山西省太原市中级人民法院
民 事 判 决 书
（2017）晋01民终4232号
上诉人(原审被告)：中国工商银行股份有限公司太原江阳支行，住所地太原市江阳南街5号。
负责人：薛江，行长。
委托诉讼代理人：李超，男，1987年8月18日出生，汉族，中国工商银行股份有限公司太原营业部职工，住太原市平阳路123号。
被上诉人(原审原告)：张倩，女，1983年6月29日出生，汉族，太原国有投资集团有限公司职工，住太原市，住太原市。
委托诉讼代理人：张海燕，女，1984年2月3日出生，汉族，太原国有投资集团有限公司职工，住太原市，住太原市。
上诉人中国工商银行股份有限公司太原江阳支行因与被上诉人张倩借记卡纠纷一案，不服太原�尖草坪区人民法院（2016）晋0108民初1136号民事判决，向本院提起上诉。本院于2017年10月31日立案后，依法组成合议庭进行了审理。上诉人(原审被告)中国工商银行股份有限公司太原江阳支行的委托诉讼代理人李超、被上诉人(原审原告)张倩及委托诉讼代理人张海燕到庭参加诉讼。本案现已审理终结。
中国工商银行股份有限公司太原江阳支行上诉请求：1、依法撤销太原市尖草坪区人民法院（2016)晋0108民初1136号民事判决书，并改判驳回被上诉人对上诉人的全部诉讼请求。2、本案一审、二审所有诉讼费用由被上诉人承担。事实与理由：（一）一审判决在认定双方对原告账户内存款被盗刷的事实均无异议，并在此基础上作出判决，是不正确的，被上诉人卡内资金消费仍无法证明不是被上诉人进行的操作。事实上，上诉人从未认可账户内的资金系被盗刷，根据被上诉人提供的账户历史明细清单，仅证明从其账户上进行了网上消费及消费的时间、数额等信息，无法证明该消费不是其本人进行的操作，因此，被上诉人所主张的银行卡内资金系被盗刷的理由就无法成立，且被上诉人所提供的全部证据只能说明卡内资金的转出，且系通过第三方支付方式（年年卡、中移电子商务有限公司、QQ平台）转出，通过第三方支付方式转出资金需要客户的第三方支付平台用户名、支付密码以及短信验证码，无需使用银行卡实体及银行卡密码，原告本人或授权他人在知晓上述信息后均可以在任何时间、任何地点进行操作，被上诉人既然主张卡内资金转出非本人操作，就应当承担举证责任，提供相对应的证据来证明其卡内资金的转走非本人操作完成，这部分证明责任很明显，银行不能承担也不可能承担。如果被上诉人无法�明资金转走非本人操作，举证不能的后果应由其承担。（二）一审判决认为我行未尽到上述规定对商业银行在客户与第三方支付机构首次建立业务联系应尽到的身份鉴别注意义务，其明显简化了相关流程，是不符合事实情况的。根据《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》第三条：”客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需通过商业银行的客户身份鉴别。账户所在银行应通过物理网点、电子渠道或其他有效方式直接验证客户身份，明确双方权利与义务。”第四条：”商业银行通过电子渠道验证和辨别客户身份，应采用双（多）因素验证方式对客户身份进行鉴别，对不具备双（多）因素认证条件的客户，其任何账户不得与第三方支付机构建立业务关联。”实际上，客户在开通第三方支付平台后银行已按前述要求在业务关联时进行了相关信息验证，通常会让客户输入姓名、身价证号、银行卡卡号、银行预留手机号以及银行端返回的验证码，已按照监管机关要求进行了不少于双因素的验证方式对客户身份进行鉴别，并未简化相关流程，且目前全国的银行业均是釆用此种模式，而被上诉人却主张我行未按照行业规范要求对其进行身份鉴别、一审法院也据此认定我行存在过错，是认定事实错误。（三）被上诉人资金系通过第三方支付平台转走,该案不属于储蓄存款合同纠纷。被上诉人银行卡内资金转走不属于借记卡纠纷，在银行卡绑定第三方支付平台的情形下发生的资金盗刷案件中，发卡银行是按持卡人的指令向第三人履行合同义务，不应认定为合同履行错误，发卡�不应承担责任。首先，通过客户张倩借记卡交易明细可见，卡内涉案资金全都是转向第三方支付平台，如年年卡、中移电子商务有限公司、QQ平台等，因此并非我行网银系统漏洞或安全技术不达标的原因造成资金损失。其次，在通过第三方支付这种交易方式中，第三方支付平台事先与银行签订服务合作协议。当客户在自己电脑或手机终端因支付需要选择第三方支付时，会在线与第三方支付签订服务协议并绑定银行卡，流程一般如下：客户在第三方支付公司的界面上输入本人的姓名、身份证号、手机号
--第三方支付公司给客户手机返回验证码--客户收到验证码后在上述界面输入--开通第三方支付服务成功--绑定银行卡--输入卡号、银行预留手机号--
第三方支付公司给客户预留手机号码返回验证码--
输入验证码后绑定银行卡成功。一些操作只能客户自己完成，银行不可能替�客户操作。根据客户与第三方支付平台的服务协议，即授权第三方支付公司接收到客户指令后划转款项。在支付过程中，客户发出付款指令，第三方支付审核该指令后将指令发送银行，银行会对第三方支付平台提供的手机号码和客户银行预留的手机号码进行一致性检验，通过后就可根据指令完成扣款。通过第三方支付完成资金划转属于小额支付，是通过手机验证码完成支付的，全程不需要客户输入密码。因此，通过第三方消费和客户的银行卡密码并无任何因果关联，银行卡密码唯一的作用是在开通第三方支付并绑定银行卡时使用，这是区别于传统银行业务的，无需客户本人到场亦无需使用实体银行卡，被上诉人提供的证据并未显示我行存在包括银行卡密码在内的各项支付指令不匹配的情况下仍进行资金流动的违规操作，或者是由于我行的原因导致其银行卡密码等各项指令信息被泄露，仅仅是说卡内资金转走就是银行违反了安全保障义务、选择了有瑕疵的第三方平台公司、未按照行业规范要求进行身份识别，这是毫无逻辑的。因此，该纠纷涉及客户与第三方支付，已突破原储蓄存款合同，不属于储蓄存款合同纠纷，银行仅充当资金结算的功能，依照被上诉人的付款指令完成划款，我行已按约履行了义务，客户应向第三方支付公司主张权益。（四）被上诉人卡内资金系通过第三方支付平台转走，和借记卡密码无关，银行不存在任何过错，且也无证据证明其资金转出系被盗刷。根据银监会、央行联合下发的《关于加强商业银行与第三方支付机构合作业务管理的通知》中的要求：”对预留手机号码且设定短信通知的客户，商业银行应在客户进行支付时对第三方支付机构提供的手机号码和银行预留的手机号码进行一致性检验，通过后方可进行支付。如果银行已按照前述要求在业务关联时实行了相关信息验证，确保客户身份真实可靠，在交易时可以无需再次验证。”由此可见，如果银行已按前述要求在业务关联时进行了相关信息验证，确保客户身份真实可靠，在之后的交易时无需再次验证，只须按指令付款，由此体现第三方支付的便捷性。在银行卡绑定第三方支付平台时，第三方支付平台与持卡人之间会约定相应的支付密码，该支付密码由持卡人设定和保管，与发卡行没有关联，发卡行接到持卡人输入的与第三方支付平台约定的支付密码，即是接到付款指令，会即时向第三方支付平台付款，无需再对持卡人的身份进行验证。因此通过第三方支付完成的交易，银行无法控制，交易产生的后果与银行无关。被上诉人提供的所有证据目前均无法证明其资金系被盗刷。而且浏览客户明细，2015年6月至今，客户也都通过支付宝、微信等第三方支付进行过高达数十余次的消费，因此客户是知晓第三方支付，并且频繁使用第三方支付的。首先，通过第三方支付等方式进行消费或支付，均是在网上或手机操作，无需持有借记卡实体，款项操作人所处的实体空间也难以确定，被上诉人提供的证据不足以排除涉案的资金流动并非被上诉人本人或系其授权的他人操作。其次，完成第三方支付操作所需要的所有要素（包括身份信息、支付密码、验证码）均是被上诉人掌握，上诉人的系统仅凭核对第三方支付公司发出的付款指令是否正确匹配从而识别是否为持卡人的有效操作而进行资金划转，上诉人无任何过错。再次，上诉人已通过短信形式及时通知被上诉人资金转出情况，已按约履行了提示告知义务。最后，被上诉人声称已向公安局报警，但公安局仅仅是�受理后的侦查阶段，无侦查结果更无其他书面说明认定被上诉人的资金是被盗走。（五）根据被上诉人在起诉时对事实的描述足以证明被上诉人存在过错。其在起诉状中称，2016年2月，她本人手机无法接收短信，说明其手机已存在异常状态，极有可能是因其对自身通讯工具、个人信息保管使用不善，导致中毒或中木马，从而引发信息泄露，而且被上诉人手机不单单只接收工行短信通知，还会与外界有各种各样的短信往来，如手机出现异常，被上诉人理应早早察觉并釆取应对措施，因此，被上诉人存在明显过错，而且客户在案发后，仍在使用该卡，假设明知该卡存在安全隐患仍在使用，这也不符合逻辑。综上，该纠纷涉及客户与第三方支付，已突破原储蓄存款合同，不属于借记卡纠纷，银行仅充当资金结算的功能，依照被上诉人的付款指令完成划款，已按约履行了义�。其次，通过第三方支付等方式进行消费或支付，均是在网上或手机操作，无需持有借记卡实体，款项操作人所处的实体空间也难以确定，被上诉人提供的证据不
足以排除涉案的资金流动并非本人或系其授权的他人操作。再次，完成第三方支付操作所需要的所有要素（包括身份信息、支付密码、验证码）均是被上诉人掌握，绑定也只可能由其本人操作或授权他人操作，银行不可能替客户主动绑定，上诉人的电子银行系统仅凭核对第三方支付公司发出的付款指令是否正确匹配从而识别是否为持卡人的有效操作而进行资金划转，上诉人无任何过错。最后，上诉人已通过短信形式及时通知被上诉人资金转出情况，已按约履行了提示告知义务。故请求二审法院依法撤销太原市尖草坪区人民法院（2016)晋0108民初1136号民事判决，并驳回被上诉人对上诉人的全部诉讼请求。本案一审、二审所有诉讼费用由被上诉人承担。
被上诉人张倩辩称，1、一审判决双方当事人对事实均无异议，上诉人提出我方不能证明卡内资金消费不是上诉人进行的，但是我方在一审中提交了银行详单，电话卡详单，公安立案通知单，这些都能证明银行卡才出现的高频次敏感数额交易行为，不是本人进行的。2、上诉人称尽到身份鉴别义务，根据中国银监会中国人民银行关于加强商业银行与第三方机构合作业务管理的通知第三条，对于银行提出如下要求账户所在银行通过物理网点，电子银行直接验证客户身份，明确双当权利和义务，上诉人通过对客服身份验证，只是通过姓名，银行卡号，验证码等简单的信息验证，根据谁受益谁负责的原则银行作为储户存款的收益一方应该根据权利义务对等原则�高银行风险防范意识，对于异常的银行交易行为应该不限于银行提供的上述验证方式，所以我方认为上诉人没有尽到身份鉴别义务。3、上诉人认为不属于储蓄存款纠纷，根据判决书第七页，上诉人自认首先工商银行与涉案第三方平台签订有服务合作协议，客户才有可能与第三方建立首次联系，没有银行与第三方平台的服务协议，我方就不可能与第三方产生交易，所以先决条件是我方和银行有存款储蓄合同关系，银行和第三方有合作关系，所以遵循合同原则，银行负有安全保障义务，此外银行选择有瑕疵的第三方交易平台，出现违约责任时应负有赔偿责任。4、上诉人认为我方手机对于不能接受短信存在过错，我方认为手机一直在控制范围这内，未出现丢失，通话功能正常，作为通信技术的被动接收方对于手机不能接收没有过错，而且在第一时间发现有问题进行相关�济。综上所述，我方认为本纠纷仍然属于储蓄合同纠纷，银行未尽到安全保障义务，银行不能根据我方手机短信不能接收或者向我方提供短信验证码就免除责任，应该进行权利义务对等原则赔偿我方16000余元。请求二审法院驳回上诉，维持原判。
张倩向一审法院起诉请求：被告赔偿原告被盗刷人民币23298.70元，及该款自2016年2月6日起至判决给付之日止的利息（利率按中国人民银行规定的同期银行活期存款利率计算）。本案诉讼费由被告承担。
一审法院认定事实：2012年7月24日，原告在被告处办理借记卡一张，卡号为：××××××，子账号为：××××××。2016年2月6日至10日，在原告不知情的情况下，该借记卡账户中的存款通过第三方支付平台被分为36笔被支出，总计人民币23296.7元。被告在每笔支出产�的同时向原告发送了相应的告知短信息，原告均未实际接收到被告发出的短信息。原告发现账户中的存款被支出后，向公安机关报案，2016年3月18日，太原市公安局尖草坪分局立案侦查。2016年4月15日,在被告的协助下追回盗刷款项299.7元。
另查明，本案所涉第三方支付平台在本案案发前原告均未与之建立联系。
再查明，中国工商银行与涉案第三方支付平台之前签订有服务合作协议，客户在与第三方支付平台首次建立联系时的步骤为：第一，客户在第三方支付平台的界面上输入本人的姓名、身份证号、手机号；第二，第三方支付平台给客户返回验证码；第三，客户收到验证码后在界面输入；第四，成功开通第三方支付服务。第五，绑定银行卡输入卡号和在银行预留的手机号。第三方支付公司会给客户的绑定银行卡的手机号发送验证码，输入验证码后成功绑定银行卡。
一审法院认为，原告在被告处办理银行借记卡的行为在双方之间成立合同关系。被告理应为原告履行确保账户内存款安全，随时支取及按照相关法律法规规定提供相应的服务的义务，原告也应在必要范围内对其帐户资金安全尽到相应的注意义务。本案中，双方对原告账户内存款被盗刷的事实均无异议。争议点在于，造成原告存款被盗刷后果系由哪一方疏于尽到合同义务所造成。根据《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》相关规定，客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需通过商业银行的客户身份鉴别。帐户所在银行应通过物理网点，电子�道或其他有效方式直接验证客户身份，明确双方权利与义务。商业银行通过电子渠道验证和辨别客户身份，应采用双（多）因素验证方式对客户身份进行鉴别，对不具备双（多）因素认证条件的客户，其任何帐户不得与第三方支付机构建立业务联系。结合被告方提供的其客户与第三方支付机构首次建立业务关系的流程可知，被告未尽到上述规定对商业银行在客户与第三方支付机构首次建立业务联系应尽到的身份鉴别注意义务，其明显简化了相关流程。对原告与本案涉案第三方支付平台首次建立业务联系及之后帐户存款被盗刷的事实及损害结果存在过错，理应对原告因此造成的损失承担主要责任。原告在其开通短信提示后，未能保证手机短信接受功能正常运行，致使其未能及时发现自己银行账户的非正常变动，并及时止损，对其帐户存款的损失发生也具有一定过错�应对该损害结果承担次要责任。另，对被告提出根据中国工商银行山西省分行营业部文件，被告仅为并州支行下辖的营业网点，被告不具有诉讼主体资格的答辩意见，被告为依法设立，进行工商登记并领取营业执照的商业银行分支机构，依法具备诉讼主体资格，被告仅凭其内部文件就否认其主体的答辩意见，本院不予采纳。依照《中华人民共和国合同法》第六十条、第一百零七条，《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》第三条、第四条的规定，判决如下：一、被告中国工商银行股份有限公司太原江阳支行于本判决生效之日起十日内赔偿原告张倩存款损失人民币16097．9元，及自2016年2月6日至实际赔偿损失之日的利息，利率为中国人民银行同期活期存款利率。二、驳回原告张倩的其他诉讼请求。
本院二审查明的事实与一审的基本一致，予以确认。
本院认为，本案二审争议焦点在于中国工商银行股份有限公司太原江阳支行是否应对张倩银行卡被盗刷的财产损失承担赔偿责任以及张倩是否应自行承担一定比例的损失。一方面，银行对于银行卡持卡人的资金安全负有保障义务，合同交易方式的电子化要求银行采取更为严格的技术保障措施，且根据收益与风险相一致的原则，银行作为从电子交易风险中获得经济利益的一方，应当负有制止危险的义务。另一方面，持卡人掌握着银行卡交易的重要信息，故持卡人负有安全用卡义务和身份认证信息的保管义务。一审法院关于中国工商银行股份有限公司太原江阳支行负有赔偿损失的违约责任的认定是正确的；同时，张倩对银行卡信息及密码的保管存在一定疏漏的可能性较大，故一审法院根据双方的过错程度，酌定中国工商银行股份有限公司太原江阳支行和张倩各自承担相应责任并无不当，中国工商银行股份有限公司太原江阳支行关于驳回张倩原审诉讼请求的上诉请求，缺乏依据，应予驳回。
综上，中国工商银行股份有限公司太原江阳支行的上诉主张均缺乏事实及法律依据，本院不予采信，对其上诉请求应予驳回；一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项规定，判决如下：
驳回上诉，维持原判。
二审案件受理费382.0元，由中国工商银行股份有限公司太原江阳支行负担。
本判决为终审判决。
审判长 景铜柱
审判员 刘平则
审判员 李翠萍
二〇一七年十二月八日
书记员 赵振清