In breve. Con la sentenza del 15 ottobre 2026 (causa C-70/25, «Tukowiecka») la Prima Sezione della Corte di giustizia UE ha stabilito che la banca non può rifiutarsi di rimborsare subito un’operazione di pagamento non autorizzata sostenendo che il cliente l’abbia resa possibile per negligenza grave, ad esempio cadendo in un phishing. Dopo aver rimborsato, la banca può chiedere al cliente di sopportare la perdita, ma deve provarne il dolo o la colpa grave. Per il cliente conta soprattutto agire presto: avvisare la banca senza indugio e chiedere per iscritto il rimborso.
Ti hanno svuotato il conto con un falso sito della banca, una finta vendita online o un messaggio che sembrava autentico, e la banca risponde che «la colpa è tua»? Fino a ieri questa risposta era frequente, anche nei ricorsi all’Arbitro Bancario Finanziario. La pronuncia europea mette ordine nella sequenza: prima il rimborso, poi, eventualmente, la discussione sulla colpa. Vediamo cosa dice, cosa cambia in concreto e come muoversi.
Cosa dice la sentenza CGUE C-70/25 sul phishing?
La Corte ha interpretato gli articoli 69, 73 e 74 della direttiva (UE) 2015/2366 (PSD2) e ha chiarito che l’obbligo di rimborso immediato non viene meno perché la banca ritiene che il cliente abbia violato, con negligenza grave, i propri obblighi di custodia delle credenziali.
Il caso nasce in Polonia. Una cliente ha pubblicato un annuncio su una piattaforma di vendita online ed è stata contattata da un finto acquirente, che le ha inviato un link riproducente l’interfaccia della banca. Inserite le credenziali, il truffatore ha disposto un pagamento non autorizzato (secondo la stampa, di circa 700 euro). La cliente ha segnalato il fatto il giorno dopo, ma la banca (PKO BP) ha negato il rimborso, sostenendo che la negligenza grave della cliente avesse reso possibile l’operazione. Il nome «Tukowiecka» è un nome fittizio attribuito dalla Corte.
La sentenza segue le conclusioni dell’Avvocato generale Rantos del 5 marzo 2026, che già proponevano la stessa lettura: due momenti distinti, il rimborso immediato e l’eventuale successiva imputazione della perdita al cliente.
Se subisco un phishing la banca deve rimborsarmi subito?
Sì, se l’operazione è «non autorizzata»: la banca deve rimborsare l’importo immediatamente e, secondo la normativa italiana, al più tardi entro la fine della giornata operativa successiva a quella in cui prende atto dell’operazione o riceve la tua comunicazione.
In Italia la regola è nell’art. 11 del D.Lgs. 11/2010, che recepisce l’art. 73 PSD2. Alcune fonti giornalistiche riportano che la Corte abbia richiamato proprio il termine del giorno lavorativo successivo: ti consiglio di verificare il dispositivo sul testo integrale della sentenza (disponibile su curia.europa.eu) prima di citarlo in un atto.
Attenzione a una distinzione decisiva, perché da essa dipende l’applicabilità del regime:
| Situazione | Qualificazione | Conseguenza |
|---|---|---|
| Un terzo, con le tue credenziali carpite, dispone il pagamento (come nel caso polacco) | Operazione non autorizzata | Si applica il rimborso immediato (art. 11 D.Lgs. 11/2010; art. 73 PSD2) |
| Sei tu a disporre il bonifico, ingannato da un falso operatore o da un falso IBAN | Operazione autorizzata, ma frutto di raggiro | Il regime del rimborso per operazioni non autorizzate in genere non si applica; la tutela passa da altre strade e va valutata caso per caso |
La linea di confine tra le due ipotesi è spesso il cuore della controversia: la sentenza C-70/25 riguarda il primo caso e non va estesa automaticamente al secondo.
La banca può rifiutare il rimborso dicendo che ho agito con colpa grave?
No: secondo la Corte l’art. 74, par. 1, PSD2 (che pone a carico del pagatore le perdite se ha agito in modo fraudolento o ha violato gli obblighi dell’art. 69 con dolo o negligenza grave) non esonera la banca dal rimborso immediato previsto dall’art. 73, par. 1.
La colpa grave diventa quindi un tema della fase successiva. La banca può rimborsare e poi chiedere al cliente di sopportare la perdita, ma l’onere di provare il dolo o la colpa grave resta a suo carico. Non basta l’argomento generico «hai inserito tu le credenziali». Nel diritto italiano, inoltre, la banca deve già dimostrare che l’operazione è stata autenticata e correttamente registrata, e la sola registrazione dell’uso dello strumento non è sufficiente (art. 10 D.Lgs. 11/2010).
L’unica eccezione indicata dalle fonti che hanno commentato la sentenza è il fondato sospetto di frode del cliente, comunicato per iscritto all’autorità nazionale. In Italia, già la Comunicazione della Banca d’Italia del 30 ottobre 2023 precisava che il «motivato sospetto di frode» che consente di sospendere il rimborso deve riguardare un comportamento fraudolento dell’utente, e non di terzi, e deve essere comunicato per iscritto alla stessa Banca d’Italia.
Dopo il rimborso immediato la banca può chiedermi indietro i soldi?
Sì, ma solo dimostrando il tuo dolo o la tua colpa grave: il rimborso non è un riconoscimento definitivo della tua assenza di responsabilità, ma non può essere negato in attesa di quella valutazione.
La colpa grave non si presume dal solo fatto di essere stati ingannati. Va valutata nel caso concreto: contano, ad esempio, il grado di credibilità del raggiro, le modalità della comunicazione ricevuta, i sistemi di autenticazione forte usati dalla banca, i tempi della tua segnalazione. Se la banca ti chiede la restituzione, non pagare e non firmare nulla senza aver fatto verificare la documentazione: ogni caso si valuta sui documenti.
Resta poi la regola della franchigia (50 euro) per le operazioni eseguite prima della comunicazione di smarrimento o furto dello strumento, che l’art. 12 D.Lgs. 11/2010 disciplina con specifiche condizioni: anche questo è un punto da verificare sul caso concreto.
Entro quanto devo segnalare alla banca un’operazione non autorizzata?
Senza indugio, appena ne vieni a conoscenza, e comunque entro 13 mesi dalla data di addebito (art. 9 D.Lgs. 11/2010).
Il limite dei 13 mesi è un termine massimo, non un invito ad aspettare. Un ritardo nell’avviso è proprio uno degli elementi che la banca può invocare per sostenere la tua negligenza. La sentenza stessa valorizza la tempestività: nel caso polacco la cliente si era accorta dell’operazione e l’aveva segnalata il giorno successivo, e le fonti riportano che l’avviso alla banca senza indugio sia una condizione da rispettare.
| Adempimento | Termine |
|---|---|
| Comunicazione alla banca dell’operazione non autorizzata | Senza indugio; massimo 13 mesi dall’addebito (art. 9 D.Lgs. 11/2010) |
| Rimborso da parte della banca | Immediato, al più tardi entro la fine della giornata operativa successiva (art. 11 D.Lgs. 11/2010) |
| Risposta della banca al reclamo sui servizi di pagamento | 15 giornate operative, estendibili a 35 in casi eccezionali (disposizioni di trasparenza di Banca d’Italia) |
| Ricorso all’ABF | Entro 12 mesi dal reclamo (disposizioni ABF) |
I termini di reclamo e ricorso all’ABF vanno controllati sulle disposizioni vigenti al momento in cui agisci.
Cosa devo fare se la banca nega il rimborso di una frode online?
Contesta subito per iscritto, richiamando l’obbligo di rimborso immediato, e conserva tutta la documentazione: poi valuta reclamo, ABF o azione davanti al giudice.
- Blocca subito carta, conto o accessi e chiama il numero verde della banca; annota data e ora della chiamata.
- Disconosci l’operazione per iscritto (PEC o raccomandata, o canale equivalente), indicando importo, data, IBAN del beneficiario e richiedendo il rimborso immediato ai sensi dell’art. 11 D.Lgs. 11/2010 e dell’art. 73 PSD2.
- Presenta denuncia alle autorità competenti e conserva copia.
- Raccogli i documenti: SMS, e-mail, schermate del link o del messaggio, estratti conto, contratto di conto e di home banking, notifiche ricevute sull’app, lista movimenti. Per capire come ottenere e leggere gli estratti, può servire la nostra guida su come verificare gli addebiti sul conto corrente e ottenere il rimborso.
- Se il rifiuto si basa sulla colpa grave, rispondi per iscritto che la sentenza CGUE C-70/25 del 15 ottobre 2026 esclude di poter negare il rimborso immediato per questo motivo e che spetta alla banca provare in seguito dolo o colpa grave.
- Presenta reclamo formale e, in assenza di risposta soddisfacente, valuta il ricorso all’ABF o l’azione giudiziaria.
Posso ricorrere all’ABF per un’operazione non autorizzata?
Sì: le controversie sui servizi di pagamento rientrano tra quelle sottoponibili all’Arbitro Bancario Finanziario, dopo un reclamo alla banca rimasto senza esito soddisfacente.
Le decisioni dell’ABF sulle frodi sono numerose (il Sole 24 Ore riportava 553 pronunce nel 2023 su disconoscimenti di operazioni). La sentenza europea è un argomento di peso da richiamare nel reclamo e nel ricorso, perché riguarda il momento e la logica dell’obbligo di rimborso. Come i collegi ABF e i giudici italiani coordineranno nel concreto questa pronuncia con i propri orientamenti sulla colpa grave è un aspetto che andrà verificato nelle prossime decisioni: oggi è prematuro dare per scontato l’esito.
Cosa cambia per imprese e professionisti?
Le regole sui pagamenti non autorizzati si applicano agli utenti di servizi di pagamento in generale, ma per le imprese contano le clausole contrattuali e la qualifica del cliente: nei rapporti con soggetti che non sono consumatori o microimprese, alcune disposizioni possono essere derogate per contratto. Verifica quindi il contratto di conto e di home banking prima di impostare la contestazione.
Cosa fare adesso
- Se hai già subito una frode e ti è stato opposto un rifiuto per colpa grave, invia una nuova contestazione che richiami la sentenza del 15 ottobre 2026.
- Verifica di essere nei termini (senza indugio; massimo 13 mesi).
- Ricostruisci la cronologia dei fatti, con orari e documenti.
- Controlla se l’operazione sia stata davvero non autorizzata o disposta da te.
- Non accettare riaddebiti o richieste di restituzione senza una valutazione dei documenti.
Domande frequenti
Se subisco un phishing la banca deve rimborsarmi subito?
Se l’operazione è non autorizzata, sì: la banca deve rimborsare immediatamente e, in Italia, al più tardi entro la fine della giornata operativa successiva alla tua comunicazione. La sentenza C-70/25 chiarisce che non può rifiutare adducendo la tua negligenza grave.
La banca può comunque contestarmi la colpa grave?
Sì, ma dopo aver rimborsato, e dovendo provare il tuo dolo o la tua colpa grave. Non può usare questo argomento per ritardare o negare il rimborso immediato.
Quando la banca può sospendere il rimborso?
Solo in presenza di un fondato sospetto di frode del cliente, comunicato per iscritto all’autorità nazionale (in Italia, la Banca d’Italia). Secondo la Banca d’Italia, il sospetto deve riguardare un comportamento fraudolento dell’utente, non di terzi.
Entro quanto devo avvisare la banca?
Senza indugio e comunque entro 13 mesi dall’addebito. Un ritardo può essere usato dalla banca per sostenere la tua negligenza, quindi conviene agire subito.
Se ho disposto io il bonifico perché raggirato, vale la stessa regola?
Non automaticamente. Il rimborso immediato riguarda le operazioni non autorizzate; se il pagamento è stato da te autorizzato, anche se frutto di raggiro, la tutela segue altre strade e richiede una valutazione specifica.
Fonti e riferimenti normativi
- Direttiva (UE) 2015/2366 (PSD2), artt. 69, 73 par. 1, 74 par. 1.
- D.Lgs. 27 gennaio 2010, n. 11, artt. 9, 10, 11 e 12 (disposizioni nazionali sui servizi di pagamento, come modificate in attuazione della PSD2).
- Corte di giustizia UE, Prima Sezione, sentenza 15 ottobre 2026, causa C-70/25 (Tukowiecka): testo su EIUS.
- Conclusioni dell’Avvocato generale Rantos, 5 marzo 2026, causa C-70/25: comunicato stampa CGUE n. 31/26.
- Banca d’Italia, Comunicazione del 30 ottobre 2023 sull’obbligo di segnalazione ex art. 11 D.Lgs. 11/2010: pagina sul sito della Banca d’Italia.
- Commento: Diritto Bancario, «PSD2: in caso di frodi, rimborso sempre immediato» (16 ottobre 2026).
- Commento: Help Consumatori (15 ottobre 2026).
Articolo aggiornato al 17 ottobre 2026.
Dott. Mario Amodeo – Dottore Commercialista e Revisore Legale
Se sei stato vittima di phishing o di un’operazione non autorizzata e la banca ha negato o ritardato il rimborso, lo Studio Amodeo può esaminare la tua documentazione, verificare i termini e valutare la strada più adeguata (contestazione, reclamo, ricorso all’ABF o azione giudiziaria). Scrivici dalla pagina contatti, chiama lo 0915089033 o scrivi a info@studioamodeo.eu: ogni caso va valutato sui documenti specifici.
Argomenti: phishing, operazioni non autorizzate, PSD2, CGUE, ABF, frodi online, colpa grave, D.Lgs. 11/2010
