Spetta al prestatore di servizi di pagamento dimostrare che il cliente non ha rispettato l’obbligo di proteggere le credenziali di sicurezza personali