Nota dell’Avv. Andrea Basso

La Corte di Cassazione, III sezione civile, con la sentenza n. 3780 pubblicata il 12/02/2024 e sotto allegata, è tornata a trattare la questione relativa al cd. phishing, fenomeno di truffa online sempre più diffuso.

Il titolare di una carta Postepay Evolution, dopo essere stato derubato della somma di € 2.900,00 a seguito di un’operazione posta in essere da ignoti sulla sua carta, aveva citato in giudizio Poste Italiane invocandone la responsabilità extracontrattuale, con conseguente richiesta risarcitoria per l’importo illecitamente sottrattogli.

Nella circostanza, il correntista aveva ricevuto una mail apparentemente riconducibile a Poste Italiane, in cui gli veniva chiesto di accedere al proprio conto inserendo le credenziali di accesso nel link indicato nell’email. Dopo aver effettuato tale operazione, tuttavia, il cliente aveva constatato un addebito di € 2.900,00 per un’operazione da lui mai eseguita.

La domanda era stata rigettata dal Giudice di Pace di Paola, mentre il Tribunale di Paola, adito in appello, aveva accolto il ricorso del cliente e disposto il risarcimento del danno da parte di Poste Italiane, sul rilievo che l’intermediario non aveva dimostrato la riconducibilità dell’operazione al cliente, anche tenuto conto della particolare diligenza richiesta all’ente nella gestione e nel trattamento dei dati personali.

Poste Italiane S.p.A. ha presentato ricorso per Cassazione contro tale decisione, articolato in due motivi, ossia la presunta erronea disapplicazione delle regole disciplinanti la responsabilità di Poste e l’omessa considerazione della circostanza che l’utente aveva spontaneamente consegnato a terzi i dati identificativi del proprio conto.

La Cassazione ha tuttavia giudicato infondati i motivi del ricorso, confermando la decisione del Tribunale di Paola.

Infatti, ad avviso degli ermellini, la diligenza che la banca deve adottare nell’ambito dei servizi posti in essere in favore del cliente, comprende operazioni da ricondurre nella sua sfera di controllo tecnico, valutando altresì se la condotta sia aldilà delle possibilità esigibili della sfera di controllo del debitore stesso.

Vi è invero un orientamento giurisprudenziale consolidato secondo cui, per le operazioni effettuate con strumenti elettronici e relativa verifica della volontà del cliente con controllo dell’illegittimo utilizzo dei propri codici da parte di terzi, la responsabilità della banca è esclusa se vi è colpa grave dell’utente, ad esempio in caso di lunga attesa prima di comunicare l’uso non autorizzato dello strumento di pagamento.

Dunque, secondo la Cassazione: “essendo la possibilità della sottrazione dei codici al correntista attraverso tecniche fraudolente una eventualità rientrante nel rischio d’impresa, la banca, per liberarsi dalla propria responsabilità, deve dimostrare la sopravvenienza di eventi che si collochino al di là dello sforzo diligente richiesto al debitore”.

Nel caso di specie, Poste era tenuta, nel rispetto del principio di buona fede nell’esecuzione del contratto, a provare di aver adottato soluzioni in grado di prevenire o diminuire l’uso fraudolento dei sistemi elettronici di pagamento, come ad esempio l’invio di un sms alert per confermare ogni singola operazione.

Rilevata la mancata prova di tale circostanza da parte di Poste Italiane, il ricorso è stato essere rigettato, mentre la Corte nulla ha statuito sulle spese di lite atteso che l’utente non ha svolto attività difensiva nel giudizio di legittimità.

Sotto allegata, la sentenza n. 3780/2024 della Cassazione