江苏省徐州市中级人民法院
民 事 判 决 书
（2016）苏03民终1703号
上诉人（原审原告）于兴洋。
委托代理人姜芳，江苏圆点律师事务所律师。
委托代理人牛作良，江苏圆点律师事务所律师。
被上诉人（原审被告）中国农业银行股份有限公司徐州鼓楼支行，住所地徐州市鼓楼区环城路88号。
负责人曹希军，该支行行长。
委托代理人孟黎，该支行职员。
委托代理人石明娟，该支行职员。
上诉人于兴洋与被上诉人中国农业银行股份有限公司徐州鼓楼支行（以下简称农行鼓楼支行）因借记卡纠纷一案，不服徐州市鼓楼区人民法院（2015）鼓商初字第0592号民事判决，向本院提起上诉。本院于2016年3月21日立案受理后，依法组成合议庭进行了审理。本案现已审理终结。
于兴洋原审诉称：我在农行鼓楼支行办理农业银行卡一张，卡号为62×××19，2014年11月23日凌晨4时20分左右，在卡未离身的情况下，被他人在山东省潍坊市临朐城关分理处从该银行卡中支取现金2万元、转帐2万元。我接到短信时，立即向徐州公安机关报警，后与95599多次取得联系，均未解决问题。农行鼓楼支行未尽到保护我银行卡内资金安全的义务，已构成违约，请求判令农行鼓楼支行赔偿4万元及手续费115元、支付利息损失（从2014年11月23日起按中国人民银行同期贷款利率计至实际履行之日，暂至2015年8月11日为1700元），并承担本案诉讼费用。
农行鼓楼支行原审辩称：1、于兴洋在2014年11月23日收到银行卡异地交易通知时，不是直接到最近的银行网点留存交易凭证，证明本人在徐州、银行卡也在身上，而是在若干小时后才到徐州子房派出所进行现场报案，无法证明交易时本人在徐州以及卡在本人身上。2、于兴洋在2014年11月23日4点左右收到短信，从其手机信息反映，其分三次拨打了农行客服电话，分4次拨打了工商银行的客服电话，还拨打了95561人寿保险的电话，在5点42分、10点50分又拨打了95188支付宝的客服热线。如果是农行的银行卡发生了异常，于兴洋为何不及时报警反而拨打工商银行等电话。从于兴洋的交易记录看，其银行卡频繁用于网络支付，其密码有可能被盗。3、在正常情况下，银行借记卡的资金被盗取，客户的反应是先将银行卡内的余额冻结并不再使用原银行卡，但于兴洋没有冻结银行卡，而是继续使用原来的银行卡，在2015年1月15日还向该银行卡存入了现金，这些行为违反常规。4、于兴洋的诉讼不及时，其曾于2015年3月4日向徐州市泉山区人民法院提起诉讼，在开庭审理时，法院发现其借记卡开户行提供错误，要求到徐州市鼓楼区人民法院提起诉讼，但其一直搁置，直到2015年8月才起诉，两次诉讼隔了5个月，对于追回款项并不迫切。5、本案如为盗窃，也是于兴洋对银行卡及密码的保管不善，被犯罪分子利用，按银行卡章程第8条的规定，因于兴洋个人的原因造成的损失应自行承担。而且2014年11月23日于兴洋在向子房派出所报案后，该所已经将案件以盗窃罪进行了刑事立案，后因公安机关机构改革，撤销了子房派出所，现该案件由翠屏山派出所受理，翠屏山派出所于2015年9月30日锁定了犯罪嫌疑人并冻结了犯罪嫌疑人的资金2万元。公安机关已经立案，并且冻结了部分资金，现在无法确定具体的损失金额。因此，依据先刑后民的原则，应等公安机关刑事案件结束后，再进行民事案件的审理。
原审法院查明：2012年3月9日，于兴洋在农行鼓楼支行下属的永业分理处（以下简称农行永业分理处）办理银行卡开户，在开户申请书“客户声明及阅知”一栏写明：本人已认真阅读《中国农业银行金穗借记卡章程》和《中国农业银行个人银行结算账户管理协议》，并了解相关开户须知、章程、业务功能协议、功能说明、责任条款、业务收费标准，同意遵守相关协议，本人保证在本申请书中所填内容确属真实、完整。开户申请书由于兴洋签字确认。开户申请表背面为个人银行结算账户管理协议及中国农业银行金穗借记卡章程，章程的部分内容为：“中国农业银行金穗借记卡是中国农业银行发行的金融支付工具，具有存取现金、转账结算、消费、理财等全部或部分功能，不提供透支服务。第二条：金穗借记卡按介质类型分为磁条卡、IC卡。第七条：申领金穗借记卡必须设定密码，持卡人应设置安全性较高的密码，避免使用简单密码或容易被他人猜到的密码，否则应承担由此引发的不利后果；凡须输入密码且密码相符的交易均视为持卡人本人的合法交易，发卡行依据密码为持卡人办理交易所产生的电子信息记录为该项交易的有效凭据，签名仅作为持卡人认可交易金额的辅助措施。第八条：持卡人应妥善保管金穗借记卡卡片和密码；……因持卡人卡片、密码保管不善，使用不当或将卡片出租、出借和转卖等情形造成的后果由持卡人本人承担。”其中第七条、第八条为黑体字，区别于其他非黑体字体。后农行永业分理处交付于兴洋一张磁条金穗借记卡，卡号为62×××19，于兴洋设置了密码。
于兴洋开户后一直使用该农业银行借记卡，2014年11月23日4时40分左右看到涉案银行卡所绑定手机收到106363095599发来的短信，提示其银行卡中存款四次分别被支取5000元，并被转账2万元。于兴洋于2014年11月23日4时42分、46分、56分分别拨打农业银行95599客服电话，于2014年11月23日4时47分、48分、5时12分分别拨打工商银行95588客服电话，于2014年11月23日5时2分拨打110电话报警，后还拨打了95561、95188等电话。2014年11月24日于兴洋至徐州市公安局云龙分局子房派出所报警。接处警工作登记表记载：“2014年11月24日12时35分，接于兴洋报警称2014年11月23日凌晨4点多，正在日成奥运城家中休息，接到信息提示银行卡内4万元现金被取款和转账的方式支出，报警人银行卡一直在身上，怀疑被复制了。此案需进一步调查，拟报立刑事案件。”
根据于兴洋的涉案银行卡交易记录，涉案银行卡中存款于2014年11月23日4时20分07秒、20分47秒、21分32秒、22分15秒四次分别被支取5000元，手续费共100元，2014年11月23日4时23分35秒被转账2万元，手续费为15元。转账后卡内余额为2145.54元。上述款项被操作处为中国农业银行山东省潍坊市临朐城关分理处自助银行ATM机。后于兴洋于2015年1月4日使用涉案银行卡通过POS机消费100元，于2015年1月15日通过自动取款机（ATM机）存入2000元，于2015年2月14日通过POS机消费200元，于2015年3月13日通过ATM机支取3800元。
案件审理中，原审法院向翠屏山派出所（子房派出所撤销，于兴洋所报案件由该所继续处理）调查，情况为：于兴洋所报案件已经刑事立案，案件正在侦查中。2014年11月23日从于兴洋卡中转出的2万元，直接转入了蒋苇名下6228480409672821074卡中，转入后款项一直未被支取，2015年9月30日，徐州市公安局云龙分局冻结了蒋苇名下的该2万元存款。
另查明：2014年11月23日2时许，于兴洋曾使用涉案银行卡向支付宝付款1万元，并称其经常在自动取款机使用该银行卡，或通过网络在支付宝等使用。
还查明：于兴洋曾就本案向徐州市泉山区人民法院起诉，其陈述曾看到过从中国农业银行山东省潍坊市临朐城关分理处调取的2014年11月23日4时20分左右支取其款项的现场监控录像，录像显示支取人戴着口罩、鸭舌帽，持一张白色银行卡。农行鼓楼支行也查实当时支取人在自助ATM机上操作，操作时面部遮掩密实。
原审法院认为：于兴洋在农行鼓楼支行下属的农行永业分理处办理了金穗借记卡，即与其建立了银行卡合同关系，该合同合法有效，应受法律保护。农行鼓楼支行永业分理处向于兴洋发行的金穗借记卡，是出具给于兴洋的债权凭证，发卡行负有保证于兴洋存款的安全和承担按持卡人合理要求支付的义务，而于兴洋作为持卡人也应当妥善保管好自己的银行卡以及密码。
一、涉案银行卡内4万元交易所涉存款是否被他人盗取。
结合涉案银行卡中存款的交易时间、地点、转账情况及于兴洋及时拨打110电话报警等特征，依据经验法则，案外他人使用复制于兴洋的农业银行金穗银行卡进行涉案交易的事实具有高度盖然性。首先，在2014年11月23日凌晨4时20分左右，于兴洋农业银行卡号62×××19内的款项发生4次取款交易、1次转账交易，时间均为凌晨4时20分左右，根据取款时间判断，涉案交易不符合正常持卡人的取款习惯。其次，于兴洋为徐州人，而涉案款项的取款地点在中国农业银行山东省潍坊市临朐城关分理处，取款时取款人面部遮掩密实，可以判断取款非于兴洋所为。第三，发现银行卡存款数额非正常减少后，于兴洋及时拨打了农业银行95599客服电话并拨打110电话报警，亦符合一般人发现存款被盗后的正常反应。故于兴洋提交的证据已经形成较为完整的证据链，证明涉案交易非其本人交易。在农行鼓楼支行没有相反证据的情况下，可以认定涉案银行卡内存款4万元系被他人盗取。
二、农行鼓楼支行是否应对于兴洋承担责任，以及承担责任的大小。
1、涉案取款使用的卡片应为伪造的银行卡。涉案交易的取款是通过自助银行ATM机取款。自助银行ATM机取款应当同时具备两个条件：一是被银行系统识别的银行卡，二是正确的密码。而于兴洋的银行卡并未遗失，农行鼓楼支行亦不能证明于兴洋将银行卡交由他人实施涉案交易，因此根据经验法则，涉案取款交易可以推断为通过伪造的银行卡进行的交易。
2、农行鼓楼支行或其下属的农行永业分理处未完全履行保障储户存款安全的义务。《中华人民共和国商业银行法》第六条规定“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”银行作为经营存贷款及储蓄业务的金融机构，应当为存款人提供安全的不易复制的银行卡、并对伪造银行卡具备识别能力。存款人出于信赖将现金存入银行后，银行即具有保障存款安全的合同义务。金穗借记卡章程虽然约定“凡须输入密码且密码相符的交易均视为持卡人本人的合法交易”，但该约定应当仅对使用真实的银行卡交易时才有约束力，伪造的银行卡不适用该约定。由于银行卡系银行发行，交易系统系银行设立，银行有能力了解银行卡存在的风险，并有条件及时采取措施防范风险，努力提高银行卡及交易系统的防伪和识别能力。银行存款涉及亿万储户的切身利益，银行对按合同约定条件支取存款负有严格责任，在银行卡或交易系统存在安全隐患的情况下，若银行怠于作为，未积极采取措施保障储户存款安全，应属于违约。
根据2014年5月14日中国人民银行《关于逐步关闭金融IC卡降级交易有关事项的通知》内容显示，银行卡的磁条介质存在伪卡欺诈风险。在2011年3月11日中国人民银行下发了《关于推进金融IC卡应用工作的意见》，提出“全面推进金融IC卡应用，有利于提高我国银行卡的整体风险防控能力，降低风险损失”，要求2011年6月底前，中国农业银行等银行开始发行金融IC卡。因此，本案中，于兴洋在2012年3月申请办理银行卡时，农行鼓楼支行有能力为于兴洋办理金融IC卡，防止磁条卡被伪造的风险。同时，被伪造的银行卡能够交易说明银行的交易系统不能识别伪卡，进一步说明银行未能履行安全保障义务。虽然涉案交易并非通过农行鼓楼支行或其分理处的设备完成交易，但收单行（实际发生交易的银行）与发卡行（农行鼓楼支行下属永业分理处）之间属于委托代理关系，代理人未能识别伪卡的法律责任应由被代理人承担。因此农行鼓楼支行未完全履行存款人存款的安全保障义务，应对涉案银行卡被伪造后交易产生的实际损失承担相应责任。
3、于兴洋未妥善保管银行卡和密码违反合同约定。银行卡、卡号和密码共同构成一个完整的储户身份标志，只有三者一致时，金融机构才允许交易。磁条介质银行卡的信息存储于银行卡磁条中，没有银行卡磁条信息无法伪造银行卡，于兴洋称其银行卡一直由其持有，因此虽然无法查明银行卡信息泄露的原因，但可以认定于兴洋未尽到谨慎保管银行卡及银行卡信息不泄露的义务。同时，在现行银行卡业务中，银行卡密码由储户设定，并通过加密后传输和保存，具有特定性和唯一性，除储户本人知道该密码外，任何人包括银行工作人员在内都无法查询到该密码。储户对银行卡密码应负有妥善保管和保密的义务，本案中他人利用伪造的银行卡和使用正确密码提款或转账成功，由此可见，于兴洋也未尽到谨慎保管密码的义务。故在无其他证据证明银行卡信息和密码泄露是由农行鼓楼支行或其下属永业分理处造成的情况下，于兴洋应承担存款被盗取的相应责任。
于兴洋主张农行鼓楼支行永业分理处提供的开户申请表背面的章程第八条为格式条款，加重了其责任、免除了农行鼓楼支行义务，应为无效。该院认为，开户申请表下方已经明确提示了申请人认真阅读章程及责任条款等，章程第七条、第八条等条款中的重要内容及责任条款均以不同于其他字体的黑体字显示，说明开户银行已经履行了以合理方式提请对方注意免除或限制责任的条款的义务，且农业银行的格式条款并未免除其责任、加重对方责任、排除对方主要权利，因此农行鼓楼支行的章程中的责任条款不应认定无效，于兴洋的主张不能成立。
因此，本案于兴洋账号中存款的损失是由于农行鼓楼支行未提供安全性高的银行卡、代理取款银行未能识别伪造银行卡和于兴洋未妥善保管银行卡信息及银行卡密码两个方面因素共同导致，双方对造成损失均存在违约行为，且均未提供充分证据证明对损失的产生哪一个原因力明显更强或更弱，故应当对资金损失承担同等责任。另外，由于于兴洋的存款损失4万元中的2万元已被公安机关冻结、控制，该2万元法院不能重复处理，故本案对公安机关控制的2万元不予处理，于兴洋目前的实际损失为20115元。
三、本案是否应当在处理完刑事案件后再行审理。
虽然公安机关对于兴洋人民币被盗窃已经立案，尚未侦破，但追究犯罪行为并不影响本案银行卡合同纠纷的审理。于兴洋依据与农行鼓楼支行的银行卡合同提起违约之诉，系合同纠纷。案外人伪造于兴洋的银行卡盗取存款，系涉嫌刑事犯罪的行为。双方之间的民事法律关系与案外犯罪嫌疑人涉嫌的犯罪行为虽然具有一定的牵连性，但追究犯罪嫌疑人的刑事责任与于兴洋要求农行鼓楼支行承担的民事责任并不存在矛盾。根据最高人民法院《关于在审理经济纠纷案件中涉及经济犯罪嫌疑若干问题的规定》第十条规定的精神，追究犯罪嫌疑人的刑事责任，不影响民事案件的审理。故对农行鼓楼支行提出处理完刑事案件后再审理本案的抗辩理由，不予采纳。
综上，农行鼓楼支行应承担赔偿于兴洋一半损失的责任，故对于兴洋要求赔付存款1万元、手续费57.50元及从款项被盗取次日即2014年11月24日计算的利息损失的诉讼请求，应予支持，超过部分不予支持。依据《中华人民共和国合同法》第三十九条、第四十条、第六十条、第一百零七条、第一百二十条，《中华人民共和国商业银行法》第六条之规定，判决：判决生效后五日内，农行鼓楼支行一次性赔偿于兴洋人民币10057.50元及利息损失（以10057.50元为基数，从2014年11月24日起按人民币贷款同期利率计算至实际履行之日）。案件受理费人民币850元，由于兴洋负担400元，由农行鼓楼支行负担450元。
于兴洋不服上述民事判决，向本院上诉称：1、本案双方当事人之间系储蓄存款合同关系，犯罪分子盗取银行卡中的现金系银行的现金而非储户的现金，所以本案中被公安机关立案并冻结的两万元，应由农行鼓楼支行赔付给上诉人后再由其向第三人追偿，而不是不予处理。另外，徐州市公安局子房派出所也认为该刑事案件的受害人是银行而不是储户，建议储户直接向人民法院起诉银行。2、农行鼓楼支行应对其发放的银行卡交易安全提供保障义务，保障储户的资金安全，因被上诉人未对该银联卡交易尽到足够的安全保障义务，致使上诉人的合法权益受到侵害。对于上诉人遗失密码存在过错的举证责任应由农行鼓楼支行承担，但其并不能证明上诉人恶意遗失密码，因此不能免除被上诉人提供安全交易的义务。同时，银行开户申请表后的章程虽用黑体字标出，但明显是免除银行责任加重储户的责任与义务，应认定为格式条款，不能作为本案的定案依据。因此，原审法院认定的过错承担比例有失公平公正。请求二审法院查明事实，撤销原审判决，依法判决支持上诉人的诉讼请求。
被上诉人农行鼓楼支行辩称：涉案刑事案件的受害人应为上诉人，该刑事案件是上诉人自己于案发日拨打110后到派出所进行报案，公安机关进行立案侦查。根据刑事先于民事的原则，首先应终结刑事案件后再进行民事案件审判。上诉人提出公安认为受害人是银行并非储户，并未提供相关证据，且公安机关系执法机构，并非立法机构，其说法无法律依据。上诉人在案发当日不仅拨打了110、农行客服电话，还同时拨打了其他银行的客服电话，说明上诉人对自己的银行卡保管不够稳妥。
二审期间双方当事人均未提交新证据。
二审查明的事实与原审法院认定的事实一致，本院予以确认。
本案二审期间的争议焦点为：一、本案中的损失数额如何确定；二、双方当事人在本案中的责任如何确定。
本院认为：一、关于损失数额问题。对于涉案银行卡被他人在ATM机盗取的现金2万元及取款和转账的手续费115元，原审判决已经认定为于兴洋的损失，双方当事人对此均未提出上诉，本院予以认定。本案中双方争议的是涉案银行卡被他人转账并被公安机关冻结的2万元，是否构成于兴洋的实际损失。本院认为，上述争议的2万元虽然已被他人盗转到案外人的银行账户中，但公安机关在刑事侦查中已予冻结，现虽尚未返还，但款项流向具体明确，于兴洋可请求公安机关追赃返还，故该部分款项尚不构成其实际损失。
二、关于双方当事人本案中的责任认定问题。首先，《中华人民共和国商业银行法》第六条规定“商业银行应当保护存款人的合法权益不受任何单位和个人的侵犯”。银行卡是金融机构提供给储户的存款、取款、转账以及其他金融服务的载体，应当具有防伪造性能，金融机构有义务采用防伪技术使银行卡在使用中达到防伪性的要求。ATM机是金融机构提供给储户进行存款、取款、转账以及其他金融业务的设备，应当具有识别伪造卡的性能，金融机构有义务采用防伪技术使ATM机在使用中达到防伪性的要求。上述两点要求是金融机构应负的安全保障义务。本案因使用伪卡产生涉案交易，导致涉案银行卡账户内的资金减少，农行鼓楼支行作为发卡行，系与持卡人于兴洋之间的储蓄存款合同的相对方，违反了其所负的安全保障义务，故对涉案银行卡被伪造后交易产生的损失，应按过错程度向于兴洋承担相应的赔偿责任。
其次，《中华人民共和国合同法》第六十条第二款规定“当事人应当遵循诚实信用原则，根据合同的性质、目的和交易习惯履行……保密等义务。”银行卡及密码是于兴洋与农行鼓楼支行签订储蓄存款合同后，使用其存取款的权利依据，具有特定性，于兴洋作为涉案银行卡的持卡人，交易密码由其本人设置和保管，在日常使用中必须谨慎注意，防止交易密码或其他相关信息被泄露，而银行对此难以控制，在没有迹象表明系农行鼓楼支行的原因导致密码泄露的情况下，密码泄露的风险责任应由于兴洋承担。
依照《中华人民共和国合同法》第一百二十条“当事人双方都违反合同的，应当各自承担相应的责任”的规定，农行鼓楼支行作为本案储蓄合同的发卡行，违反本案储蓄合同的安全保障义务，于兴洋作为本案储蓄合同的持卡人，没有尽到妥善保管密码的义务。原审法院根据双方的过错程度，认定合同双方当事人应当对本案资金损失承担同等责任，并无无不当。
综上，于兴洋的上诉请求，本院不予支持。原审判决认定事实清楚，实体判决亦无不当，依法应予维持。依照《中华人民共和国民事诉讼法》第一百六十九条第一款、第一百七十条第一款第（一）项、《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第三百三十三条的规定，判决如下：
驳回上诉，维持原判。
二审案件受理费850元，由于兴洋负担。
本判决为终审判决。
审 判 长 郭 宏
代理审判员 赵东平
代理审判员 汪佩建
二〇一六年六月二十一日
书 记 员 刘思蒙