（一）首部

1.判决书字号：一审：北京市朝阳区人民法院（2013）朝民初字第23554号判决书。
二审：北京市第三中级人民法院（2014）三中民终字第05079号判决书

2.案由：储蓄存款合同纠纷

3.诉讼双方
原告（被上诉人）汪某，女。
委托代理人刘晓光，北京市国汉律师事务所律师。
被告（上诉人）中国工商银行股份有限公司北京九龙山支行，住所地北京市朝阳区广渠路甲40号。
负责人李某1，行长。
委托代理人李某2，女。

4.审级：二审。

5.审判机关和审判组织
一审机关：北京市朝阳区人民法院。
合议审判：审判长李方，人民陪审员付朝晖、张淑云。
二审机关：北京市第三中级人民法院
合议审判：审判长咸海荣、代理审判员周熙娜、代理审判员王占维。

6.审结时间： 2014年5月20日。

（二）诉辩主张

1.原告汪某诉称：
2011年汪某在工行九龙山支行处开立个人结算账户，并申请了银行卡1张（卡号X）。
2012年8月17日，汪某得知其本人上述账户仅剩25.78元，无故缺少114 257元。经查询，汪某的上述银行卡于2012年8月17日在广东省湛江市被人盗支并转账114 000元，另产生257元异地跨行转账手续费。后汪某要求工行九龙山支行返还114 257元存款及利息时，工行九龙山支行予以拒绝。故汪某诉至法院，要求判令工行九龙山支行返还存款114 000元、支付手续费257元及利息（自2012年8月17日至实际返还之日止，按中国人民银行同期活期存款利率的标准计算），并承担本案诉讼费。

2.被告工行九龙山支行辩称：
基于储蓄合同关系，工行九龙山支行不存在违约行为；若本案涉及刑事犯罪，应将本案移送公安机关。综上，不同意汪某的诉讼请求。

（三）事实和证据
北京市朝阳区人民法院经公开审理查明：为开立理财金账户卡，汪某在工行九龙山支行处填写个人客户业务申请书。其中账户申请处开通自助设备对外转账、开通自助设备取现、开通pos消费和转账处均勾划了"是"。2011年9月22日，汪某开立银行卡，卡号为X。其中《个人银行结算账户管理协议》约定，汪某自愿选择在工行九龙山支行处开立人民币个人银行结算账户，或自愿将本人已经开立的人民币活期储蓄存款账户转为个人银行结算账户。对于预留密码的账户，凡使用正确密码进行的交易均视为本人行为，客户应妥善保管账户介质、密码、印鉴、本人有效身份证件及有关业务凭证等，因甲方保管不善造成的损失由甲方自行承担。
开立账户后，2012年8月17日，卡号为X的银行卡在北京宜家家居有限公司消费了520.6元。对于该笔消费，汪某表示为POS机消费，时间大概为2012年8月17日晚9点半左右。对于该笔消费时间，工行九龙山支行予以认可。当晚11点55分、次日零点9分，该卡被一名男子在广东省湛江市分别通过ATM转账5万元、2.4万元；通过ATM机7次取款5000元、2次取款2000元、1次取款1000元；共产生手续费257元。
2012年8月18日0时，汪某向北京市公安局朝阳分局平房派出所报案，称在案发地银行卡里114 000元被取走。2012年8月28日，北京市公安局朝阳分局决定以信用卡诈骗案立案侦查。
诉讼中，本院前往北京市公安局朝阳分局平房派出所调取了事发时的录像，录像显示一名男子取走了涉案款项。汪某表示并不认识录像中的男子且银行卡的密码只有其本人知晓。工行九龙山支行则表示该录像中未能显示银行卡的卡面，不能辨别该男子持有的是真实的银行卡还是伪卡，且无法判断取款男子与汪某是否有关联。
上述事实有下列证据证明：
1. 借记卡；
2. 历史明细清单；
3. 北京市公安局接受案件回执单；
4. 情况说明；
5. 法院调取的录像。

（四）判案理由
北京市朝阳区人民法院经审理认为：汪某向工行九龙山支行申请开立账户，工行九龙山支行同意为汪某办理上述业务，双方之间建立了储蓄存款合同关系，该合同关系系双方当事人的真实意思表示，亦不违反法律、行政法律的强制性规定，应属合法有效。
《中华人民共和国商业银行法》第六条规定："商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。"《中华人民共和国合同法》第六十条第二款规定："当事人应当遵循诚实信用原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务。"本案在汪某与工行九龙山支行之间存在真实有效的储蓄存款合同关系的情况下，工行九龙山支行应保障储户的存款安全，其中包括对储户信息安全保障义务，即银行首先要对所发的银行卡本身的安全性予以保障，防止储户信息、密码等信息数据被轻易盗用，其次银行应保证其服务场所、系统设备安全适用。
工行九龙山支行之所以必须履行上述合同义务，首先是基于合同交易方式电子化的要求，通过银行提供的机器，只要输入了储户的信息和密码，机器就视作储户本人在进行交易，即使该信息和密码是盗取的也无从识别，因此银行对储户资金支付安全的保障义务就应当相应扩张至对储户信息和密码的保障；其次是从收益和风险相一致的要求看，电子化交易下，银行避免了对取款人身份的书面审查，但从经济上获取收益，因此对潜在的风险及危险的发生负有防范和制止义务；再次是银行作为经营者对自己的服务设施、设备的性能和服务场所的安全情况比储户更多的了解，也具有更加强大的力量和更为专业的知识，更能预见可能发生的危险和损害，更有可能采取必要的措施防止危险的发生。
根据本案查明的事实，汪某在案发当晚9点半左右在北京进行了刷卡消费，该卡在2个小时之后在广东省湛江市被一男子进行了取款和转账操作。现没有证据证明汪某与该男子恶意串通损害工行九龙山支行的利益，且从时间上来看，汪某不可能在2个小时左右的时间从北京赶至广东省湛江市。综上，故汪某持有的作为储蓄合同凭证的真借记卡并没有进行取款和转账操作，而是犯罪嫌疑人利用伪造复制的卡片，在ATM机刷卡使用，表明该借记卡不具有唯一的可识别性，从一个侧面证明了银行卡系统存在一定的安全隐患，主要是指银行卡背面的磁条信息容易被复制的安全隐患。故本院认为工行九龙山支行在合同履行过程中存在未尽到安全保障的违约行为。
根据我国合同法在违约责任规则原则上采取的严格责任原则，不论违约的当事人主观上有无过错，只要不是依照合同约定或者法律规定可以免责的事由，就必须承担违约责任。现工行九龙山支行并没有充分证据证明汪某对其持有的借记卡没有妥善保管或合理使用，因此其主张汪某没有尽到妥善管理借记卡和密码义务所产生的损失应自行承担，缺乏事实和法律依据。故工行九龙山支行应当赔付汪某因此而造成的所有损失。汪某要求工行九龙山支行赔付存款损失、手续费损失及利息损失的诉讼请求，应当予以支持。

（五）定案结论
北京市朝阳区人民法院依照《中华人民共和国合同法》第六十条第二款、第一百零七条之规定，作出如下判决：
被告中国工商银行股份有限公司北京九龙山支行于本判决生效之日起十日内赔偿原告汪某存款损失十一万四千元、手续费损失二百五十七元及利息（自二〇一二年八月十七日起至实际赔付之日止，以十一万四千二百五十七元为基数，按中国人民银行同期活期存款利率的标准计算）
案件受理费二千五百八十六元，由中国工商银行股份有限公司北京九龙山支行负担（于本判决生效之日起七日内交纳）。

（六）二审情况
一审判决后，工行九龙山支行上诉，北京市第三中级人民法院认为，根据《中华人民共和国商业银行法》第六条规定："商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。"第二十九条第一款规定"商业银行办理个人储蓄存款业务，应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则"。本院认为，银行对储户存款具有安全保障义务，其中包括对储户信息安全保障义务，即银行首先要对所发的银行卡本身的安全性予以保障，防止储户信息、密码等信息数据被轻易盗用，其次银行应保证其服务场所、系统设备安全适用。因此，工行九龙山支行为汪某提供借记卡服务，就应确保该借记卡内的数据信息不被非法窃取并加以使用。银行卡是储户和银行之间储蓄合同的有效凭证，银行作为储蓄凭证的发证机构，也是经营存贷储蓄业务的金融企业，掌握或应当掌握银行卡的制作技术和加密技术，具备识别真伪的技术能力和硬件设施，故应当承担对银行卡真伪的实质审查义务。银行的ATM机代表银行进行交易，应视为银行的行为。工行九龙山支行作为银行借记卡的发卡行及相关技术、设备和操作平台的提供者，理当承担伪卡的识别义务。伪卡盗刷行为的发生说明工行九龙山支行制发的借记卡信息存在被复制的安全隐患以及交易系统无法识别伪卡的技术缺陷，汪某对此亦无过错，故工行九龙山支行应当承担由此造成的损失。
其次，工行九龙山支行对汪某负有全面履行储蓄存款合同的义务。根据储蓄存款合同的性质，工行九龙山支行负有按照汪某的指示，将存款依约支付给汪某或者汪某指定的代理人，并保证汪某借记卡内存款安全的义务。汪某提起本案诉讼的请求权基础是储蓄存款合同关系，合同具有相对性，故即使案外人存在刑事犯罪或者民事过错，也应由工行九龙山支行承担违约责任后，依法向刑事犯罪或者民事过错方进行追偿。
最后，工行九龙山支行应对汪某对于密码泄露是否具有过错负有举证责任。工行九龙山支行辩称，汪某对泄露交易密码存在过错。但鉴于第三方如何获得交易密码进行交易的具体情节并未查明，现工行九龙山支行并没有充分证据证明汪某对其持有的借记卡没有妥善保管或合理使用，因此其称汪某没有尽到妥善管理借记卡和密码义务所产生的损失应自行承担的主张缺乏事实和法律依据，故工行九龙山支行就此应承担举证不能的法律后果。虽然根据工行九龙山支行借记卡章程规定，凡使用密码进行的交易，发卡银行均视为持卡人本人所为。但该规则适用的前提是当事人持真实的借记卡进行消费。因此，工行九龙山支行在没有证据证明汪某存在违约或违法犯罪情形的前提下，应承担资金损失。
北京市第三中级人民法院维持了一审判决。

（七）解说
近年来，银行盗刷卡案件频发，储户起诉银行要求赔偿损失的案件量也在增加，而各地法院对于此类案件的事实认定标准和裁判理论却不太统一。因储户在发现被盗刷后往往会到派出所报案，而刑事侦查很难在短期内有结论，故有的法院会以涉刑为由裁定驳回原告的起诉；有的法院以无法认定非本人操作为由判决驳回原告的起诉；有的法院判决银行赔偿盗刷全部或部分损失，但对盗刷期间的利息不予支持；有的法院在认定储户在保管密码方面是否有过错认定标准不一。
可以说，每个案件的具体情况不一，而法院也是经历了充分的调研之后，对盗刷卡案件形成了较为成熟的审判思路。在事实认定和法律适用方面，有了统一的看法。
一、盗刷卡案件是否适用"先刑后民"？"先刑后民"的适用依据是最高人民法院1998年颁布的《关于在审理经济纠纷案件中涉及经济犯罪嫌疑若干问题的规定》，刑事案件与民事案件涉及同一法律关系，且后者必须以前者的审理结果为依据。目前学界与司法实务界已达成共识，盗刷卡民事案件虽与公安机关立案侦查的银行卡诈骗案有牵连，但两者所涉法律关系性质并不相同，如何追究实施盗刷犯罪的犯罪嫌疑人责任与民事的储蓄存款合同纠纷无关，故盗刷卡民事案件无需等到刑事案件处理完毕。另外，根据最高人民法院《关于银行储蓄卡密码被泄露导致存款被他人骗取引起的储蓄合同纠纷应否作为民事案件受理问题的批复》，此类案件人民法院应当受理。从审判实践中与公安的沟通结果来看，大多数银行卡诈骗类案件均无法在短期内侦破，即使抓获犯罪嫌疑人，也很难追回相应款项。故从保障储户利益的角度出发，法院也不应采取向公安机关移送案件、裁定驳回起诉的做法。
二、如何认定盗刷事实？
盗刷卡，即伪卡交易的认定，是发卡行承担责任的前提条件。在审判实践中，存在多种伪卡交易的形式，包括异地ATM机取款，大额POS机交易、商场买卖交易等。
如果是ATM取款的形式，法院应及时调取盗刷当地ATM机的录像，或通过刑事报案的公安机关联系盗刷当地公安机关调取ATM机监控录像。通过卡片颜色比对、取款人员比对，甄别是否为伪卡交易。
如果是POS机交易或商场交易，都会打印出银联单要求持卡人签名。在案件审理中要求银行提供相应单据，比对储户本人签名，也可以印证是否为伪卡交易。
另外，可综合盗刷发生时储户所在地、储户报案和挂失的时间、盗刷前后储户本人最近一次取款或交易的时间及地点、储户在报案或起诉时的陈述来判定案件是否系盗刷卡交易。
三、银行是否能以"凭密交易"而免责？
在诉讼中，银行都会答辩在申请开卡时储户签订的"开户申请"中有明确约定"对于预留密码的账户，凡使用正确密码进行的交易均视为本人行为，客户应妥善保管账户介质、密码、印鉴、本人有效身份证件及有关业务凭证等，因甲方保管不善造成的损失由甲方自行承担。"即我们通常所说的"凭密交易视为本人操作，银行免责。"就此法院认为，开户申请是银行预告单方设定的格式性文件，并未与储户协商，其上述内容系免责条款，不应对储户当然发生效力。
四、 关于储户是否尽到妥善保管密码的义务，举证责任分担。
目前高科技犯罪猖獗，完全由储户举证，既不经济也不公平。犯罪嫌疑人采用在ATM机附近安装针孔摄像头、在ATM机上安装读卡器等方式，令储户无从防范。如果证据中未能显示是储户保管不善，则将举证责任更多地分担给银行。
五、盗刷卡事实认定后，相应损失由谁承担？
磁条卡由于技术简单，信息易复制，本身就存在极大的隐患，而近年来多发的盗刷卡案件也印证了这一点。而商业银行出于成本等方面考虑，一直未全面推行芯片卡，
《商业银行法》第六条规定："商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。"《合同法》第六十条第二款规定："当事人应当遵循诚实信用原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务。"储户与银行之间存在真实有效的储蓄存款合同关系的情况下，银行应保障储户的存款安全，其中包括对储户信息安全保障义务，即银行首先要对所发的银行卡本身的安全性予以保障，防止储户信息、密码等信息数据被轻易盗用，其次银行应保证其服务场所、系统设备安全适用。
银行之所以必须履行上述合同义务，首先是基于合同交易方式电子化的要求，通过银行提供的机器，只要输入了储户的信息和密码，机器就视作储户本人在进行交易，即使该信息和密码是盗取的也无从识别，因此银行对储户资金支付安全的保障义务就应当相应扩张至对储户信息和密码的保障；其次是从收益和风险相一致的要求看，电子化交易下，银行避免了对取款人身份的书面审查，但从经济上获取收益，因此对潜在的风险及危险的发生负有防范和制止义务；再次是银行作为经营者对自己的服务设施、设备的性能和服务场所的安全情况比储户更多的了解，也具有更加强大的力量和更为专业的知识，更能预见可能发生的危险和损害，更有可能采取必要的措施防止危险的发生。犯罪嫌疑人利用伪造复制的卡片，在ATM机刷卡使用，表明该借记卡不具有唯一的可识别性，从一个侧面证明了银行卡系统存在一定的安全隐患，主要是指银行卡背面的磁条信息容易被复制的安全隐患。故银行在合同履行过程中存在未尽到安全保障的违约行为。
由银行承担能更好地真正保护原告作为金融消费者的合法权益，同时也有利于促进整个银行卡业务的良性健康发展。
（程惠炳）