In breve

Il 15 ottobre 2026 la Corte di giustizia dell'Unione europea, nella causa C-70/25, ha chiarito un punto della PSD2 che pesa molto nella gestione delle frodi: quando un cliente segnala un'operazione di pagamento che non ha autorizzato, il prestatore deve rimborsarla subito, al più tardi entro la fine del giorno lavorativo successivo, anche se ritiene che il cliente sia stato gravemente negligente. Il sospetto di colpa grave non basta per rifiutare il rimborso. Consente, semmai, di chiedere indietro il denaro in un secondo momento, se il prestatore prova la colpa grave.

La notizia è la sentenza. Quello che interessa a chi gestisce un istituto di pagamento, un istituto di moneta elettronica o una banca è un'altra cosa: che cosa cambia nei processi, e perché conviene ridisegnarli guardando già al regolamento europeo sui servizi di pagamento che, nel testo approvato dal Consiglio e non ancora adottato, su questo punto modificherebbe la regola.

Che cosa ha deciso la Corte

Il caso, come lo descrive il comunicato ufficiale, è un phishing ordinario: un falso acquirente su una piattaforma online, un link a un sito che imitava quello della banca, le credenziali inserite dalla cliente, circa 700 euro trasferiti. La cliente segnala l'operazione il giorno dopo; la banca rifiuta il rimborso sostenendo che la cliente è stata gravemente negligente. Il giudice polacco chiede alla Corte se quel rifiuto sia legittimo.

La risposta della Corte si riassume in quattro punti:

  1. Il rimborso è immediato, al più tardi entro la fine del primo giorno lavorativo successivo a quello in cui il prestatore ha avuto notizia dell'operazione, se il cliente l'ha segnalata senza indugio.
  2. La colpa grave sospettata non consente di rifiutarlo.
  3. L'unica eccezione è il ragionevole sospetto di una frode commessa dal cliente stesso, con i motivi comunicati per iscritto all'autorità nazionale competente.
  4. Il recupero viene dopo. Il prestatore può chiedere al cliente di sopportare le perdite se dimostra che ha violato con dolo o colpa grave i propri obblighi, in particolare quello di proteggere le credenziali. La prova spetta al prestatore.

L'Avvocato generale Rantos aveva proposto la stessa soluzione nelle conclusioni del 5 marzo 2026, aggiungendo che, se il cliente rifiuta di restituire la somma, spetta alla banca agire in giudizio.

Due tempi, non uno

Il punto più utile della sentenza, per chi disegna processi, è che separa due momenti che nella pratica tendono a sovrapporsi. Il primo è il tempo del rimborso: si misura in giornate, ed è una questione di procedura. Il secondo è il tempo della responsabilità: chi sopporta la perdita, alla fine. Si misura in settimane o mesi, ed è una questione di prova.

Un processo che decide la responsabilità nel tempo del rimborso — "il cliente ha dato le credenziali, quindi non rimborsiamo" — è esattamente ciò che la Corte esclude. Un processo che rimborsa e basta, senza costruire la prova per il secondo tempo, rinuncia in partenza al recupero.

Non riguarda solo le banche

Gli obblighi sono dei prestatori di servizi di pagamento, non delle sole banche. Per una fintech che emette carte, gestisce conti di pagamento o portafogli di moneta elettronica, la regola è la stessa, e i suoi effetti possono essere più pesanti: meno capitale su cui assorbire le perdite, e un servizio clienti magari dimensionato per l'assistenza ordinaria, non per l'istruttoria.

In Italia la regola era già scritta

Il decreto legislativo 11/2010, come modificato nel 2017 per recepire la PSD2, prevede già il rimborso immediato, al più tardi entro la fine della giornata operativa successiva; consente, in caso di sospetta frode, di sospendere il rimborso dandone immediata comunicazione per iscritto alla Banca d'Italia, che nel 2023 ha pubblicato un modello per queste comunicazioni; stabilisce che l'utilizzo dello strumento di pagamento registrato dal prestatore non è di per sé necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata, e che spetta al prestatore provare la frode, il dolo o la colpa grave dell'utente. Il rimborso, inoltre, non impedisce al prestatore di dimostrare in seguito che l'operazione era stata autorizzata.

La sentenza non introduce quindi un obbligo nuovo in Italia: chiude lo spazio per un rifiuto motivato con la sola colpa grave. E il tema non è marginale. Secondo la Relazione 2025 dell'Arbitro Bancario Finanziario, i ricorsi legati a utilizzi fraudolenti continuano a crescere e sono oltre un terzo del totale.

Che cosa cambia nei processi

1. Il termine è un vincolo di processo, non una clausola della policy. Entro la fine della giornata operativa successiva qualcuno deve aver deciso. Servono un responsabile e un sostituto, un canale di segnalazione che funzioni anche nei giorni non operativi, e una regola chiara per contarli. Il comunicato della Corte parla di giorno lavorativo, la direttiva e il decreto italiano di giornata operativa: nelle procedure conviene usare il termine della norma.

2. Gli esiti sono tre, non due. Rimborso; rimborso con apertura di un'istruttoria sulla colpa grave, in vista del recupero; sospensione del rimborso per ragionevole sospetto di frode del cliente, con immediata comunicazione scritta all'autorità nazionale competente (in Italia, la Banca d'Italia). L'esito di mezzo è quello che la sentenza rende obbligatorio prevedere.

3. La frode del cliente non è il cliente vittima di una frode. L'eccezione riguarda chi ha commesso la frode, non chi l'ha subita. I criteri del "ragionevole sospetto" vanno scritti prima, perché ogni sospensione andrà comunicata subito per iscritto all'autorità, e una sospensione che non regge diventa un rimborso tardivo.

4. La prova si raccoglie il primo giorno. Se la colpa grave va dimostrata e la sola registrazione dell'operazione non basta, il recupero dipende da ciò che si conserva al momento della segnalazione: i registri di autenticazione e i fattori usati, i dati di dispositivo e di sessione, gli avvisi inviati al cliente, la sua descrizione dei fatti. Un fascicolo costruito mesi dopo è un fascicolo debole.

5. Il recupero ha un costo. Chiedere indietro una somma già rimborsata significa comunicazioni, contestazioni e, se il cliente rifiuta, un giudizio. Per importi piccoli il costo del recupero può superare la somma. Soglie e criteri vanno decisi a freddo, non caso per caso.

6. L'autenticazione forte è anche una linea di difesa. Salvo che il cliente abbia agito in modo fraudolento, se il prestatore non esige l'autenticazione forte il cliente non sopporta alcuna perdita: il recupero per colpa grave è escluso in partenza. Ogni esenzione applicata dal prestatore del pagatore ha quindi un costo atteso nei casi di frode, e conviene stimarlo; se invece è il beneficiario, o il suo prestatore, a non accettare l'autenticazione forte, il danno lo rimborsano loro.

7. I rimborsi precedono i recuperi. Le uscite di cassa arrivano subito, i rientri forse e dopo. Per un istituto nei primi anni di attività, un'ondata di frodi è un tema di conto economico e di fondi propri, e va prevista nel piano.

La regola che verrà

Il 29 ottobre 2026 il Consiglio ha adottato la propria posizione in prima lettura sul regolamento sui servizi di pagamento, che affiancherà la nuova direttiva; l'Osservatorio legislativo del Parlamento europeo indica il 14 dicembre 2026 come data indicativa della plenaria in cui il Parlamento dovrà votare il testo, passaggio necessario all'adozione. Nel testo del Consiglio, il considerando 94 conferma che il rimborso di un'operazione non autorizzata resta immediato, ma prevede che il prestatore possa svolgere un'indagine prima di rimborsare quando sospetta, per ragioni oggettivamente giustificate, il dolo o la colpa grave del cliente sugli obblighi di sicurezza, oppure una sua condotta fraudolenta; entro 15 giorni lavorativi dovrebbe rimborsare o spiegare al cliente perché non lo fa.

È un considerando: la regola operativa sta negli articoli, che andranno letti nel testo definitivo, così come la data da cui si applicherà. Ma la direzione è chiara. La regola della C-70/25 — nessun rifiuto per la sola colpa grave sospettata — è la regola della PSD2, e vale finché il nuovo regolamento non sarà applicabile. Se gli articoli del testo definitivo confermeranno il considerando, da quel momento una colpa grave sospettata per ragioni oggettive potrà giustificare un'indagine prima del rimborso.

In entrambi i regimi conta la stessa cosa: ragioni oggettive e documentate. Un processo costruito oggi sulla prova — criteri scritti, evidenze conservate dal primo giorno, decisioni motivate — passerà al nuovo regime con un aggiornamento dei tempi. Un processo costruito sulla discrezionalità andrà riscritto due volte.

Checklist per un prestatore di servizi di pagamento

  1. La procedura sulle operazioni non autorizzate fissa il rimborso immediato e, al più tardi, entro la fine della giornata operativa successiva, con un responsabile e un sostituto.
  2. Prevede tre esiti, compreso il rimborso con istruttoria sulla colpa grave.
  3. I criteri del ragionevole sospetto di frode del cliente sono scritti, e c'è un modello di comunicazione scritta all'autorità nazionale competente (in Italia, quello pubblicato dalla Banca d'Italia).
  4. Le evidenze di autenticazione e di contesto si conservano dal momento della segnalazione.
  5. Il recupero ha soglie, tempi e un responsabile.
  6. Le esenzioni dall'autenticazione forte sono valutate anche per il loro costo nei casi di frode.
  7. Assistenza clienti e gestione dei reclami sanno che la colpa grave non è un motivo per non rimborsare subito.
  8. Esiste un piano per adeguare la procedura al regolamento sui servizi di pagamento quando sarà applicabile.

Che cosa questa analisi non dice

Non dice come decidere un caso concreto: servono i documenti del caso, e la valutazione legale spetta ai legali. Si basa sul comunicato ufficiale della Corte, che riassume la sentenza; il testo integrale è pubblicato sul sito della Corte, causa C-70/25. Sul regolamento in arrivo cita un considerando del testo del Consiglio, non il testo definitivo.

Procedure di questo tipo, e la documentazione che le rende difendibili davanti all'autorità, sono parte del lavoro che Bizando fa nell'area Fintech & Payments.