La Suprema Corte afferma la responsabilità dell’istituto bancario per inosservanza della diligenza dallo stesso esigibile, rilevando che, in tema di ripartizione dell’onere della prova, al correntista abilitato a svolgere operazioni "on line" che agisca per l’abusiva utilizzazione, mediante illegittime disposizioni di bonifico delle sue credenziali informatiche (phishing), spetta soltanto la prova del danno riferibile al trattamento del suo dato personale. Per contro, l’istituto creditizio risponde, quale titolare del trattamento del dato, dei danni conseguenti al fatto di non aver impedito a terzi di introdursi illecitamente nel sistema telematico mediante la captazione dei codici d’accesso del correntista, ove non dimostri che l’evento dannoso non gli sia imputabile perché discendente da trascuratezza, errore o frode del correntista o da forza maggiore; (Cass. civ. sez. I, 23/05/2016, n. 10638).
L’orientamento giurisprudenziale in tema di responsabilità civile delle banche per danno da phishing era favorevole, già prima del Reg. UE 2016/679, all’applicabilità del combinato disposto degli artt. 15 D.Lgs. n. 196/03 e 2050 c.c..
Le pronunce ascrivevano agli intermediari bancari e finanziari la responsabilità extracontrattuale derivante dall’esercizio di attività pericolosa, imputando all’istituto bancario, quale titolare del trattamento dei dati personali, il danno provocato al risparmiatore per non avere predisposto le misure di sicurezza idonee ad impedire l’illecito accesso di terzi al sistema di home banking.
Per contro, un ulteriore indirizzo giurisprudenziale, escludeva l’inquadramento della responsabilità civile per danno da phishing dall’ambito applicativo dell’art. 2050 c.c. eludendo principi che ormai costituiscono diritto vivente in tema di responsabilità per esercizio di attività pericolose.
Sebbene l’orientamento dell’Arbitrato Bancario Finanziario risulti più attento all’analisi tecnica delle misure di sicurezza esigibili dagli istituti bancari, la dottrina appare divisa, analogamente alla giurisprudenza, tra chi auspica un maggiore coordinamento fra le specifiche sanzioni applicabili in caso di omessa predisposizione di idonee misure di sicurezza ed il regime di responsabilità civile ex art. 2050 c.c. e chi considera fuorviante la tesi che individua un necessario collegamento tra il trattamento dei dati personali e l’esercizio di attività pericolosa.
Indipendentemente dal concetto dinamico di dato personale, dall’interpretazione, più o meno estensiva, del previgente art. 4, lett. b) D.Lgs. n. 196/03, oggi art. 4, par. 1, n. 1) Reg. UE 2016/679 e dall’assimilazione delle password di accesso all’home banking alla nozione di “dati personali”- l’inquadramento dell’attività di fornitura del servizio di pagamento telematico nel novero delle attività pericolose appare, sotto il profilo operativo-funzionale, idonea a contemperare i diversi interessi giuridici che il fenomeno phishing coinvolge.
Sotto il profilo operativo, l’art. 2050 c.c., inquadrato nelle ipotesi di responsabilità oggettiva, risulta idoneo a contemperare il diritto dell’esercente l’attività bancaria-prestatore del servizio a svolgere la propria attività di impresa con quello del cliente-fruitore del servizio a non subire ingiusti pregiudizi; applicando tale norma, la condotta del danneggiato può rilevare ai sensi dell’art. 1227, comma 1 c.c. ovvero sotto il profilo del nesso di causalità, determinando il concorso di responsabilità con il danneggiante.
Soprattutto nei casi di omessa informativa sulle misure di sicurezza, pur adeguate al progresso tecnologico, e contestuale negligente custodia delle credenziali di accesso, i suindicati referenti normativi consentono l’equilibrata ripartizione delle responsabilità tra la banca ed il risparmiatore e, in una visione più ampia, incentivano gli istituti bancari a potenziare le misure di sicurezza.
La condotta del danneggiato, ove costituisse, invece, un fattore assolutamente determinante (smarrimento o incauta consegna a terzi dei codici di accesso nonostante la predisposizione, da parte del prestatore, di adeguate ed evolute misure di prevenzione adeguatamente comunicate), determinerebbe l’esclusione del nesso di causalità e della responsabilità dell’istituto bancario.
