Una recente sentenza della Corte di Giustizia dell’Unione Europea rafforza la tutela delle vittime di truffe online: il rimborso delle somme sottratte deve essere immediato, anche quando il cliente ha commesso errori. Inoltre, spetta alla banca dimostrare l'eventuale colpa grave del correntista.

Una notizia importante per chi subisce una truffa bancaria online. Con la sentenza C-70/25 del 15 ottobre 2026, la Corte di Giustizia dell’Unione Europea ha chiarito che le banche sono tenute a rimborsare tempestivamente i clienti vittime di operazioni di pagamento non autorizzate, anche quando questi ultimi potrebbero aver contribuito alla frode con un comportamento gravemente negligente.

La decisione rappresenta un significativo rafforzamento delle garanzie per i correntisti, sempre più esposti a sofisticati tentativi di phishing, falsi messaggi bancari e furti di credenziali digitali.

A questo principio si affianca un altro elemento fondamentale, già previsto dalla normativa italiana e confermato dalla giurisprudenza: non è il cliente a dover dimostrare di aver agito correttamente, ma è la banca a dover provare l'eventuale dolo o colpa grave del correntista.

Il caso che ha portato alla sentenza

La vicenda nasce in Polonia, dove una donna, mentre cercava di vendere un oggetto online, è stata ingannata da un falso acquirente che le ha inviato un collegamento a un sito apparentemente riconducibile alla piattaforma di vendita.

Convinta di trovarsi su una pagina autentica, la donna ha inserito le proprie credenziali su un sito che riproduceva quello della banca, consentendo involontariamente ai truffatori di sottrarre circa 700 euro dal conto corrente.

La banca aveva rifiutato il rimborso, sostenendo che la cliente non avesse custodito adeguatamente i propri dati di accesso.

La controversia è arrivata alla Corte di Giustizia europea, che ha chiarito un principio fondamentale: la presunta negligenza grave del cliente non consente alla banca di negare preventivamente il rimborso di un'operazione non autorizzata.

Cosa cambia per i clienti delle banche

Secondo quanto chiarito dalla Corte, quando un correntista segnala un'operazione di pagamento non autorizzata, la banca deve restituire le somme senza ritardo e comunque entro la fine della giornata lavorativa successiva alla ricezione della comunicazione, secondo le condizioni previste dalla normativa.

L'istituto bancario non può rifiutare il rimborso immediato semplicemente sostenendo che il

cliente abbia cliccato su un collegamento sospetto o comunicato inconsapevolmente le proprie

credenziali.

La banca conserva tuttavia il diritto di dimostrare successivamente un comportamento doloso o

gravemente negligente del correntista e, in tal caso, richiedere la restituzione delle somme

rimborsate.

L'eccezione al rimborso immediato riguarda i casi in cui esistano fondati sospetti di frode

commessa dal cliente, da comunicare per iscritto all'autorità competente secondo le modalità

previste dalla legge.

L'inversione dell'onere della prova: è la banca a dover dimostrare la colpa

grave del cliente

Un aspetto particolarmente importante riguarda la ripartizione dell'onere della prova tra banca e

correntista.

La normativa italiana, attraverso l'articolo 10 del D.Lgs. 11/2010, stabilisce che, quando un

cliente disconosce un'operazione di pagamento, spetta all'istituto bancario dimostrare che

questa sia stata correttamente autenticata, registrata e contabilizzata, senza malfunzionamenti

delle procedure utilizzate.

Ma soprattutto, la semplice circostanza che un'operazione sia stata effettuata utilizzando le

credenziali corrette non dimostra automaticamente che il cliente l'abbia autorizzata o abbia

agito con colpa grave: è infatti la banca a dover fornire la prova dell'eventuale comportamento

fraudolento, doloso o gravemente negligente del correntista.

Questo principio, spesso descritto come inversione dell'onere della prova, assume particolare

rilevanza nelle truffe informatiche, dove i criminali utilizzano tecniche sempre più sofisticate per

simulare comunicazioni ufficiali, riprodurre siti bancari e ottenere codici di autenticazione.

Non basta quindi che la banca dimostri l'utilizzo di una password, di un codice OTP o di altri

strumenti di autenticazione. Per attribuire al cliente la responsabilità della perdita economica

deve dimostrare concretamente la sussistenza di una condotta qualificabile come dolosa o

gravemente negligente.

Anche la Corte di Cassazione, con la sentenza n. 25013/2024, ha affrontato il tema della

responsabilità bancaria nelle frodi informatiche, ribadendo la rilevanza degli obblighi di

sicurezza dell'intermediario e della prova della colpa grave dell'utente.

La distinzione è fondamentale: una semplice disattenzione o un errore commesso cadendo in

un inganno non equivalgono necessariamente a una negligenza grave.

Ogni situazione deve essere valutata considerando le modalità della frode, la credibilità delle

comunicazioni ricevute, i sistemi di sicurezza adottati dalla banca e il comportamento

concretamente tenuto dal cliente.

Cosa fare quando si subisce una truffa bancaria

Diventa importante distinguere tra le operazioni effettuate direttamente dai criminali utilizzando

credenziali sottratte e quelle che il cliente dispone personalmente, pur essendo stato ingannato.

Nel secondo caso, come accade in alcune truffe in cui la vittima viene convinta a eseguire

volontariamente un bonifico, il diritto al rimborso non è automatico e richiede una valutazione

specifica delle circostanze.

Chi scopre movimenti sospetti sul proprio conto deve contattare immediatamente la

banca, bloccare gli strumenti di pagamento compromessi e disconoscere formalmente le

operazioni non autorizzate.

È inoltre opportuno presentare denuncia alle autorità competenti e conservare ogni elemento

utile alla ricostruzione della frode: messaggi, email, numeri telefonici, collegamenti sospetti e

documentazione bancaria.

La recente pronuncia europea rappresenta un importante passo avanti nella protezione delle

vittime, ricordando che essere caduti in un inganno informatico non significa

automaticamente perdere il diritto alla restituzione del denaro sottratto.

Il principio da ricordare è duplice: la banca deve procedere al rimborso immediato delle

operazioni non autorizzate, nei casi previsti dalla legge, e l'eventuale colpa grave del

correntista deve essere dimostrata dall'istituto bancario, non semplicemente presunta.

Takeways

• Rimborso immediato: la banca deve rimborsare le operazioni non autorizzate entro il

giorno lavorativo successivo.

• Negligenza del cliente: un errore non comporta automaticamente la perdita del diritto al

rimborso.

• Onere della prova: spetta alla banca dimostrare il dolo o la colpa grave del correntista.

• Credenziali bancarie: l'utilizzo di password e codici OTP non prova, da solo, la

responsabilità del cliente.

• Responsabilità successiva: la banca può richiedere la restituzione del rimborso se

dimostra la colpa grave.

• Prove digitali: ricostruire le modalità della frode è fondamentale per accertare le

responsabilità.