La condotta imprudente del cliente esclude il risarcimento del danno in caso di phishing
Il Tribunale di Parma ha escluso il risarcimento del danno a carico della Banca per una truffa subita da una cliente, ritenendo imprudente la condotta di quest’ultima di cessione delle credenziali di accesso al proprio conto a seguito di un evento di phishing. La condotta della cliente ha interrotto il nesso eziologico ex art. 2050 c.c.
A cura di Avv. Claudia Bacchiocchi e Dott.ssa Mariachiara Cavuto
Tre clienti, titolari di conto corrente bancario, convenivano in giudizio la propria Banca, lamentando la violazione degli articoli 15 e 31 del Codice in materia di dati personali e, dunque, la ricorrenza della fattispecie di responsabilità extracontrattuale ai sensi dell’articolo 2050 c.c., per omessa predisposizione dei sistemi di sicurezza e attivazione delle cautele necessarie a impedire accessi al sistema di home banking non autorizzati o trattamenti dei dati non consentiti e non conformi alle finalità della raccolta.
La Banca evidenziava che il compimento di operazioni tramite home banking implicava l’uso e la digitazione di un sistema combinato di credenziali, dato da un codice utente (ID), una password di accesso e una one time password (OTP) monouso e di limitato utilizzo temporale, installata sul cellulare del correntista o a lui inviata tramite SMS. Era chiesto, inoltre, anche un ulteriore codice autorizzativo, inviato all’utente sempre tramite SMS (OTS).
La Banca convenuta sottolineava, altresì, la condotta gravemente colposa di una delle tre clienti, la quale aveva ammesso di essere stata vittima di phishing tempo prima; per l’effetto, gli autori della truffa erano venuti a conoscenza delle credenziali di accesso della correntista al proprio home banking.
A parere del Tribunale di Parma, la condotta negligente e imprudente è addebitabile alla sola correntista.
Il Tribunale ha positivamente riscontrato che la Banca avesse condotto campagne di sensibilizzazione dei propri clienti tramite la descrizione delle ipotesi più frequenti di truffe online, ricordando che la Banca non contatta mai i propri clienti via e-mail, telefono, SMS per chiedere dati bancari (come era acceduto alla correntista nel caso di specie).
Il Tribunale, nella propria argomentazione, ricorda anche un precedente della Corte di Cassazione (sent. n. 7214/2023) secondo cui, in una ipotesi analoga al caso di specie, il comportamento decisamente imprudente e negligente del danneggiato, il quale aveva digitato i propri codici personali, in tal modo consentendo all’ignoto truffatore di successivamente utilizzarli avrebbe interrotto il nesso eziologico tra l’attività pericolosa ex art. 2050 c.c. e l’evento dannoso con conseguente esclusione della responsabilità della Banca convenuta.
In conclusione, il Tribunale di merito esclude la responsabilità della Banca nel caso di specie per colpa grave del correntista, ma sottolinea che, di regola, l’istituto finanziario incorre in responsabilità contrattuale per le operazioni effettuate a mezzo di strumenti elettronici, con particolare riguardo alla verifica di riconducibilità alla volontà del cliente mediante il controllo dell’utilizzazione illecita dei relativi codici da parte di terzi.