Corte di giustizia dell'Unione Europea
Prima Sezione
Sentenza 15 ottobre 2026

Presidente: Biltgen - Relatore: Bošnjak

«Rinvio pregiudiziale - Servizi di pagamento nel mercato interno - Direttiva (UE) 2015/2366 - Operazioni di pagamento non autorizzate - Articolo 73 - Responsabilità del prestatore di servizi di pagamento - Articolo 74 - Responsabilità del pagatore - Obbligo di rimborso immediato a carico del prestatore di servizi di pagamento - Portata - Ripartizione della responsabilità tra il prestatore di servizi di pagamento e il pagatore - Articolo 69 - Obblighi dell'utente di servizi di pagamento - Negligenza grave - Rifiuto da parte del prestatore di servizi di pagamento di rimborsare immediatamente al pagatore l'importo di un'operazione non autorizzata per il motivo che tale pagatore avrebbe reso possibile l'operazione per negligenza grave».

Nella causa C‑70/25 [Tukowiecka] (*), avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dal Sąd Rejonowy w Koszalinie (Tribunale circondariale di Koszalin, Polonia), con decisione del 23 gennaio 2025, pervenuta in cancelleria il 3 febbraio 2025, nel procedimento N.O. contro PKO BP S.A.

[...]

1. La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 73, paragrafo 1, e dell'articolo 74, paragrafo 1, della direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015, relativa ai servizi di pagamento nel mercato interno, che modifica le direttive 2002/65/CE, 2009/110/CE e 2013/36/UE e il regolamento (UE) n. 1093/2010, e abroga la direttiva 2007/64/CE (GU 2015, L 337, pag. 35, e rettifica in GU 2018, L 102, pag. 97) (in prosieguo: la «direttiva 2015/2366»).

2. Tale domanda è stata presentata nell'ambito di una controversia tra N.O., una persona fisica, e la PKO BP S.A., una banca, in merito al rifiuto di quest'ultima di rimborsare l'importo di un'operazione di pagamento non autorizzata da N.O.

Contesto normativo

Diritto dell'Unione

Direttiva 2007/64/CE

3. L'articolo 60 della direttiva 2007/64/CE del Parlamento europeo e del Consiglio, del 13 novembre 2007, relativa ai servizi di pagamento nel mercato interno, recante modifica delle direttive 97/7/CE, 2002/65/CE, 2005/60/CE e 2006/48/CE, che abroga la direttiva 97/5/CE (GU 2007, L 319, pag. 1), rubricato «Responsabilità del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate», prevedeva, al suo paragrafo 1:

«Gli Stati membri assicurano che, fatto salvo l'articolo 58, nel caso di un'operazione di pagamento non autorizzata, il prestatore di servizi di pagamento rimborsi senza indugio al pagatore l'importo dell'operazione di pagamento non autorizzata e, se del caso, riporti il conto di pagamento addebitato nello stato in cui si sarebbe trovato se l'operazione di pagamento non autorizzata non avesse avuto luogo».

Direttiva 2015/2366

4. I considerando 6 e 71 della direttiva 2015/2366 sono così formulati:

«(6) È opportuno stabilire nuove regole al fine di colmare le lacune regolamentari, garantendo al contempo maggiore chiarezza giuridica e un'applicazione uniforme del quadro legislativo in tutta l'Unione [europea]. Gli operatori già attivi sul mercato e i nuovi operatori dovrebbero beneficiare di pari condizioni operative, in modo da rendere possibile una più ampia diffusione sul mercato dei nuovi mezzi di pagamento e garantire un elevato livello di protezione dei consumatori che si avvalgono di tali servizi di pagamento in tutta l'Unione. Ciò dovrebbe generare efficienze nel sistema dei pagamenti nel suo complesso e tradursi in una maggiore scelta e una maggiore trasparenza dei servizi di pagamento, rafforzando nel contempo la fiducia dei consumatori in un mercato dei pagamenti armonizzato.

(...)

(71) Nel caso di un'operazione di pagamento non autorizzata, il prestatore di servizi di pagamento dovrebbe rimborsare immediatamente l'importo dell'operazione al pagatore. Tuttavia, se sussiste il forte sospetto di un'operazione non autorizzata derivante da un comportamento fraudolento dell'utente dei servizi di pagamento e se il sospetto si fonda su ragioni obiettive comunicate all'autorità nazionale pertinente, il prestatore di servizi di pagamento dovrebbe essere in grado di svolgere un'indagine in tempi ragionevoli prima di rimborsare il pagatore. Al fine di tutelare il pagatore da eventuali svantaggi, la data valuta dell'accredito del rimborso non dovrebbe essere successiva alla data di addebito dell'importo. Al fine di incentivare l'utente dei servizi di pagamento a notificare senza indugio al relativo prestatore l'eventuale furto o perdita di uno strumento di pagamento e di ridurre pertanto il rischio di operazioni di pagamento non autorizzate, è opportuno prevedere che l'utente debba rispondere solo per un importo molto limitato, a meno che non abbia agito in modo fraudolento o con grave negligenza. In tale contesto, un importo di 50 [euro] appare adeguato al fine di garantire una protezione armonizzata e di livello elevato degli utenti nell'Unione. Non dovrebbe sussistere alcuna responsabilità a carico del pagatore qualora questi non sia stato in grado di venire a conoscenza della perdita, del furto o dell'appropriazione indebita dello strumento di pagamento. Inoltre, una volta che l'utente ha notificato al prestatore di servizi di pagamento il rischio di uso fraudolento del proprio strumento di pagamento, non dovrebbe essere tenuto a coprire eventuali perdite supplementari derivanti dall'uso non autorizzato di tale strumento. La presente direttiva dovrebbe lasciare impregiudicate le responsabilità dei prestatori di servizi di pagamento per la sicurezza tecnica dei loro prodotti».

5. L'articolo 1 di tale direttiva, intitolato «Oggetto», al paragrafo 2, lettera b), prevede quanto segue:

«La presente direttiva stabilisce altresì le regole riguardanti:

(...)

b) i rispettivi diritti e obblighi degli utenti e dei prestatori di servizi di pagamento in relazione alla prestazione di servizi di pagamento a titolo di occupazione principale o di attività commerciale regolare».

6. L'articolo 69 di tale direttiva, intitolato «Obblighi a carico dell'utente di servizi di pagamento in relazione agli strumenti di pagamento e alle credenziali di sicurezza personalizzate», enuncia quanto segue:

«1. L'utente di servizi di pagamento autorizzato ad utilizzare lo strumento di pagamento:

a) utilizza lo strumento di pagamento conformemente alle condizioni che ne disciplinano l'emissione e l'uso le quali devono essere obiettive, non discriminatorie e proporzionate;

b) notifica senza indugio al prestatore dei servizi di pagamento, o al soggetto specificato da quest'ultimo, non appena ne abbia conoscenza, lo smarrimento, il furto, l'appropriazione indebita o l'utilizzo non autorizzato dello strumento di pagamento.

2. Ai fini del paragrafo 1, lettera a), non appena riceva uno strumento di pagamento, l'utente di servizi di pagamento adotta in particolare tutte le ragionevoli misure per proteggere le credenziali di sicurezza personalizzate dello strumento di pagamento».

7. L'articolo 71 di detta direttiva, intitolato «Notifica e rettifica di operazioni non autorizzate o non correttamente eseguite», al paragrafo 1 recita:

«L'utente dei servizi di pagamento ottiene una rettifica dal prestatore di servizi di pagamento solo se, venuto a conoscenza di un'operazione di pagamento non autorizzata o non correttamente eseguita, ivi compresi i casi di cui all'articolo 89, ne informa il prestatore di servizi di pagamento senza indugio ed entro 13 mesi dalla data di addebito.

(...)».

8. L'articolo 72 della medesima direttiva, intitolato «Prova di autenticazione ed esecuzione delle operazioni di pagamento», al paragrafo 2 dispone quanto segue:

«Se l'utente di servizi di pagamento nega di aver autorizzato un'operazione di pagamento eseguita, l'utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento, compreso se del caso il prestatore di servizi di disposizione di ordine di pagamento, non è di per sé necessariamente sufficiente a dimostrare che l'operazione di pagamento sia stata autorizzata dal pagatore né che questi abbia agito in modo fraudolento o non abbia adempiuto, dolosamente o con negligenza grave, a uno o più degli obblighi di cui all'articolo 69. Il prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, fornisce gli elementi di prova che dimostrano la frode o la negligenza grave da parte dell'utente di servizi di pagamento».

9. L'articolo 73 della stessa direttiva, intitolato «Responsabilità del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate», al suo paragrafo 1 prevede quanto segue:

«Gli Stati membri provvedono affinché, fatto salvo l'articolo 71, nel caso di un'operazione di pagamento non autorizzata il prestatore di servizi di pagamento del pagatore rimborsi al pagatore l'importo dell'operazione di pagamento non autorizzata, immediatamente e in ogni caso al più tardi entro la fine della giornata operativa successiva a quella in cui prende atto dell'operazione o riceve una notifica in merito, a meno che il prestatore di servizi di pagamento del pagatore abbia ragionevoli motivi per sospettare una frode e comunichi tali motivi per iscritto alla pertinente autorità nazionale competente. Se del caso, il prestatore di servizi di pagamento del pagatore riporta il conto di pagamento addebitato nello stato in cui si sarebbe trovato se l'operazione di pagamento non autorizzata non avesse avuto luogo. Sarà inoltre assicurato che la data valuta dell'accredito sul conto di pagamento del pagatore non sia successiva alla data di addebito dell'importo».

10. L'articolo 74 della medesima direttiva, intitolato «Responsabilità del pagatore per le operazioni di pagamento non autorizzate», al suo paragrafo 1 enuncia quanto segue:

«In deroga all'articolo 73 il pagatore può essere obbligato a sopportare, a concorrenza massima di 50 [euro], la perdita relativa ad operazioni di pagamento non autorizzate derivante dall'uso di uno strumento di pagamento smarrito o rubato o dall'appropriazione indebita di uno strumento di pagamento.

Il primo comma non si applica se:

a) lo smarrimento, il furto o l'appropriazione indebita di uno strumento di pagamento non potevano essere notati dal pagatore prima di un pagamento, ad eccezione dei casi in cui il pagatore ha agito in modo fraudolento; o

b) la perdita è stata causata da atti o omissioni di dipendenti, agenti o succursali di un fornitore di servizi di pagamento o di un'entità a cui sono state esternalizzate le attività.

Il pagatore sostiene tutte le perdite relative ad operazioni di pagamento non autorizzate se è incorso in esse agendo in modo fraudolento o non adempiendo a uno o più degli obblighi di cui all'articolo 69 dolosamente o con negligenza grave. In tali casi, il massimale di cui al primo comma non si applica.

Nei casi in cui il pagatore non ha agito in modo fraudolento o non è intenzionalmente inadempiente ai propri obblighi di cui all'articolo 69, gli Stati membri possono ridurre la responsabilità di cui al presente paragrafo tenendo conto, in particolare, della natura delle credenziali di sicurezza personalizzate e delle specifiche circostanze dello smarrimento, del furto o dell'appropriazione indebita».

11. L'articolo 102 della medesima direttiva, rubricato: «Procedure di risoluzione alternativa delle controversie (ADR)», al paragrafo 1 prevede che:

«Gli Stati membri provvedono affinché siano istituite, in conformità della pertinente normativa nazionale e dell'Unione (...) procedure di risoluzione alternativa delle controversie (ADR) adeguate, indipendenti, imparziali, trasparenti ed efficaci per la risoluzione delle controversie tra gli utenti e i prestatori di servizi di pagamento, aventi ad oggetto diritti e obblighi derivanti dai titoli III e IV della presente direttiva; per tali procedure si può ricorrere, se del caso, ad organismi competenti esistenti. Gli Stati membri assicurano che tali procedure di risoluzione alternativa delle controversie (ADR) si applichino ai prestatori di servizi di pagamento».

12. L'articolo 107 della direttiva 2015/2366, intitolato «Piena armonizzazione», al paragrafo 1 così dispone:

«Fatti salvi l'articolo 2, l'articolo 8, paragrafo 3, l'articolo 32, l'articolo 38, paragrafo 2, l'articolo 42, paragrafo 2, l'articolo 55, paragrafo 6, l'articolo 57 paragrafo 3, l'articolo 58, paragrafo 3, l'articolo 61, paragrafi 2 e 3, l'articolo 62, paragrafo 5, l'articolo 63, paragrafi 2 e 3, l'articolo 74, paragrafo 1, quarto comma, e l'articolo 86, nella misura in cui la presente direttiva contiene disposizioni armonizzate, gli Stati membri non mantengono né introducono disposizioni diverse da quelle stabilite nella presente direttiva».

Diritto polacco

13. L'articolo 46 dell'ustawa o usługach płatniczych (legge relativa ai servizi di pagamento), del 19 agosto 2011, (Dz. U. n. 199, posizione 1175), come modificata (Dz. U. del 2024, posizione 30), che recepisce nell'ordinamento giuridico polacco gli articoli 73 e 74 della direttiva 2015/2366, ai paragrafi 1 e 3 prevede quanto segue:

«1. Fatto salvo l'articolo 44, paragrafo 2, nel caso di un'operazione di pagamento non autorizzata, il prestatore [di servizi di pagamento] del pagatore rimborsa al pagatore l'importo dell'operazione di pagamento non autorizzata immediatamente, e in ogni caso al più tardi entro la fine della giornata operativa successiva a quella in cui prende atto dell'operazione non autorizzata il cui importo è stato addebitato sul conto del pagatore o riceve una notifica in merito, a meno che il prestatore [di servizi di pagamento] del pagatore abbia motivi ragionevoli e debitamente documentati per sospettare una frode e lo comunichi per iscritto alle autorità preposte al perseguimento dei reati. Se il pagatore utilizza un conto di pagamento, il prestatore [di servizi di pagamento] del pagatore riporta il conto di pagamento addebitato nello stato in cui si sarebbe trovato se l'operazione di pagamento non autorizzata non avesse avuto luogo. La data valuta dell'accredito sul conto di pagamento del pagatore non è successiva alla data di addebito dell'importo. (...)

3. Il pagatore è responsabile per le operazioni di pagamento non autorizzate per l'intero importo, se le ha causate intenzionalmente o in seguito ad una violazione dolosa o determinata da negligenza grave di uno o più obblighi di cui all'articolo 42».

Procedimento principale e questione pregiudiziale

14. La ricorrente nel procedimento principale ha concluso un contratto relativo alla tenuta di un conto corrente con la PKO BP, una banca con sede in Polonia.

15. Ella è stata vittima di una frode per phishing commessa da un autore non identificato che, presentandosi come interessato all'acquisto di un oggetto messo in vendita da quest'ultima su un portale di vendita all'asta online, le ha inviato un link tale da farle credere che provenisse da detto portale e che avesse lo scopo di confermare la vendita. Dopo aver cliccato su tale link, la ricorrente nel procedimento principale ha avuto accesso a un sito Internet che riproduceva l'aspetto di quello della sua banca e vi ha inserito i propri dati di connessione al servizio di e-banking. I dati così ottenuti hanno consentito a tale autore di trasferire, dal conto della ricorrente verso un conto da lui detenuto, la somma di 3 000 zloty polacchi (PLN) (circa EUR 705). Tale operazione di pagamento è stata autorizzata dall'autore della frode mediante un codice di conferma trasmesso tramite SMS e ottenuto dalla ricorrente nel procedimento principale per effetto di tale inganno.

16. Il giorno successivo, la medesima si è resa conto di essere stata vittima di una frode ed ha immediatamente informato la PKO BP e la polizia dell'operazione non autorizzata. L'autore della frode non è stato identificato.

17. La PKO BP si è rifiutata di rimborsare alla ricorrente nel procedimento principale l'importo dell'operazione non autorizzata per il motivo, segnatamente, che la perdita derivava dal fatto che ella, con negligenza grave, non aveva adempiuto all'obbligo di conservare con dovuta diligenza lo strumento di pagamento in questione e di non renderlo accessibile a persone non autorizzate.

18. Successivamente, la ricorrente nel procedimento principale ha adito il Sąd Rejonowy w Koszalinie (Tribunale circondariale di Koszalin, Polonia), giudice del rinvio, avviando un'azione diretta ad ottenere la condanna della PKO BP al pagamento dell'importo di PLN 3 000 (pari a circa EUR 705).

19. A sostegno della sua domanda, la ricorrente nel procedimento principale fa valere che la PKO BP, nella sua qualità di prestatore di servizi di pagamento, era tenuta a rimborsarle immediatamente l'importo dell'operazione di pagamento non autorizzata, a meno che non vi siano ragionevoli motivi di sospettare l'esistenza di una frode commessa dal pagatore.

20. La PKO BP sostiene, dal canto suo, che l'inadempimento da parte del pagatore, con negligenza grave, dei suoi obblighi, costituisce parimenti un motivo che esonera il prestatore di servizi di pagamento dal suo obbligo di rimborsare l'importo dell'operazione di pagamento non autorizzata. Essa fa valere, a tal proposito, di poter valutare autonomamente tutti i presupposti rilevanti al fine di determinare la responsabilità per una siffatta operazione e di essere esonerata da detto obbligo di rimborso qualora riscontri la sussistenza di una tale condotta negligente da parte del pagatore.

21. Il giudice del rinvio ritiene che la direttiva 2015/2366 e le disposizioni nazionali che ne garantiscono il recepimento nell'ordinamento giuridico polacco sanciscano il principio generale secondo cui il prestatore di servizi di pagamento sopporta pienamente il rischio connesso alle operazioni di pagamento non autorizzate. A suo avviso, spetta a tale prestatore, nella sua qualità di professionista specializzato, garantire la sicurezza delle operazioni contro i rischi di frode nonché la tutela dei fondi che gli sono affidati.

22. Tale giudice del rinvio rileva inoltre che sia detta direttiva sia le disposizioni nazionali riconoscono in capo al pagatore un diritto al rimborso dell'importo delle operazioni non autorizzate, il quale implica un diritto al recupero immediato dei fondi andati perduti in questo modo. Un siffatto diritto sarebbe limitato solo qualora vi siano ragionevoli motivi per sospettare l'esistenza di una frode commessa dal pagatore e la frode sia stata segnalata alle autorità nazionali competenti.

23. Inoltre, il giudice del rinvio osserva che gli organi giurisdizionali polacchi non sono stati investiti di azioni proposte da banche dirette ad ottenere la condanna di un consumatore al rimborso dell'importo di operazioni di pagamento non autorizzate per il motivo che quest'ultimo avrebbe commesso una negligenza grave. Per contro, essi sarebbero stati investiti di numerose azioni intentate da consumatori contro istituti bancari a causa del rifiuto di questi ultimi di rimborsare l'importo di tali operazioni.

24. Secondo il giudice del rinvio, tale situazione tenderebbe a dimostrare che l'applicazione, da parte dei prestatori di servizi di pagamento, delle eccezioni al diritto di rimborso è diventata la regola in caso di operazioni di pagamento non autorizzate. Questi ultimi non procederebbero generalmente al rimborso dell'importo di tali operazioni, cosicché sarebbero i pagatori, in particolare i consumatori, ad essere tenuti a far valere il loro diritto al rimborso dinanzi ai giudici nazionali.

25. In tale contesto, detto giudice ritiene che l'interpretazione della direttiva 2015/2366 sostenuta dalla PKO BP non consentirebbe di raggiungere l'obiettivo di tutela del pagatore perseguito dall'obbligo, sancito dalle disposizioni di tale direttiva, di rimborso immediato dell'importo delle operazioni di pagamento non autorizzate. Esso ritiene, pertanto, che tali disposizioni debbano essere interpretate nel senso che esse ostano alla possibilità per un prestatore di servizi di pagamento di rifiutare di rimborsare immediatamente l'importo di un'operazione di pagamento non autorizzata per il motivo che il danno subito dal pagatore a causa di tale operazione sarebbe imputabile a una negligenza grave di quest'ultimo.

26. Il giudice del rinvio ritiene che una siffatta interpretazione avrebbe l'effetto di far gravare sul prestatore di servizi di pagamento, nella sua qualità di professionista, piuttosto che sul pagatore, che è spesso un consumatore, l'onere connesso alla contestazione della sua responsabilità, in particolare per quanto riguarda l'avvio del procedimento, le spese giudiziarie, la produzione della prova e la preparazione degli atti processuali.

27. È in tali circostanze che il Sąd Rejonowy w Koszalinie (Tribunale circondariale di Koszalin) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione:

«Se l'articolo 73, paragrafo 1, in combinato disposto con l'articolo 74, paragrafo 1, della direttiva [2015/2366] debba essere interpretato nel senso che il prestatore di servizi di pagamento può rifiutarsi di rimborsare immediatamente al pagatore l'importo di un'operazione di pagamento non autorizzata qualora il pagatore abbia subito una perdita relativa all'operazione di pagamento non autorizzata in quanto non ha adempiuto, con negligenza grave, agli obblighi di cui all'articolo 69 [di tale direttiva]».

Sulla questione pregiudiziale

28. Con l'unica questione sollevata, il giudice del rinvio chiede, sostanzialmente, se l'articolo 73, paragrafo 1, e l'articolo 74, paragrafo 1, della direttiva 2015/2366 debbano essere interpretati nel senso che un prestatore di servizi di pagamento può rifiutarsi di rimborsare immediatamente a un pagatore l'importo di un'operazione di pagamento non autorizzata per il motivo che tale pagatore avrebbe reso possibile detta operazione per negligenza grave, in violazione degli obblighi ad esso incombenti in virtù dell'articolo 69 di detta direttiva.

29. Conformemente a una giurisprudenza costante, nell'interpretare una disposizione del diritto dell'Unione si deve tener conto della lettera della stessa, del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte (v., in tal senso, sentenze del 17 novembre 1983, Merck, 292/82, EU:C:1983:335, punto 12, e del 1º agosto 2025, Veracash, C‑665/23, EU:C:2025:598, punto 34). Anche la genesi storica di una disposizione di diritto dell'Unione può rivelare elementi pertinenti per la sua interpretazione (sentenza del 2 settembre 2021, CRCAM, C‑337/20, EU:C:2021:671, punto 31).

30. In primo luogo, per quanto riguarda l'interpretazione letterale, occorre rilevare che gli articoli 73 e 74 della direttiva 2015/2366 disciplinano, rispettivamente, la responsabilità del prestatore di servizi di pagamento e quella del pagatore in caso di operazioni di pagamento non autorizzate.

31. Pertanto, risulta, sotto un primo profilo, dalla formulazione dell'articolo 73, paragrafo 1, di tale direttiva, che, in linea di principio il prestatore di servizi di pagamento del pagatore rimborsa a quest'ultimo l'importo di un'operazione di pagamento non autorizzata immediatamente dopo essere venuto a conoscenza dell'operazione o esserne stato informato, e in ogni caso entro la fine del primo giorno lavorativo successivo.

32. Tale obbligo di rimborso si applica «fatto salvo l'articolo 71» di tale direttiva, il cui paragrafo 1 prevede che l'utente di servizi di pagamento ottenga dal prestatore di servizi di pagamento la rettifica di un'operazione di pagamento non autorizzata o non correttamente eseguita solo se quest'ultimo ne informa senza indugio il prestatore di servizi di pagamento.

33. Inoltre, occorre sottolineare che la formulazione dell'articolo 73, paragrafo 1, di tale direttiva prevede un'unica eccezione all'obbligo di rimborso immediato, vale a dire il caso in cui il prestatore di servizi di pagamento abbia ragionevoli motivi per sospettare una frode e comunichi tali motivi per iscritto alla pertinente autorità nazionale.

34. Ne consegue che l'articolo 73, paragrafo 1, della direttiva 2015/2366 non prevede alcuna eccezione all'obbligo di rimborso immediato in caso di sospetto che il pagatore abbia reso possibile un'operazione di pagamento non autorizzata per negligenza grave, in violazione degli obblighi ad esso incombenti in forza dell'articolo 69 di tale direttiva.

35. Per quanto riguarda, sotto un secondo profilo, l'articolo 74, paragrafo 1, della direttiva 2015/2366, i suoi primi due commi consentono agli Stati membri, in deroga, di far sopportare al pagatore, a concorrenza massima di EUR 50, la perdita relativa ad operazioni di pagamento non autorizzate derivante dallo smarrimento, dal furto o dall'appropriazione indebita di uno strumento di pagamento, a meno che tali azioni non potessero essere notate dal pagatore prima del pagamento. Il suo terzo comma prevede che il pagatore sostiene tutte le perdite relative ad operazioni di pagamento non autorizzate se è incorso in esse agendo in modo fraudolento o non adempiendo a uno o più degli obblighi di cui all'articolo 69 della medesima direttiva dolosamente o con negligenza grave. Tra detti obblighi figura, in particolare, quello, di cui al paragrafo 2 di tale articolo 69, consistente nell'adottare tutte le ragionevoli misure per proteggere le credenziali di sicurezza personalizzate dello strumento di pagamento.

36. Inoltre, il quarto comma dell'articolo 74, paragrafo 1, della direttiva 2015/2366 autorizza gli Stati membri a limitare la responsabilità del pagatore nei casi in cui il pagatore non ha agito in modo fraudolento o non è intenzionalmente inadempiente ai propri obblighi di cui all'articolo 69, di tale direttiva. Tuttavia, nessun elemento della decisione di rinvio né delle osservazioni presentate alla Corte permette di constatare che la Repubblica di Polonia si sia avvalsa di tale facoltà.

37. Nel definire i loro rispettivi diritti e obblighi, gli articoli 73 e 74 di detta direttiva procedono così ad una ripartizione del rischio tra il prestatore di servizi di pagamento e il pagatore.

38. Per quanto riguarda il rapporto tra gli obblighi previsti, rispettivamente, agli articoli 73 e 74 della direttiva 2015/2366, occorre constatare che la formulazione dell'articolo 74, paragrafo 1, di tale direttiva non consente di determinare in modo univoco la portata della deroga ivi prevista. Secondo una prima interpretazione, essa incide sull'obbligo di rimborso immediato, previsto all'articolo 73, paragrafo 1, di tale direttiva, nel caso in cui il pagatore sia venuto meno, per negligenza grave, agli obblighi ad esso incombenti in forza dell'articolo 69 di quest'ultima. Secondo una seconda interpretazione, tale deroga verte unicamente sul carattere definitivo del rimborso, in quanto il prestatore di servizi di pagamento è tenuto a procedere, in un primo tempo, a tale rimborso immediato prima di poter, se del caso, in un secondo tempo, esigere dal pagatore il rimborso delle perdite relative ad operazioni non autorizzate mediante i mezzi di ricorso previsti a tale scopo.

39. Per quanto riguarda, in secondo luogo, il contesto in cui si inseriscono gli articoli 73 e 74 della direttiva 2015/2366, occorre, da un lato, sottolineare che il considerando 71 di quest'ultima riguarda l'ipotesi in cui il prestatore di servizi di pagamento abbia ragionevoli motivi per sospettare l'esistenza di una frode commessa dall'utente dei servizi di pagamento e comunica, per iscritto, le ragioni oggettive alla base di tali sospetti all'autorità nazionale competente. Tale considerando 71 sembra avvalorare l'interpretazione secondo cui l'unica eccezione all'obbligo di rimborso immediato è quella espressamente prevista all'articolo 73, paragrafo 1, di tale direttiva.

40. Dall'altro lato, occorre ricordare che, nell'ambito della ripartizione dell'onere della prova, l'articolo 72, paragrafo 2, di detta direttiva pone a carico del prestatore di servizi di pagamento la prova della negligenza grave del pagatore. Tale ripartizione dell'onere della prova riflette l'economia generale del regime istituito dagli articoli 73 e 74 della medesima direttiva, che consiste nel rafforzare la tutela conferita al pagatore in caso di operazioni di pagamento non autorizzate.

41. Infatti, una siffatta norma conferma che il legislatore dell'Unione ha inteso garantire la coerenza tra il regime istituito dall'articolo 73, paragrafo 1, della direttiva 2015/2366 e le norme procedurali destinate a garantire la sua effettiva attuazione.

42. Dalle considerazioni esposte ai punti da 39 a 41 della presente sentenza risulta quindi che l'esame del contesto in cui si inseriscono gli articoli 73 e 74 di tale direttiva corrobora l'interpretazione secondo cui tali articoli 73 e 74 disciplinano aspetti distinti della procedura di rimborso dell'importo di operazioni di pagamento non autorizzate nel senso che l'articolo 73 di detta direttiva impone al prestatore di servizi di pagamento un obbligo di rimborso immediato di tale importo, mentre l'articolo 74 della medesima disciplina la ripartizione della responsabilità tra tale prestatore e il pagatore in una fase successiva, come risulta dal meccanismo descritto al punto 38 della presente sentenza.

43. Per quanto riguarda, in terzo luogo, gli obiettivi perseguiti dalla direttiva 2015/2366, occorre ricordare che, come risulta dal suo articolo 1, paragrafo 2, lettera b), quest'ultima ha segnatamente lo scopo di stabilire i rispettivi diritti e obblighi degli utenti e dei prestatori di servizi di pagamento in relazione alla prestazione di servizi di pagamento a titolo di occupazione principale o di attività commerciale regolare.

44. Pertanto, tale direttiva mira, come enunciato dal suo considerando 6, a garantire un livello elevato di protezione dei consumatori (v., in tal senso, sentenze dell'11 novembre 2020, DenizBank, C‑287/19, EU:C:2020:897, punto 102, e dell'11 luglio 2024, Eurobank Bulgaria, C‑409/22, EU:C:2024:600, punto 79 e giurisprudenza citata).

45. Orbene, un'interpretazione dell'articolo 74, paragrafo 1, della direttiva 2015/2366 nel senso che esso esonera il prestatore di servizi di pagamento dal suo obbligo di procedere al rimborso immediato, quale previsto all'articolo 73, paragrafo 1, di tale direttiva, qualora il pagatore sia venuto meno, per negligenza grave, agli obblighi ad esso incombenti in forza dell'articolo 69 di quest'ultima, avrebbe come conseguenza non solo di privare di efficacia l'obbligo di rimborso immediato al pagatore, ma anche di costringere l'utente ad assumere l'iniziativa di far valere il suo diritto, se del caso, dinanzi agli organi giurisdizionali competenti e a sopportare gli inconvenienti che ne derivano, in particolare le eventuali spese processuali. Orbene, una siffatta ripartizione delle responsabilità e dei rischi a danno del pagatore risulta difficilmente conciliabile con l'obiettivo consistente nel garantire un livello elevato di protezione dei consumatori, come ricordato al punto precedente della presente sentenza.

46. Per contro, un'interpretazione dell'articolo 74, paragrafo 1, della direttiva 2015/2366 nel senso che esso non esonera il prestatore di servizi di pagamento dal suo obbligo di procedere al rimborso immediato è conforme all'obiettivo di garantire un livello elevato di protezione dei consumatori. Tale interpretazione non osta a che il prestatore di servizi di pagamento chieda successivamente al pagatore, alle condizioni previste all'articolo 74, paragrafo 1, di tale direttiva, il rimborso delle perdite relative ad operazioni di pagamento non autorizzate qualora esse derivino da un inadempimento, per negligenza grave da parte del pagatore, degli obblighi incombenti al pagatore in forza dell'articolo 69 della medesima direttiva.

47. Ne consegue che gli obiettivi perseguiti dalla direttiva 2015/2366 corroborano l'interpretazione secondo cui la circostanza che il prestatore di servizi di pagamento ritenga che il pagatore sia venuto meno, per negligenza grave, agli obblighi ad esso incombenti in forza dell'articolo 69 di tale direttiva non può avere l'effetto di esonerarlo dall'obbligo di rimborso immediato previsto all'articolo 73, paragrafo 1, della medesima.

48. In quarto luogo, per quanto riguarda la genesi della direttiva 2015/2366, occorre rilevare che il regime istituito all'articolo 73, paragrafo 1, di tale direttiva differisce sostanzialmente da quello istituito in precedenza dalla direttiva 2007/64 per quanto riguarda le eccezioni all'obbligo di rimborso immediato.

49. L'articolo 60 della direttiva 2007/64, che disciplinava la responsabilità del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate, non prevedeva alcuna eccezione esplicita a tale obbligo. Lo stesso valeva per la proposta iniziale della Commissione europea, all'origine del processo legislativo che ha portato all'adozione della direttiva 2015/2366 [COM (2013) 547 final]. È solo nel corso di tale processo che il legislatore dell'Unione ha introdotto un'eccezione specifica all'obbligo di rimborso immediato qualora il prestatore di servizi di pagamento abbia ragionevoli motivi per sospettare l'esistenza di una frode, senza consentire agli Stati membri di mantenere in vigore o di introdurre disposizioni diverse da quelle contenute nella direttiva 2015/2366, come risulta dall'articolo 107, paragrafo 1, di quest'ultima.

50. Infine, occorre precisare che, contrariamente a quanto sostengono i governi ceco e italiano nelle loro osservazioni scritte, l'interpretazione di cui al punto 47 della presente sentenza non ha l'effetto di eludere il meccanismo di risoluzione alternativa delle controversie di cui all'articolo 102, paragrafo 1, della direttiva 2015/2366.

51. A tal riguardo, come rilevato dall'avvocato generale al paragrafo 51 delle sue conclusioni, occorre sottolineare che tale meccanismo non si limita alla risoluzione delle controversie vertenti sul rimborso immediato previsto all'articolo 73 di tale direttiva, ma si estende a qualsiasi tipo di controversia rientrante nei titoli III e IV di quest'ultima. Ne consegue che l'esistenza di un siffatto meccanismo non può essere intesa come il complemento necessario dell'attuazione di una sola disposizione di detta direttiva, vale a dire del suo articolo 73, né, pertanto, come equivalente a un meccanismo di verifica obbligatoria del rispetto degli obblighi previsti all'articolo 69 della medesima direttiva.

52. Tenuto conto di tutto quanto precede, occorre rispondere alla questione pregiudiziale dichiarando che l'articolo 73, paragrafo 1, e l'articolo 74, paragrafo 1, della direttiva 2015/2366 devono essere interpretati nel senso che un prestatore di servizi di pagamento non può rifiutarsi di rimborsare immediatamente a un pagatore l'importo di un'operazione di pagamento non autorizzata, per il motivo che tale pagatore avrebbe reso possibile detta operazione per negligenza grave, in violazione degli obblighi ad esso incombenti in virtù dell'articolo 69 di detta direttiva.

Sulle spese

53. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

P.Q.M.
la Corte (Prima Sezione) dichiara:

L'articolo 73, paragrafo 1, e l'articolo 74, paragrafo 1, della direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015, relativa ai servizi di pagamento nel mercato interno, che modifica le direttive 2002/65/CE, 2009/110/CE e 2013/36/UE e il regolamento (UE) n. 1093/2010, e abroga la direttiva 2007/64/CE, devono essere interpretati nel senso che un prestatore di servizi di pagamento non può rifiutarsi di rimborsare immediatamente a un pagatore l'importo di un'operazione di pagamento non autorizzata, per il motivo che tale pagatore avrebbe reso possibile detta operazione per negligenza grave, in violazione degli obblighi ad esso incombenti in virtù dell'articolo 69 della direttiva 2015/2366.

Note

(*) Il nome della presente causa è un nome fittizio. Non corrisponde al nome reale di nessuna delle parti del procedimento.