N. R.G. 1948/2023
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
TRIBUNALE ORDINARIO di SASSARI
II sezione CIVILE
Il Tribunale, in composizione monocratica nella persona del giudice Stefania Deiana ha pronunciato la seguente
SENTENZA nella causa civile di I Grado iscritta al n. r.g. 1948/2023 promossa da:
C.F. , con il patrocinio dell'avv. ENRICO FERRERO Parte_1 P.IVA_1
APPELLANTE contro
e col patrocinio dell'avv. PAOLO FRESU Controparte_1 Controparte_2
APPELLATI oggetto: appello sentenza del giudice di pace di Sassari n. 118 del 17 gennaio 2023

CONCLUSIONI
PER L'APPELLANTE: “1) Previa revoca del decreto ingiuntivo opposto, dichiarare inammissibile e comunque rigettare, anche ai sensi dell'art. 1227 c.c., ogni avversa domanda;
2) in ogni caso mandare assolta da ogni avversa pretesa;
3) per l'effetto, condannare gli appellati a Parte_1 restituire a l'importo di € 5.081,79 (di cui € 3.062,00 per capitale, € 181,30 per Parte_1 interessi ed € 1.838,49 per spese legali) agli stessi corrisposto dall'odierna appellante in data 9/11/2023 in esecuzione della sentenza appellata, oltre interessi e rivalutazione monetaria;
4) con vittoria di spese e competenze del doppio grado di giudizio”.
PER GLI APPELLATI: “(…) Confermare il D.I. n. 847/2021- rigettare l'appello così come proposto da e confermare la sentenza impugnata. - Con il favore delle spese di entrambi i gradi Parte_2 del giudizio”

RAGIONI DI FATTO E DI DIRITTO DELLA DECISIONE
Con citazione notificata il 17 luglio 2023 conveniva davanti a questo tribunale Parte_1
e proponendo tempestivo appello contro la sentenza di cui in Controparte_1 Controparte_2 epigrafe che, accogliendo interamente la domanda della parte appellata, aveva rigettato l'opposizione proposta dalla banca al decreto ingiuntivo n. 847/2021.
Gli odierni appellati e avevano agito in sede monitoria chiedendo la condanna di CP_1 CP_2 [...]
al pagamento della somma di € 3062,22, domandata quale rimborso di un prelievo Pt_1 abusivamente effettuato da terzi sul loro conto corrente, acceso presso la stessa banca e gestito su home banking. Assumevano i ricorrenti di essere stati vittime di una truffa attuata da ignoti mediante l'uso pagina 1 di 5 delle loro credenziali, impiegate per accedere all'app e sottrarre la somma senza che la banca, tenuta a rispondere dell'illecito ai sensi dell'art. 2050, c.c., avesse posto in essere i rimedi atti a prevenire la perpetrazione di tali reati in danno dei correntisti. Contro il decreto ingiuntivo emesso in accoglimento della relativa domanda la banca aveva proposto opposizione davanti al giudice di pace, negando la ricorrenza di alcuna responsabilità in ordine alla sottrazione del denaro dal conto.
Con la sentenza impugnata il giudice adito aveva disatteso l'opposizione, confermando il decreto e condannando la banca alla rifusione delle spese di lite in favore dei ricorrenti opposti.
propone, dunque, gravame contestando il percorso argomentativo del giudice di primo Parte_1 grado che, non tenendo conto delle sue difese e produzioni documentali, non aveva adeguatamente motivato in ordine agli evidenziati ed esclusivi profili di responsabilità degli stessi correntisti nella vicenda in questione.
Premetteva l'appellante che i propri clienti all'epoca del fatto utilizzavano il servizio di home banking provvedendo alla loro identificazione a distanza attraverso un sistema di autenticazione forte “a due fattori”, quindi sia per accedere al servizio che per trasmettere ordini di pagamento. Al cliente era sempre richiesto quindi il previo inserimento di password statiche (il codice titolare e il PIN, noto solo all'utente) e di una password dinamica, il codice OTP (One Time Password) “O-Key”, generato dalla
“chiavetta” in possesso del cliente medesimo che di volta in volta lo creava premendo il relativo tasto.
Sottolineava dunque che le due operazioni di ricarica di carte di pagamento intestate a un terzo (tale erano state portate a termine grazie alla cooperazione dell'utente e al corretto inserimento di Per_1 un valido codice OTP.
Lamentava pertanto che il gdp aveva ignorato la prova fornita dalla banca che con i tabulati versati in atti aveva puntualmente dimostrato come le operazioni disconosciute fossero state regolarmente autenticate ed autorizzate col corretto inserimento di tutte le credenziali, statiche e dinamiche, del cliente, a lui note in via esclusiva, sicché la banca non poteva riscontrare alcuna anomalia e correttamente vi aveva dato corso. Aggiungeva come lo stesso avesse riconosciuto di essersi CP_1 collegato ad un link contenuto in una mail solo apparentemente trasmessagli da e di Parte_1 aver quindi compilato la relativa schermata inserendo i codici di accesso alla sua home banking.
Rimarcava come il comportamento del cliente fosse stato gravemente imprudente, avendo egli fornito i suoi dati rispondendo alla fraudolenta sollecitazione e incorrendo quindi in quella “colpa grave” che, come pure ritenuto dall'arbitro bancario precedentemente adito, esclude la responsabilità dell'istituto, in applicazione dell'art. 12 del DL 11/2010. Ribadiva anche che la banca aveva provveduto a diffondere fra i clienti un'ampia campagna informativa volta a prevenire dette frodi.
Sosteneva quindi di aver compiutamente dimostrato, con la produzione dei tracciati informatici delle operazioni bancarie, non contestati dall'appellato, l'adozione di tutti i sistemi di sicurezza prescritti ed esigibili secondo le più aggiornate normative tecniche del settore, con conseguente erroneità della sentenza impugnata in ordine alla valutazione del materiale probatorio che avrebbe dovuto indurre il giudicante ad accogliere l'opposizione e a revocare il decreto ingiuntivo opposto, o quantomeno a ridurre la pretesa riconoscendo l'apporto dell'opponente al fatto generatore del danno.
Concludeva per la riforma della sentenza, come trascritto in epigrafe.
Si costituivano gli appellati e chiedevano la conferma della sentenza, affermando che il giudice di prime cure aveva correttamente ritenuto l'esclusiva responsabilità della per i due pagamenti non Pt_2 autorizzati dal cliente. Ribadivano che in forza degli artt. 10-12 del D.lgs. 11/2010, attuativo della pagina 2 di 5 Direttiva Cee 2007/64/CE, relativa ai servizi di pagamento nel mercato interno, la prova di aver eseguito correttamente le operazioni di pagamento grava sulla banca, a carico della quale è posto l'obbligo di risarcire il correntista truffato, con la conseguenza che l'opponente avrebbe dovuto offrire la prova liberatoria della piena legittimità dell'operazione on line non autorizzata dal correntista. Dal giudizio era invece emerso, come correttamente ritenuto dal giudice di primo grado, che la non Pt_2 aveva apprestato misure sufficienti a prevenire accessi di terzi non autorizzati.
Concludevano quindi per la conferma della decisione impugnata, come sopra riportato.
La causa, istruita solo con produzioni documentali, era assunta in decisione all'udienza del 10 ottobre
2024 sulle riferite conclusioni, previa assegnazione alle parti dei termini ex art. 352, c.p.c.
***
L'appello è fondato e dev'essere accolto, per le seguenti considerazioni.
Trova applicazione in materia il quadro normativo di cui al D.Lgs. n. 11 del 27 gennaio 2010, attuativo della Direttiva CE n. 2007/64 che, se pone a carico della banca che fornisce il servizio di pagamento l'obbligo di adottare tutte le misure atte a prevenire le frodi a carico dell'utente, quindi di garantire che le credenziali di sicurezza del pagatore non siano accessibili ad altri e che siano trasmesse attraverso canali sicuri ed efficienti, pone anche a carico di quest'ultimo sia l'obbligo di utilizzare il servizio in conformità coi termini prescritti dal relativo contratto quadro, sia di adottare “tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate” (art. 7, co 2°).
In particolare, l'art. 10 del citato D.Lgs., nel testo vigente ratione temporis (le operazioni per cui è causa erano state eseguite il 1° marzo 2015), dispone che qualora l'utente del servizio di pagamento
“neghi di aver autorizzato un'operazione di pagamento già eseguita (…)”, come nella specie, “è onere del prestatore di servizi di pagamento provare che l'operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti”. Ne deriva che, fermo l'onere della prova a carico della banca che presta il servizio di pagamento mediante home banking, prima ancora, e sotto il profilo causale, la responsabilità dell'istituto si configura, come si desume dal quadro normativo tracciato dal decreto, qualora emerga che l'operazione di pagamento non voluta dall'utente sia stata conseguenza del malfunzionamento delle procedure di sicurezza apprestate per la sua esecuzione, ossia quando il pagamento non voluto non sia stato autorizzato dal cliente quale suo atto dispositivo indipendente e non causalmente ascrivibile all'operato attivo o omissivo della
[...]
peraltro, coerenti con i principi regolatori della responsabilità contrattuale che esigono dal CP_3 professionista la massima diligenza, propria dell'attività esercitata e pongono a suo carico l'onere di provare l'oggettiva impossibilità di aver esattamente adempiuto all'obbligazione (art. 1218, c.c.), rammentandosi anche come il risarcimento del danno dovuto al creditore della prestazione non sia esigibile qualora il pregiudizio subito sarebbe stato evitabile mediante l'uso dell'ordinaria diligenza
(1227, c.c.).
Ancora, l'art.12 del citato D.Lgs. esclude che il rischio inerente alla perdita patrimoniale subita dall'utilizzatore per operazioni di pagamento non autorizzate sia a carico della banca qualora l'utilizzatore medesimo abbia agito con colpa grave e non abbia osservato gli obblighi posti a suo carico dall'art. 7 (uso del dispositivo in conformità al contratto quadro e adozione delle misure idonee a garantirne la sicurezza), caso in cui egli sopporta le perdite derivanti dall'operazione di pagamento non autorizzata. pagina 3 di 5 Nella specie deve, invero, ritenersi che la banca abbia compiutamente assolto all'onere probatorio a suo carico. Risulta infatti, sommariamente dal testo della denuncia sporta dallo stesso laddove egli CP_1 implicitamente riconosce di aver compilato (con le sue credenziali) il modulo telematico inviatogli dagli autori della frode, prima di aver subito la sottrazione delle due ricariche (di € 1588,87 e di €
1503,79, in favore di tale e, più specificamente, dal tabulato prodotto dalla banca riportante le Per_1 registrazioni elettroniche delle operazioni effettuate verso le ore 18 del 1 marzo 2015, come queste siano state portate a termine grazie all'inserimento da parte dello stesso utente di tutti i codici, compresi quelli OTP, ossia dinamici e temporanei siccome generati di volta in volta dall'apposita chiavetta (si veda la voce: “check dispositiva kleis”).
Le operazioni di ricarica non volute dal sig. erano state dunque effettuate e portate a CP_1 compimento solo grazie all'inserimento da parte del medesimo delle credenziali statiche e dinamiche che avevano consentito agli ignoti truffatori di prelevare indebitamente il denaro dal suo conto e di farlo confluire su una prepagata, non emergendo sotto alcun profilo un'interazione a tal fine del sistema operativo telematico, non risultando provate, né essendo state prospettate dall'utente, carenze nel sistema di sicurezza adottato dalla banca che, correttamente e secondo gli standards prescritti, prevedeva l'inserimento di una serie di codici identificativi al fine di evitare accessi non autorizzati dall'utente.
Risulta, inoltre, documentato come avesse adeguatamente informato i propri clienti della Pt_1 necessità di evitare (doc. 3 opponente) il phishing descrivendone adeguatamente le modalità di attuazione, del tutto conformi a quelle subite dal sig. (ossia mediante il link contenuto in una CP_1 mail apparentemente proveniente dalla banca e l'inserimento dei propri codici di accesso da parte dell'incauto cliente), e raccomandando loro di non darvi seguito. Nella specie, inoltre, l'appellato non ha evidenziato altri, specifici, profili di negligenza o comunque di responsabilità dell'operatore, sicché deve reputarsi che l'odierna appellante abbia fornito idonea prova della piena riconducibilità delle disposizioni alla condotta estremamente incauta dell'utente.
All'accoglimento del gravame consegue la totale riforma della sentenza impugnata.
Ricorrono giusti motivi, tenuto conto delle particolarità del caso e del susseguirsi di orientamenti giurisprudenziali non univoci sull'estensione della responsabilità del prestatore di servizi di pagamento per le disposizioni non autorizzate (si veda al riguardo la recente Cass. civ. n. 3780/2024), per compensare interamente le spese di lite del giudizio di primo grado. Quelle del presente grado d'appello seguono la soccombenza e sono liquidate come in dispositivo a carico degli appellati, tenuti alla restituzione di quanto versato loro dall'appellante in esecuzione della sentenza, pari a € 5.081,79
(di cui € 3.062,00 per capitale, € 181,30 per interessi ed € 1.838,49 per spese legali).

P.Q.M.

Definitivamente pronunciando, disattesa ogni altra e contraria istanza, accoglie l'appello proposto da e, in totale riforma della sentenza impugnata, accoglie l'opposizione al decreto Parte_1 ingiuntivo n. 847/2021, revocandolo.
Compensa interamente fra le parti le spese processuali del processo di primo grado.
Condanna gli appellati e a restituire all'appellante la somma di Controparte_1 Controparte_2
€5.081,79 (di cui € 3.062,00 per capitale, € 181,30 per interessi ed € 1.838,49 per spese legali), corrisposta in esecuzione della sentenza impugnata.
pagina 4 di 5 Condanna gli appellati alla rifusione in favore dell'appellante delle spese processuali del presente grado d'appello, liquidate in complessivi € 1.300,00, oltre oneri di legge.
Sassari 25 novembre 2024
Il giudice
Stefania Deiana
pagina 5 di 5