Nota a Corte di giustizia dell'Unione europea sentenza CGUE C-70/25 sul rimborso immediato e la responsabilità del correntista
Con la sentenza del 15 ottobre 2026, causa C-70/25, Tukowiecka, la Corte di giustizia dell’Unione europea chiarisce il rapporto tra il diritto al rimborso immediato delle operazioni di pagamento non autorizzate e la responsabilità del correntista per negligenza grave. Interpretando gli articoli 73 e 74 della direttiva (UE) 2015/2366 (PSD2), la Corte afferma che la banca non può rifiutare il rimborso immediato invocando la presunta colpa grave del cliente, pur conservando la possibilità di richiedere successivamente la restituzione delle somme qualora ne dimostri la responsabilità. La pronuncia assume particolare rilievo nell’ordinamento italiano, incidendo sull’interpretazione del D.Lgs. n. 11/2010 e sulla tutela stragiudiziale e processuale delle vittime di frodi bancarie.
1. La sentenza C-70/25 e il problema della responsabilità nelle frodi bancarie
Le frodi informatiche nei servizi bancari pongono una questione giuridica centrale: chi deve sopportare le conseguenze economiche di un’operazione di pagamento che il correntista dichiara di non aver autorizzato?
Il problema emerge soprattutto nelle ipotesi di phishing, nelle quali il truffatore acquisisce le credenziali bancarie attraverso artifici idonei a indurre l’utente a compiere operazioni apparentemente legittime.
In tali circostanze, la banca può sostenere che il cliente abbia contribuito alla frode mediante una condotta gravemente negligente, ad esempio comunicando codici di sicurezza o inserendo credenziali su un sito contraffatto.
Occorre tuttavia distinguere due questioni: l’esistenza del diritto al rimborso immediato e l’attribuzione definitiva della perdita economica.
È su questa distinzione che interviene la Corte di giustizia dell’Unione europea con la sentenza del 15 ottobre 2026, causa C-70/25, Tukowiecka.
La decisione precisa che la negligenza grave del pagatore non costituisce, di per sé, una causa di esclusione dell’obbligo di rimborso immediato previsto dall’articolo 73 della direttiva (UE) 2015/2366, conosciuta come PSD2.
La soluzione non elimina la responsabilità dell’utente, ma chiarisce la diversa funzione delle disposizioni che regolano il rimborso e la ripartizione delle perdite.
2. Il caso Tukowiecka: la frode mediante phishing e il rifiuto della banca
La controversia trae origine da una frode subita da una cliente dell’istituto polacco PKO BP S.A.
La donna aveva pubblicato un annuncio di vendita su una piattaforma online. Un soggetto, presentandosi come potenziale acquirente, le aveva trasmesso un collegamento apparentemente riconducibile al portale, invitandola a confermare la transazione.
Il collegamento conduceva a una pagina contraffatta che riproduceva l’interfaccia della banca. La cliente, tratta in inganno, inseriva le proprie credenziali di accesso. Il truffatore riusciva così a trasferire dal conto della vittima 3.000 zloty polacchi, circa 705 euro, utilizzando anche un codice di conferma SMS ottenuto attraverso l’inganno. Il giorno successivo, la cliente comunicava l’accaduto alla banca e alla polizia.
L’intermediario rifiutava però il rimborso, sostenendo che la perdita derivasse dalla violazione gravemente negligente degli obblighi di protezione delle credenziali bancarie. La cliente agiva quindi dinanzi al Tribunale circondariale di Koszalin per ottenere la restituzione delle somme.
Il giudice polacco individuava una questione interpretativa riguardante il coordinamento tra gli articoli 73 e 74 della PSD2 e disponeva un rinvio pregiudiziale ai sensi dell’articolo 267 TFUE.
La questione non consisteva nello stabilire se la donna fosse effettivamente incorsa in negligenza grave, ma se una simile condotta potesse giuridicamente consentire alla banca di rifiutare il rimborso immediato.
3. Il quadro normativo: gli articoli 69, 71, 72, 73 e 74 della PSD2
Il sistema europeo delle operazioni di pagamento non autorizzate si fonda su disposizioni che disciplinano obblighi dell’utente, prova dell’autenticazione, rimborso e responsabilità patrimoniale.
L’articolo 69 della direttiva 2015/2366 impone all’utente di utilizzare lo strumento di pagamento conformemente alle condizioni contrattuali e di adottare tutte le ragionevoli misure per proteggere le credenziali di sicurezza personalizzate.
Il medesimo articolo prescrive di comunicare senza indugio al prestatore lo smarrimento, il furto, l’appropriazione indebita o l’utilizzo non autorizzato dello strumento.
L’articolo 71 disciplina invece la notifica delle operazioni non autorizzate, collegando il diritto alla rettifica alla tempestiva comunicazione e al rispetto del termine massimo di tredici mesi dall’addebito, secondo le condizioni previste dalla disposizione.
L’articolo 72, paragrafo 2, regola un profilo essenziale: l’utilizzo registrato dello strumento di pagamento non è, di per sé, necessariamente sufficiente a dimostrare che il cliente abbia autorizzato l’operazione oppure abbia agito con dolo o negligenza grave.
Spetta al prestatore fornire gli elementi di prova della frode o della negligenza grave del pagatore.
Il nucleo della controversia riguarda, tuttavia, i successivi articoli 73 e 74. L’articolo 73, paragrafo 1, stabilisce che, in presenza di un’operazione non autorizzata, il prestatore debba rimborsarne l’importo immediatamente e comunque entro la fine della giornata operativa successiva alla conoscenza o alla comunicazione dell’operazione. La disposizione contempla una specifica eccezione in presenza di ragionevoli motivi per sospettare una frode, comunicati per iscritto all’autorità nazionale competente, e fa salvo quanto previsto dall’articolo 71. L’articolo 74, paragrafo 1, disciplina invece l’attribuzione delle perdite. In particolare, il terzo comma prevede che il pagatore sopporti integralmente le perdite qualora abbia agito fraudolentemente oppure abbia violato intenzionalmente o con negligenza grave gli obblighi dell’articolo 69.
Si determina così un’apparente interferenza normativa: l’articolo 73 impone il rimborso immediato, mentre l’articolo 74 può attribuire al pagatore l’intera perdita.
4. Lo scontro interpretativo che ha determinato il rinvio pregiudiziale
Dinanzi al giudice polacco si contrapponevano due ricostruzioni. Secondo l’interpretazione sostenuta dalla banca, l’articolo 74 costituirebbe una deroga all’obbligo previsto dall’articolo 73.
Qualora l’operazione sia stata resa possibile dalla negligenza grave del pagatore, il prestatore potrebbe dunque negare direttamente il rimborso, evitando una restituzione destinata a essere successivamente recuperata.
La tesi alternativa, prospettata dal giudice del rinvio, distingueva invece il rimborso immediato dall’accertamento della responsabilità definitiva.
L’articolo 73 avrebbe una funzione restitutoria immediata, mentre l’articolo 74 regolerebbe la successiva imputazione patrimoniale delle perdite.
L’interpretazione non era priva di conseguenze pratiche.
Ammettere il rifiuto del rimborso sulla base della valutazione unilaterale della banca avrebbe costretto il cliente a promuovere un procedimento giudiziario per recuperare le somme, sostenendone i costi e gli inconvenienti.
Il giudice polacco osservava che tale situazione rischiava di trasformare l’eccezione in una prassi ordinaria, compromettendo l’effettività della protezione prevista dalla direttiva.
La Corte era quindi chiamata a chiarire se la responsabilità del pagatore per negligenza grave potesse incidere sull’obbligo immediato della banca oppure soltanto sull’attribuzione definitiva della perdita.
5. La soluzione della Corte: autonomia del rimborso immediato e responsabilità successiva
Nelle conclusioni presentate il 5 marzo 2026, l’Avvocato generale Athanasios Rantos aveva prospettato una lettura favorevole alla separazione dei due momenti.
La Corte accoglie tale impostazione attraverso un’interpretazione letterale, sistematica, teleologica e storico-evolutiva delle disposizioni.
Ai punti 31-34 della sentenza, evidenzia che l’articolo 73 prevede espressamente l’eccezione collegata al sospetto di frode, senza contemplare una diversa causa di esclusione fondata sulla negligenza grave del cliente.
Al punto 38 individua due possibili interpretazioni dell’articolo 74: una che incide sull’obbligo immediato e una che riguarda soltanto il carattere definitivo del rimborso.
La Corte aderisce alla seconda. Sul piano sistematico, richiama il considerando 71 e l’articolo 72, paragrafo 2, della PSD2, valorizzando la particolare distribuzione degli obblighi e dell’onere probatorio. Al punto 42 precisa che l’articolo 73 impone il rimborso immediato, mentre l’articolo 74 disciplina la ripartizione della responsabilità in una fase successiva.
Particolarmente significativo è il punto 45. Secondo la Corte, consentire alla banca di negare il rimborso invocando la negligenza grave priverebbe di efficacia la tutela immediata e costringerebbe l’utente ad assumere l’iniziativa processuale.
Un simile risultato sarebbe difficilmente conciliabile con l’obiettivo di elevata protezione dei consumatori perseguito dalla direttiva.
Il ragionamento viene completato mediante il confronto con la precedente direttiva 2007/64/CE e con la genesi dell’articolo 73, nonché con il richiamo alla piena armonizzazione prevista dall’articolo 107 della PSD2. La Corte afferma pertanto che il prestatore non può rifiutare il rimborso immediato di un’operazione non autorizzata per il solo motivo che il pagatore l’avrebbe resa possibile mediante negligenza grave.
La responsabilità del cliente non viene esclusa: viene distinta dall’obbligo restitutorio immediato.
Il punto 46 chiarisce infatti che la banca conserva la possibilità di chiedere successivamente al pagatore il rimborso delle perdite, dimostrando i presupposti previsti dall’articolo 74.
6. I precedenti della Corte di giustizia: CRCAM, Eurobank Bulgaria e Veracash
La pronuncia Tukowiecka si inserisce in un percorso giurisprudenziale già sviluppato dalla Corte di giustizia.
Nella sentenza del 2 settembre 2021, causa C-337/20, CRCAM, ECLI:EU:C:2021:671, la Corte aveva esaminato il regime della precedente direttiva 2007/64/CE, soffermandosi sulla disciplina speciale delle operazioni non autorizzate e sull’importanza degli obblighi di comunicazione dell’utente.
Il precedente conferma che il sistema europeo contempla condizioni specifiche per l’esercizio dei rimedi, le quali devono essere ricostruite all’interno della disciplina armonizzata.
Con la sentenza dell’11 luglio 2024, causa C-409/22, Eurobank Bulgaria, ECLI:EU:C:2024:600, la Corte ha approfondito la prova del consenso all’operazione di pagamento e gli obblighi del prestatore, nell’ambito del regime della precedente direttiva.
Il principio rilevante consiste nella necessità di distinguere l’autenticazione dell’operazione dalla dimostrazione della sua effettiva autorizzazione.
La distinzione è particolarmente importante nei casi di phishing, nei quali un’operazione può essere tecnicamente eseguita mediante credenziali valide pur essendo contestata l’esistenza di una legittima autorizzazione.
Più recente è la sentenza del 1° agosto 2025, causa C-665/23, Veracash, ECLI:EU:C:2025:598.
In tale decisione la Corte ha chiarito il rilievo dell’obbligo di comunicare senza indugio le operazioni non autorizzate, distinguendolo dal rispetto del termine massimo di tredici mesi e affrontando le conseguenze della comunicazione tardiva, anche in presenza di operazioni successive.
Il rapporto tra Veracash e Tukowiecka è significativo.
La prima pronuncia riguarda soprattutto le condizioni temporali della comunicazione e le conseguenze del loro mancato rispetto; la seconda disciplina il rapporto tra obbligo di rimborso e responsabilità per la violazione degli obblighi di sicurezza.
Non sussiste pertanto una contraddizione tra le due decisioni.
Il loro coordinamento conferma che il diritto al rimborso, gli obblighi di notifica e la responsabilità del pagatore costituiscono profili distinti, ciascuno sottoposto alle condizioni previste dalla disciplina europea.
La novità specifica di Tukowiecka consiste nell’avere chiarito che la responsabilità definitiva prevista dall’articolo 74 non costituisce un’autonoma causa di esclusione del rimborso immediato disciplinato dall’articolo 73.
7. L’applicazione in Italia: il D.Lgs. n. 11/2010 e l’onere della prova
Nell’ordinamento italiano la PSD2 è stata recepita attraverso le modifiche apportate al D.Lgs. 27 gennaio 2010, n. 11, dal D.Lgs. 15 dicembre 2017, n. 218.
Le disposizioni centrali sono gli articoli 9, 10, 11 e 12.
L’articolo 9 disciplina la notifica e la rettifica delle operazioni non autorizzate.
L’articolo 10 regola l’onere della prova dell’autenticazione e dell’esecuzione.
L’articolo 11 impone il rimborso immediato, mentre l’articolo 12 disciplina la responsabilità del pagatore.
Alla luce della sentenza C-70/25, queste disposizioni devono essere interpretate in modo da mantenere distinto l’obbligo di rimborso dall’accertamento della negligenza grave.
Sotto il profilo probatorio, il correntista che contesta un’operazione deve anzitutto individuare l’addebito, negarne l’autorizzazione e documentare la tempestiva comunicazione all’intermediario.
Spetta invece al prestatore, secondo l’articolo 10, dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non vi sono stati malfunzionamenti rilevanti.
La dimostrazione dell’autenticazione tecnica non equivale automaticamente alla prova del consenso dell’utente o della sua negligenza grave.
Quest’ultima deve essere sostenuta dagli elementi probatori richiesti dalla normativa.
La sentenza non elimina il problema della qualificazione giuridica dell’operazione: il regime esaminato presuppone infatti un pagamento non autorizzato.
Ne consegue che, nella controversia concreta, occorre distinguere accuratamente l’assenza di autorizzazione, il rispetto degli obblighi di notifica e l’eventuale responsabilità finale del correntista.
8. Come ottenere il rimborso di un’operazione non autorizzata: tutela, prove e procedimento
La ricostruzione normativa e giurisprudenziale consente di individuare un percorso di tutela articolato in più fasi.
8.1. Disconoscimento dell’operazione e comunicazione tempestiva
Il primo adempimento consiste nel comunicare alla banca l’operazione non autorizzata senza indugio, non appena se ne abbia conoscenza.
La comunicazione deve individuare l’addebito contestato, il relativo importo, la data e, quando disponibili, i riferimenti identificativi della transazione.
È opportuno effettuarla mediante un canale che consenta di conservarne prova, utilizzando le modalità previste dal rapporto contrattuale.
Il termine massimo di tredici mesi non autorizza a rinviare liberamente la comunicazione: rimane necessario attivarsi tempestivamente dopo avere acquisito conoscenza dell’operazione.
L’utente dovrebbe inoltre richiedere il blocco degli strumenti compromessi e adottare le misure necessarie a impedire ulteriori utilizzi fraudolenti.
8.2. Quali documenti devono essere acquisiti e prodotti
Sul piano probatorio, assumono rilievo l’estratto conto contenente l’addebito, la comunicazione di disconoscimento e la prova della sua ricezione.
Possono inoltre essere utili i messaggi SMS, le e-mail, gli screenshot dei collegamenti fraudolenti, la documentazione delle telefonate, le notifiche bancarie e ogni elemento idoneo a ricostruire le modalità della frode.
Particolare importanza può assumere l’acquisizione della documentazione tecnica detenuta dall’intermediario, relativa alle procedure di autenticazione, ai dispositivi utilizzati e alla sequenza delle operazioni.
Tale documentazione può contribuire a chiarire se il pagamento sia stato autorizzato e quali circostanze siano eventualmente rilevanti per l’accertamento della responsabilità.
La denuncia alle autorità può essere utile alla ricostruzione dei fatti e all’attivazione delle indagini, ma non costituisce, di per sé, un presupposto normativo generale per l’avvio della richiesta di rimborso.
È essenziale distinguere tra gli elementi che il cliente deve allegare a sostegno della propria contestazione e quelli la cui prova grava sul prestatore ai sensi dell’articolo 10 del D.Lgs. n. 11/2010.
8.3. Il reclamo alla banca
Se l’intermediario non procede al rimborso, il cliente può formulare un reclamo scritto, indicando l’operazione contestata e chiedendo l’applicazione dell’articolo 11 del D.Lgs. n. 11/2010, interpretato conformemente alla sentenza C-70/25.
Il reclamo dovrebbe distinguere la richiesta di rimborso immediato dall’eventuale contestazione della negligenza grave.
Per i reclami relativi ai servizi di pagamento, il termine ordinario di risposta dell’intermediario è di quindici giorni lavorativi, secondo la disciplina applicabile.
Tale termine non sostituisce quello, più breve, previsto dalla legge per il rimborso dell’operazione non autorizzata.
8.4. Il ricorso all’Arbitro Bancario Finanziario
In caso di risposta insoddisfacente o mancata risposta nei termini, il cliente può valutare il ricorso all’Arbitro Bancario Finanziario.
L’ABF costituisce uno strumento di risoluzione stragiudiziale delle controversie bancarie e finanziarie.
Il ricorso presuppone un precedente reclamo all’intermediario e deve essere presentato, ordinariamente, entro dodici mesi dal reclamo stesso.
Per le richieste aventi a oggetto il pagamento di somme, la competenza dell’ABF è soggetta al limite di 200.000 euro.
Il procedimento si fonda prevalentemente sulla documentazione prodotta dalle parti.
Per questa ragione è particolarmente importante ricostruire in modo completo la cronologia degli eventi, allegare le comunicazioni e individuare le specifiche ragioni per cui l’operazione viene considerata non autorizzata.
La sentenza Tukowiecka rappresenta un riferimento interpretativo per distinguere il diritto al rimborso dalla successiva responsabilità del pagatore, fermo restando che l’applicazione concreta dipenderà dai fatti e dalle domande sottoposte all’Arbitro.
8.5. La tutela davanti al giudice civile
Rimane sempre possibile ricorrere all’autorità giudiziaria ordinaria, nel rispetto delle condizioni processuali applicabili, compresa la mediazione obbligatoria nelle materie per le quali è prevista.
La domanda deve essere costruita distinguendo i fatti costitutivi del diritto al rimborso dall’eventuale responsabilità definitiva del cliente.
Sotto il primo profilo, assumono rilievo l’esistenza del rapporto di pagamento, l’addebito contestato, l’assenza di autorizzazione, la comunicazione tempestiva e il mancato rimborso.
Sul secondo piano, qualora la banca invochi dolo o negligenza grave, trova applicazione il riparto probatorio previsto dalla disciplina speciale.
Nel processo può rendersi necessaria l’acquisizione della documentazione tecnica in possesso dell’intermediario, attraverso gli strumenti istruttori consentiti dall’ordinamento, anche al fine di verificare le modalità di autenticazione ed esecuzione.
La sentenza C-70/25 assume rilievo soprattutto per la qualificazione giuridica della pretesa: la banca non può giustificare il rifiuto del rimborso immediato attraverso la sola contestazione della negligenza grave.
Resta distinta la questione dell’eventuale pretesa restitutoria successiva del prestatore, da esaminare secondo le norme sostanziali e processuali applicabili.
9. Due esempi concreti di applicazione della sentenza
9.1. Phishing mediante sito bancario contraffatto
Un correntista riceve un messaggio apparentemente proveniente dalla banca e inserisce le credenziali su un sito fraudolento.
Un terzo utilizza i dati acquisiti per trasferire 6.000 euro.
Il cliente disconosce tempestivamente l’operazione, ma la banca nega il rimborso sostenendo che avrebbe dovuto riconoscere il sito contraffatto.
Se il trasferimento risulta non autorizzato e ricorrono i presupposti normativi, la presunta negligenza grave non consente, da sola, di rifiutare il rimborso immediato.
La banca conserva la possibilità di dimostrare successivamente la responsabilità del pagatore e di chiedere il recupero delle somme.
9.2. Frode telefonica e comunicazione del codice OTP
Un cliente riceve una telefonata da un falso operatore antifrode, che lo convince a comunicare un codice OTP per bloccare un presunto accesso abusivo.
Il codice viene utilizzato per confermare un bonifico di 10.000 euro.
Il cliente nega di avere autorizzato il trasferimento, sostenendo di essere stato indotto con l’inganno a fornire il codice.
In questo caso occorre anzitutto accertare se l’operazione fosse giuridicamente autorizzata.
Se risulta non autorizzata, la comunicazione del codice OTP non rappresenta automaticamente una causa di esclusione del rimborso immediato.
L’eventuale negligenza grave dovrà essere specificamente dimostrata ai fini dell’attribuzione definitiva della perdita.
10. il significato della sentenza per la tutela bancaria
Con la sentenza C-70/25, la Corte di giustizia chiarisce un punto essenziale del sistema europeo dei pagamenti: l’obbligo di rimborso immediato delle operazioni non autorizzate e la responsabilità definitiva del pagatore operano su piani distinti.
La decisione non introduce un’immunità del correntista dalle conseguenze delle proprie condotte gravemente negligenti, ma impedisce che la relativa contestazione sia utilizzata come autonoma giustificazione del mancato rimborso iniziale.
Il contributo interpretativo della pronuncia riguarda dunque la struttura delle tutele e la distribuzione del rischio economico connesso alla controversia.
Nell’ordinamento italiano, il principio è destinato ad assumere rilievo nell’applicazione degli articoli 10, 11 e 12 del D.Lgs. n. 11/2010, tanto nella fase dei reclami quanto nei procedimenti davanti all’ABF e all’autorità giudiziaria.
La tutela effettiva richiede, tuttavia, una corretta impostazione della controversia: tempestivo disconoscimento, documentazione dei fatti, distinzione tra autenticazione e autorizzazione e rigoroso rispetto del riparto dell’onere della prova.
La novità di Tukowiecka consiste, in definitiva, nell’affermare che l’accertamento della responsabilità per negligenza grave non può essere confuso con l’adempimento dell’obbligo di rimborso immediato imposto dalla PSD2.
Riferimenti normativi e giurisprudenziali
Normativa
- Direttiva (UE) 2015/2366, considerando 6 e 71, articoli 69, 71, 72, 73, 74, 102 e 107.
- Direttiva 2007/64/CE, articoli 58, 60 e 61.
- D.Lgs. 27 gennaio 2010, n. 11, articoli 9, 10, 11 e 12.
- D.Lgs. 15 dicembre 2017, n. 218.
- Articolo 267 TFUE.
Giurisprudenza
- CGUE, Prima Sezione, 15 ottobre 2026, C-70/25, Tukowiecka, ECLI:EU:C:2026:852, punti 28-52.
- Conclusioni dell’Avvocato generale A. Rantos, 5 marzo 2026, C-70/25, ECLI:EU:C:2026:153.
- CGUE, 1° agosto 2025, C-665/23, Veracash, ECLI:EU:C:2025:598.
- CGUE, 11 luglio 2024, C-409/22, Eurobank Bulgaria, ECLI:EU:C:2024:600.
- CGUE, 2 settembre 2021, C-337/20, CRCAM, ECLI:EU:C:2021:671.
- CGUE, 11 novembre 2020, C-287/19, DenizBank, ECLI:EU:C:2020:897.