Premessa: una riforma a struttura duplice
Il precedente contributo su Iusletter dedicato al contenzioso dell’Arbitro Bancario Finanziario ha messo in luce come la materia delle frodi informatiche rappresenti il segmento a maggiore crescita del contenzioso bancario, e come il discrimine decisivo, nella casistica dei Collegi, ruoti attorno alla distinzione tra operazioni non autorizzate in senso stretto e operazioni disposte dalla vittima sotto inganno, ossia la cosiddetta manipolazione del pagatore. Proprio su questo crinale interviene, con un mutamento di prospettiva di notevole rilievo, il pacchetto di riforma dei servizi di pagamento che l’Unione europea si appresta ad adottare in via definitiva.
La riforma non consiste in una mera riscrittura della direttiva (UE) 2015/2366 (PSD2), ma in una riorganizzazione dell’intera architettura normativa, fondata sulla scomposizione della disciplina in due distinti strumenti: una direttiva, la Terza direttiva sui servizi di pagamento (PSD3), dedicata prevalentemente all’accesso all’attività, all’autorizzazione, ai requisiti prudenziali e alla vigilanza degli istituti di pagamento; e un regolamento, il Payment Services Regulation (PSR), direttamente applicabile negli Stati membri e destinato a contenere le regole di condotta, di trasparenza, di tutela dell’utenza, di sicurezza e in materia di antifrode. La scelta del regolamento per le regole di condotta risponde a un obiettivo dichiarato di armonizzazione: sottrarre alla frammentazione interpretativa nazionale, che ha caratterizzato l’attuazione della PSD2, proprio i profili di responsabilità per le operazioni non autorizzate e per le frodi.
Lo stato dell’iter legislativo
Il pacchetto è stato proposto dalla Commissione europea il 28 giugno 2023. Dopo un lungo negoziato, Parlamento europeo e Consiglio hanno raggiunto un accordo politico provvisorio il 27 novembre 2025. Il Consiglio ha successivamente pubblicato, in data 23 aprile 2026, i testi di compromesso finali della direttiva e del regolamento, accompagnati da una nota del proprio Segretariato generale, datata 17 aprile 2026, con cui si raccomandava al Comitato dei rappresentanti permanenti l’approvazione dei testi in vista dell’accordo in seconda lettura con il Parlamento. Alla data del presente contributo, la riforma si trova pertanto in una fase avanzata ma non ancora conclusa: mancano l’adozione formale da parte dei co-legislatori, la revisione giuridico-linguistica e la pubblicazione nella Gazzetta Ufficiale dell’Unione europea, attesa nella seconda metà del 2026.
Ne discende una precisazione metodologica, doverosa trattandosi di testo non ancora definitivo: le considerazioni che seguono richiamano i principi e le linee direttrici del testo di compromesso, senza indugiare sulla numerazione dei singoli articoli, suscettibile di modifica in sede di revisione giuridico-linguistica prima della pubblicazione in Gazzetta Ufficiale. I contenuti andranno pertanto verificati sulla versione definitiva una volta pubblicata.
Quanto al regime temporale, il regolamento entrerà in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta Ufficiale dell’Unione europea, ma il testo di compromesso prevede l’applicazione della generalità delle disposizioni decorsi 21 mesi dall’entrata in vigore. Per talune previsioni, tra cui quelle relative alla verifica del beneficiario e alla responsabilità per l’errata applicazione del relativo servizio, il termine è fissato in 27 mesi. La direttiva PSD3 dovrà a sua volta essere recepita dagli Stati membri entro il termine da essa fissato. Ne consegue che, ove la pubblicazione intervenga nella seconda metà del 2026, l’operatività effettiva della nuova disciplina si collocherà verosimilmente nel 2028, ferma la necessità di verificare il testo definitivo pubblicato in Gazzetta Ufficiale.
Il quadro di partenza: la tutela nella PSD2 e i suoi limiti
Per apprezzare la portata della novità è necessario richiamare l’assetto vigente. Nel sistema della PSD2, quale recepita in Italia con il d.lgs. n. 11/2010 e successive modificazioni, il cliente vittima di frode può ottenere il rimborso dal proprio prestatore di servizi di pagamento quando l’operazione sia non autorizzata, ossia eseguita senza il suo consenso, ovvero inesattamente eseguita. Il rimborso può essere escluso o limitato, secondo le regole del d.lgs. n. 11/2010, quando il prestatore dimostri che l’utilizzatore ha agito fraudolentemente o non ha adempiuto, con dolo o colpa grave, agli obblighi gravanti sull’utilizzatore dello strumento di pagamento e delle credenziali di sicurezza personalizzate.
Il limite strutturale di tale impianto, evidenziato dalla stessa Commissione, risiede nell’assenza di un meccanismo di tutela per le ipotesi in cui il pagatore autorizzi esso stesso l’operazione, sia pure indotto in errore da un terzo che si finge un soggetto diverso da quello reale. È la fattispecie che la Relazione dell’Arbitro Bancario Finanziario e il Rapporto della Banca d’Italia sulle operazioni di pagamento fraudolente qualificano come manipolazione del pagatore, e che nel lessico della riforma europea prende il nome di impersonation fraud o spoofing. Trattandosi di operazioni tecnicamente autorizzate, esse sfuggono al meccanismo di rimborso automatico previsto per le operazioni non autorizzate, con la conseguenza, più volte segnalata anche nella prassi decisionale dei Collegi ABF, che il recupero delle somme risulta per il cliente strutturalmente più arduo.
La novità del PSR: la responsabilità del prestatore per impersonation fraud
È proprio questa lacuna che il PSR intende colmare. Il testo di compromesso introduce un diritto al rimborso integrale a favore del consumatore vittima di impersonation fraud. Nella fattispecie tipizzata, il frodatore si finge il prestatore di servizi di pagamento del consumatore, abusandone il nome o i canali di comunicazione ad esso riconducibili, quali il sito web, l’applicazione mobile, il dominio, l’indirizzo di posta elettronica o il recapito telefonico, e induce così il consumatore a disporre un pagamento in favore del truffatore.
I presupposti del diritto al rimborso, quali risultanti dal testo, sono essenzialmente due: che il consumatore abbia denunciato la frode alle autorità di polizia e che ne abbia dato notizia al proprio prestatore, in entrambi i casi senza indebito ritardo dal momento in cui ne ha avuto conoscenza. Il diritto al rimborso non sorge, invece, ove il consumatore abbia agito in modo fraudolento o con colpa grave. Nel testo di compromesso, il prestatore, entro 15 giorni lavorativi dalla notifica e dalla messa a disposizione della denuncia o segnalazione alla polizia, deve rimborsare il consumatore oppure comunicare le ragioni oggettivamente giustificate del rifiuto, ove ritenga sussistenti frode o colpa grave del consumatore. Anche tale profilo dovrà essere verificato sulla versione definitiva del regolamento.
Due profili meritano particolare attenzione sul piano sistematico.
Il primo attiene alla delimitazione dell’ambito applicativo. Il testo di compromesso circoscrive la fattispecie alla sola impersonation del prestatore di servizi di pagamento del consumatore, senza estendere l’obbligo di rimborso alle ipotesi in cui il frodatore si presenti come un diverso soggetto pubblico o privato. Ne deriva che il diritto al rimborso integrale opera unicamente quando il frodatore si spaccia per la banca o per il prestatore della vittima, e non anche nelle ulteriori figure di truffa autorizzata, quali le frodi sentimentali, quelle a fini di investimento o le frodi negli acquisti online, che restano estranee all’obbligo di rimborso. Si tratta di una scelta di compromesso che riflette la preoccupazione, espressa con forza dalle associazioni bancarie europee, di non addossare ai prestatori una responsabilità per fattispecie sottratte alla loro sfera di controllo.
Il secondo profilo concerne il coinvolgimento dei prestatori di servizi di comunicazione elettronica e degli altri soggetti della filiera digitale. Poiché lo spoofing dell’identità del prestatore transita quasi sempre attraverso canali di comunicazione, quali il telefono, la posta elettronica o gli SMS, il PSR costruisce un sistema di cooperazione intersettoriale. I fornitori di servizi di comunicazione elettronica sono tenuti a predisporre canali di comunicazione con i prestatori di servizi di pagamento, misure informative verso gli utenti e misure tecniche e organizzative idonee a rilevare e prevenire l’uso dei propri servizi per frodi da impersonation, inclusa la manipolazione dell’identificativo della linea chiamante o dell’indirizzo e-mail. Il diritto di rivalsa del prestatore che abbia rimborsato il cliente è invece espressamente disciplinato, nel testo di compromesso, soprattutto nei confronti dei provider di hosting, nei casi in cui non ricorrano le condizioni di esenzione da responsabilità previste dal Digital Services Act e il contenuto illecito abbia dato causa alle operazioni fraudolente. Si delinea così una catena di cooperazione e di responsabilità nella quale il prestatore di servizi di pagamento assume la responsabilità primaria del rimborso nei confronti del consumatore, ma può rivalersi sugli altri anelli della filiera nei casi e nei limiti previsti dal nuovo quadro normativo. Va peraltro segnalato che proprio la formulazione relativa alla responsabilità dei soggetti diversi dal prestatore di servizi di pagamento è stata oggetto di rilievi critici da parte degli operatori, per l’incertezza circa il nesso causale richiesto tra la condotta omissiva, la persistenza del contenuto fraudolento e la consumazione della frode: un profilo che le eventuali misure di secondo livello e la prassi applicativa dovranno chiarire.
Il raccordo con la verifica del beneficiario
La disciplina della responsabilità da impersonation si inserisce in un più ampio rafforzamento dei presidi antifrode, tra i quali assume rilievo centrale l’obbligo di verifica della corrispondenza tra il nome del beneficiario e l’identificativo unico del conto, ossia l’IBAN, il cosiddetto servizio di Verification of Payee. Tale obbligo, già introdotto per i bonifici in euro dal regolamento (UE) 2024/886 sui pagamenti istantanei a decorrere dal 9 ottobre 2025, viene esteso dal PSR ai bonifici non già coperti da tale regolamento. In caso di divergenza tra nome e IBAN, il prestatore deve avvisare il pagatore prima dell’autorizzazione; l’omessa segnalazione trasferisce sul prestatore del pagatore la responsabilità per i fondi erroneamente trasferiti. Il sistema non impedisce in assoluto al pagatore di procedere comunque con l’operazione dopo l’avviso, ma pone a carico del prestatore un obbligo preventivo di verifica e informazione, la cui violazione può fondare una specifica responsabilità.
È appena il caso di osservare come questo profilo saldi la riforma europea con la casistica ABF già esaminata nel contributo citato in apertura: il caso deciso dall’Arbitro in cui il rimborso era stato negato in ragione della non ancora vigente obbligatorietà della verifica nome-IBAN si colloca precisamente nella fase di transizione che la nuova disciplina è destinata a superare, elevando la verifica del beneficiario da presidio facoltativo a obbligo la cui violazione fonda una specifica responsabilità del prestatore di servizi di pagamento.
Considerazioni conclusive
La riforma segna un mutamento strutturale nel riparto del rischio di frode tra prestatore di servizi di pagamento e cliente. Il PSR colma la principale lacuna della PSD2, introducendo per la prima volta una responsabilità del prestatore per una specifica categoria di truffe autorizzate, quelle da impersonation del prestatore medesimo, e correlando la responsabilità dell’intermediario all’adeguatezza dei presidi antifrode e all’adempimento degli obblighi di verifica del beneficiario. Rispetto all’impianto della PSD2, imperniato sulla nozione di operazione non autorizzata e sulla prova della colpa grave del cliente, il nuovo assetto sposta il baricentro verso una tutela del pagatore estesa anche a fattispecie in cui l’operazione risulti formalmente autorizzata, sia pure sotto inganno.
Per i prestatori di servizi di pagamento, tale evoluzione conferma e accentua quanto già osservato a proposito del contenzioso ABF: la centralità della gestione documentale dei presidi di sicurezza e del monitoraggio delle operazioni anomale, che nel nuovo assetto non costituisce soltanto lo strumento difensivo nella singola controversia, ma il presupposto stesso della ripartizione della responsabilità. In un quadro in cui il rimborso, per le fattispecie tipizzate, tende a divenire la regola e la sua esclusione l’eccezione da provare rigorosamente, l’onere di dimostrare l’adeguatezza dei sistemi antifrode e la sussistenza della colpa grave del consumatore si colloca sempre più nettamente in capo al prestatore. La transizione dalla PSD2 al PSR non rappresenta, in questa prospettiva, un mero aggiornamento tecnico della disciplina, ma un mutamento strutturale del rapporto tra prestatore di servizi di pagamento e cliente nella gestione del rischio di frode.
25.08.2026
