La ripartizione del rischio operativo nei servizi di pagamento digitali ha raggiunto un punto di svolta sistemico, destinato a ridefinire gli equilibri finanziari e contabili degli intermediari creditizi europei. Con la sentenza pronunciata nella causa C-70/25 (Tukowiecka contro PKO BP S.A.), la Corte di Giustizia dell'Unione Europea ha stabilito che gli istituti bancari e i prestatori di servizi di pagamento non possono rifiutarsi di rimborsare immediatamente al correntista le somme sottratte tramite frodi informatiche, come phishing o smishing, adducendo una presunta negligenza grave del cliente. La decisione della Prima Sezione del giudice comunitario chiarisce in modo inequivocabile la portata degli articoli 73 e 74 della Direttiva (UE) 2015/2366 (PSD2), imponendo il riaccredito tempestivo degli importi contestati entro la fine del primo giorno lavorativo successivo alla segnalazione.
Il fulcro dell'interpretazione giudiziale risiede nella netta scissione procedurale tra l'obbligo di ripristino immediato della liquidità e la successiva determinazione della responsabilità economica finale. La Corte UE ha precisato che la norma europea contempla un'unica eccezione tassativa alla restituzione immediata dei fondi: l'ipotesi in cui l'intermediario finanziario nutra un fondato e documentato sospetto di frode diretta commessa dallo stesso cliente, da comunicare tempestivamente per iscritto all'autorità nazionale competente. Al di fuori di questo perimetro circoscritto, la banca è tenuta ad erogare subito il rimborso con data valuta non posteriore a quella dell'addebito, preservando la continuità finanziaria del consumatore e differendo a un momento successivo qualsiasi contestazione analitica sul comportamento dell'utente.
Questa biforcazione operativa sposta integralmente l'onere probatorio e l'iniziativa giudiziaria sulle spalle degli istituti di credito, invertendo una prassi di mercato che vedeva spesso i correntisti costretti ad adire le vie legali per ottenere ristoro. Ai sensi dell'articolo 72, paragrafo 2, della Direttiva PSD2, spetta alla banca fornire la prova rigorosa della colpa grave o del dolo dell'utente per poter richiedere la restituzione delle somme rimborsate. Nell'esperienza giurisprudenziale dell'Arbitro Bancario Finanziario italiano e dei tribunali di merito, la colpa grave richiede una negligenza qualificata e macroscopica, come la volontaria comunicazione telefonica di codici OTP a terzi o l'inserimento di credenziali riservate su siti clone. Tuttavia, l'eventualità di un simile errore comportamentale non legittima il blocco cautelare del rimborso, ma attribuisce alla banca unicamente il diritto di agire in via di rivalsa in un secondo momento.
Dal punto di vista economico e finanziario, la pronuncia comunitaria intercetta un fenomeno fraudolento strutturale e in costante espansione. I dati ufficiali dell'Arbitro Bancario Finanziario relativi all'attività del 2025 evidenziano come i ricorsi legati alle truffe sugli strumenti di pagamento siano cresciuti del 21% su base annua, arrivando a rappresentare ben il 37% dell'intero contenzioso bancario. Per le banche e gli istituti di moneta elettronica, l'orientamento della Corte di Giustizia comporta un impatto diretto sulla gestione del capitale circolante e sull'accantonamento di fondi rischi, oltre a sollecitare un adeguamento tecnologico dei meccanismi di autenticazione forte del cliente (Strong Customer Authentication - SCA). Gli intermediari che non implementano adeguati protocolli di sicurezza informatica o non mantengono una tracciabilità impeccabile delle operazioni saranno esposti a perdite definitive senza possibilità di rivalsa.
La riorganizzazione del regime di responsabilità introdotta dalla giurisprudenza europea rafforza la fiducia complessiva del mercato dei pagamenti digitali, elemento cardine per la crescita dell'economia digitale e dell'e-commerce. Per i risparmiatori e le imprese, la decisione garantisce una tutela della liquidità immediata di fronte ad attacchi informatici sempre più sofisticati, scongiurando il rischio di blocco finanziario derivante da addebiti illegittimi. Per il settore bancario e gli investitori del comparto finanziario, l'innalzamento degli standard di protezione impone un'accelerazione negli investimenti in cybersicurezza, un aggiornamento delle procedure interne di reclamo e una revisione delle stime di contenzioso attivo. In un contesto in cui la certezza del diritto e la protezione del consumatore diventano parametri di stabilità sistemica, l'adeguamento tempestivo alle direttive europee si conferma la principale leva di mitigazione del rischio operativo.