quando la banca deve rimborsare i soldi?

Scopri quando l’istituto di credito è responsabile per i prelievi non autorizzati e come proteggere i tuoi risparmi dalle truffe informatiche.

L’evoluzione tecnologica ha trasformato radicalmente il modo in cui gestiamo il denaro. Oggi quasi tutti utilizzano i servizi di home banking per pagare bollette, inviare bonifici o controllare il saldo. Questa comodità espone però i risparmiatori a rischi informatici sempre nuovi. Quando un pirata informatico riesce a entrare nel sistema e a sottrarre fondi, il primo pensiero del correntista riguarda la possibilità di recuperare la somma perduta. Di qui una comune domanda: in caso di furto sul conto online, quando la banca deve rimborsare i soldi? La risposta non è scontata e dipende dal livello di sicurezza garantito dall’istituto e dal comportamento dell’utente. La legge italiana e la giurisprudenza più recente tendono a tutelare il consumatore, imponendo agli istituti di credito standard di protezione molto elevati. La banca non è solo un custode, ma un professionista che deve prevedere ed evitare gli accessi abusivi attraverso tecnologie all’avanguardia. Se il sistema di protezione risulta obsoleto o poco efficace, scatta l’obbligo di risarcimento integrale a favore del cliente danneggiato.

La banca è sempre responsabile per i soldi rubati dal conto online?

La responsabilità di un istituto di credito in caso di frode informatica è un tema molto discusso nei tribunali. Il principio generale stabilisce che la banca risponde della sottrazione dei fondi se non dimostra di aver fatto tutto il possibile per evitare il danno. Questa impostazione deriva dalla natura stessa dell’attività bancaria, che viene spesso equiparata a una attività pericolosa (art. 2050 cod. civ.). Chiunque esercita un’attività che può recare danno a terzi, come la gestione di dati e flussi finanziari online, deve adottare ogni misura idonea a scongiurare eventi negativi.

Il tribunale valuta la condotta della banca con estrema severità. Poiché l’istituto agisce come un operatore professionale, la sua diligenza non è quella comune ma deve essere superiore alla media. In un caso concreto analizzato a Palermo (Trib. Palermo n. 2904/2011), un correntista ha ottenuto il rimborso di oltre cinquemila euro dopo che ignoti avevano effettuato un bonifico abusivo dal suo conto. Il giudice ha chiarito che l’istituto deve predisporre difese che tengano conto del costante progresso tecnologico. Se i sistemi di attacco degli hacker diventano più raffinati, anche le barriere difensive devono evolversi. Non è sufficiente che la banca fornisca una password, ma deve garantire un ecosistema digitale sicuro. Il risarcimento include solitamente:

• la somma capitale sottratta illecitamente;

• gli interessi legali calcolati dal momento del furto fino al saldo;

• l’eventuale rimborso delle spese legali sostenute per la causa.

Quali sono le misure di sicurezza minime che una banca deve adottare?

Per non essere condannata, la banca deve dimostrare che il suo sistema di online banking rispetta standard di sicurezza moderni. Se le misure adottate sono ritenute inadeguate o obsolete dal giudice, la colpa ricade sull’istituto. Un esempio di scarsa sicurezza è l’utilizzo di credenziali facilmente individuabili o troppo semplici. Nella vicenda presa in esame, il tribunale ha riscontrato falle evidenti nel sistema di accesso proposto dalla banca.

In particolare, sono stati considerati elementi di vulnerabilità:

• l’utilizzo di un nome utente che coincide con l’indirizzo email del cliente;

• la fornitura di un codice PIN composto da sole quattro cifre;

• l’assenza di sistemi di notifica immediata per le operazioni sospette;

• la mancata conferma tempestiva tramite posta elettronica dell’avvenuto ordine di bonifico.

L’indirizzo email è un dato spesso pubblico o facilmente reperibile. Se la banca lo imposta come username, facilita il compito ai malintenzionati. Allo stesso modo, un codice di sole quattro cifre offre un numero limitato di combinazioni, risultando debole contro attacchi informatici automatizzati. Una banca diligente deve invece proporre codici più complessi e sistemi di autenticazione a due fattori. Inoltre, la tempistica delle comunicazioni è essenziale. Se il contratto prevede una notifica via email dopo ogni bonifico e la banca invia l’avviso con un giorno di ritardo, viene meno il dovere di informazione che permetterebbe al cliente di bloccare l’operazione in tempo reale.

In che modo il Codice della Privacy tutela il risparmiatore?

La tutela del correntista passa anche attraverso le norme sul trattamento dei dati personali. Quando utilizziamo i servizi web, la banca tratta informazioni sensibili, come i nostri codici di accesso e le nostre abitudini di spesa. Il Codice della Privacy stabilisce che chiunque cagiona un danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento (art. 15 L. n. 196/2003). La sicurezza dei dati è un obbligo di legge che la banca deve onorare con la massima attenzione.

Le informazioni devono essere custodite e controllate in modo da ridurre al minimo i rischi di accesso non autorizzato. Questo significa che la banca deve:

• adottare idonee e preventive misure di sicurezza;

• aggiornare costantemente i software in base alle conoscenze acquisite con il progresso tecnico;

• prevenire la perdita anche accidentale dei dati dei risparmiatori;

• assicurare che il trattamento sia conforme alle finalità della raccolta (art. 31 L. n. 196/2003).

Se un terzo si introduce abusivamente nel sistema informatico della banca, ciò significa che la custodia dei dati non è stata efficace. Il risparmiatore danneggiato non ha l’onere di spiegare come l’hacker sia entrato; è la banca che deve provare di aver adottato ogni accorgimento tecnico disponibile per impedire l’intrusione. La responsabilità è quindi legata alla gestione del dato digitale, che deve essere protetto come se fosse denaro fisico chiuso in una cassaforte.

Quando il cliente perde il diritto al rimborso del denaro sottratto?

Nonostante la severità verso le banche, il cliente non è esente da responsabilità. Esistono casi in cui l’istituto di credito viene esonerato dall’obbligo di risarcimento. Questo accade quando la sottrazione del denaro deriva da una condotta negligente o imprudente del correntista stesso. Il risparmiatore ha infatti il dovere di custodire con estrema diligenza le proprie credenziali di accesso.

La banca non è tenuta a pagare se riesce a dimostrare che:

• il cliente ha fornito volontariamente i codici a terzi;

• l’utente ha risposto a email di phishing inserendo i propri dati in siti contraffatti;

• le chiavi di accesso sono state annotate in luoghi facilmente accessibili a chiunque;

• il correntista ha utilizzato dispositivi infetti da virus senza alcuna protezione.

Se la truffa è l’effetto diretto di una grave leggerezza dell’utente, la responsabilità ricade esclusivamente su di lui. Ad esempio, se un utente comunica il proprio PIN al telefono a uno sconosciuto che si finge un operatore bancario, la banca non può essere ritenuta colpevole per l’assenza di sicurezza del proprio sistema. In questi casi, il nesso di causalità tra la falla della banca e il danno si interrompe a causa del comportamento del cliente. La prudenza è dunque la prima linea di difesa per chiunque operi online.

Come si dimostra la propria diligenza in caso di truffa informatica?

Per vincere una causa contro la banca, il cliente deve dimostrare di essere stato un utente attento e responsabile. Durante il giudizio a Palermo, il correntista ha fornito prove concrete della propria diligenza. Egli ha dimostrato che il suo computer personale era dotato di programmi adeguati a proteggerlo da eventuali intrusioni informatiche. La presenza di un antivirus aggiornato e di un firewall efficace è un elemento che gioca a favore del risparmiatore.

Oltre alla protezione del dispositivo, il cliente deve dimostrare di aver seguito le comuni regole di prudenza, quali:

• non aver mai condiviso la password con nessuno;

• aver cambiato regolarmente i codici di accesso;

• aver monitorato con frequenza i movimenti del conto;

• aver sporto denuncia immediatamente dopo aver scoperto l’ammanco.

Se il cliente prova di aver fatto tutto il possibile per proteggere i propri dati, il sospetto di una falla di sicurezza si sposta interamente sulla banca. Il giudice, a quel punto, chiederà all’istituto di dimostrare perché, nonostante la prudenza del cliente, l’accesso abusivo sia comunque avvenuto. Se la banca non riesce a provare la colpa del cliente, la condanna al rimborso diventa inevitabile. La conservazione di prove documentali, come le scansioni dei sistemi di sicurezza del PC, è fondamentale per supportare la richiesta risarcitoria.

Quali sono i doveri professionali dell’istituto di credito?

La banca non è un soggetto qualunque, ma un operatore che esercita un’attività di rilevanza pubblica. Per questo motivo, il tribunale valuta la sua condotta con il parametro della diligenza professionale. Questo significa che la banca non può limitarsi a fare il minimo indispensabile, ma deve essere proattiva nella prevenzione delle frodi. Il progresso tecnico non è una scelta facoltativa, ma un obbligo contrattuale.

Tra i doveri professionali che la banca deve rispettare figurano:

• il monitoraggio costante delle operazioni che appaiono insolite per importo o destinazione;

• il blocco preventivo dei bonifici verso paesi o società sospette;

• l’invio di avvisi istantanei tramite notifiche push o sms per ogni movimento;

• l’implementazione di sistemi di riconoscimento biometrico o token temporanei.

Se un istituto rimane fermo a tecnologie di dieci anni fa, sta violando il contratto con il cliente. La sicurezza informatica è parte integrante del servizio che la banca vende al correntista insieme al conto corrente. Se il servizio è scadente e permette a un terzo di rubare cinquemila euro con un semplice bonifico non autorizzato, la banca ha fallito nel suo compito professionale. La responsabilità per l’attività pericolosa (art. 2050 cod. civ.) serve proprio a garantire che chi trae profitto dalla gestione del denaro digitale si faccia carico anche dei rischi legati ai guasti o alle falle del sistema.

Quali passi legali deve compiere chi subisce un furto online?

Se ti accorgi di un prelievo sospetto sul tuo conto, la velocità di reazione è fondamentale per avere speranza di rimborso. La prima azione da compiere è il blocco immediato di tutte le carte e dei servizi di home banking contattando il numero verde della banca. Subito dopo, occorre recarsi presso le autorità per sporgere una denuncia formale per accesso abusivo a sistema informatico.

I passaggi successivi per tutelare i propri diritti includono:

• l’invio di un reclamo scritto alla banca tramite raccomandata o PEC;

• la richiesta formale di storno dell’operazione e di rimborso della somma;

• la raccolta di tutta la documentazione che prova la propria diligenza (screenshot, antivirus);

• il ricorso all’Arbitro Bancario Finanziario se la banca respinge il reclamo;

• l’avvio di una causa civile se le altre vie non portano al rimborso.

In sede di giudizio, la banca dovrà portare la prova positiva dell’adozione di tutte le misure di sicurezza idonee. Se non lo farà, o se il giudice riterrà tali misure insufficienti rispetto alla tecnologia attuale, il correntista otterrà la restituzione integrale dei propri risparmi. La legge è dalla parte del risparmiatore diligente che pretende una protezione adeguata dal proprio istituto di fiducia.