最高法指导案例：徐欣诉招商银行股份有限公司上海延西支行银行卡纠纷案

 最高法指导案例

徐欣诉招商银行股份有限公司上海延西支行银行卡纠纷案

点评人：中国人民大学教授、博士生导师，中国人民大学营商环境多学科交叉平台首席专家 叶林

近年来，随着网络银行的快速发展，网络盗刷案件日益增多。与传统的物理卡交易相比，网络盗刷案件在盗刷的举证及认定方面均有明显不同，认定网络盗刷后风险及责任分担在审理中也存在争议，裁判规则不统一。169号指导案例厘清了此类案件的审理思路和裁判规则，对以合同为请求权基础的网络盗刷类案件的审理，具有参考价值，与最高人民法院于2021年5月25日发布施行的《关于审理银行卡民事纠纷案件若干问题的规定》的精神也是完全一致的。

一、在存在盗刷的情况下，信息验证通过的单一事实不足以证明银行已履行合同义务

商业银行在履行储蓄存款合同中，应当采取合理措施，正确识别银行卡使用人是否为持卡人本人或经其授权的人，在诉讼中，应当举证其已向持卡人本人或经授权的人履行了合同义务，否则，应当认定债务人违约并承担违约责任。与物理卡交易不同，银行在从事银行卡网络交易中，无法仅凭借银行卡直接验证使用人的身份，必须通过卡号、登录及交易密码、动态验证码等，识别持卡人身份与使用人信息的一致性，才能核实存款人或客户的身份。一般来说，银行一旦证明上述信息已经验证通过，可推定银行已适当履行合同义务。然而，如果持卡人举证证明相关交易系他人冒用持卡人名义、使用持卡人网络交易身份认证信息所为，该交易并非基于持卡人本人的意思进行，则可推翻上述推定。本案即因案外人非法获取被上诉人的身份和账户信息后，通过使用变号转件方式截获银行发送的验证码，进而完成盗刷。徐欣是持卡人，却不是使用人。商业银行在通过网银向持卡人提供服务时，应当采用必要且合理的措施，确认银行卡使用人即为持卡人或其授权之人。招商银行延西支行仅以验证通过为由主张其已适当履行义务，不能成立。

二、银行负有确保银行卡安全使用的义务

银行卡是存款人财产权利的载体，表彰的是存款人的合法权益。按照《中华人民共和国商业银行法》第六条规定，“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”，据此规定，银行承担了确保存款人合法权益的义务。《电子银行业务管理办法》第三十八条进一步规定，“金融机构应当采取适当的加密措施和采取适当的技术、识别与验证使用电子银行服务客户的真实、有效身份”。商业银行作为专业金融机构，可以向持有物理卡的人提供金融服务，也可以通过网银向持卡人提供金融服务。一旦持卡人选择网银服务模式，商业银行即应向其提供与物理卡持卡人相同或相似的保护，不应降低网银交易的服务水平。

存款人款项存入银行并开通网银服务，说明存款人对商业银行及所开展之网络服务的信任。商业银行作为借记卡的发卡行及相关技术、设备和操作平台的提供者，应当对交易机具、交易场所加强安全管理，对各项软硬件设施及时更新升级，以最大限度地防范资金交易安全漏洞。尤其是，随着电子银行业务的发展，商业银行既是电子交易系统的开发、设计、维护者，也是电子交易的获利者，相较于持卡人,商业银行更有能力采取措施防范风险和解决问题。例如，发卡行可以通过发布警示案例，告知持卡人相应的风险隐患，还可以通过引入保险机制，分散相应的风险。再如，发卡行还可以通过升级软件硬件等技术保障措施，增强防范银行卡违法犯罪行为的能力。发卡行在从事网银服务时，应当承担保证银行卡安全使用的特殊义务

三、第三人原因导致银行违约的，不是银行免责的合法事由

本案中，招商银行延西支行还提出，徐欣账户被盗刷是由于犯罪行为所致，手机运营商在涉案事件中亦存在过错，招商银行延西支行不应承担民事责任。该主张的核心是，银行不应对第三人原因造成的损失负责，应由存款人自行承担资金损失的风险。这种主张显然缺少说服力。

《民法典》第593条（原《合同法》第121条）规定，当事人一方因第三人的原因造成违约的,应当依法向对方承担违约责任。当事人一方和第三人之间的纠纷,依照法律规定或者按照约定处理。换言之，商业银行在履行储蓄存款合同中，应当向存款人履行约定的义务，若因第三人的原因造成其违约的，商业银行可以依照法律规定或者约定追究第三人的责任。《商业银行法》第33条也有类似规定。而且，将银行卡欺诈的风险分配给银行，有助于督促商业银行积极采用合理措施，降低银行卡盗刷的风险。银行不仅可以主动提升网银服务的技术水平，还可以与手机运营商协调相互之间的关系，甚至可以向保险公司购买保险，更好地履行保护存款人利益的法定义务。

四、银行未举证证明储户违反信息保管义务的，应当承担损失赔偿责任

根据法律规定，当事人都违反合同的，应当各自承担相应的责任。当事人一方违约造成对方损失，对方对损失的发生有过错的，可以减少相应的损失赔偿额。在储蓄存款合同中，发卡行负有向持卡人提供安全的用卡环境的义务，持卡人负有妥善保管银行卡卡号、密码等银行卡信息的义务。持卡人未尽到妥善保管银行卡信息的义务，构成持卡人过错，可以减轻甚至免除发卡行的责任。

本案中，招商银行延西支行提出，取款密码是持卡人徐欣自行设置的，因此徐欣自身存在泄露信息的过错。然而，招商银行延西支行此项意见是推测性的。一方面，持卡人有保护自身利益的动力，几乎不存在主动向他人泄露持卡人个人信息的情况，现有证据说明信息泄露并非徐欣自己所为。另一方面，存款人是密码的设置人，当然知晓取款密码，却并非唯一知晓密码的人。银行在提供金融服务时，至少应该且能够识别使用人发出的取款或转款指令。本案的核心是，招商银行延西支行仅凭验证码来识别使用人身份，而没有采用其他合理措施识别使用人是否是持卡人。

综上，商业银行在利用计算机和通讯系统向存款人提供服务时，应当尽力提高网络交易系统的安全性。既要采用合理技术措施，尽力准确识别银行卡使用人的真实身份，又要加强与手机运营商等主体的协调，提高网银交易系统的安全性，不应将其不当行为的后果转嫁给持卡人或存款人。银行仅以手机运营商存在疏漏为由，尚不足以证明其自身尽到合同义务，也不足以证明持卡人未尽到注意义务或存在过错。徐欣账户资金遭网络盗刷，在没有证据证明徐欣存在违约行为等可归责事由的情况下，招商银行延西支行对冒名者的付款行为不能产生清偿的效果，仍应当就被盗刷的款项对徐欣承担全部支付责任。