale, comodamente raggiungibile con i mezzi pubblici e a pochi passi dalla stazione dei treni di Mestre-Venezia.
Articoli correlati
Tabelle uniche nazionali e risarcimento del danno: la Cassazione (sent. 7 aprile 2026) chiarisce quando usarle e come applicarle per calcolare correttamente il risarcimento
La sentenza del Tribunale di Napoli n. 368/2026 in materia di responsabilità del datore di lavoro e sicurezza sul lavoro è interessante non tanto perché afferma in astratto principi nuovi, quanto perché mostra con chiarezza come si struttura davvero un giudizio ex art. 2087 c.c. quando il lavoratore deduce patologie complesse, esposizione ad agenti nocivi, carichi usuranti e danno biologico differenziale.
Disposizioni anticipate di trattamento: l'apertura del Vaticano al suicidio assistito e all'eutanasia e la legge n. 219 del 2017 sul cd. Biotestamento
