Il prestatore di servizi di pagamento può tuttavia richiedere successivamente al cliente il rimborso delle perdite derivanti da una negligenza grave da parte di quest’ultimo Una cliente di una banca polacca è stata vittima di una frode tramite phishing: un terzo si è presentato come interessato all’acquisto di un oggetto che ella stava vendendo su una piattaforma di vendita online e le ha inviato un link fraudolento, presentato come proveniente da tale piattaforma e destinato a confermare la vendita. Ingannata, la medesima ha cliccato su tale link che conduceva a un sito Internet che riproduceva l’aspetto di quello della sua banca e vi ha inserito i propri dati di connessione al servizio di e-banking. Grazie a tali dati, il terzo in questione è riuscito a trasferire dal conto bancario della cliente a un conto a lui intestato un importo pari a circa EUR 700. Il giorno successivo la cliente ha segnalato l’operazione fraudolenta alla propria banca. Quest’ultima ha tuttavia rifiutato di rimborsare l’importo dell’operazione di pagamento non autorizzata ritenendo che la cliente, per negligenza grave, avesse reso possibile tale operazione venendo meno al proprio obbligo di proteggere le credenziali di sicurezza personalizzate. A seguito di tale rifiuto, la cliente ha adito un tribunale polacco, il quale ha richiesto alla Corte di giustizia UE se, alla luce del diritto dell’Unione, la banca, in qualità di prestatore di servizi di pagamento, sia tenuta a rimborsare immediatamente l’importo di un’operazione non autorizzata, anche qualora ritenga che il cliente abbia commesso una negligenza grave.

Nella sua sentenza, la Corte risponde affermativamente. In caso di operazione di pagamento non autorizzata, il prestatore di servizi di pagamento è, in linea di principio, tenuto a rimborsare immediatamente l’importo di tale operazione, al più tardi entro la fine del primo giorno lavorativo successivo a quello in cui ne è venuto a conoscenza o ne è stato informato, a condizione che il cliente ne informi senza indugio tale prestatore di servizi di pagamento.

È prevista un’unica eccezione a tale obbligo di rimborso immediato: nel caso in cui il prestatore di servizi di pagamento abbia ragionevoli motivi per sospettare una frode commessa dal cliente e comunichi tali motivi per iscritto all’autorità nazionale competente. Il fatto che il prestatore di servizi di pagamento ritenga che il cliente abbia reso possibile l’operazione non autorizzata a causa di una negligenza grave – in particolare omettendo di adottare le misure necessarie per proteggere le credenziali di sicurezza personalizzate – non gli consente di rifiutare il rimborso immediato. Il diritto dell’Unione consente infatti di distinguere la questione del rimborso dell’importo dell’operazione di pagamento non autorizzata da quella di chi debba, in definitiva, sostenere le perdite relative a tale operazione. Pertanto, in un primo momento, il prestatore di servizi di pagamento è tenuto a procedere al rimborso immediato. In un secondo momento, esso può, se del caso, richiedere al cliente il rimborso delle perdite subite qualora dimostri che queste derivino dal fatto che il cliente, dolosamente o per negligenza grave, ha violato gli obblighi a lui incombenti, in particolare quello di proteggere le credenziali di sicurezza personalizzate. Spetta al prestatore di servizi di pagamento dimostrare l’esistenza di tale negligenza grave da parte del cliente.