江西省赣州市中级人民法院民 事 判 决 书（2020）赣07民终1057号上诉人（原审原告）：刘惟明，男，1966年4月3日出生，汉族，住江西省赣州市章贡区。委托诉讼代理人：曾翠云，江西钨都律师事务所律师，一般授权代理。委托诉讼代理人：毛明春，江西钨都律师事务所律师，一般授权代理。上诉人（原审被告）：招商银行股份有限公司赣州分行，住所地：江西省赣州市章贡区红旗大道**。负责人：涂井泉，该行行长。委托诉讼代理人：赖斌，江西明理律师事务所律师，特别授权代理。委托诉讼代理人：杨晓玉，江西明理律师事务所律师，特别授权代理。上诉人刘惟明、招商银行股份有限公司赣州分行（以下简称招行赣州分行）储蓄存款合同纠纷一案,不服江西省赣州市章贡区人民法院（2018）赣0702民初5217号民事判决，向本院提起上诉。本院于2020年3月18日立案后，依法组成合议庭进行了审理。本案现已审理终结。刘惟明上诉请求：1.变更一审判决第一项，改判由招行赣州分行向刘惟明支付存款损失40万元；2.撤销一审判决第二项，改判招行赣州分行向刘惟明支付存款利息（以40万元为基数，自2015年7月23日起至支付完毕之日止的资金占用利息，月利率1%）；3.二审诉讼费、鉴定费全部由招行赣州分行承担。事实和理由：1.一审认定“原告负有保管密码不善之责”缺乏证据支持。对于一般的银行客户而言，保管网银登录密码、支付密码就是不主动告知他人、不授权他人进行网上关联交易即可，否则即负有保管密码不善之责，甚至是与犯罪嫌疑人串通进行诈骗犯罪活动。本案中招行赣州分行未向法庭提供任何证据证明刘惟明告知他人密码或授权他人进行关联交易，因此，一审认定刘惟明负有保管密码不善之责是错误的。刘惟明已妥善保管密码，但嫌疑人仍然通过个人电子证书操作完成，与招行赣州分行风险防范技术不过关有关，嫌疑人通过黑客技术侵入网络，克隆复制客户密码早已屡见不鲜，因此，请二审法院予以纠正并判令招行赣州分行全额赔偿；2.一审判决招行赣州分行赔偿利息损失的期间和利率标准，有失公允。刘惟明损失40万元存款的责任应由招行赣州分行承担，同理该40万元存款应从损失发生之日至40万元赔付之日，且利率应按同期同类贷款利率（不低于1%）计算；3.鉴定费48000元系招行赣州分行申请，该鉴定结果不具有实际意义，亦无鉴定的必要，因此就该鉴定费用不应由双方当事人进行分担，应作为扩大损失部分由招行赣州分行单独承担。招行赣州分行辩称，答辩意见与我方提交的上诉状意见一致。招行赣州分行上诉请求：1.判令撤销一审判决第一、二项，改判招行赣州分行不承担责任；2.一、二审诉讼费用由刘惟明承担。事实和理由如下：1.一审法院将本案认定为储蓄存款忽视银行业务，属认定事实不清，应当予以纠正。（1）本案的案件事实不是储蓄存款而是源于一项银行业务，该项业务的名称为“中国建设银行个人网银跨行资金归集”，此项的操作模式为业务发起方中国建设银行客户在建行网银中发起指令，输入招商银行客户账户基本信息，招商银行客户使用自己设置的网银登录密码及插入UKEY（俗称外接U盾）后，对收到的指令进行设置自动转账金额，设置后再次输入支付密码及使用UKEY双重确定，确定后招商银行客户将款项存入账户，银行系统会根据客户自行设定的金额将款项转入客户指定的银行账户中。以上内容能够看出，在此项业务中，招商银行已经给客户充分的安全保障，完成这项业务必须使用客户自己设置的网银登入密码、UKEY、款项支付密码，三项措施同时确定才能完成，招行赣州分行己给予了刘惟明充分的安全保障，在本案中不存在过错；（2）招行赣州分行在一审时，已向法庭提交了刘惟明账户操作的后台数据，司法鉴定也确认了该数据，从该项数据中能够看出该账户未出现异常情形，操作使用过程中也不存在密码错误等情形。银行作为保管义务，只要客户能够提供正确的密码和使用客户手持的UKEY，银行就应当办理该项业务，银行也无权去干预，从另一个角度也是充分保障客户使用资金的权利；（3）一审法院认定本案存在盗刷情形，该认定错误，本案是否存在盗刷没有定性，且本案刑事部分案件仍在侦查当中，公安机关都未定性，一审法院直接作出结论，实属不当；（4）本案的资金归集业务必须使用客户设置的登入密码、支付密码、手持UKEY共同确认才能完成，而一审法院在刘惟明未提交上述证据的情况下，只是通过询问直接对重大争议事实认定，一审法院自己都未见到上述材料，谈何来认定事实；（5）四川效率源电子数据司法鉴定所司法鉴定书的结论能够确认的事实，2015年7月19日系统操作日记中能够确认本案涉及的转账使用到了刘惟明手持的UKEY电子证书，该事实一审法院存在遗漏。2.一审法院适用法律错误，本案的举证责任不在银行。首先，一审法院以储蓄存款合同关系中，储户负有妥善保管储蓄卡和密码的义务；银行则负有保障储蓄卡账户内存款安全的义务，认为招行赣州分行应当提供充足证据证明刘惟明存在泄露密码、刘惟明本人划款或者刘惟明授权他人的行为，招行赣州分行作为金融机构，负有保障交易场所安全、防范犯罪行为、保障持卡人合法权益不受侵犯的义务，判决招行赣州分行承担70%的责任完全无法律依据。招行赣州分行作为金融机构，其安全保障义务也只是一般的义务，而不是银行的客户只要在银行少了钱，不论该事实如何、责任如何，银行就应当承担赔偿责任，一审法院直接将安全保障义务扩大到主要责任，这明显不公也无法律依据。本案实际操作情况公安局作为侦查部门都无法确定，更不能强制银行来提供证据证明客户是否泄露密码或者授权他人等；其次，一审法院适用举证责任明显错误。纵观本案全案证据，刘惟明举证的证据只能证明其银行卡里钱被转走的事实，根本无法证明招行赣州分行存在过错，该过错导致款项转走，并且从一审法院判决适用的法律规定中，也没有法律规定要求招行赣州分行承担举证责任。所以，一审法院强制要求招行赣州分行承担举证责任，适用法律错误。综上，一审判决认定事实不清，适用法律错误。恳请二审法院查明事实后，依法改判，支持招行赣州分行的全部上诉请求。刘惟明辩称：1.本案系典型的网络盗刷，系他人冒用刘惟明名义，使用刘惟明网络交易身份认证信息进行的网络交易。刘惟明在案发当日，收到银行短信通知后，即第一时间前往招行的营业网点查询并要求支付、打印了交易明细，并立即向公安机关报案，公安机关次日即立案受理，现正在侦查中。相关资金归集业务网络签约操作的IP地址位于湖南长沙市，而刘惟明及刘惟明手持U盾、银行卡，在案发前后均在赣州市，刘惟明与四个关联账户的持有人也没有其他基础法律关系。上述事实经一审庭审中双方陈述及相关证据完全可证实确认；2.银行负有保障储蓄卡账户内存款安全的义务，主要体现在：一是为持卡人提供安全的交易场所和环境，二是在办理各项业务时准确审查和识别持卡人身份。银行开办银行卡业务应当具备的条件之一就是“安全、高效的计算机处理系统”，储户银行卡被盗刷，即可认为银行的计算机处理系统存在安全隐患，也可认定银行未履行其保障储户存款安全的义务。另外，招行赣州分行主张的银行卡信息及密码信息可能系储户泄露，及案涉网银操作也可能系储户本人或授权他人操作，该举证责任应由银行承担。在储蓄合同关系中，储户明显是属于弱势一方，出于保护储户这一弱势群体的基本原则，应实行举证责任倒置，即由举证能力更强的银行证明自身没有泄露银行卡信息的过错或证明泄露源于储户过错。本案中，招行赣州分行并未提交证据证明刘惟明在密码保管上存在过错，也未能证明网银操作系刘惟明本人或授权他人操作，因此，应由招行赣州分行承担举证不能的法律后果，承担赔偿储户损失的违约责任。刘惟明向一审法院起诉请求：1.判令被告支付原告存款400000元；2.判令被告赔偿原告财产损失8000元（自2015年7月22日起至起诉之日损失的利息）；3.本案诉讼费由被告承担。一审法院认定事实：原告在被告处开设个人账户，户名为刘惟明，账号为62×××38。2015年7月22日，分别有两笔工程汇款共计440000元汇入原告账户。当日，该卡内的资金以五万一笔，共八笔计四十万元被转至中国建设银行的四人账户中，分别为：林锋，两笔，银行账号为：62×××03；何奕钢，两笔,银行账号为：62×××29；周成，两笔,银行账号为：62×××42；吴冠莲，两笔,银行账号为62×××24。原告收到短信通知后，到被告营业网点查询并要求止付、打印交易明细。随后，原告向公安机关报案，现该案仍在侦查中。原告认为被告未征得原告许可和授权，随意处分原告账户内的资金，要求被告支付400000元存款无果，遂向一审法院起诉，请求依法处理。一审法院立案后认为，原告已报案，赣州市公安局章贡分局已于2015年7月23日对原告盗窃案立案侦查，而原告被盗窃案即涉及原告主张的款项，故本案应移送公案机关处理。一审法院于2017年9月1日作出（2015）章民二初字第4506号裁定书，裁定驳回原告的起诉，原告不服上诉至江西省赣州市中级人民法院。江西省赣州市中级人民法院认为，公安机关对刘惟明储蓄被盗立案侦查后，作为存款人，刘惟明有权向存款银行招商银行股份有限公司赣州分行主张返还存款并赔偿损失，存款人与银行之间的储蓄合同纠纷的处理与经济犯罪所依据的并非同一法律事实，故对该民事案件人民法院应予以立案受理，撤销该裁定，指令一审法院审理。在审理中，被告招商银行股份有限公司赣州分行向一审法院提出申请，要求对原告刘惟明于2015年7月19日、7月20日使用其账户（账号为：62×××38）的ＩＰ地址定位、网络登记信息及中国建设银行资金归集业务使用中是否必须使用客户持有的招商银行Ｕｋｅｙ（Ｕ盾）才能完成业务进行司法鉴定，被告为此支付鉴定费48000元。四川效率源电子数据司法鉴定所作出编号：效率源司鉴2018（电鉴）240号司法鉴定意见书，鉴定意见为：1、在2015年7月19日，他行账户发起招商银行账户“62×××38”转账他行的资金归集业务签约操作的ＩＰ地址为“220.202.152.50”；2、2015年7月19日，通过资金归集业务签约而与招商银行账户“62×××38”相关联的4个他行账户分别为：“62×××03”,“62×××24”“62×××29”，“62×××42”；3、2015年7月19日的系统操作日志记录显示，招商银行账户“62×××38”使用“个人证书”登录大众版服务器。原、被告对该司法鉴定意见书均无异议，但原告认为该司法鉴定意见书只是客观的提取了原告在招商银行账户2015年7月18日至7月20日期间进行联网操作的ＩＰ地址以及对涉案四个建行发起从招商银行账户进行资金归集业务，需使用Ｕ盾的操作记录进行取证，对该司法鉴定意见，作出以下几点说明：1、在第十页准备鉴定环境以及第十一页对工作场所，进行杀毒扫描，未发现病毒，这只是证明在2019年6月5日鉴定当时未发现病毒，不能证明案发当时也未发现病毒；2、在第八页操作记录4-1-3-3表当中，所涉及的第十一项、十二项、十三项、十八项所记载的登录ＩＰ地址，有两个，一个是106.6.75.255，以及另一个ＩＰ地址106.6.76.248。这两个ＩＰ地址是原告的ＩＰ地址，位于江西省赣州市，该表当中所记载的ＩＰ地址220.202.152.50，位于湖南省长沙市，与原告的ＩＰ地址显然不同；3、对其鉴定意见鉴定结论第十四页，其中第一项，ＩＰ地址220.202.152.50，位于湖南省长沙市，不是原告的ＩＰ地址；第二点没有意见；第三点作出如下说明：本案中，原告持有的Ｕ盾、银行卡、身份证均在原告手中使用，在当时到银行打印流水详单，以及在公安机关报案中，公安机关也查验了相关手续，因此，即使系统操作中显示使用个人证书登录，该鉴定也不能证明，是原告本人或者原告串通他人使用个人证书登录，案外人使用个人证书登录，说明原告的Ｕ盾已被他人复制，而复制的原因方式有很多，并不排除招商银行本身的风险防范技术不过关，或者被告工作人员内外勾结，提供了客户的信息，从而复制克隆原告的Ｕ盾或其他相关数据信息。被告认为：1、通过鉴定意见获取的原始的代码以及记录，能够证明本案与被告无任何关联性；2、根据鉴定意见第十四页第三项，能够证明本案的业务是由原告方自行操作；3、原告并没有提供任何证据证明，ＩＰ地址显示为长沙，而其在赣州的事实，也未提供证据证明其个人证书有复制克隆的事实；4、截止目前为止，原告也未提供相应的Ｕ盾。一审法院认为，原告刘惟明在被告招商银行股份有限公司赣州分行处办理了银行卡和网银业务，双方之间存在储蓄存款合同关系，该合同关系是双方当事人真实意思表示，不违反法律、行政法规的强制性规定，应属合法有效。基于原、被告之间建立的储蓄合同关系，被告招行赣州分行对原告刘惟明的存款负有安全保障义务。关于本案的争议焦点，主要是：一是涉案储蓄卡内存款是否被盗取；二是本案过错责任应如何承担。关于原告储蓄卡内存款是否被盗取问题。一审法院认为，原告刘惟明账号为62×××38于2015年7月22日转入汇款共计440000元，当日，该卡内的四十万元资金分八笔分别被转至案外人林锋、何奕钢、周成、吴冠莲中国建设银行的账户中。被告认为是原告进行的网银关联活动，需要使用被告提供的Ｕｋｅｙ（即Ｕ盾）输入密码进行确认，被告已在网站页面上也进行了安全提醒，已经尽到了安全保障和提醒义务。一审法院认为，四川效率源电子数据司法鉴定所作出的司法鉴定意见书，仅认定：2015年7月19日他行账户发起招商银行账户“62×××38”转账他行的资金归集业务签约操作的ＩＰ地址为“220.202.152.50”；通过资金归集业务签约相关联的4个他行账户;招商银行账户“62×××38”使用“个人证书”登录大众版服务器。该鉴定意见书并未认定系原告在ＩＰ地址为“220.202.152.50”进行资金归集业务签约操作，通过资金归集业务签约相关联的4个他行账户与原告并无资金往来，被告也未举证证明是原告授权他人使用被告提供的Ｕｋｅｙ（即Ｕ盾）进行相关业务操作，因此，现有证据无法证明系原告操作资金归集业务签约行为而导致存款被转，但可认定原告刘惟明账号为62×××38上存款被他人盗取。关于过错及责任分配问题。在储蓄存款合同关系中，储户负有妥善保管储蓄卡和密码的义务；银行则负有保障储户储蓄卡账户内存款安全的义务，这也是保护储户对银行的基本信赖期待和维护银行信用基础的基本要求。被告虽然主张是原告资金归集业务授权才导致原告办理转款业务，但被告未提供充足证据证明，原告刘惟明存在泄露密码、原告本人划款或者原告授权他人等行为，被告作为金融机构，负有保障交易场所安全、防范犯罪行为、保障持卡人合法权益不受侵犯的义务，故被告对于原告银行卡因盗刷而减少的数额应当承担赔偿责任。同时，该项业务必须设计网上银行登录密码、支付密码、客户手持的电子证书均具备才能够予以办理授权业务，缺一不可，本案建设银行发起的四个账号的资金归集业务指令均为通过个人电子证书予以确认操作完成。原告在庭审中认可银行卡、U盾均在自己手中，报案笔录显示原告与收款人没有关联，原告持有的银行卡所在地与网上交易IP地址不同，现储蓄卡存款已被他人盗转，原告负有保管密码不善之责。一审法院根据双方的过错程度，酌定被告应当对原告的储蓄账户内存款被盗取所造成的损失承担70%的责任，原告自行承担30%的损失。另原告要求被告赔偿利息损失8000元（自2015年7月22日起至起诉之日的利息损失），一审法院认为，应以被告承担责任的金额为基数，自2015年7月23日起至2015年12月3日止按照活期存款利率标准计算利息损失，故对原告该诉请本院予以部分支持。被告应支付给原告的存款本金为280000元（400000元×70%）及相应利息，对原告超出部分之诉请，一审法院不予支持。据此，一审法院依照《中华人民共和国合同法》第一百零七条，《中华人民共和国商业银行法》第六条，《中华人民共和国民事诉讼法》第六十四条，《最高人民法院关于适用﹤中华人民共和国民事诉讼法﹥的解释》第九十条之规定，作出判决：一、被告招商银行股份有限公司赣州分行于本判决生效之日起七日内向原告刘惟明支付存款损失280000元；二、被告招商银行股份有限公司赣州分行于本判决生效之日起七日内向原告刘惟明支付存款利息（以本金280000元为基数，自2015年7月23日起至2015年12月3日止，按中国人民银行颁布的同期活期存款利率计算）；三、驳回原告刘惟明的其他诉讼请求。如未按判决指定的期间履行给付义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。案件受理费7420元，鉴定费48000元，合计55420元，由原告刘惟明承担16626元，由被告招商银行股份有限公司赣州分行承担38794元。二审中，双方当事人均未提交新证据。本院对一审查明的事实予以确认。本院认为，刘惟明在招行赣州分行办理银行卡，双方之间形成存款合同法律关系。该合同关系系双方当事人的真实意思表示，不违反法律及行政法规的强制性规定，应属合法有效。刘惟明作为持卡人，在使用银行卡过程中负有妥善保管银行卡及密码等个人信息的义务，招行赣州分行作为发卡行，负有保护持卡人卡内资金安全及用卡环境安全等安全保障义务。2015年7月22日，案涉银行卡卡内的40万元资金分八笔分别被转至案外人林锋、何奕钢、周成、吴冠莲中国建设银行的账户中。刘惟明收到短信通知后，第一时间到招行赣州分行营业网点查询并要求止付。随后，刘惟明向公安机关报案，公安机关于次日立案。据此，刘惟明银行卡被网上盗刷的事实，一审判决予以认定并无不当，本院予以确认。作为发卡单位，招行赣州分行应当全面、适当地履行其合同义务，尽到完善交易系统和技术保障义务，以保障银行卡的唯一性和交易安全，杜绝不合理的交易风险，在招行赣州分行未举证证明系刘惟明泄露密码、刘惟明本人或授权他人进行关联交易等行为的情况下，对于本案银行卡被盗刷以及由此造成的损失，招行赣州银行应承担相应的赔偿责任。同时，因刘惟明负有保管密码不善之责，对于其银行卡被盗刷以及由此造成的损失，也应自负一定的责任。综合上述事实，根据双方的过错程度，一审判决案涉银行卡被盗刷造成的损失由招行赣州分行承担70%的责任，刘惟明自负30%的责任并无不当，本院予以支持。招行赣州银行上诉要求改判其不承担本案责任，缺乏充分的事实和法律依据，本院不予支持。刘惟明上诉要求招行赣州银行承担100%的赔偿责任及一审全部鉴定费用并向其支付以40万元为基数，按月利率1%，自2015年7月23日起至付清之日止的存款利息，缺乏充分的事实和理由，本院亦不予支持。综上所述，刘惟明及招行赣州分行的上诉请求均不能成立，应予驳回；一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第（一）项之规定，判决如下：驳回上诉，维持原判。二审案件受理费8529元，由上诉人刘惟明负担2961元，由上诉人招商银行股份有限公司赣州分行负担5568元。本判决为终审判决。审 判 长  王 艳审 判 员  任 琰审 判 员  陈珏琦二〇二〇年五月二十七日代理书记员  谭珊珊代理书记员  张 婷