In breve
- Due mondi: i SIC privati (CRIF, Experian, CTC) regolati dal Codice di condotta del Garante (2019) e la Centrale dei rischi della Banca d'Italia (esposizioni da 30.000 euro, sofferenze da 250).
- Preavviso obbligatorio prima della prima segnalazione negativa: almeno 15 giorni (art. 125 TUB, art. 5 Codice); senza, la segnalazione è illegittima.
- Tempi: richieste 180 giorni, rifiuti 90; ritardi fino a 2 rate regolarizzati 12 mesi, oltre 24; non regolarizzati 36 mesi (max 60); dati positivi 60 mesi.
- La sofferenza in Centrale rischi richiede l'insolvenza valutata, non un ritardo o un credito contestato.
- Cancellare: reclamo al finanziatore, Garante, ABF, ricorso d'urgenza; risarcimento del danno; accesso gratuito ai propri dati.
Chi segnala che cosa, e per quanto
«I finanziatori informano preventivamente il consumatore la prima volta che segnalano a una banca dati le informazioni negative previste dalla relativa disciplina. I finanziatori informano inoltre il consumatore della registrazione di informazioni negative previste dalla relativa disciplina e dei suoi diritti in conformità del regolamento (UE) 2016/679 entro trenta giorni dalla medesima registrazione. L'informativa è resa unitamente all'invio di solleciti, altre comunicazioni, o in via autonoma. I finanziatori assicurano che le informazioni comunicate alle banche dati siano esatte, aggiornate e, in caso di errore, prontamente rettificate».
| Dato | Tempo di conservazione (SIC, Codice di condotta 2019) |
|---|---|
| Richiesta di finanziamento in istruttoria | 180 giorni dalla presentazione |
| Richiesta rifiutata o rinunciata | 90 giorni dall'aggiornamento con l'esito |
| Ritardo fino a 2 rate o 2 mesi, poi regolarizzato | 12 mesi dalla registrazione della regolarizzazione |
| Ritardo oltre 2 rate o 2 mesi, poi regolarizzato | 24 mesi dalla registrazione della regolarizzazione |
| Inadempimento non regolarizzato, gravi morosità, saldo e stralcio | 36 mesi dalla scadenza contrattuale o dall'ultimo aggiornamento, comunque non oltre 60 mesi |
| Dati positivi (rapporti regolari) | 60 mesi dalla cessazione del rapporto; conservabili oltre se ci sono negativi su altri rapporti |
| Centrale dei rischi (Banca d'Italia) | Segnalazioni mensili; gli intermediari vedono gli ultimi 36 mesi; la sofferenza resta finché il credito non è estinto o ceduto, poi per lo storico |
I sistemi di informazioni creditizie sono banche dati private a cui banche e finanziarie comunicano, mese per mese, l'andamento dei rapporti di credito: la regola è il Codice di condotta approvato dal Garante nel 2019, vincolante per i gestori (CRIF con Eurisc, Experian, CTC) e per i partecipanti; contiene dati positivi e negativi, e ogni prima segnalazione negativa richiede un preavviso di almeno 15 giorni con mezzo tracciabile (art. 5 del Codice), che l'art. 125 TUB impone anche come obbligo di legge per i consumatori, con l'informazione dei diritti entro 30 giorni dalla registrazione. La Centrale dei rischi della Banca d'Italia è invece pubblica: censisce le esposizioni da 30.000 euro e le sofferenze da 250 euro, per privati e imprese, e le rende visibili agli intermediari per gli ultimi 36 mesi; la classificazione a sofferenza presuppone che la banca abbia valutato la situazione complessiva del cliente e ritenga che non sia in grado di restituire, non un singolo ritardo o un credito seriamente contestato, e per i consumatori richiede la comunicazione preventiva. I dati devono essere esatti e aggiornati, e il finanziatore che li ha comunicati è obbligato a rettificarli prontamente (art. 125, c. 4). Il cliente ha diritto di accedere gratuitamente ai propri dati, ottenere rettifica, integrazione e cancellazione e far annotare la contestazione (diritti GDPR).
Quando è illegittima e come si cancella
- Verificare: chiedere l'accesso ai dati a ciascun SIC e il prospetto della Centrale dei rischi (online, con SPID o CIE); controllare date, importi, stato del rapporto, esistenza e data del preavviso.
- Le cause di illegittimità: mancanza o irregolarità del preavviso; dato inesatto (rata pagata, importo diverso, rapporto già chiuso); ritardo dovuto a errore della banca; segnalazione di un credito contestato in buona fede prima della decisione; sofferenza senza valutazione dell'insolvenza; conservazione oltre i termini del Codice; segnalazione «a sofferenza» per importi minimi in rapporto al patrimonio; mancato aggiornamento dopo il pagamento.
- Reclamo al finanziatore che ha segnalato, con i documenti, chiedendo la rettifica o la cancellazione e la comunicazione al SIC o alla Banca d'Italia: risposta entro 60 giorni (30 per le richieste GDPR); in parallelo richiesta al gestore del SIC, che deve verificare con il partecipante.
- Se non basta: ricorso all'Arbitro Bancario Finanziario, che ordina di regola la cancellazione delle segnalazioni senza preavviso o inesatte, o reclamo al Garante; per i danni imminenti (mutuo in corso, fidi revocati) ricorso d'urgenza al tribunale (art. 700 c.p.c.) con ordine di cancellazione; la via ordinaria per il risarcimento.
- Risarcimento: il danno patrimoniale (credito negato o più costoso, operazioni saltate) e quello non patrimoniale alla reputazione economica, che la giurisprudenza liquida anche in via equitativa; base normativa nell'art. 82 GDPR e nella responsabilità contrattuale ed extracontrattuale della banca; serve la prova del nesso, per esempio la lettera di diniego del mutuo che richiama la segnalazione.
In pratica, le segnalazioni legittime non si cancellano prima del tempo, e chiunque prometta il contrario a pagamento vende nulla: si può solo accelerare la registrazione della regolarizzazione, concordare nel saldo e stralcio la formula e la data di chiusura, e attendere i termini. Le segnalazioni illegittime, invece, si cancellano in poche settimane con il reclamo e l'ABF, e conviene farlo prima di chiedere un mutuo, non dopo il rifiuto: il controllo periodico dei propri dati, gratuito, è la prevenzione migliore.
Domande frequenti
Ho pagato una rata con 40 giorni di ritardo e ora CRIF mi segnala: per quanto?
Se il ritardo riguarda al massimo due rate (o due mesi) ed è stato regolarizzato, la segnalazione negativa resta visibile per 12 mesi dalla data in cui è stata registrata la regolarizzazione; se le rate erano più di due, 24 mesi; se non ha regolarizzato, fino a 36 mesi dalla scadenza del contratto o dall'ultimo aggiornamento, con un massimo assoluto di 60 mesi. Prima della prima segnalazione negativa il finanziatore doveva però avvertirla con almeno 15 giorni di preavviso (art. 125 TUB e art. 5 del Codice di condotta): se non lo ha fatto, la segnalazione è illegittima e va cancellata subito, con reclamo e poi ricorso all'Arbitro Bancario Finanziario o al Garante.
La banca mi ha messo «a sofferenza» in Centrale rischi per una lite su una commissione: è legittimo?
No, se non c'è una vera insolvenza. La segnalazione a sofferenza presuppone che l'intermediario abbia valutato la situazione finanziaria complessiva del cliente e concluso che è in grave difficoltà a restituire, non un singolo ritardo o un credito contestato in buona fede: lo dicono le istruzioni della Banca d'Italia e la Cassazione. Per i consumatori serve anche il preavviso. La segnalazione illegittima si contesta con reclamo alla banca, ricorso all'ABF (che ordina la cancellazione) o al tribunale in via d'urgenza quando blocca fidi e affidamenti, e dà diritto al risarcimento del danno alla reputazione commerciale e per il credito negato.
Come vedo che cosa c'è su di me?
Gratis e senza motivo: per la Centrale dei rischi tramite il servizio online della Banca d'Italia con SPID o CIE (o presso le filiali), che restituisce il prospetto con le esposizioni degli ultimi 36 mesi; per i SIC (CRIF, Experian, CTC) con la richiesta di accesso ai propri dati prevista dal GDPR e dal Codice di condotta, con moduli online e risposta in 30 giorni. Controllare prima di chiedere un mutuo evita sorprese; i dati errati si fanno rettificare dal finanziatore che li ha comunicati, che è obbligato a correggerli prontamente (art. 125, c. 4, TUB).
Ho chiuso il debito con un saldo e stralcio: la segnalazione sparisce?
No, cambia stato: il rapporto viene aggiornato come chiuso con pagamento parziale («transatto» o «saldo e stralcio»), che resta un dato negativo, e la conservazione segue le regole degli inadempimenti: 36 mesi dalla data di estinzione o dall'ultimo aggiornamento. Conviene quindi concordare nell'accordo di stralcio anche la formula della segnalazione e la sua comunicazione al SIC, ed esigere che la data di estinzione sia registrata subito. Le società che promettono cancellazioni anticipate a pagamento non possono ottenere nulla che il Codice non preveda.
Fonti normative
- Art. 125 D.Lgs. 385/1993 (TUB) — Banche dati (preavviso e esattezza)
- Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo (Garante, 12 settembre 2019)
- Banca d'Italia — Centrale dei rischi (Circolare n. 139/1991 e accesso ai dati)
- Artt. 15-17 e 82 Regolamento (UE) 2016/679 — Accesso, rettifica, cancellazione, risarcimento
- Art. 700 c.p.c. — Provvedimenti d'urgenza
I testi sono quelli vigenti su normattiva.it alla data di verifica della pagina.
Da leggere insieme
- Banche, consumatori e assicurazioniL'Arbitro Bancario Finanziario (ABF): il ricorso senza avvocatoChe cosa è (art. 128-bis TUB: sistema stragiudiziale a cui banche, intermediari finanziari, istituti di pagamento e di moneta elettronica devono aderire; disciplina del CICR e disposizioni della Banca d'Italia; sette collegi territoriali; segreteria tecnica presso la Banca d'Italia), che cosa si può chiedere (controversie su operazioni e servizi bancari e finanziari: conti correnti, mutui, finanziamenti, cessione del quinto e credito al consumo, carte e pagamenti, phishing e operazioni non autorizzate, portabilità, segnalazioni in Centrale rischi e SIC, usura e anatocismo, estinzione anticipata e restituzione dei costi, trasparenza; somme fino a 200.000 euro, senza limite per l'accertamento di diritti e obblighi; controversie sorte nei sei anni precedenti il ricorso; esclusi i servizi di investimento, di competenza dell'ACF, e le assicurazioni, dell'AAS; esclusi i rapporti già in causa o in mediazione, salvo che il giudice non abbia deciso), la procedura (reclamo scritto all'ufficio reclami dell'intermediario, risposta entro 60 giorni o 15 giornate operative per i servizi di pagamento; ricorso online sul portale ABF entro 12 mesi dal reclamo, con 20 euro di contributo, rimborsati dall'intermediario se il ricorso è accolto anche in parte; nessun avvocato necessario, possibile rappresentante o associazione; documenti: reclamo, risposta, contratto, estratti, corrispondenza; controdeduzioni dell'intermediario; eventuali repliche; decisione del collegio entro 90 giorni dal completamento del fascicolo, in media circa quattro mesi; comunicazione alle parti e pubblicazione), gli effetti (decisione non vincolante ma eseguita nella grande maggioranza dei casi; inadempimento pubblicato sul sito dell'ABF e sui giornali a spese dell'intermediario; nessuna preclusione alla causa; il ricorso assolve la condizione di procedibilità della mediazione per le controversie bancarie, art. 5 c. 1-bis D.Lgs. 28/2010; prescrizione), come si scrive (fatti in ordine, richiesta precisa e quantificata, norme e orientamenti dei collegi, documenti numerati; il ruolo delle decisioni pubblicate e del collegio di coordinamento), i casi frequenti (rimborso delle operazioni non autorizzate e phishing; estinzione anticipata della cessione del quinto e restituzione dei costi non maturati, sentenza Lexitor; cancellazione di segnalazioni illegittime; interessi e commissioni non pattuiti; mutui con tassi e piani contestati; chiusura del conto), i limiti (niente istruttoria orale né testimoni, solo documenti; niente risarcimento di danni non documentati; l'intermediario può rifiutare di eseguire; per gli importi alti o le questioni complesse resta il giudice).
- Banche, consumatori e assicurazioniIl mutuo: clausole, tasso, ritardi, contestazioniPrima di firmare (art. 117 TUB: contratto scritto a pena di nullità, con tasso, prezzi e condizioni, oneri di mora; nullità delle clausole che rinviano agli usi o peggiorano le condizioni pubblicizzate, con sostituzione del tasso BOT; il PIES e le informazioni precontrattuali per il credito immobiliare ai consumatori, artt. 120-septies e seguenti; TAEG con tutti i costi, perizia, istruttoria, assicurazioni obbligatorie e facoltative, art. 28 D.L. 1/2012; tasso fisso, variabile con cap, misto; spread e parametro; piano di ammortamento alla francese e all'italiana; ipoteca di primo grado per un importo maggiorato; mutuo fondiario con ipoteca di primo grado e limite di finanziamento fissato dalla Banca d'Italia, art. 38 TUB; fideiussioni e garanti; polizze abbinate), l'usura (L. 108/1996: tasso soglia = TEGM aumentato di un quarto più quattro punti, con differenza massima di otto punti; art. 1815 c. 2 c.c.: interessi usurari nulli e non dovuti; usura originaria e sopravvenuta, interessi di mora, giurisprudenza), l'ammortamento alla francese (Cass. SU 15130/2024: legittimo, senza indeterminatezza né anatocismo se il piano è allegato), i ritardi (interessi di mora nei limiti; art. 40 c. 2 TUB per il fondiario: risoluzione dopo sette ritardi anche non consecutivi tra il 30° e il 180° giorno; art. 120-quinquiesdecies per il credito immobiliare ai consumatori: gestione dei clienti in difficoltà, oneri limitati ai costi, clausola di trasferimento dell'immobile con estinzione del debito, inadempimento a diciotto rate mensili, perito indipendente, eccedenza al consumatore; decadenza dal beneficio del termine, art. 1186 c.c.; segnalazione in Centrale rischi e SIC; fondo di solidarietà per i mutui prima casa con sospensione fino a 18 mesi; rinegoziazione e allungamento; pignoramento), l'estinzione anticipata e la surroga (art. 120-ter: nessuna penale per i mutui delle persone fisiche per casa o attività; art. 120-quater: portabilità senza costi con trasferimento dell'ipoteca e tempi di 30 giorni; rinegoziazione con la stessa banca; art. 125-sexies per il credito al consumo), le modifiche (art. 118: solo con giustificato motivo, preavviso di due mesi, recesso senza spese; mai i tassi nei contratti a tempo determinato), i mutui in valuta (art. 120-quaterdecies: diritto di conversione), le contestazioni (verifica del TAEG e dell'usura con perizia; clausole abusive e trasparenza; reclamo, Arbitro Bancario Finanziario fino a 200.000 euro, mediazione obbligatoria, causa; prescrizione decennale della ripetizione dalla chiusura del rapporto), gli errori (firmare senza il piano e il PIES, polizze inutili, fideiussioni omnibus, ignorare le prime rate in ritardo).
- Debiti, crediti e pignoramentiQuando un debito si prescriveDieci, cinque, tre, due anni: la tabella; interruzione con raccomandata o PEC; dieci anni dopo sentenza o decreto; cartelle e contributi; l'eccezione va sollevata.
- SovraindebitamentoIl sovraindebitamento: le procedure per chi non riesce più a pagareChi può accedere (art. 2 c. 1 lett. c: consumatore, professionista, imprenditore minore sotto 300.000 di attivo, 200.000 di ricavi e 500.000 di debiti, imprenditore agricolo, start-up innovativa, ogni debitore non assoggettabile a liquidazione giudiziale, compresi ex imprenditori cancellati da oltre un anno e soci illimitatamente responsabili; procedure familiari, art. 66), l'OCC (organismo di composizione della crisi iscritto al registro del Ministero, o professionista nominato dal tribunale; raccoglie i documenti, redige la relazione su cause, diligenza e attendibilità, accede alle banche dati; compensi regolamentati; l'avvocato non è obbligatorio nella ristrutturazione, art. 68), la ristrutturazione dei debiti del consumatore (art. 67: piano a contenuto libero con pagamento anche parziale, falcidia della cessione del quinto, privilegiati pagabili al valore di liquidazione con moratoria fino a due anni, mutuo sulla casa che prosegue; nessun voto; misure protettive dal decreto di apertura, art. 70; omologazione con sentenza anche contro il creditore dissenziente se non riceve meno della liquidazione; esclusi chi ha esdebitazione nei 5 anni, due esdebitazioni o colpa grave, malafede, frode, art. 69; il creditore che ha finanziato in modo irresponsabile non può contestare la convenienza; esecuzione con vigilanza dell'OCC, art. 71; revoca per frode o inadempimento), il concordato minore (art. 74: per professionisti, imprese minori e agricole se prosegue l'attività, altrimenti con risorse esterne apprezzabili; classi; voto dei creditori con la maggioranza dei crediti, art. 79; omologazione anche senza l'adesione del fisco quando determinante e conveniente, art. 80; misure protettive), la liquidazione controllata (art. 268: su domanda del debitore o del creditore per debiti scaduti da almeno 50.000 euro, non se l'OCC attesta che non c'è attivo; sentenza, liquidatore, elenco dei creditori, inventario e programma in 90 giorni, art. 270-272; dura tre anni e comprende i beni sopravvenuti fino all'esdebitazione; stipendio e pensione nei limiti del mantenimento; esdebitazione di diritto alla chiusura o dopo tre anni, art. 282), l'esdebitazione dell'incapiente (art. 283: persona fisica meritevole senza alcuna utilità, anche con reddito fino all'assegno sociale aumentato della metà per la scala ISEE; una sola volta; domanda tramite OCC con relazione anche sul merito creditizio del finanziatore; obbligo per tre anni di dichiarare ogni anno le utilità sopravvenute, sulle quali i creditori possono agire, art. 283 c. 7 e 9), i debiti (tutti, compresi fiscali e contributivi con transazione, sanzioni, mutui; esclusi dall'esdebitazione alimenti, danni da illecito e sanzioni penali; i garanti restano obbligati), gli effetti (sospensione di pignoramenti e cessioni del quinto, blocco degli interessi, cancellazione delle segnalazioni dopo l'esecuzione, casellario e conseguenze sull'accesso al credito), costi e tempi (compenso dell'OCC in percentuale sull'attivo e sul passivo con minimi, gratuito patrocinio ammesso; 6-12 mesi per l'omologazione; l'importanza dell'assistenza legale), gli errori da evitare (nuovi debiti in pendenza, atti dispositivi non dichiarati, dichiarazioni incomplete che integrano frode, ritardo nel presentare la domanda).
- Privacy e GDPRI diritti GDPR: accesso, rettifica, cancellazione, opposizione, portabilitàCome si presenta la richiesta e a chi (titolare, DPO), termine di un mese e proroga, gratuità e richieste eccessive, identità, i singoli diritti (accesso e copia, rettifica, cancellazione e limiti, limitazione, portabilità, opposizione e marketing, decisioni automatizzate), limiti dell'art. 2-undecies, reclamo al Garante (9 mesi) o ricorso al tribunale (rito del lavoro, 30 giorni per impugnare il Garante), risarcimento del danno, sanzioni.
- Privacy e GDPRIl reclamo al Garante privacyIl diritto (art. 77 GDPR: l'interessato che ritiene che il trattamento violi il regolamento può proporre reclamo all'autorità di controllo dello Stato in cui risiede, lavora o dove è avvenuta la violazione, fatto salvo ogni altro ricorso; art. 141 Codice privacy: reclamo al Garante; art. 144: segnalazione di chiunque, senza le formalità e senza diritto a una decisione, e poteri d'ufficio), il contenuto (art. 142: indicazione per quanto possibile dettagliata dei fatti e delle circostanze, delle disposizioni che si presumono violate e delle misure richieste, estremi del titolare o del responsabile se conosciuti; sottoscrizione dell'interessato o, con mandato, di un ente del terzo settore attivo nella tutela dei dati; documenti allegati e recapito anche PEC o e-mail; modello pubblicato sul sito del Garante; regolamento interno per il procedimento con modalità semplificate e termini abbreviati per i reclami sui diritti degli artt. 15-22; invio via PEC a protocollo@pec.gpdp.it, raccomandata o consegna; gratuito; copia del documento; delega e procura), prima del reclamo (art. 12 GDPR: richiesta al titolare per accesso, rettifica, cancellazione, opposizione, limitazione, portabilità, con risposta entro un mese, prorogabile di due; il mancato riscontro è il caso più frequente di reclamo; DPO come interlocutore; prova della richiesta e del silenzio), il procedimento (art. 143: istruttoria preliminare, richiesta di informazioni al titolare, eventuali ispezioni; se il reclamo non è manifestamente infondato, provvedimenti dell'art. 58 GDPR anche prima della definizione: avvertimenti, ammonimenti, ingiunzioni a soddisfare le richieste dell'interessato, limitazioni e divieti di trattamento, ordini di rettifica o cancellazione, sospensione dei flussi verso l'estero; informazione sullo stato entro 3 mesi, decisione entro 9 mesi, 12 con motivate esigenze istruttorie, sospensione durante la cooperazione europea per i titolari con stabilimento principale in altro Stato ex art. 60; pubblicazione in Gazzetta se i destinatari non sono identificabili; sanzioni ex art. 166 con contestazione, 30 giorni per scritti difensivi e audizione, fino a 10 o 20 milioni di euro o al 2% o 4% del fatturato mondiale, art. 83 GDPR, pubblicazione dell'ordinanza sul sito; il reclamante non è parte del procedimento sanzionatorio e non riceve la sanzione), dopo (art. 143 c. 4 e art. 152: ricorso all'autorità giudiziaria ordinaria; art. 10 D.Lgs. 150/2011: rito del lavoro, tribunale del luogo di sede del titolare o di residenza dell'interessato, ricorso contro il provvedimento entro 30 giorni dalla comunicazione, 60 dall'estero; contro il silenzio, entro 30 giorni dalla scadenza dei 9 mesi o dei 3 mesi senza informazione; art. 78 GDPR: ricorso contro l'autorità che non tratta il reclamo entro 3 mesi; art. 79: azione diretta contro il titolare o il responsabile davanti al giudice dello Stato dello stabilimento o della residenza; art. 82: risarcimento del danno materiale e immateriale, con onere del titolare di provare che l'evento non gli è imputabile, responsabilità solidale; azioni rappresentative del terzo settore ex art. 80), i casi tipici (mancata risposta alla richiesta di accesso o cancellazione; telemarketing e newsletter senza consenso; pubblicazione di foto o dati online, ex partner, datore di lavoro; videosorveglianza illecita; segnalazione a centrali rischi senza preavviso; comunicazioni a terzi; dati sanitari; data breach senza notifica; profilazione), strategia (reclamo circostanziato con richieste precise; segnalazione se non si è interessati; causa se serve il risarcimento o un'urgenza; cautelare ex art. 700 c.p.c. per la rimozione immediata; reclamo e causa cumulabili; riservatezza del reclamante non garantita verso il titolare).
- Debiti, crediti e pignoramentiIl pignoramento dello stipendio e della pensione: i limitiUn quinto dello stipendio, minimo impignorabile della pensione, somme sul conto (triplo dell'assegno sociale), cumulo, limiti del fisco (1/10, 1/7, 1/5), TFR, procedura presso terzi, difese.
- Reati informaticiPhishing e smishing: i reati e come farsi rimborsareLe tecniche (email e siti clone, SMS con link e numero contraffatto, telefonate del finto operatore antifrode che chiede di spostare i soldi su un conto sicuro, spoofing del numero e del mittente, app di controllo remoto, QR code, SIM swap, truffe su marketplace e falsi corrieri), i reati (art. 640 c.p. truffa, 6 mesi-3 anni, aggravata se con minorata difesa; art. 640-ter frode informatica, 6 mesi-3 anni, 1-5 se con trasferimento di denaro, 2-6 anni con furto di identità digitale, d'ufficio; art. 615-ter accesso abusivo; art. 494 sostituzione di persona; art. 493-ter indebito utilizzo e falsificazione di strumenti di pagamento, 1-5 anni; art. 615-quater detenzione di codici; art. 648-bis e 648-ter riciclaggio e impiego per i money mule, anche colposo come ricettazione o incauto acquisto; art. 416 associazione per le reti organizzate), la denuncia (Polizia postale, anche online; prova: email, SMS, numeri, IBAN di destinazione, log della banca; segnalazione alla piattaforma e al gestore; il ruolo del pubblico ministero e le rogatorie; le probabilità di recupero), il rimborso (D.Lgs. 11/2010 come modificato dal D.Lgs. 218/2017: art. 7 obblighi dell'utente di custodire le credenziali e comunicare subito; art. 10 onere della prova sul prestatore, l'uso dello strumento non basta a provare l'autorizzazione né la colpa grave; art. 11 rimborso immediato entro la giornata operativa successiva, sospendibile solo per motivato sospetto di frode comunicato alla Banca d'Italia; art. 12 franchigia di 50 euro, nessuna perdita dopo la comunicazione, nessuna perdita se manca l'autenticazione forte, perdita intera solo per frode o colpa grave dell'utente; art. 10-bis autenticazione forte del cliente; termine di 13 mesi per contestare, art. 9), la colpa grave (indici usati da ABF e giudici: consegna del codice OTP al telefono, esecuzione di istruzioni palesemente anomale, SMS con errori, ritardo nella comunicazione; a favore del cliente: spoofing del numero ufficiale, messaggio inserito nella conversazione autentica della banca, assenza di alert, autorizzazione di più operazioni in pochi minuti verso IBAN esteri senza blocco, sistemi antifrode inefficaci), i bonifici autorizzati con l'inganno (vishing e truffa del finto operatore: il cliente dispone lui stesso l'operazione; responsabilità concorrente della banca per omesso blocco di operazioni anomale; orientamenti dell'ABF), la procedura (reclamo scritto alla banca con risposta in 15 giorni lavorativi; ricorso all'Arbitro Bancario Finanziario entro 12 mesi dal reclamo, 20 euro, senza avvocato, fino a 200.000 euro; mediazione e causa civile; costituzione di parte civile), la prevenzione e i doveri delle banche (PSD2, alert, limiti, blocco delle operazioni sospette, formazione).