Prelievo fraudolento dal conto: la banca è responsabile?

Una volta che non siano emerse colpe da parte del cliente su un prelievo “truffaldino” operato sul suo conto corrente attraverso una delle tante frodi informatiche “in commercio”, l’istituto di credito in base alla sua responsabilità contrattuale è tenuto a restituire la somma indebitamente sottratta. Non solo: è inverosimile, oltre che contra legem, ipotizzare che il reato si sia potuto consumare per un’intrusione nei dati personali dell’utente, laddove invece è del tutto ragionevole, in questi casi, ricondurre nell’area del rischio professionale del prestatore dei servizi di pagamento – un rischio “prevedibile ed evitabile con appropriate misure destinate a verificare la riconducibilità delle operazioni alla volontà del cliente” -, la possibilità di una utilizzazione dei codici di accesso al sistema da parte dei terzi.

E’ un’ordinanza rilevante a tutela dei diritti dei consumatori quella, la n. 16417/22, depositata dalla Cassazione il 20 maggio 2022 su uno degli “incubi” per i milioni di italiani che detengono un conto corrente, che ormai si utilizza per lo più on line: le truffe informatiche.

Correntista di Poste Italiane risarcita per un prelievo non autorizzato

Una correntista di Poste Italiane aveva citato in causa l’azienda per ottenere la restituzione di mille euro che erano stati prelevati da ignoti dal suo conto in modo fraudolento con la solita truffa informatica. Il giudice di Pace aveva accolto la domanda, condannando la controparte a restituire la somma e anche al pagamento di cento euro quale danno morale, osservando che il prelievo della somma in questione non risultava legittimamente autorizzata dalla cliente e che la documentazione addotta da Poste Italiane non dimostrava la regolarità dell’operazione di prelievo: l’azienda non aveva cioè dimostrato l’adempimento delle sue obbligazioni circa l’adeguatezza del sistema di sicurezza dell’operatività online del conto corrente, specie se raffrontato con i sistemi di protezione utilizzati da altri operatori.

Nonostante l’esiguità della cifra in gioco, Poste Italiane aveva tuttavia appellato la sentenza e il Tribunale di Paola, in qualità di giudice di secondo grado, con sentenza del 2016 aveva totalmente ribaltato la decisione di prime cure, accogliendo il gravame. I giudici avevano ritenuto che l’illecito prelievo fosse presumibilmente da ricondurre a un illegittimo accesso all’Internet banking realizzato con le tipiche modalità dell’uso delle credenziali dell’utente, ma avevano asserito che non sussisteva alcun obbligo di Poste Italiane verso il cliente, “eccetto il caso di espressa manleva, che però non riscontrabile nella fattispecie”.

Secondo il Tribunale, anche se la correntista aveva riferito di non aver risposto ad alcuna mail o di non essersi collegata ad alcun link esterno, ciò non escludeva che durante la navigazione in rete un soggetto terzo, impossessatosi della password, si fosse collegato al sistema sottraendo i mille euro dal conto corrente online, e non erano stati pattuiti al riguardo tra cliente e istituto particolari sistemi di allerta o blocco delle operazioni. Infine, secondo i giudici del tribunale il giudice di pace, nel riconoscere anche il danno morale a favore della correntista, sarebbe incorso nel vizio di “ultra-petita” posto che la relativa domanda non era stata formulata dalla derubata e dunque né allegata né provata: la donna si sarebbe “limitata” a lamentare il fatto di non aver potuto soddisfare le esigenze di vita quotidiana nel periodo in cui le era stata addebitato l’illecito prelievo.

La correntista a questo punto ha proposto ricorso per Cassazione lamentando il fatto che il Tribunale avesse escluso la responsabilità contrattuale di Poste Italiane in ordine all’illegittimo prelievo dei mille euro, non avendo quest’ultima – a fronte dell’allegazione dell’avvenuto prelievo e dell’insussistenza da parte sua di ogni forma d’inosservanza delle norme di cautela a carico degli utenti del servizio – eccepito adeguatamente il corretto adempimento delle proprie obbligazioni in relazione all’adozione di adeguati sistemi di sicurezza sull’operatività telematica del conto corrente.

La Suprema Corte le ha dato ragione, ritenendo fondato il motivo di doglianza. Secondo la Cassazione, le motivazioni addotte dal giudice d’appello (che, come detto, non aveva riconosciuto la responsabilità della correntista nell’aver messo in condizione il truffatore di effettuare il prelievo, aggiungendo però che ciò non escludeva che un terzo, impossessatosi della password, avesse potuto disporre illecitamente delle somme depositate nel conto corrente, e che non erano stati pattuiti particolari sistemi di allerta o di blocco delle operazioni) “muovono da un’erronea interpretazione dell’art.1218 c.c. la cui ricognizione non ha tenuto conto delle specifiche posizioni contrattuali delle parti nell’ambito del rapporto contrattuale afferente al conto corrente telematico”.

Nel contratto sul c/c telematico banca non responsabile se ricorre la colpa grave dell’utente

Gli Ermellini richiamano in primis la regola generale contemplata dall’art. 1218 c.c. secondo la quale, “in tema di prova dell’adempimento di un’obbligazione, il creditore che agisca per la risoluzione contrattuale, per il risarcimento del danno, ovvero per l’adempimento, deve soltanto provare la fonte (negoziale o legale) del suo diritto ed il relativo termine di scadenza, limitandosi alla mera allegazione della circostanza dell’inadempimento della controparte, mentre il debitore convenuto è gravato dell’onere della dimostrazione del fatto estintivo dell’altrui pretesa, costituito dall’avvenuto adempimento, o dall’eccezione d’inadempimento del creditore ex art. 1460 c.c.”.

Nell’ambito del rapporto di conto corrente, con modalità telematiche, questa regula juris, chiariscono i giudici del Palazzaccio, “che declina la responsabilità della banca per operazioni effettuate a mezzo di strumenti elettronici, con particolare riguardo alla verifica della loro riconducibilità alla volontà del cliente mediante il controllo dell’utilizzazione illecita dei relativi codici da parte di terzi, ha natura contrattuale e, quindi, va esclusa se ricorre una situazione di colpa grave dell’utente”.

Ma se la banca non prova il comportamento colposo della cliente è inadempiente

Ed è qui che la Corte territoriale ha adottato una “ratio erronea” perché, prosegue la Cassazione, “se da un lato riconosce che manca un comportamento colposo della cliente, violando la suddetta regola di diritto ex art. 1218 c.c., le attribuisce la responsabilità del prelievo dal conto corrente, senza peraltro indicarne il titolo”. La ricorrente, infatti, sottolineano gli Ermellini, aveva correttamente allegato la fattispecie d’inadempimento ascritta alla banca, consistente nel non aver impedito l’illecito prelievo, “mentre l’istituto bancario non ha eccepito un fatto estintivo o impeditivo della pretesa della controparte”.

In sostanza, la sentenza impugnata aveva ascritto alla ricorrente “una responsabilità per fatto altrui del tutto estranea al nostro ordinamento giuridico, presumendo del tutto astrattamente che essa avrebbe potuto omettere una misura di cautela inerente al corretto utilizzo dell’operatività del conto corrente online, senza alcun riferimento ad una sua concreta condotta, commissiva od omissiva”. Pe contro invece, Poste Italiane “non ha eccepito un fatto estintivo del diritto fatto valere dalla cliente consistente nella violazione delle norme prudenziali che informano le modalità d’uso dei rapporti di conto corrente telematico”.

All’istituto è richiesta la diligenza tecnica “dell’accorto banchiere”

Ma la Suprema Corte au sofferma anche sull’altra ragione addotta dal Tribunale per respingere la domanda, legata alla mancata previsione contrattuale di sistemi di allerta o di blocco delle operazioni. “Al riguardo – sottolinea la Cassazione -, nell’esaminare la condotta delle parti contrattuali, la regola desumibile dall’art. 1218 c.c. va coordinata con l’art. 1176 c.c., quale clausola generale relativa alla diligenza richiesta al debitore per l’adempimento contrattuale. La diligenza posta a carico del professionista ha natura tecnica e deve valutarsi tenendo conto dei rischi tipici della sfera professionale di riferimento, assumendo come parametro la figura dell’accorto banchiere. Inoltre, la diligenza esigibile dal professionista o dall’imprenditore, nell’adempimento delle obbligazioni assunte nell’esercizio dell’attività, ha contenuto tanto maggiore quanto più è specialistica e professionale la prestazione richiesta: pertanto, incorre in responsabilità il soggetto che non adoperi la diligenza dovuta in relazione alle circostanze concrete del caso, con adeguato sforzo tecnico e con impiego delle energie e dei mezzi normalmente ed obiettivamente necessari o utili all’adempimento della prestazione dovuta e al soddisfacimento dell’interesse creditorio, nonché ad evitare possibili effetti dannosi”.

Le “falle” vanno ricondotte nell’area del rischio professionale del prestatore di servizi

Volendo dare seguito all’orientamento della Cassazione, gli Ermellini ribadiscono quindi che “in tema di responsabilità della banca in caso di operazioni effettuate a mezzo di strumenti elettronici, anche al fine di garantire la fiducia degli utenti nella sicurezza del sistema (il che rappresenta interesse degli stessi operatori), è del tutto ragionevole ricondurre nell’area del rischio professionale del prestatore dei servizi di pagamento, prevedibile ed evitabile con appropriate misure destinate a verificare la riconducibilità delle operazioni alla volontà del cliente, la possibilità di una utilizzazione dei codici di accesso al sistema da parte dei terzi, non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo”.

Ne consegue che, anche prima dell’entrata in vigore del d.lgs. n. 11 del 2010, attuativo della direttiva n. 2007/64/CE relativa ai servizi di pagamento nel mercato interno, “la banca, cui è richiesta una diligenza di natura tecnica, da valutarsi con il parametro dell’accorto banchiere, è tenuta a fornire la prova della riconducibilità dell’operazione al cliente – va a concludere la Cassazione – La responsabilità della banca per operazioni effettuate a mezzo di strumenti elettronici, con particolare riguardo alla verifica della loro riconducibilità alla volontà del cliente mediante il controllo dell’utilizzazione illecita dei relativi codici da parte di terzi, ha natura contrattuale e, quindi, va esclusa se ricorre una situazione di colpa grave dell’utente, configurabile nel caso di protratta mancata attivazione di una qualsiasi forma di controllo degli estratti conto”. Il Tribunale invece, come detto, pur avendo la correntista allegato la fattispecie d’inadempimento ascritta all’istituto, aveva escluso “immotivatamente” la responsabilità di quest’ultimo in ordine al prelievo illecito, “in mancanza di un’eccezione specifica sulla sussistenza di fatti estintivi o impeditivi del diritto fatto valere, sulla base della mera ipotesi di violazione, da parte della ricorrente, di norme prudenziali poste a carico dei correntisti online”, in questo mondo violando la regola di giudizio di cui all’art. 1218 c.c.

Per completezza d’informazione, la Suprema Corte ha accolto anche la doglianza relativa al danno morale riconosciuto dal primo giudice e rigettato dal secondo perché non sarebbe stata proposta domanda in tal senso. La Cassazione, convenendo con la ricorrente, ha invece osservato come la richiesta fosse stata invece proposta, nel momento stesso in cui la danneggiata aveva lamentato che, a causa della somma che le era stata sottratta con il prelievo illecito, in quel periodo non aveva potuto soddisfare le esigenza quotidiane.

La sentenza è stata pertanto cassato, con rinvio al Tribunale di Paola in diversa composizione.