2.电子银行风险由发卡行承担还是由储户承担
——张某丹诉中国工商银行股份有限公司长春大经路支行银行卡案
【案件基本信息】
1.裁判书字号
吉林省高级人民法院（2017）吉民再字第33号民事判决书
2.案由：银行卡纠纷
3.当事人
原告（被上诉人、再审申请人）：张某丹
被告（上诉人、再审申请人）：中国工商银行股份有限公司长春大经路支行（以下简称大经路支行）
【基本案情】
原告张某丹在被告处申领6222024200015073×××银行卡。2013年9月17日，原告开通电子银行并领取身份确认工具（工银电子密码器）。2015年2月2日，原告张某丹尾号为3×××的银行卡通过网上转账，向案外人李某汇款人民币66037元。2015年2月3日，原告张某丹向长春市公安局南关区分局清明街派出所报警，内容为：2015年2月2日发现在南关区新发路与清明街交汇中国工商银行申领的一张储蓄卡卡内金额不明原因被取走，银行卡号：6222024200015073×××，卡内66037元人民币被取走。
【案件焦点】
电子银行交易系统发生银行卡欺诈风险，是由发卡行承担还是由储户承担。
【法院裁判要旨】
吉林省长春市南关区人民法院经审理认为：大经路支行作为商业银行，有义务保障储户的存款安全，防范犯罪发生，维护储户的合法权益。本案中，原告张某丹作为存款人在被告处开立存款账户，双方之间成立储蓄存款合同关系，且该合同系当事人双方真实意思表示，合法有效。原告的储蓄卡内金额66037元被转出，被告无证据证明原告张某丹存在密码泄露或委托他人取款等情况，原告张某丹的储蓄卡及密码器亦未丢失，原告无过错，被告应赔偿原告张某丹的损失。关于原告主张利息一节，于法有据，应予支持。关于原告主张误工损失1000元一节，鉴于原告未提供证据证实，故对原告该主张不予支持。关于被告提出此次转账系原告本人网上银行系统进行相关业务操作的抗辩，鉴于被告未提供证据证明，且从被告提供的尾号为3×××的储蓄卡操作明细看，只有2015年2月2日工行汇款的username（用户名）注明：NOUSERNAME（非用户名），其他均注明：张某丹，且原告张某丹在事发次日及时向公安机关报案，故被告该抗辩不能成立。
吉林省长春市南关区人民法院依照《中华人民共和国合同法》第六十条、第一百零七条，《最高人民法院关于民事诉讼证据的若干规定》第二条之规定，判决如下：
一、被告中国工商银行股份有限公司长春大经路支行于本判决生效之日起立即支付原告张某丹人民币66037元及利息（自2015年2月3日起至给付之日止按中国人民银行同期活期存款利率计算）；
二、驳回原告张某丹的其他诉讼请求。
大经路支行不服一审判决，上诉请求：撤销一审判决，依法驳回张某丹的诉讼请求。
吉林省长春市中级人民法院二审查明，2013年9月17日，张某丹向大经路支行领取电子密码器。注册申请书中存在的提示内容为：“特别提示：您已开通电子银行并领取身份确认工具（工银电子密码器），凭身份确认工具可办理电子银行渠道转账、汇款等业务。请您妥善保管，切勿交给他人，并牢记身份确认工具密码，切勿泄露。”张某丹在该申请书中签字确认。二审法院开庭审理过程中，双方均认可本案涉及的银行卡的网上银行，必须持有电子密码器方可进行网上银行转账。张某丹称转款时密码器未交与他人。
吉林省长春市中级人民法院审理认为：本案中款项系通过网上银行方式支付。该支付与储户持银行卡进行交易不同，网上银行支付仅需通过网络输入各类密码，并且无储户签字确认的交易凭证，只要持有各类密码、交易码等，即可进行操作。张某丹要求大经路支行承担违约责任，即认为其卡内转账至案外人账户的资金及利息为其损失，应当证明大经路支行存在违约行为，即未适格地向张某丹履行合同义务。大经路支行与张某丹均认可进行网上银行支付时必须持有电子密码器，且张某丹称该密码器未交与他人。现大经路支行依据电子密码器密码、电子密码器接收的交易码、银行卡密码正确输入等步骤后，执行该网上银行转账，并无不当。张某丹虽称该行为并非其本人所为，但其报案后，公安机关未对是否属于网上盗刷银行卡作出结论。现张某丹关于本案中网上转账并非其本人输入密码并使用密码器所为的主张，无法认定，进而无法认定大经路支行存在违约行为。张某丹要求大经路支行承担赔偿责任，无事实及法律依据。综上，一审判决认定事实及适用法律均错误，应予纠正。
长春市中级人民法院判决：
一、撤销吉林省长春市南关区人民法院（2015）南民初字第591号民事判决；
二、驳回张某丹的诉讼请求。
吉林省高级人民法院再审审理查明的事实除与一、二审判决认定的事实相同外，另查明，大经路支行提交的张某丹名下尾号为3×××的借记卡操作明细（后台数据）中2015年2月2日交易记录载明，“transname”（注：交易名称）项下显示为“动态密码发送短信挑战”。“username”（注：用户名）项下显示为“NOUSERNAME”（注：非用户名），其余登录记录均显示为“张某丹”。“usercerttype”（注：认证介质类型）项下显示为空白，其余登录记录均显示为“4”（注：电子密码器）。“custmac”（注：用户终端设备物理地址）项下显示为空白。2015年2月2日，张某丹名下尾号为3×××的借记卡转账的收款方为中国工商银行股份有限公司陕西省宝鸡市岐山县支行发放的借记卡（尾号为0×××，户名为李某），并在到账后即时转出。当时，李某名下该借记卡共收到8笔金额不等的转账汇款，其中包括张某丹名下尾号为3×××的借记卡转入的66037元，全部款项即时被转出。李某名下该卡自2014年12月10日至2015年2月9日多次出现上述现象，即同日内多次收到不同来源汇款后立即全额转出。电子银行操作地点为香港。本案争议转账交易发生后，大经路支行工作人员分两次共计借款给张某丹2.3万元，张某丹向工作人员个人出具了借条。
吉林省高级人民法院再审认为：1.关于大经路支行对张某丹尾号为3×××的银行卡内66037元及相应利息是否负有赔偿义务的问题。（1）关于争议所涉2015年2月2日转账交易是否张某丹本人操作的问题。《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十二条规定：“一方当事人在法庭审理中，或者在起诉状、答辩状、代理词等书面材料中，对于己不利的事实明确表示承认的，另一方当事人无需举证证明。对于涉及身份关系、国家利益、社会公共利益等应当由人民法院依职权调查的事实，不适用前款自认的规定。自认的事实与查明的事实不符的，人民法院不予确认。”据大经路支行一审诉讼时提交的张某丹名下尾号为3×××号的借记卡操作明细（后台数据）中2015年2月2日交易记录载明，“transname”（注：交易名称）、“username”（注：用户名）、“usercerttype”（注：认证介质类型）、“custmac”（注：用户终端设备物理地址）等信息项均显示异常。大经路支行一审诉讼时提交的“情况说明”证实，本案争议转账交易的收款方借记卡存在短期内转入转出频繁、电子银行操作地点显示为香港。结合前述交易记录中用户名项下显示为“非用户名”、认证介质类型项下显示为空白、用户终端设备物理地址项下显示为空白等诸多异常现象，以及张某丹于争议转账交易发生后翌日即向长春市公安局南关分局清明街派出所报警情况，可以认定争议转账交易并非张某丹本人操作。大经路支行在向吉林省长春市中级人民法院提交的上诉状中陈述，本案起因系张某丹借记卡内现金被不明原因取走，张某丹应当向犯罪嫌疑人追偿。据此，本案争议转账交易符合银行卡盗刷的基本特征，故对大经路支行关于争议转账交易是张某丹本人操作的主张，法院不予支持。（2）关于大经路支行是否应承担赔偿责任的问题。《储蓄管理条例》第三条规定：“本条例所称储蓄是指个人将属于其所有的人民币或者外币存入储蓄机构，储蓄机构开具存折或者存单作为凭证，个人凭存折或者存单可以支取存款本金和利息，储蓄机构依照规定支付存款本金和利息的活动。任何单位和个人不得将公款以个人名义转为储蓄存款。”本案中，张某丹在大经路支行开立账户并领取借记卡，双方之间形成储蓄存款合同关系，符合《中华人民共和国合同法》第一百二十四条“本法分则或者其他法律没有明文规定的合同，适用本法总则的规定，并可以参照本法分则或者其他法律最相类似的规定”规定的无名合同的特征，双方行为应由合同法予以规范，双方应当按照约定履行义务，并承担法定义务。《中华人民共和国商业银行法》第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”据此，商业银行对形成储蓄存款合同关系的储户（持卡人）的存款负有法定的安全保障义务，应当保障储户账户内资金安全。储蓄存款合同交易的电子化方式要求商业银行采取更为严格的技术保障措施，商业银行作为专业金融机构应当采取技术措施确保交易环境的安全。且根据收益与风险相一致的原则，商业银行作为从电子交易的风险中获得经济利益的一方，应当负有制止危险的义务。电子银行交易系统是由商业银行单方面组织设计开发并负责维护的，储户（持卡人）从未也不可能参与其中的任何环节。因此，从根本上防范和控制银行卡欺诈风险，必须而且只能依靠发卡行积极主动地通过不断提高技术和管理水平增强抗击银行卡违法犯罪行为的能力。如果将防范和控制银行卡欺诈风险的责任完全或主要寄希望于持卡人严守密码上，而商业银行方面作为主导方却可以“存在技术风险”和“凭密交易视同本人操作”等为由推卸本应承担的安全保障义务，这不但给持卡人非法强加了其无力承担的不合理责任，更不利于整体银行业的高效、安全运行和良性发展。本案中，大经路支行作为争议所涉借记卡的发卡行及特定电子交易技术和操作平台的提供方、运营方和维护方，应当承担保障储户账户内资金安全的法定义务，保证电子银行系统对银行卡欺诈行为的识别及防范的有效性。本案争议所涉借记卡在明显存在信息异常的情况下，大经路支行仍然对该操作确认正确并进行转账，而未及时采取中止交易、电话确认等临时安全措施，充分证明大经路支行在对电子交易登录终端设备、登录用户身份等关键信息的真伪识别、监控和临时处置等方面存在技术漏洞。大经路支行在储蓄存款合同履行过程中存在未尽到安全保障义务的违约行为，给张某丹造成了经济损失，依法应当承担相应的赔偿责任。（3）关于举证责任分配的问题。《中华人民共和国合同法》第一百零七条规定：“当事人一方不履行合同义务或者履行合同义务不符合约定的，应当承担继续履行、采取补救措施或者赔偿损失等违约责任。”在借记卡盗刷案件中，因商业银行与储户之间形成的是储蓄存款合同关系，商业银行承担责任的性质是违约责任。《中华人民共和国合同法》第一百零七条规定在违约责任归责原则上确立了严格责任原则，违约责任以不履行或不适当履行合同为构成要件，违约方主观上有无过错，不影响违约责任的承担。在储蓄存款合同中，商业银行在承担违约责任时可依照《中华人民共和国合同法》第一百二十条关于“当事人双方都违反合同的，应当各自承担相应的责任”的规定，主张减轻责任。如果商业银行能够举证证明储户存在未尽到对银行卡的合理使用和妥善保管义务（如泄露密码）等情形，即可根据储户的过错比例相应减轻商业银行的责任。本案中，大经路支行未提交任何证据证实张某丹就争议所涉尾号为3×××的借记卡存在未合理使用或未妥善保管的情形，并于法院再审庭审时陈述张某丹就争议转账交易无过错，依照《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条关于“当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。在作出判决前，当事人未能提供证据或者证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果”的规定，大经路支行未能尽到举证责任，依法应当承担全部违约责任。据此，对张某丹关于大经路支行应予赔偿其名下尾号为3×××的银行卡内存款66037元及相应利息的主张，法院予以支持。2.关于张某丹主张误工费1000元的问题。《中华人民共和国合同法》第一百一十二条规定：“当事人一方不履行合同义务或者履行合同义务不符合约定的，在履行义务或者采取补救措施后，对方还有其他损失的，应当赔偿损失。”据此，大经路支行应当赔偿张某丹因争议转账交易而受到的全部损失。张某丹虽然主张其因本案纠纷存在误工费损失1000元，却未能提交证据证明其因处理本案纠纷而实际减少的收入数额。故依照《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条之规定，对张某丹的该项主张，法院不予支持。综上所述，张某丹的再审事由符合法律规定，再审请求成立。
吉林省高级人民法院依照《中华人民共和国合同法》第一百零七条、第一百一十二条、第一百二十条、第一百二十四条，《中华人民共和国商业银行法》第六条，《中华人民共和国民事诉讼法》第一百七十条第一款第（二）项、第二百零七条第一款，《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第四百零七条第二款之规定，判决如下：
一、撤销吉林省长春市中级人民法院（2015）长民四终字第652号民事判决和吉林省长春市南关区人民法院（2015）南民初字第591号民事判决；
二、中国工商银行股份有限公司长春大经路支行于本判决生效后立即赔偿张某丹存款66037元及利息（自2015年2月3日起按中国工商银行股份有限公司同期活期存款利率计算至本判决生效之日止）；
三、驳回张某丹的其他诉讼请求。
【法官后语】
商业银行对形成储蓄存款合同关系的储户的存款负有法定的安全保障义务，应当保障储户账户内资金安全。储蓄存款合同交易的电子化方式要求商业银行采取更为严格的技术保障措施，商业银行作为专业金融机构应当采取技术措施确保交易环境的安全。电子银行交易系统是由商业银行单方面组织设计开发并负责维护的，要想从根本上防范和控制银行卡欺诈风险，只能依靠发卡行积极主动通过不断提高技术和管理水平增强抗击银行卡违法犯罪行为的能力。如果将防范和控制银行卡欺诈风险的责任完全归结到储户严守密码上，而商业银行方面作为主导方却可以认为尽到“凭密交易视同本人操作”等格式条款的告知义务为由推卸本应承担的安全保障义务，不但会给储户非法强加其无力承担的不合理责任，更不利于整体银行业的高效、安全运行和良性发展。
本案中，大经路支行作为争议所涉借记卡的发卡行及电子交易操作平台的提供方、运营方、维护方，应当承担保障储户账户内资金安全的法定义务，保证电子银行系统对银行卡欺诈行为的识别及防范的有效性。本案争议所涉借记卡在明显存在信息异常的情况下，大经路支行仍然对该操作确认正确并进行转账，未及时采取中止交易、电话确认等临时安全措施，充分证明大经路支行在对电子交易登录终端设备、登录用户身份等关键信息的真伪识别、监控和临时处置等方面存在技术漏洞，故大经路支行应当赔偿原告的经济损失。
编写人：吉林省长春市南关区人民法院 张蕾