上海市第一中级人民法院
民 事 判 决 书
（2017）沪01民终8635号
上诉人（原审被告）：中国农业银行股份有限公司上海浦东分行，住所地中国（上海）自由贸易试验区浦东南路377号-379号。
负责人：陆济忠，行长。
委托诉讼代理人：冯梅娟，该行员工。
被上诉人（原审原告）：姚琪，女，1987年3月8日生，汉族，户籍地河南省息县。
委托诉讼代理人：范伟情，上海市海华永泰律师事务所律师。
委托诉讼代理人：扶羽斌，上海市海华永泰律师事务所律师。
上诉人中国农业银行股份有限公司上海浦东分行（以下简称农行上海浦东分行）因与被上诉人姚琪借记卡纠纷一案，不服上海市浦东新区人民法院（2017）沪0115民初13078号民事判决，向本院提起上诉。本院于2017年7月7日立案后，依法组成合议庭进行了审理。本案现已审理终结。
农行上海浦东分行的上诉请求：撤销一审判决，改判驳回姚琪一审诉讼请求。事实和理由：要完成消费或现金支取交易，银行卡和正确密码是两个必要条件。根据借记卡开卡操作流程，借记卡密码由客户本人自行设定、自行保管，持卡人负有谨慎保障密码安全的义务。姚琪未能妥善保管密码，导致卡中款项被盗，姚琪应承担相应的过错责任。
姚琪辩称，事发当天发生银行卡被盗刷后，姚琪采取报案、吞卡、挂失等措施，证明姚琪当时不在事发现场，不存在姚琪将被盗刷的卡借给他人的情况。农行上海浦东分行的交易系统存在问题，没有尽到安全保障义务。姚琪相对农行上海浦东分行处于弱势地位，应由农行上海浦东分行举证证明其已对姚琪的银行卡账户防盗尽到保护义务，但农行上海浦东分行提供的证据不能予以证明。农行上海浦东分行的上诉理由无依据，请求二审法院驳回上诉，维持原判。
姚琪向一审法院提出诉讼请求：1、农行上海浦东分行向其赔偿损失421,149.64元；2、农行上海浦东分行向其支付存款利息暂计45元（以421,149.64元为本金，按中国人民银行同期活期存款利率计算，从2017年1月24日，实际计算至实际归还之日）；3、农行上海浦东分行承担本案诉讼费用。
一审法院查明，姚琪在农行上海浦东分行办理了涉案借记卡，卡号为XXXXXXXXXXXXXXX3474。2017年1月13日19时26分至10时30分期间，涉案借记卡发生五笔交易，其中消费交易一笔，金额为411,164.41元，现支交易两笔，金额分别为5,379.60元及4,483元，手续费两笔，金额分别为65.80元及56.83元，上述金额共计421,149.64元，姚琪随即收到农行上海浦东分行的短信告知。2017年1月13日20时44分，姚琪向上海市公安局静安分局天目西路派出所报案，该派出所向姚琪出具了《上海市公安局案（事）件接报回执单》，载明：“2017年1月13日19时45分，报警人使用1367177****报警称：在恒丰路恒通路口刚刚发现银行卡被盗刷，请民警到场处理。报警人称其在2017年1月13日，突然收到手机短信称报警人的一张农业银行卡有被人交易的情况，但是报警人的卡在身边，并没有消费过。报警人通过银联查询，发现自己的卡被人澳门消费分3笔总共421,027.01元，另外还有手续费122.63元，卡号为XXXXXXXXXXXXXXX3474（户名姚琪）”。2017年1月18日，姚琪至上海市公安局普陀XX办公室查询出入境记录，经查:姓名姚琪，证件名称和号码为往来港澳通行证W76XXXXXX在2016年8月1日至2017年1月18日期间未找到出入境记录信息。
一审法院审理中，农行上海浦东分行确认涉案的两笔交易及相关手续费的交易地点在澳门。就姚琪是否有泄露密码的行为，农行上海浦东分行未提供证据。
一审法院认为，姚琪持有农行上海浦东分行发行的借记卡，双方储蓄存款合同关系依法成立并生效，农行上海浦东分行应承担保障储户账户内资金安全的义务。首先，争议交易的发生地点为澳门，而姚琪在争议交易发生时身在上海，且姚琪在收到争议交易短信后前往公安机关报案。综合姚琪的上述行为，足以证明系争借记卡现支行为非本人所为。农行上海浦东分行主张，本案损失系姚琪未妥善保管密码所致，对此一审法院认为，虽《中国农业银行金穗借记卡章程》约定：“凡密码相符的金穗借记卡交易均视为持卡人本人的合法交易，因密码泄露或卡片保管不当造成的损失，由持卡人负责。”但上述约定属于发卡行单方制作的格式条款，其中“凡密码相符的金穗借记卡交易均视为持卡人本人的合法交易”之约定更缺乏合理性。且从银行实务看，密码通过输入进入银行的管理程序，并在其设备中保存，银行据此知晓并保管了储户的密码。现实生活中，由于银行人员管理或操作系统漏洞，或者不法分子利用多种手段，不经持卡人即获取密码的事件屡有发生。本案中，农行上海浦东分行未就姚琪是否有泄露密码的行为提出证据，因此不能因他人掌握了姚琪借记卡的密码即推定姚琪存在过错。第二，根据《中华人民共和国商业银行法》第六条规定“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”，系农行上海浦东分行的法定义务。农行上海浦东分行为姚琪提供借记卡服务，就应当确保该借记卡内的数据信息不被非法窃取并加以使用。农行上海浦东分行作为借记卡的发卡行及相关技术、设备和操作平台的提供者，在其与姚琪的合同关系中明显占据优势地位，理当承担伪卡的识别义务。本案中，行为人能使用伪卡通过银行交易系统进行系争交易，说明姚琪持有的真正银行卡内数据信息可以被复制并存储（克隆）到其他的伪卡内，并且伪卡输入密码后可以进行正常的交易活动，可见农行上海浦东分行制发的借记卡以及交易系统存在技术缺陷，农行上海浦东分行未能充分尽到对涉案借记卡的交易安全保障义务，违反前述法律规定，给姚琪造成了经济损失，应当承担赔偿的法律责任。第三，本案是否适用“先刑后民”的问题，对此一审法院认为，姚琪与农行上海浦东分行之间的储蓄合同纠纷本身不涉及犯罪，同时亦没有证据证明姚琪系盗刷借记卡刑事案件的共同犯罪人，因此公安机关对姚琪存款是否遭盗窃的调查并不影响农行上海浦东分行对姚琪的责任承担。故一审法院认为，根据《最高人民法院关于在审理经济纠纷案件中涉及经济犯罪嫌疑若干问题的规定》第十条的规定，本案应继续审理，不适用“先刑后民”原则。
综上，一审法院认为，就系争交易及相关手续费共计421,149.64元的损失，农行上海浦东分行应当承担赔偿责任，姚琪的诉讼请求，予以支持。姚琪主张的利息损失，因当事人之间具有储蓄存款合同关系，农行上海浦东分行理应按照中国人民银行同期活期存款利率自盗刷之日起至实际清偿之日止向姚琪支付利息。一审法院遂依照《中华人民共和国合同法》第六十条、第一百零七条、第一百二十一条，《中华人民共和国商业银行法》第六条，《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条、第一百零八条的规定，判决：一、农行上海浦东分行应于判决生效之日起十日内赔偿姚琪421,149.64元。二、农行上海浦东分行应于判决生效之日起十日内支付姚琪自2017年1月13日起至实际履行日止的利息（以421,149.64元为基数，按中国人民银行发布的同期存款利率计算）。负有金钱给付义务的当事人，如果未按判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。一审案件受理费7,617元，减半收取计3,808.50元,由农行上海浦东分行负担。
二审中，当事人均未提交新证据。
经审理，一审法院查明事实属实，本院予以确认。
本院认为，本案当事人对姚琪持有的涉案银行卡被盗刷的事实均无异议，现双方主要争议在于，银行卡被盗刷是否系因姚琪未妥善保管银行卡密码的过错行为所致。对此本院认为，农行上海浦东分行对其主张姚琪存在上述过错行为负有举证义务，但其并未予举证，故应承担举证不能的法律后果。并且本院认为，银行卡被盗刷不仅只有持卡人泄露银行卡密码一种情形所致，一审法院已就其他情形进行了阐述，本院予以认同，不再赘述。因此，农行上海浦东分行认为涉案银行卡被盗刷系因姚琪未妥善保管银行卡密码所致的上诉理由，无事实依据，本院不予采信。农行上海浦东分行据此提出的上诉请求不能成立，本院不予支持。一审判决认定事实清楚，判决正确，本院予以维持。据此，依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项的规定，判决如下：
驳回上诉，维持原判。
二审案件受理费7,617元，由上诉人中国农业银行股份有限公司上海浦东分行负担。
本判决为终审判决。
审 判 长 王峥
代理审判员 盛萍
审 判 员 王敬
二〇一七年八月二十九日
书 记 员 陈颖
附：相关法律条文
《中华人民共和国民事诉讼法》第一百七十条
第二审人民法院对上诉案件，经过审理，按照下列情形，分别处理：
（一）原判决、裁定认定事实清楚，适用法律正确的，以判决、裁定方式驳回上诉，维持原判决、裁定；
……