Corte di giustizia UE: dopo il phishing la banca rimborsa prima e discute dopo della 'colpa grave' del cliente. Cosa fare in Francia se i soldi escono dalla carta o dal conto, e le scadenze applicabili

Che cosa è successo

Il 2 novembre 2026 Service-public.gouv.fr ha pubblicato un approfondimento su una sentenza della Corte di giustizia dell'Unione europea (CJUE) del 15 ottobre 2026 sui rimborsi alle vittime di phishing.

Il caso viene dalla Polonia. Una donna stava vendendo un oggetto su un marketplace online. Un finto acquirente le ha inviato un link che somigliava al marketplace e che la portava a una copia falsa del sito della sua banca, dove ha digitato le credenziali di accesso all'online banking. Il truffatore ha trasferito circa 700 € (3.000 zloty) su un proprio conto, ottenendo il codice di conferma via SMS attraverso la stessa pagina falsa. Lei ha denunciato la frode alla banca e alla polizia il giorno dopo. La banca ha rifiutato il rimborso, sostenendo che fosse stata gravemente negligente (négligence grave) e che non avesse custodito in modo sicuro il proprio strumento di pagamento.

Che cosa ha deciso la Corte

Secondo Service-public, la Corte si è basata sulla direttiva UE sui servizi di pagamento (2015/2366):

• la banca deve rimborsare un'operazione non autorizzata non appena ne viene a conoscenza, e al più tardi entro la fine del giorno lavorativo successivo. La colpa grave del cliente non rientra tra i motivi di rifiuto;
• la banca può far ricadere la perdita sul cliente, ma solo dopo aver rimborsato. L'eccezione è un serio sospetto che il cliente sia il truffatore, che la banca deve motivare per iscritto all'autorità nazionale di vigilanza;
• spetta alla banca provare la colpa grave, in sede giudiziaria, se decide di reclamare la restituzione del denaro.

In breve: prima si rimborsa, poi si discute. Nel diritto francese, il rimborso immediato di un'operazione non autorizzata è previsto dall'articolo L133-18 del Code monétaire et financier, citato dall'Istituto nazionale dei consumatori (INC).

La precisazione fondamentale: le operazioni 'non autorizzate'

La sentenza riguarda le operazioni a cui il pagatore non ha acconsentito: un truffatore ha ottenuto l'accesso alla carta o al conto e ha prelevato il denaro. Non riguarda la cosiddetta frode 'autorizzata', in cui la vittima effettua da sé il bonifico sotto pressione, per esempio di un finto 'consulente della banca'. Questa distinzione va tenuta presente fin dal primo minuto: da essa dipende quali norme si possono invocare.

Cosa fare se i soldi sono usciti

I passaggi seguenti si basano sulla pagina F34800 di Service-public e sull'INC:

1. Bloccare subito la carta (faire opposition): tramite il numero della propria banca o la linea interbancaria 0892 705 705 (€0,35 al minuto più il costo della chiamata). L'INC raccomanda poi di confermare il blocco con lettera raccomandata con avviso di ricevimento, indicando il numero di riferimento del blocco.
2. Contestare le operazioni alla banca e chiedere il rimborso. Conservare il numero di riferimento.
3. Conservare le prove: il messaggio stesso, una schermata del sito falso, il numero di telefono, l'indirizzo della pagina.
4. Segnalare sulla piattaforma Perceval (tramite service-public.fr, accedendo con FranceConnect) se i dati della carta sono stati usati a insaputa del titolare. La piattaforma rilascia una ricevuta da allegare alla richiesta di rimborso alla banca. Perceval non gestisce il furto della carta fisica.
5. Presentare una denuncia (plainte) presso un commissariato di polizia o una caserma della gendarmeria, oppure per iscritto al procuratore della Repubblica.
6. Controllare gli altri account online, cambiare le password e attivare l'autenticazione a due fattori.

I tentativi di phishing via SMS o telefonata a un cellulare possono essere segnalati al 33 700; le email sospette a Signal Spam; i link sospetti a Phishing Initiative.

Le scadenze in Francia

Secondo l'INC (articoli L133-18, L133-23 e L133-24 del Code monétaire et financier):

• bisogna agire 'senza indugio' una volta scoperta l'operazione, ed entro 13 mesi al più tardi dall'addebito per i pagamenti all'interno dello Spazio economico europeo. Per un pagamento al di fuori di esso, il limite è di 70 giorni, che un contratto può estendere a 120;
• la banca deve rimborsare non solo l'importo ma anche le spese connesse, compresi gli interessi sullo scoperto e le commissioni per incidenti di pagamento;
• se il cliente, deliberatamente o per colpa grave, non ha rispettato i propri obblighi, il rimborso può non essere dovuto, ma è la banca a doverlo provare. L'INC fornisce un esempio: nel 2020 la Cour de cassation ha ritenuto che rispondere a un'email con evidenti segni di falsificazione costituisse colpa grave;

Un errore frequente è attendere che la banca 'risolva la questione', oppure non contestare affatto un'operazione ritenendo che un proprio errore escluda il rimborso. La sentenza europea afferma proprio che un simile errore, di per sé, non consente alla banca di trattenere il rimborso. Si tratta di regole generali, non di una valutazione di singole situazioni; in un caso controverso possono essere d'aiuto un avvocato o un'associazione di consumatori.

Contesto

Per chi è arrivato da poco il rischio è più alto: messaggi su un 'rimborso', un 'pagamento urgente', un 'problema con la consegna del pacco' o un 'allarme di sicurezza dell'account' arrivano in una lingua a cui ci si sta ancora abituando, e questo rende più difficile riconoscere i falsi. Il consiglio di Service-public è semplice: non cliccare sui link e non condividere dati personali o bancari in risposta a un messaggio inatteso.