广西壮族自治区桂林市中级人民法院 民 事 判 决 书 （2020）桂03民终4389号 上诉人（原审被告）：中国银行股份有限公司桂林市中山北路支行，住所地广西壮族自治区桂林市叠彩区中山北路**。统一社会信用代码：914503008988956129。 负责人：熊洋洋，该支行行长。 委托诉讼代理人：邹倩，广西君健律师事务所律师。 被上诉人（原审原告）：易勇，男，1983年11月4日出生，汉族，桂林智神科技有限公司员工，住广西壮族自治区全州县。 委托诉讼代理人：莫艾雯，广西君美律师事务所律师。 原审被告：中国银联股份有限公司广西分公司，，住所地广西壮族自治区南宁市民族大道**永凯大厦**统一社会信用代码：91450103664845233C。 负责人：颜春满，该分公司总经理。 委托诉讼代理人：刘欢欢，男，中国银联股份有限公司广西分公司员工。 委托诉讼代理人：唐永海，中国银联股份有限公司广西分公司员工。 上诉人中国银行股份有限公司桂林市中山北路支行（以下简称中北支行）因与被上诉人易勇、原审被告中国银联股份有限公司广西分公司（以下简称中银广西分公司）借记卡纠纷一案，不服广西壮族自治区桂林市叠彩区人民法院（2020）桂0303民初876号民事判决，向本院提起上诉。本院于2020年12月23日立案后，依法组成合议庭进行了审理。本案现已审理终结。 中北支行上诉请求：1.撤销（2020）桂0303民初876号民事判决，依法改判驳回被上诉人易勇的诉讼请求；2.本案一、二审诉讼费用由被上诉人承担。事实和理由：一、一审法院遗漏查明第三方支付平台绑定及交易方式，导致错误判决上诉人对易勇使用第三方支付平台账户及密码进行的交易承担责任。1、本案涉及的交易，均系银行卡绑定第三方支付平台进行的交易。持卡人在将银行卡与第三方支付平台进行绑定时，需输入银行卡号、身份证信息、手机号码、银行发送的动态验证码等才能完成操作。而上述信息只有持卡人本人知晓，动态验证码只有持卡人在银行预留的手机号码才能接收到，且必须在收到指示后的短时间内点击操作方能生效。可见，绑定所须的信息具有唯一性及高度保密性，完成绑定同时满足信息完全匹配、限时完成操作等前提条件。因此，易勇在持有开户预留手机号码并收到动态验证码短信的情况下，只有其本人才能完成绑定操作。在银行卡绑定第三方支付平台后进行的交易，使用的是绑定时设定的账户及支付密码，该账户及支付密码由持卡人易勇本人设定、持有及保管，上诉人根本无从知晓，一审法院判决上诉人对易勇使用第三方支付平台账户及密码进行的交易承担责任，既于法无据，也于理不合。2、POS机有当面交易、网络交易等方式，当面交易需持卡人输入密码或签字，而网络交易可以通过第三方支付平台、二维码等途径操作。从易勇提供的短信截图可见，涉案POS机交易均是通过第三方支付平台发送的付款验证码进行网络交易。由于POS机网络交易是使用第三方支付平台账户及支付密码进行，与作为发卡行的上诉人无关，一审判决上诉人对此承担责任没有依据。二、一审法院错误认定上诉人在第三方支付平台支付中的地位和作用，导致错误认定上诉人在涉案交易中存在过错。1、根据《关于加强商业银行与第三方支付机构合作业务管理的通知》第八条规定“对预留手机号码且设定短信通知的客户，商业银行应在客户进行支付时对第三方支付机构提供的手机号码和银行预留的手机号码进行一致性检验，通过后方可进行支付。如果银行已按照前述要求在业务关联时进行了相关信息验证，确保客户身份真实可靠，在交易时可以无需再次验证”，如果银行已按前述要求在业务关联时进行了相关信息验证，在之后的交易是无需再次验证，只需按指令付款。在银行卡绑定第三方支付平台时，第三方支付平台与持卡人之间会约定相应的支付密码，该支付密码由持卡人设定和保管，与发卡行没有关联，发卡行接到持卡人输入与第三方支付平台约定的支付密码，即是接到付款指令，会即时向第三方支付平台付款，无需再对持卡人的身份进行验证。本案中，易勇开卡时预留的手机号码已收到了银行卡绑定第三方支付平台的动态验证短信，在易勇输入验证码之后，上诉人即已完成对易勇身份的验证。至于绑定之后的交易，上诉人是根据易勇输入的第三方支付平台支付密码而进行的指示支付，不存在任何过错。2、根据上诉人提交的电子银行卡章程、借记卡章程、风险提示及短信服务协议，易勇有义务妥善设定、使用、保管银行卡账户、密码、短信、动态验证码等身份识别信息，所有通过上述身份识别信息等进行的操作均视为易勇本人所为。而且，上诉人在易勇开办借记卡、绑定手机号码时，已就上述事项向易勇进行告知及提示。易勇在使用银行卡过程中未尽注意义务所导致的后果及损失，应由其自行承担。三、一审法院仅凭易勇单方否认交易即认定为他人盗刷，没有依据。虽然易勇已就涉案交易向公安机关报案，但刑事案件尚未侦破，是否为他人盗刷，尚无定论。本案除易勇单方陈述交易为盗刷之外，并无其他有效证据证实所谓盗刷的事实存在。而且涉案交易为第三方支付平台交易，交易时是否持有银行卡、是否为异地交易，均不影响持卡人正常交易操作。因此，一审法院在没有任何有效证据的情况下，仅凭易勇单方陈述就认定涉案交易为他人盗刷，不能成立。四、一审法院错误适用法律，导致错误判决上诉人承担赔偿责任。《电子支付指引》第四十二条规定“因银行自身系统、内控制度或为其提供服务的第三方服务机构的原因，造成电子支付指令无法按约定时间传递、传递不完整或被篡改，并造成客户损失的，银行应按约定予以赔偿。因第三方服务机构的原因造成客户损失的，银行应予赔偿，再根据与第三方服务机构的协议进行追偿。”从上述规定可见，银行承担责任限定于银行自身系统、内控制度及为银行提供服务的第三方机构存在过错三种情形。本案中，持卡人将银行卡绑定第三方支付平台，完全是由持卡人自主决定、自行操作，第三方支付平台是为持卡人提供服务，而非为发卡行提供服务，第三方支付平台不属于上述规定的“为银行提供服务的第三方服务机构”性质及范围。而且，上诉人作为发卡行，已按易勇付款指示完成款项支付，不存在银行自身系统、内控制度有过错的情形。因此，一审法院依据上述规定判决上诉人承担赔偿责任，属于适用法律错误。五、涉案交易已被公安机关刑事立案，本案依法应当中止审理，一审法院未中止审理，程序违法。涉案交易是否为他人盗刷，属于本案的关键事实，但公安机关受理刑事立案后至今尚未侦破。根据《最高人民检察院公安部关于公安机关办理经济犯罪案件的若干规定》第二十条规定以及《民事诉讼法》第一百五十条规定，本案应以该刑事案件的处理结果作为审理依据，适用“先刑后民”的原则，在该刑事案件有处理结果之前，依法应中止本案审理。 易勇辩称，一、对于被上诉人的涉案银行卡资金损失为第三方盗刷的事实，一审判决认定无误，但上诉人认为其已完成身份识别验证，涉案银行卡也并非为他人盗刷而是被上诉人本人所为，仅为其单方推断，并无证据予以证明。被上诉人认为上诉人应对银行卡资金安全负有安全保障义务，对被上诉人被盗刷的资金损失应该承担赔偿责任。二、被上诉人是基于上诉人之间的储蓄合同法律关系来要求上诉人承担赔偿责任，相关刑事案件现已侦破，无论该案是否已经审结并不影响上诉人承担赔偿责任，本案不需要遵循“先刑后民”原则。 中银广西分公司述称，一审判决其无须承担法律责任，其对上诉人与被上诉人均无意见。 易勇向一审法院起诉请求：一、判令被告中国银行股份有限公司桂林中山北路支行向原告赔偿经济损失33555元及利息（利息以33555元为基数，自2019年11月3日起按全国银行间同业拆借中心公布的同期贷款市场报价利率（LPR)的1.5倍计至被告实际赔偿原告全部经济损失之日止，利息暂计至2020年6月5日为1146.8元）；二、请求依法判令被告中国银联股份有限公司广西分公司对原告的经济损失及利息承担连带赔偿责任；三、依法判令本案诉讼费由二被告承担。 一审法院认定的事实：2015年5月25日，原告与被告中北支行签订了《个人账户开户及综合服务申请表》、《个人账户及综合服务签约确认单》、《个人客户短信通知服务协议》办理尾号为2473的借记卡一张并开通手机短信提醒业务，绑定的手机号尾数为5633。当日，被告中北支行向原告出具了《个人电子银行风险提示》、《中国银行股份有限公司电子银行章程》、《中国银行股份有限公司长城借记卡章程》，原告在《个人账户开户及综合服务申请表》中备注一栏注明本人已阅读风险提示。在《个人账户开户及综合服务申请表》原告签字确认已阅读本申请表中“个人账户开户及综合服务申请书”的有关条款，保证遵照该协议的有关约定，客户须知、服务协议和银行最新业务章程、业务规则、业务规定办理相关业务。 2019年11月3日2时至8时，原告所持有的尾号为2473的借记卡被绑定支付宝、首信易支付、通联支付等网上支付平台，并被开通借记卡快捷支付服务、云闪付在线支付与二维码支付等服务，且被他人在香港、广州、山东、陕西、哈尔滨等地连续盗刷五十多笔款项，共计47358.77元，其中：1、涉及被告中银广西分公司的金额为9991.77元；2、涉及易宝支付的金额为4010元；3、涉及通联公司的金额为450元；4、涉及易智付公司的金额为3000元；5、涉及ＰＯＳ机消费的金额为29907元。2019年11月3日8时许，原告向中国银行客服电话95××6进行挂失，并于当日11时许前往灵川县公安局八里街派出所报案，灵川县公安局向原告易勇出具《立案告知书》，载明已立案侦查。 2019年11月6日，原告向被告中银广西分公司提交《云闪付APP用户安全保障申请表》，申请被告中银广西分公司赔偿原告的经济损失。2019年11月13日，被告中银广西分公司通过银行转账的方式将所涉9991.77元款项支付至原告银行卡账户中。2019年11月14日，原告向中国银行保险监督管理委员会桂林监管分局提交《投诉书》。2019年11月15日，中国银行保险监督管理委员会桂林监管分局向原告出具《银行业消费者投诉事项告知书》（编号：2019年52号）载明，由于您提出的事项涉及银行卡资金转账交易，我分局已于11月15日将该投诉转办至中国桂林分行，要求该行认真核实情况，及时沟通协调，妥善处理。2020年3月5日，原告前往中国银行灵川支行办理尾号为2473的借记卡注销业务。 另查明，易宝支付有限公司已退还原告3812元，易智付科技（北京）有限公司退还原告3000元，通联支付网络服务股份有限公司退还原告450元。 一审法院认为，本案的争议焦点为：一、本案是否应当中止审理？二、被告中北支行是否应对原告主张的33555元及利息的损失承担赔偿责任？三、被告中银广西分公司是否应当承担连带责任？ 关于争议焦点一，原告易勇在被告中北支行的营业部申领了借记卡,双方之间存在储蓄存款合同关系,该合同关系是双方当事人真实意思表示,不违反法律、行政法规的强制性规定,应属合法有效。被告中北支行对原告易勇负有全面履行储蓄存款合同的义务。根据储蓄存款合同的性质,被告中北支行负有按照原告易勇的指示,将存款依约支付给原告或者原告指定的代理人,并保证原告借记卡内存款安全的义务。原告易勇提起本案诉讼的请求权基础是储蓄存款合同关系,合同具有相对性,双方之间的储蓄存款合同本身不涉及犯罪,同时亦没有证据证明原告易勇是刑事案件的共同犯罪人,故即使案外人存在刑事犯罪或者民事过错,也应由被告中北支行先承担违约责任。本案不符合“先刑后民”条件,被告中北支行、中银广西分公司辩称本案应当“先刑后民”,该院不予支持。 关于争议焦点二，根据《中华人民共和国商业银行法》第六条规定:“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”第二十九条第一款规定:商业银行办理个人储蓄存款业务,应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。《电子支付指引》第四十二条规定:“因银行自身系统、内控制度或为其提供服务的第三方服务机构的原因、造成电子支付指令无法按约定传递、传递不完整或被篡改,并造成客户损失的,银行应按约定予以赔偿。因第三方服务机构的原因造成客户损失的,银行应予赔偿,再根据与第三方服务机构的协议进行追偿。”在本案中,被告中北支行作为商业银行,具有保障储户账户资金安全的法定义务。因此,该行作为银行卡的发行者及相关技术、设备和交易平台的提供者,应对交易机具、交易场所、交易平台加强安全管理,并对各项软硬件设施及时更新升级,最大限度地防范资金交易安全漏洞。特别是随着电子银行业务的发展,通过网络进行电子交易带来巨大便利的同时,也伴随着更多潜在的风险,中北支行联合第三方支付平台向客户所提供的电子交易系统,由银行及第三方支付开发、设计并负责维护,故其理应采取严格的技术保障措施,保障其提供的电子交易系统安全性,防范犯罪分子针对银行卡的犯罪行为。但根据目前的案件来看,他人通过非法手段完成网络盗刷,说明银行及第三方支付平台在技术层面仍然存在可被攻击的漏洞,其应当继续完善防范技术。故被告中北支行在履行与储户之间达成的合同关系时未尽到保护储户资金安全的合同义务,其应当承担偿还原告易勇损失存款本金及利息的主要责任。原告持有的银行卡,其密码为其自行设定,原告负有妥善保管银行卡信息、妥善保管密码、手机短信验证码或动态验证码等义务。从本案事实看,原告易勇发现其银行卡里的钱被盗刷时,立即打电话对涉案借记卡进行挂失,有效减少了损失,且原告银行卡被盗刷后,立即向公安机关报案,刑事案件尚未侦破,现有证据无法证明他人以何种形式取得了涉案银行卡的信息以及交易密码进行盗刷。但原告持有的银行卡信息、密码、手机短信验证码或动态验证码同时泄漏，足以产生原告对上述信息保管不当的合理怀疑，综合考虑本案的实际情况,根据公平原则,原告易勇自行承担其损失的20%,被告中北支行承担80%。上述原告易勇的损失包括银行卡被盗刷的资金损失以及被盗刷资金产生的利息损失。 关于原告易勇主张经济损失33555元及利息的问题，经审理查明，原告所持有的涉案借记卡被盗刷的金额共计47358.77元，其中涉及被告中银广西分公司的金额为9991.77元，被告中银广西分公司已经向原告易勇支付完毕，应当予以扣除；涉及易宝支付有限公司的金额为4010元，原告已于2020年8月25日撤回对支付宝公司的起诉，应当予以扣除；涉及通联公司的金额为450元，原告已与通联公司达成和解并于2020年8月25日撤回对通联公司的起诉，应当予以扣除；涉及易智付公司的金额为3000元，原告已与易智付公司达成和解并于2020年9月22日撤回对易智付科技（北京）有限公司的起诉，应当予以扣除。故该院综合认定原告的经济损失为（47358.77元-9991.77元-4010元-450元-3000元）×80%=23925.6元，对原告主张超出的部分不予支持。原告主张利息按照全国银行间同业拆借中心公布的同期贷款市场报价利率（LPR)的1.5倍计算，该院认为按照同期贷款市场报价利率（LPR)计算较为适宜。 关于争议焦点三，原告主张被告中银广西分公司对上述款项承担连带责任，但原告并未与被告中银广西分公司存在储蓄存款合同关系，中银广西分公司不是储蓄存款合同的相对人，且涉及到被告中银广西分公司的款项9991.77元，被告中银广西分公司已向原告支付完毕，原告无权再向被告中银广西分公司主张责任，故该院对原告请求被告中银广西分公司承担连带责任的主张不予支持。综上所述，依照《中华人民共和国合同法》第六十条、第一百零七条、第一百一十三条，《中华人民共和国商业银行法》第六条、第二十九条第一款、《中华人民共和国民事诉讼法》第六十四条第一款，《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条,并参照《电子支付指引》（第一号）第四十二条的规定，判决：一、被告中国银行股份有限公司桂林市中山北路支行向原告易勇赔偿存款损失23925.6元及利息(利息计算:以23925.6元为基数,按全国银行间同业拆借中心公布的同期贷款市场报价利率（LPR),自2019年11月3日起计算至实际清偿之日止);二、驳回原告易勇的其他诉讼请求。本案案件受理费1022元（原告已预交），由原告负担200元，被告中国银行股份有限公司桂林市中山北路支行承担822元。 本院二审期间，中北支行、中银广西分公司没有提交新证据。依易勇的申请调取了桂林市秀峰区人民检察院桂市秀检刑诉〔2020〕162号起诉书。易勇主张，该证据证明本案借记卡被盗刷系由第三方犯罪嫌疑人采取“嗅探”技术获取被上诉人手机验证码和身份信息盗刷。中北支行质证意见：一、起诉书不是刑事案件判决书，其所列事实不能作为定案依据；二、起诉书第二页倒数第二行明确记载，犯罪嫌疑人采用干扰设备获取手机号码以及短信息进行登录已经绑定银行卡的第三方支付平台操作。由此可以证明被上诉人的银行卡在被盗刷发生前已经与第三方支付平台进行了绑定，上诉人已经完成了法定验证义务，对于绑定后交易与上诉人无关。其次，起诉书第三页倒数第五行中所列易勇被盗刷金额与本案涉案金额存在差异，刑事案件侦破和审理还有待进一步查明。中银广西分公司认可该证据的真实性、合法性和关联性。本院认证如下：该起诉书由司法机关作出，各方当事人对其真实性和合法性均无异议，本院予以采信。对当事人二审争议的事实，本院认定如下：中北支行认为：一、一审判决未查明易勇是否妥善保管银行卡及身份信息。本院认为，易勇的借记卡被盗刷系因犯罪嫌疑人实施犯罪行为所为，现有证据无法证明易勇对银行卡及相关信息保管不善存在泄密隐患。二、一审判决认定易勇的银行卡在香港、广东等地被连续盗刷错误，本案是由第三方支付平台支付，交易途径不是异地消费。本院认为，根据二审查明的事实，易勇的银行卡被犯罪嫌疑人盗刷的行为地在本市，资金流向香港、广东等地，但该认定不影响本案的实体判决。三、涉及POS机消费的29907元不是POS机线下消费而是银联云闪付进行的平台交易。本院认为，中北支行提供的银行卡明细上记载该款为POS机消费，一审法院根据中北支行提供的交易明细作出上述认定并无不当。而且，无论是POS机消费还是云闪付平台交易均不影响易勇的银行卡被盗刷的事实。综上，一审判决查明事实基本属实，即使有瑕疵亦不影响实体判决。 根据桂林市秀峰区人民检察院桂市秀检刑诉〔2020〕162号起诉书，本院另查明，2019年11月3日凌晨，犯罪嫌疑人唐高山等利用“嗅探”技术盗刷易勇中国银行卡钱款。唐高山等对该犯罪行为认罪认罚。 本院认为，易勇向中北支行申领银行卡并进行存、取款业务，双方之间形成合法有效的储蓄合同关系。 本案二审的争议焦点是：一、本案是否应当适用“先刑后民”的审理程序；二、中北支行是否应对易勇的银行卡被盗刷承担相应法律责任。 一、关于本案是否应当适用“先刑后民”的审理程序 本院认为，本案审理的是易勇与中北支行之间的借记卡纠纷，审理的焦点是中北支行在履行合同义务时是否存在违约行为。而易勇的银行卡被盗刷所产生的刑事案件解决的是犯罪嫌疑人是否应当承担刑事责任的问题。虽然刑事案件没有结案，但犯罪嫌疑人对其实施的犯罪行为没有异议。本案的审理无须以刑事案件的审理结果为依据。故不需要适用“先刑后民”的审理程序，不需要中止本案诉讼程序。 二、关于中北支行是否应对易勇的银行卡被盗刷承担相应法律责任的问题 《中华人民共和国商业银行法》第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”第二十九条第一款规定：商业银行办理个人储蓄存款业务,应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。《电子支付指引》第四十二条规定:“因银行自身系统、内控制度或为其提供服务的第三方服务机构的原因、造成电子支付指令无法按约定传递、传递不完整或被篡改,并造成客户损失的,银行应按约定予以赔偿。因第三方服务机构的原因造成客户损失的,银行应予赔偿,再根据与第三方服务机构的协议进行追偿。”在储蓄存款合同中,中北支行作为商业银行,具有保障储户账户资金安全的法定义务。因此,银行作为银行卡的发行者及相关技术、设备和交易平台的提供者,应对交易机具、交易场所、交易平台加强安全管理,并对各项软硬件设施及时更新升级,最大限度地防范资金交易安全漏洞。特别是随着电子银行业务的发展,通过网络进行电子交易带来巨大便利的同时,也伴随着更多潜在的风险,银行联合第三方支付平台向客户所提供的电子交易系统,由银行及第三方支付平台开发、设计并负责维护,故其理应采取严格的技术保障措施,保障其提供的电子交易系统安全性,防范犯罪分子针对银行卡的犯罪行为。网上银行业务不同于物理卡交易,银行无法凭借真实有效的银行卡来验证持卡人身份,而是通过卡号、登录及交易密码、动态验证码等持卡人网络交易身份认证信息的一致性来核实客户身份。银行提供的证据证明上述信息验证通过的,通常即认定构成具有受领权的权利外观、银行的给付属于适当履行的表面证据。但上述网银交易中债务履行适当性的认定,在性质上属于事实推定。即以相关验证信息的私密性为前提,推定讼争交易由持卡人或其授权所为。如果持卡人提供证据证明相关交易系他人冒用持卡人名义、使用持卡人网络交易身份认证信息所为的,即可推翻上述事实推定。本案中,现有证据无法证明易勇在管理和使用银行卡中存在泄漏个人信息和交易密码等不适当的履约行为。根据犯罪嫌疑人的供述,涉案资金损失系因犯罪嫌疑人非法获取易勇的身份信息、账户信息、交易密码,进而完成盗窃银行卡内资金的行为。犯罪嫌疑人通过非法手段完成网络盗刷说明银行及第三方支付平台在技术层面仍然存在可被攻击的漏洞，其应当继续完善防范技术。故中北支行在履行与储户之间达成的合同关系时未尽到保护储户资金安全的合同义务，其应当承担相应违约责任。一审判决其偿还易勇80%存款本金及利息不当加重了存款人的责任。但因易勇未提出上诉，认可一审判决，系其对民事权利的自由处分，本院予以认可。 综上所述，上诉人的上诉请求不能成立，应予驳回。一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项规定，判决如下： 驳回上诉，维持原判。 二审案件受理费398元，由上诉人中国银行股份有限公司桂林市中山北路支行负担。 本判决为终审判决。 审 判 长  程 锦 审 判 员  阳志辉 审 判 员  李 柳 二〇二〇年十二月二十四日 法官助理  黄 荣 书 记 员  李 婧