北京市第二中级人民法院
民 事 判 决 书
（2017）京02民终4245号
上诉人（原审被告）：中国工商银行股份有限公司北京樱桃园支行，营业场所北京市西城区右安门内大街15号。
负责人：满开宏，行长。
委托诉讼代理人：李嘉，女，1977年6月21日出生，汉族，中国工商银行股份有限公司北京樱桃园支行职员，住北京市西城区复兴门南大街2号天银大厦B座1610。
委托诉讼代理人：王莉，女，1978年12月22日出生，汉族，中国工商银行股份有限公司北京樱桃园支行职员，住北京市西城区复兴门南大街2号天银大厦B座1610。
被上诉人（原审原告）：孙磊，男，1983年7月21日出生，汉族，住北京市西城区。
委托诉讼代理人：贾军武，陕西博义律师事务所律师。
上诉人中国工商银行股份有限公司北京樱桃园支行（以下简称工行樱桃园支行）因与被上诉人孙磊借记卡纠纷一案，不服北京市西城区人民法院（2016）京0102民初298号民事判决，向本院提起上诉。本院于2017年4月19日立案后，依法组成合议庭进行了审理。本案现已审理终结。
工行樱桃园支行上诉请求：撤销一审判决，改判驳回孙磊一审诉讼请求。事实和理由：一审判决事实认定有违客观，逻辑推理有失偏颇，适用法律存在错误，判决责任分担不公。
一、一审法院作出“他人采用非法的手段在POS机上进行操作”的认定，存在错误。首先，本案涉案银行卡在案发时是否由孙磊本人保管并未有证据证明，如果孙磊授权他人使用银行卡并将密码主动告知他人，即使孙磊本人不在交易发生地，交易也能够由获得授权的人凭银行卡介质和正确交易密码顺利完成。因此，一审法院根据孙磊不在交易发生地得出涉案交易非孙磊本人所为的结论属于事实认定错误。
二、工行樱桃园支行在合同履行过程中不存在过错，根据合同约定进行的凭密交易应受法律保护。根据一审法院目前查明的事实，并不存在“持卡人信息及密码通过银行系统安全漏洞被他人窃取”的情形，没有证据表明工行樱桃园支行未保证服务场所、系统设备的安全适用，没有证据表明工行樱桃园支行在合同履行过程中负有过错。根据借记卡章程约定，对于预留密码的账户，凡使用正确密码进行的交易均视为孙磊本人行为，工行樱桃园支行应妥善保管包括卡片、密码及本人有效身份证件等材料，由于保管不善造成的损失应当由其自行承担。
争议交易为密码交易，而密码是由客户本人通过专用的密码键盘设置生成，具有唯一性和私密性。银行的柜面工作人员无法通过终端看到客户所输入的密码。密码数据通过加密后传输和保存，即使是银行内部的工作人员也无法查询到密码。在交易验证密码过程中，银行业目前普遍采用固件（硬件）验证，就是将秘钥计算方式固化在硬件中，这杜绝了通过软件窃取或者破解的方式从银行端窃取客户密码。客户一旦对账户设定密码，他人根本不可能知晓，客户相应地就负有妥善保管存款密码的义务。由于只有客户本人知晓银行卡的密码，若发生密码泄露的情况，只可能是从客户的渠道将密码泄露出去的。换言之，即便是拿着真实的银行卡，如果没有正确的密码，同样是无法进行任何操作的。而本案争议交易为凭密交易，工行樱桃园支行按照孙磊输入密码后的交易指令进行了付款，工行樱桃园支行在履约过程中没有过错。若如孙磊所述，相应款项并非其支取，那么孙磊必然存在未妥善保管卡片、密码等的过错。
需要强调的是，“凭正确密码交易视为本人交易”的合同条款，并不构成对孙磊合法权利的排除与限制。持卡人与银行形成合同关系后，银行丧失卡片的控制权，转由持卡人保管，作为支付凭据的密码亦由持卡人完全控制（设置、修改和使用）。这种情形下，持卡人对合同权利的行使具有相当大的自由，银行无法进行任何约束和干预，任何非合同当事人持卡和密码均可以完成交易，如果不加以约束，则银行向非合同当事人履行合同将造成银行违约。“凭密交易视为本人交易”这一规则的创设，建立在银行对持卡人用卡自由和便利性的充分考虑之上，对权利滥用做出了必要约束，支撑着银行对持卡人的信任基础。
三、本案可能涉及刑事犯罪，公安机关的侦办结果对判决结果起决定性作用，应由公安机关进一步侦查。一审法院判决工行樱桃园支行承担赔付责任是建立在存在伪卡的基础上，如上所述，根据现有事实和证据无法得出本案存在伪卡的结论。首先，一审法院作出的“存在伪卡”的事实认定纯系推理所得，缺乏证据佐证。因此公安机关对涉案交易是否为伪卡的侦查结果直接决定本案诉争的法律责任存在与否，直接影响本案的判决结果。其次，如果查实伪卡存在，那么本案犯罪嫌疑人如何获取到涉案银行卡信息及密码也是最终认定双方应承担责任的前提。因此，在上述事实未查清的情况下，法院应当中止本案的审理程序，待相关事实查清后再继续审理，而不应在本案相关事实未查清的情况下径行作出判决。
孙磊辩称，一审法院认定事实清楚，适用法律正确，不同意工行樱桃园支行的上诉请求、事实和理由，请求二审法院驳回上诉，维持原判。
一、一审判决认定核心事实清楚，证据充分。首先，孙磊一审提供的三份均来源于工行樱桃园支行的回单凭条证据，可以充分证明澳门盗刷案发生时，银行卡由孙磊本人持有。其次，警方的报案笔录也证明了银行卡由孙磊本人持有。一审法院向公安机关调取了孙磊报案时的询问笔录，该笔录证实：孙磊于2015年11月2日11点30分前往公安机关报案，并随身携带涉案卡。
二、孙磊无任何过错，工行樱桃园支行未能对消费者信息尽到安全保障义务，应当承担赔偿责任。2015年11月2日3时38分涉案银行卡被盗刷时，根据工行樱桃园支行提供的证据，刷卡地点为澳门。而此时孙磊人在北京，银行卡原件在孙磊手中。案发后，孙磊及时办理了9****电话挂失，持银行卡原件在公安机关进行了报警，其履行了自己的相应义务，不存在任何过错。工行樱桃园支行作为发卡单位，应当对银行卡的真伪承担严格审核义务，必须保障银行卡内的资金安全。其作为专业金融机构，应当可以预见可能发生的伪卡交易，也应当采取必要的技术措施防范不法侵害的发生。孙磊没有遗失自己的银行卡和密码，也从未委托他人使用，不存在泄露存款信息和密码的行为，工行樱桃园支行对外部盗刷的违法行为未能及时发现并进行防范处理，导致孙磊作为消费者的利益受到巨大损害，其应该承担赔偿责任。
三、《中国工商银行借记卡章程》中“凡使用密码进行的交易，发卡银行均视为持卡人本人所为”为无效条款。该条款属于格式条款，免除了工行樱桃园支行的安全保障义务，加重了孙磊的交易风险。另外，《中国工商银行借记卡章程》属于工行樱桃园支行单方制定，未对孙磊尽到充分告知义务，银行卡背面没有孙磊签字确认。另外，交易过程中最重要的一个载体就是银行卡，没有银行卡，有密码也无法成功交易。盗刷者成功刷卡的关键就是伪造了银行卡。
四、本案属于合同纠纷，工行樱桃园支行不能以第三方作为推托责任的借口，且本案不符合“先刑后民”的规定。孙磊和工行樱桃园支行之间是银行卡合同纠纷，工行樱桃园支行应该按照约定，保障孙磊存款的安全，在孙磊取款时支付相应款项，否则，工行樱桃园支行就是违约。根据合同法规定，当事人一方因第三人的原因造成违约的，应当向对方承担违约责任。当事人一方和第三人之间的纠纷，依照法律规定或者按照约定解决。根据上述规定，工行樱桃园支行在违约时应承担赔偿责任，在承担责任之后，可以向盗刷者追偿。
银行卡盗刷案件，盗刷者侵犯的是银行而非储户的权益。因为货币是种类物而不是特定物，储户依据合同将货币存入银行，货币所有权转移给银行，由银行占有、支配和使用。本案孙磊和工行樱桃园支行之间属于银行卡合同纠纷，工行樱桃园支行和盗刷者之间属于犯罪侵权纠纷，两个纠纷属于不同法律事实。根据有关司法解释的规定，同一公民、法人或其他经济组织因不同的法律事实，分别涉及经济纠纷和经济犯罪嫌疑的，经济纠纷案件和经济犯罪嫌疑案件应当分开审理。
孙磊向一审法院起诉请求：1.工行樱桃园支行赔偿孙磊损失393999.83元及利息（自2015年11月3日起至赔偿之日止，按照中国人民银行同期活期存款基准利率计算）；2.诉讼费由工行樱桃园支行承担。
一审法院认定事实：孙磊于2012年在工行樱桃园支行开立账户并办理一张账户号码为6222020200120707084的工银灵通卡，同时孙磊申请开通了95588短信通知功能。
2015年11月2日凌晨3时38分，孙磊收到该银行卡一次性POS支出（消费）393999.83元的短信通知。
牡丹灵通卡账户历史明细清单记载：2015年11月2日消费393999.83元，2015年11月2日卡存100元。
孙磊的往来港澳通行证记载，其2015年10月27日17时53分15秒从拱北口岸入境，此后无出境记录。
机票订单详情截屏显示：乘机人孙磊，10月27日周二，珠海-北京，19时40分金湾机场起飞，22时55分首都机场降落。
孙磊看到短信内容后，通过和工行樱桃园支行核实，确认银行卡被他人盗刷，盗刷地区为澳门。
2015年11月2日10时47分，在工行樱桃园支行业务柜台，孙磊申请办理了银行卡存款业务向涉案银行卡账户存入100元。
2015年11月2日10时51分，在工行樱桃园支行业务柜台，孙磊打印了该银行的交易明细。
2015年11月2日11时30分孙磊前往北京市公安局西城分局白纸坊派出所报案，现警方已立案。法院向北京市西城区白纸坊派出所调取了孙磊报案时的询问笔录，该笔录证实：孙磊于2015年11月2日11时30分前往北京市西城区白纸坊派出所报案，并随身携带涉案银行卡。
一审法院认为，《中华人民共和国商业银行法》第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”。《中华人民共和国合同法》第六十条第二款规定：“当事人应当遵循诚实信用原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务。”本案中，孙磊申请并领取了借记卡，双方之间就借记卡的申领及使用形成合法有效的合同关系。在此情形下，工商银行应保障储户的存款安全，其中包括对储户信息安全保障义务，即银行首先要对所发的银行卡本身的安全性予以保障，防止储户信息、密码等信息数据被轻易盗用，其次银行应保证其服务场所、系统设备安全适用。
工商银行之所以必须履行上述合同义务，首先，基于合同交易方式电子化的要求，通过银行提供的机器，只要输入了储户的信息和密码，机器就视作储户本人在进行交易，即使该信息和密码是盗取的也无从识别，因此银行对储户资金支付安全的保障义务就应当相应扩张至对储户信息和密码的保障。其次，从收益和风险相一致的要求看，电子化交易下，银行避免了对取款人身份的书面审查，但从经济上获取收益，因此对潜在的风险及危险的发生负有防范和制止义务。再次，银行作为经营者对自己的服务设施、设备的性能和服务场所的安全情况比储户更多的了解，也具有更强大的力量和更为专业的知识，更能预见可能发生的风险和损害，更有可能采取必要的措施防止危险的发生。
一审庭审中，孙磊陈述发现卡被盗刷后，本人持卡向北京市公安局西城分局白纸坊派出所报案，并出具公安机关受案回执，提交孙磊本人往来港澳通行证及ATM机存款凭条，证明在涉案时间2015年11月2日其没有出境记录且涉案卡由其本人持有的事实。法院对孙磊于涉案交易发生后本人持卡向公安局报案的事实予以确认。由此可以推论，孙磊本人并未去至交易发生地，借记卡也在孙磊本人持有状态下。故孙磊持有的作为储蓄合同凭证的借记卡并没有进行交易，而是他人采用非法的手段在POS机上进行了操作，表明该借记卡不具有唯一的可识别性，从一个侧面证明了银行卡系统存在一定的安全隐患，主要是指银行卡背面的磁条信息容易被复制的安全隐患。因此，法院认为工行樱桃园支行在合同履行过程中存在未尽安全保障义务的违约行为。
根据我国合同法在违约责任归责原则上采取的严格责任原则，不论违约的当事人主观上有无过错，只要不是依照合同约定或者法律规定可以免责的事由，就必须承担违约责任。现工行樱桃园支行未提交充分证据证明孙磊对其持有的借记卡没有妥善保管或合理使用，因此其主张孙磊没有尽到妥善保管借记卡和密码义务所产生的损失应由其自行承担的抗辩意见，缺乏事实和法律依据，法院不予采纳。
关于工行樱桃园支行抗辩本案涉嫌经济犯罪一节，法院认为孙磊基于双方之间的合同关系起诉工行樱桃园支行，孙磊虽已经报案，但该案并未正式刑事立案，即便公安机关立案侦查，也不影响孙磊民事权利的司法保护，因此孙磊的报案不影响本案处理，故法院对工行樱桃园支行该项抗辩意见不予采纳。
综上所述，依照《中华人民共和国合同法》第六条、第八条、第六十条第二款、第一百零七条，《中华人民共和国商业银行法》第六条，《中华人民共和国民事诉讼法》第六十四条第一款之规定，判决：中国工商银行股份有限公司北京樱桃园支行于判决生效之日起十日内向孙磊偿付三十九万三千九百九十九元八角三分及利息（自二○一五年十一月三日起至实际给付之日止，按照中国人民银行同期活期存款基准利率计算）。
二审中，当事人没有提交新证据。本院根据当事人一审中提交的证据补充查明，《中国工商银行借记卡章程》第七条载明：申请借记卡必须设定密码，持卡人使用借记卡办理消费结算、取款、转账汇款等业务须凭密码进行（芯片卡电子现金交易除外）。凡使用密码进行的交易，发卡银行均视为持卡人本人所为。依据密码等电子信息办理的各类交易所产生的电子信息记录均为该项交易的有效凭据。持卡人须妥善保管借记卡和密码。因持卡人保管不当而造成的损失，发卡银行不承担责任。本院对一审法院经审理查明的事实予以确认。
本院认为，工行樱桃园支行与孙磊之间成立借记卡服务合同法律关系，孙磊开通相关银行卡功能并向其借记卡账户存入款项后，工行樱桃园支行即有义务在存款余额限度内向孙磊提供银行卡消费结算、转账汇款、提取现金等服务。针对本案二审中的争议焦点，本院认定如下：
一、关于使用伪造银行卡进行交易的认定
本案银行卡交易发生于2015年11月2日凌晨3时38分，地点位于澳门，交易方式为POS刷卡消费。孙磊于同日上午10时47分在工行樱桃园支行通过银行卡存款业务向涉案银行卡账户存入100元。自2015年10月27日至涉案交易发生时，孙磊并无入境澳门的记录。根据上述事实发生的时空距离判断，法院可以认定涉案交易发生时孙磊和本案借记卡均不在交易现场，该交易系他人持复制的银行卡实施的操作。孙磊发现该借记卡余额变动提醒短信后，立刻向发卡银行告知账户资金变动异常情况，核实银行卡交易过程，到工行樱桃园支行的业务柜台打印交易明细，并于同日上午赶到公安机关报案和接受询问，而工行樱桃园支行未能提供证据证明孙磊授权他人进行了诉争交易。据此，本院可以认定本案银行卡交易系他人使用伪造银行卡进行的交易（以下简称伪卡交易）。工行樱桃园支行上诉称现有证据不足以证明本案银行卡交易系伪卡交易，本院对该上诉主张不予采信。
二、关于工行樱桃园支行应否承担违约责任
发卡行与伪卡使用人之间的交易行为对持卡人不产生法律效力。工行樱桃园支行对伪卡使用人的付款行为不构成对孙磊的履约行为。《中国工商银行借记卡章程》第七条规定了“凡使用密码进行的交易，发卡银行均视为持卡人本人所为”的格式条款，工行樱桃园支行主张适用该条款免除己方责任，实系主张伪卡使用人的行为构成表见代理。伪卡使用人持伪卡进行交易，属无权代理行为。发卡行负有防范卡片复制和识别伪卡的义务，故伪卡使用人的行为并不具有使发卡行足以相信其有代理权的外观，不能构成表见代理，上述格式条款按通常理解不应适用于伪卡交易情形。工行樱桃园支行依据上述条款主张其不应再向孙磊支付因盗刷而减少的款项，该上诉主张没有合同和法律依据，本院不予支持。
孙磊账户资金余额因伪卡交易而减少，应视为工行樱桃园支行表示其将不再在相应额度内向孙磊提供银行卡服务。《中华人民共和国商业银行法》第三十三条规定：“商业银行应当保证存款本金和利息的支付，不得拖延、拒绝支付存款本金和利息。”《中华人民共和国合同法》第一百零七条规定：“当事人一方不履行合同义务或者履行合同义务不符合约定的，应当承担继续履行、采取补救措施或者赔偿损失等违约责任。”孙磊有权依据上述规定要求工行樱桃园支行承担违约责任，请求其给付因伪卡交易而减少的借记卡账户资金和以该资金为基数计算的存款利息。工行樱桃园支行以其自身不存在过错为由主张不承担违约责任，没有法律依据，本院不予支持。
伪卡交易的条件包括发卡行未能防范卡片复制和伪卡使用，亦包括银行卡信息和密码因泄露而被伪卡使用人窃取。银行卡信息和密码泄露的原因又可能存在于银行或持卡人方面。发卡行作为银行卡业务的推出方，本应比持卡人承担更重的防范伪卡交易的责任。发卡行如主张减免其对持卡人的付款责任，应当举证证明银行卡信息或密码泄露系因持卡人未能妥善保管银行卡或密码所致，且发卡行已按行业主管部门的要求，在现有技术条件下充分防范伪卡交易。本案中，工行樱桃园支行未能防范银行卡复制和识别伪卡，又未能举证证明银行卡信息或密码泄露系因孙磊未能妥善保管银行卡或密码所致，工行樱桃园支行上诉称孙磊对银行卡信息和密码泄露存在过错，并以此作为免除工行樱桃园支行违约责任的理由，该上诉主张没有事实依据，本院不予支持。
三、关于伪卡交易情形下本案的受理问题
货币是特殊的种类物，货币所有权随占有的转移而转移。孙磊将款项存入其借记卡账户后，工行樱桃园支行即取得货币所有权，而孙磊享有对工行樱桃园支行的债权。伪卡使用者故意实施伪卡交易，使工行樱桃园支行丧失了相应的货币所有权，构成对工行樱桃园支行的侵权行为。孙磊与工行樱桃园支行之间存在借记卡服务合同法律关系，伪卡使用者与工行樱桃园支行之间存在侵权损害赔偿法律关系，两种法律关系相互独立。伪卡使用者对工行樱桃园支行的侵权行为如果构成刑事犯罪，应按相应程序追究其刑事责任，法院不应以伪卡交易涉嫌刑事犯罪为由而对孙磊与工行樱桃园支行之间的借记卡纠纷案件不予受理或中止审理。据此，工行樱桃园支行关于法院应中止本案审理程序的上诉主张，没有法律依据，本院不予支持。
综上所述，工行樱桃园支行的上诉请求不能成立，应予驳回；一审判决处理结果并无不当，应予维持。依照《中华人民共和国合同法》第四十一条、第四十八条第一款、第四十九条、第一百零七条，《中华人民共和国商业银行法》第三十三条，《中华人民共和国民事诉讼法》第一百七十条第一款第一项之规定，判决如下：
驳回上诉，维持原判。
二审案件受理费7210元，由中国工商银行股份有限公司北京樱桃园支行负担（已交纳）。
本判决为终审判决。
审 判 长 孙兆晖
审 判 员 葛 红
审 判 员 曹 欣
二〇一七年六月八日
法官助理 王莹莹
书 记 员 崔亚楠