储户应与银行共担银行卡信息和密码泄露风险
——雷某根诉中国农业银行股份有限公司安福县支行储蓄存款合同案
【案件基本信息】
1.裁判书字号
江西省吉安市中级人民法院（2016）赣08民终字第993号民事判决书
2.案由：储蓄存款合同纠纷
3.当事人
原告（被上诉人）：雷某根
被告（上诉人）：中国农业银行股份有限公司安福县支行（以下简称农行安福支行）
【基本案情】
2012年6月21日，被告农行安福支行向原告发放了一张银行卡，卡号为：6228482311325096×××。2015年11月28日，原告在该卡上的存款金额为42880.71元。2015年11月29日23时56分至2015年11月30日0时20分，原告连续收到手机短信，提示该银行卡被提取现金40000元，加上手续费214元，账户资金共减少40214元。2015年11月30日0时22分，原告电话联系被告工作人员申请挂失；0时37分，原告拨打110向公安机关报案；1时1分，原告至被告营业部ATM机上确认该银行卡是否已被挂失时，银行卡被吞。后经公安机关侦查，该银行卡上的40214元是被人在江西省上饶市鄱阳县邮政银行的ATM机及中国银行的ATM机上取现，取款人采用了伪装手段，无法辨认。原告多次与被告协商赔偿之事，未果，遂诉至法院。
【案件焦点】
储户是否应对伪卡盗取中涉案银行卡信息和密码泄露与银行共担风险承担违约责任。
【法院裁判要旨】
江西省吉安市安福县人民法院经审理认为：原告雷某根与被告农行安福支行所形成的储蓄存款合同关系，合法有效。根据《中华人民共和国商业银行法》第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”第二十九条第一款规定：“商业银行办理个人储蓄存款业务，应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。”依据上述法律规定，银行对储户存款具有安全保障义务，其中包括对储户信息安全保障义务，即银行首先要对所发的银行卡本身的安全性予以保障，防止储户信息、密码等信息数据被轻易盗用；其次银行应保证其服务场所、系统设备安全使用。因此，被告为原告提供借记卡服务，理应确保该银行卡内的数据信息不被非法窃取并加以使用。银行卡是储户和银行之间储蓄合同的有效凭证，银行作为储蓄凭证的发证机构，也是经营存贷款业务的金融企业，应当掌握银行卡的制作技术和加密技术，具备识别真伪的技术能力和硬件设施，故应当承担对银行卡真伪的实质审查义务。
本案中原告的真实借记卡在江西省吉安市安福县，却被他人利用伪卡在江西省上饶市鄱阳县盗刷取现，说明被告提供的银行卡存在被复制的安全隐患以及交易系统无法识别伪卡的技术缺陷，故被告应当承担由此造成的损失。被告辩称，借记卡章程约定的“……凡密码相符的借记卡交易均视为持卡人本人的合法交易……”本案原告借记卡取款行为是正常的银行取款交易。即使本案原告存款是被犯罪分子支取的，也是因为原告未妥善保管好自己的借记卡信息及密码导致的，应当由原告承担违约责任。法院认为，借记章程的该项约定适用的前提应是取款人持真实银行卡的情况下，凡密码相符的交易可视为持卡人本人的合法交易。但本案中，取款人是使用的伪卡进行取款，并非使用真实的银行卡，且被告无证据证明原告与取款人间存在串通的违法犯罪行为，故被告不能据此免除自己的违约责任。
对于被告提出的“先刑后民”的问题，法院认为，本案系原告与被告基于储蓄存款合同而产生的经济纠纷，与案外人涉嫌的刑事犯罪不属于同一法律关系。本案的处理也不以相关刑事案件的处理结果为前提，虽然公安机关在受理了原告的报案后至今尚未结案，但这并不能排除被告应当依据双方的储蓄存款合同对储户尽到保障其银行卡内资金安全的合同义务。
江西省吉安市安福县人民法院依照《中华人民共和国合同法》第六十条、第一百零七条、第一百二十一条，《中华人民共和国商业银行法》第六条、第二十九条第一款，《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条之规定，判决：
被告中国农业银行股份有限公司安福县支行应于本判决发生法律效力之日起三日内赔偿原告雷某根存款损失40214元及利息（以40214元为基数，自2015年11月30日起按照年利率0.3%计算至实际赔偿之日）。
农行安福县支行上诉。江西省吉安市中级人民法院经审理认为，本案的争议焦点为：上诉人农行安福支行应否对被上诉人雷某根借记卡内被盗取的存款40214元及其存款利息承担全部赔偿责任？被上诉人雷某根在上诉人农行安福支行开立账户并办理金穗借记卡，使用该卡存、取款，双方之间依法成立储蓄存款合同关系，对于账户内资金的安全均应承担相应责任。在正常的取款交易中，银行卡的真实性和密码的唯一性是交易能够完成的缺一不可的两个条件。由于密码系由储户设定，故储户应负妥善保管密码并保证密码不被泄露的义务。银行作为国家批准经营存、贷款业务的专业金融机构，负有按约给付存款本息、保障客户存款安全的义务。被上诉人雷某根在收到手机短信提醒，发现账户内资金发生异常交易后即拨打中国农业银行股份有限公司95599客服电话挂失，随后拨打110电话报警，手机通话记录显示其拨打上述电话时在吉安市范围内，案涉银行卡在被上诉人雷某根到上诉人农行安福支行的ATM机上确认是否已挂失时被吞，足以证明银行卡内存款被取走时被上诉人雷某根在江西省吉安市安福县境内，也未将案涉银行卡交给他人使用。涉案账户虽然开通了网上银行，但经公安机关立案侦查后已查明系他人采用伪装手段，在江西省上饶市鄱阳县邮政银行的ATM机及中国银行的ATM机上取现，因此可以排除诉争交易系被上诉人雷某根通过网上银行交易的可能。依据经验法则及民事证据高度盖然性规则，可认定被上诉人雷某根的案涉借记卡内存款是被不法分子使用伪卡进行盗取。在双方均无证据证明对方在案涉借记卡信息和密码泄露方面存在过错的情况下，鉴于案涉借记卡由被上诉人雷某根持有，借记卡密码也由被上诉人雷某根设定和保管，故被上诉人雷某根应该在借记卡信息或密码泄露方面承担一定责任。上诉人农行安福支行作为发卡行，系案涉借记卡的信息技术、用卡平台的提供者，其有义务向持卡人提供具有较高防伪技术的借记卡，正确识别真伪银行卡，防止发生伪卡盗刷，维护储户的合法权益。案涉借记卡被复制，说明上诉人农行安福支行提供的银行卡防伪技术不足以防范不法分子制作伪卡；伪卡能够在ATM机上成功取款，说明该自助终端未能识别伪卡。因此，相对普通持卡人的雷某根而言，上诉人农行安福支行对案涉借记卡被伪造并成功盗取卡内存款应承担更大责任。本案不具有中止诉讼的法定情形，故法院对上诉人农行安福支行要求中止审理的主张不予支持。综上所述，上诉人农行安福支行的上诉请求部分成立，法院依法予以改判。
江西省吉安市中级人民法院依照《中华人民共和国民事诉讼法》第一百七十条第一款第（二）项规定，判决如下：
变更江西省吉安市安福县人民法院（2015）安民二初字第508号民事判决为：被告中国农业银行股份有限公司安福县支行应于收到本判决之日起三日内赔偿原告雷某根存款损失40214元中的80%即32171.2元及其利息（以32171.2元为基数，自2015年11月30日起按照年利率0.3%计算至实际赔偿之日）。
【法官后语】
在双方均无证据证明对方在案涉借记卡信息和密码泄露方面存在过错的情况下，从举证责任角度去分配损失给任何一方都是有失偏颇的。
储户是银行卡的持有使用人和密码设定、保管人，银行卡的使用过程也由其掌控，将银行卡密码泄露的举证责任全部分配给银行，要求银行举证证明密码是由储户过错泄露的方能减免责任，等于设立了银行对储户使用银行卡及保管密码的全过程进行监控的客观上难以完成的义务，于银行而言明显不公。
同样，因为银行卡技术存在先天的漏洞，银行泄露密码或被黑客攻击获取密码并非完全不可能，事实上银行内部人员从后台盗取数据的情况确有发生过，在这样的现实背景下，将保管银行卡信息和密码义务全部设定给储户，也明显有失公允。此时，从风险与责任相适应的角度出发，引入公平原则适用违约责任条款进行损失分担才是最佳选择。即银行卡的便利性是有益于银行和储户双方的，该便利性所带来的信息安全风险须由银行与储户共同防范，储户作为银行卡的使用者，在其享受便捷交易的同时，应当默认银行卡交易存在固有的客观风险，与银行共担便捷交易背后的信息安全风险。即银行基于其不能识别伪卡有违存款安全保障基本义务应当首先承担主要损失60%的责任，剩余的40%次要责任即银行卡信息和密码泄露责任，在双方均无证据证明对方在案涉银行卡信息和密码泄露方面存在过错的情况下，应由银行与储户共同分担该责任。
编写人：江西省吉安市中级人民法院 彭璇