论银行的安全保障义务——以利用克隆银行卡盗窃为例

孙学亮，尤瑞芹

(天津商业大学法学院，天津300134)

1 案情概要

原告李某诉称:其在某商业银行H支行(以下简称H支行)处开立借记卡账户。2011年6月15日17时31分，有人在该商业银行N支行(以下简称N支行)自动取款机上安装盗录设备，原告于当日17时41分在该自动取款机上取款时，银行卡号与密码被已安装的盗录设备盗取。当日20时11分盗录设备被拆除，随后有人利用原告的银行卡号与密码“克隆”银行卡，于当日深夜至次日凌晨用“克隆卡”在同一城市的不同自动取款机上先后共盗取原告存款118 928元。至本案审理时，公安机关尚未侦破此案。原告将H支行与N支行作为共同被告诉至法院，要求二被告连带给付118 928元及至判决生效时的相应利息。

本案主审法官认为原告与H支行系储蓄合同关系，银行未尽到合同附随义务中的安全保障义务，依据《中华人民共和国合同法》(以下简称《合同法》)第六十条第二款规定的合同附随义务，并参照中国人民银行2009年8月作出的《关于加强银行业金融机构信息安全保障工作的指导意见》，判决H支行给付原告118 928元及至判决生效之日止的相应利息。N支行是在为第三人(H支行)履行义务，与原告不存在合同关系，根据合同相对性，第三人履行义务不当的责任应由合同义务方承担，N支行不承担赔偿责任。

2 安全保障义务的含义

安全保障义务的原型是德国法上的交通安全义务。最初主要用于解决在道路等公共场所发生侵权行为后的责任归属问题。要求公共交通设施的所有人或管理人合理关照在其所有或管理的交通设施上通过的人。危险制造与控制理论是其法理基础，即“谁制造或控制风险，谁承担责任”的原则。对所有人、管理人科加这种义务的原因在于他们开启或持续了某种危险，而且他们原则上处于可以支配这种危险的地位，对这种危险比较熟悉，具有专业的知识或能力，可以控制危险的发生或消除危险的影响。我国学者对安全保障义务没有形成一致定义，但实质内容基本一致，即在特定法律关系的当事人之间的一定限度的合理注意义务。

根据我国现行法律规定，安全保障义务的法律依据主要是《合同法》第六十条第二款规定的合同附随义务［1］、《消费者权益保护法》第十条规定的经营者的安全保障义务及《侵权责任法》第三十七条规定的安全保障义务。可见安全保障义务既有合同关系中的合同附随义务，亦有侵权关系中的安全保障义务。多数案件中都存在违约责任与侵权责任的竞合。依据《合同法》第一百二十二条之规定:因当事人一方的违约行为，侵害对方人身、财产权益的，受侵害方有权选择依照本法要求其承担违约责任或依照其他法律要求其承担侵权责任。因此，在违约责任与侵权责任存在竞合时，原告具有选择权。但无论是合同法中的安全保障义务还是侵权法中的安全保障义务，法律都没有对该义务内容做统一、精确的界定。由于社会关系的多样性、复杂性和多变性，为保障法律的稳定性、普适性，法律不能也不应该对安全保障义务做数学公式般的精确规定，应由法官遵循一定的法律原则通过行使自由裁量权结合个案具体情况确定。

3 界定安全保障义务边界应遵循的原则

义务的范围是有边界的、有限的，泛义务理论并不能最大限度保护受害人的利益，反而会有损于法律的公平和正义，导致法律主体权利、义务失衡。［2］储户无论是依据合同附随义务中的安全保障义务要求银行承担违约责任，还是依据《侵权责任法》中的安全保障义务要求银行承担侵权责任，都需要对银行安全保障义务范围的边界进行合理界定。同样，在因第三人侵权行为导致银行储户损失的案件中，亦应合理界定银行安全保障义务的边界，从而确定银行是否应当承担责任以及责任份额。虽然我国现行法律法规对安全保障义务的边界没有确切的规定，也不能更不应做出数学公式般的精确规定，但也不是毫无规律可循。确立界定安全保障义务边界应遵循的法律原则，对法院做出公正合理的判决、实现法律统一亦有重要的现实意义。

3.1 诚实信用原则

通说认为，诚实信用原则是指对待他人事务达到像对待自己事务所持有的谨慎、勤勉、注意程度，为其所应为，为其所能为。若超过此限度，规定义务主体履行其力所不能及的义务，就是强人所难，为诚实信用原则所不容。

根据诚实信用原则确定银行安全保障义务的边界应综合考虑以下标准:

其一，银行安全保障义务在储户合理信赖的范围之内。法律调整社会关系的前提是把人看作是“理性人”，而“理性人”对他人的信赖应是有限的，如果信赖超出自己的范围，理所当然不在他人义务边界之内。“信赖”是否合理，应依一般的社会公正观念来判断。本案中，如果储户要求银行24小时每时每刻都必须保证自动取款机绝对不受第三人任何侵害，这种要求就不符合社会公正，有强人所难之嫌。

其二，应当考虑银行对风险或损害行为是否具有合理的预见能力及控制能力。是否合理的判断标准应采用客观标准，不应想当然。应依据一般常识、一般常理确定，通常情况下应以一个理性人、善良家父的客观行为标准来判断。［3］不能主观地认为储户是弱者、银行是强者，而任意扩大银行对风险的预见能力与控制能力。如果银行对风险的承担超过其合理预见范围与控制能力，而要求银行承担责任，就是强人所难，为诚实信用原则所不容。

由于刑事犯罪的突发性、不可预见性和犯罪手段的多样性，从客观上来讲，银行对第三人利用自动取款机犯罪风险的预见能力与控制能力是有限的:首先，从设置场所讲，不同于其内部的办公区域，为方便储户往往设置在银行办公场所的外部，且24小时向公众开放。自动取款机所处场所的安全系数比银行办公区域的安全系数低，银行的可控力弱;其次，从使用管制上看，自动取款机使用管制不同于宾馆、旅社等要求客户首先提供有效身份证件后才能进入，只要持有银行卡并知悉密码就能取款，银行的支配力不强;再次，从管理主体上分析，不同于对于防范与控制犯罪具有专业性、强制力的公安机关，其提供的安全保障设备相对于高级犯罪分子而言极其简陋;最后，从银行卡的通用性看，现阶段银行卡多数都具有通存通取功能，一张银行卡可在同一银行的不同分支机构甚至不同银行设置的自动取款机进行现金提取或转账。如在本案中，该储户的存款被盗取，没有一笔是在其所辖自动取款机上进行的。此外，如果银行发行芯片卡替代现行的磁条卡，可以提高银行控制风险的能力。但是，按照国家现行规定，银行不得向客户收取费用，费用应当由银行承担。芯片卡制作费用高，前期配套设备更新技术难度大、成本高。更换芯片卡又非银行的法定义务，银行作为商事主体有趋利避害的本性。因此，银行可以提供安全系数较高的芯片卡供客户选择，但费用由客户承担，这也符合市场规律。

基于以上情况，由发卡行(开户行)承担侵权责任也好违约责任也好，理由都似乎过于牵强。同时，银行作为一般商事主体而非专门的侦查机关，不能也不应预见犯罪分子用如此高端的技术手段犯罪。因此，要求银行对所有发生在其所辖区域或设施上的以及非其所辖区域或设施上的犯罪行为承担责任显然有失公允。

其三，危险或损害行为源于银行还是第三人。若危险或损害行为直接源于银行，则对其安全保障义务的限定就应当较为宽松。反之，如果危险或损害行为来源于银行之外的第三人，而并非直接源于银行，则对银行安全保障义务的范围就应当从严把握。因为任何人对自己行为的控制能力总是强于对他人行为的预防能力和控制能力。［4］本案中的损害行为来源于犯罪分子，要求银行对此承担绝对责任超过银行的预见能力与控制能力。

总之，应本着诚实信用的原则，对银行安全保障义务进行合理界定，不能绝对化。应充分考虑银行本身预防与控制风险的现实条件及所处社会环境，确定银行安全保障义务必须做到必要性与可能性相结合。银行的安全保障义务一定是可为的，即作为正常银行是可以做到的。这里的银行应当是小心谨慎的人，有着基本的判断能力和预见能力，能够感知到危险的存在和范围的大小，能够通过自己的能力或者借助一些先进的技术手段有效地防止危险的发生，或者缩小危险的范围，这些义务对于一般的银行来说，都是应该可以做到的，而并非能力所不及。银行相对于储户而言，在保障存款安全方面固然处于强势地位，但相对于高科技犯罪而言并非这样。高科技犯罪具有超高的专业性，公安机关往往都难以防范，而要求专门从事金融业务的银行承担全部责任其实是在强银行所难，违反诚实信用原则。

3.2 公平正义原则

公平正义原则是法的基本精神，也是民法的基本原则。《民法通则》第4条规定:“民事活动应当遵循自愿、公平、等价有偿、诚实信用原则。”公平正义可分为分配公平正义与矫正公平正义。分配公平正义在立法上表现为权利、义务、责任在法律主体之间应本着公平、正义的价值取向进行合理分配，不应厚此薄彼，这种分配的结果应与当事人的付出、能力相适应，并为特定历史时期的个人、社会公平正义理念所接受。分配正义在司法活动中主要体现在法官的自由裁量权运用。由于成文法的局限性，如不确定性、不周延性、滞后性、法律漏洞等，法官又不能因法律没有规定而拒绝审判，这时就需要法官运用其自由裁量权，譬如当事人义务边界的确定、证明责任程度等等都需要法官自由裁量权的发挥。自由裁量权是把双刃剑，如果裁量得当，则“熨平皱折”，反之则“烫坏织物”，所以，自由裁量权必须受到公平正义原则的约束。

本案中，由于法律对银行的安全保障义务没有规定精确的界定，就需要法官依据公平正义原则、运用自由裁量权对银行安全保障义务进行确定。这时法官应当考虑的不仅仅是银行相对于储户表面上处于强势地位，还应考虑银行是否因储户损失而获益、储户受损的原因及其来源、银行防范与控制该风险的能力和提高取款机安全系数、更新技术设备的成本承担以及储户交易的时间、地点、注意的合理程度等具体情况，最终根据公平正义原则确定银行的安全保障义务边界，实现实质公平。而不应仅仅根据银行与储户之间形式上的强势与弱势地位直接确定银行的绝对安全保障义务并承担全部责任，这有悖于法律的公平正义原则。因为，银行提供自动取款机的目的是为储户提供高效、便捷服务，直接受益的是储户。储户享受银行提供自动取款机设备高效、便捷的同时也有潜在的风险，该风险应当根据具体情况由银行与储户合理分担，不应由银行承担全部责任。科技的发展本来就是一把双刃剑，给社会全体成员带来便利、舒适的同时也伴随风险隐患，这是高科技发展的必然结果，这种风险不应由个别社会成员单独承担。

根据诚实信用原则与公平正义的原则，银行的安全保障义务不应超过其防范、控制危险或损害行为的能力，银行应有的技术水平检测不到客户存款存在风险时，客户存款被盗的损失就不应完全由银行承担。再说，自动取款机不是银行自己制作的，也是银行购买的产品，应达到什么样的安全系数，应当由法律法规或其他规范性文件向生产商提出要求，若达不到该要求视为产品不合格。若银行提供的自动取款机是不合格产品，银行承担责任后可以向自动取款机生产商索赔。若生产厂商所提供的自动取款机按照有关规定是合格的产品，或有《产品质量法》第四十一条规定的免责事由，因犯罪分子利用合格的自动取款机进行的犯罪行为对储户造成的损失由银行承担绝对责任后，其又无法向生产者追偿，对银行来说亦不公平、不正义。就本案而言，银行提供的自动取款机是经过相关检验机构检验合格的设备，设备本身无质量问题，处于正常运营状态，犯罪分子的犯罪行为发生在当日17时41分之后至次日凌晨，整个过程都未处于银行正常营业时间，银行保安人员亦无法察觉。案发整个过程银行自动取款机本身都处于正常运转状态，都有录像监控，储户取款过程中银行也尽到了安全警示义务，也提供了危险发生后的救济方式，即事前、事中、事后银行在自己防范与控制风险能力范围内尽到了安全保障义务。在这种特殊的时间里，要求银行对因第三人犯罪行为引起的损失承担安全保障义务责任，的确是强银行所难，有违公平正义原则。

4 谨慎适用公平责任原则

对于此类案件，不少法官动辄适用公平责任原则判决银行承担主要责任，颇欠妥当。我国民法领域的归责原则包括:过错责任、过错推定责任、严格责任、公平责任。在这个归责原则体系中，公平责任原则处于辅助地位，适用时应具备相应条件并应谨慎适用。只有对依据过错责任原则难以处理的一些特殊侵权案件，按照过错推定、严格责任原则又没有法律依据时，法官才可以运用公平责任原则在当事人之间合理分配损害。也就是说在归责原则适用的顺位上，只有穷尽过错责任、推定过错责任、严格责任时，方可适用公平责任原则。

关于公平责任原则，《民法通则》第132条规定，“当事人对造成损害都没有过错的，可以根据实际情况，由当事人分担民事任。”因此，并非所有损失只要不适用过错责任、过错推定责任与严格责任，就必然适用公平责任。公平责任原则的适用有两种情况:

其一，各方都没有过错，一方是在为对方利益或共同利益进行活动的过程中受到的损失，根据公平原则，可以责令由对方或受益人分担部分损失。如无因管理人在管理活动中受到的损失，见义勇为人在见义勇为行为过程中受到的损失等。

其二，在特殊侵权行为中，侵权人与受害人都没有过错，这种情况需要满足以下条件:(1)当事人双方都没有过错，又不适用过错推定原则与严格责任原则。这个条件是适用公平责任原则的前提条件，《民法通则》、《侵权责任法》及相关司法解释规定的适用过错推定责任或严格责任原则的案件，应当优先适用;(2)除主观要件外，还应当具备侵权责任的其他构成要件。公平责任原则具有较强的补偿性质，更多地体现了一种分配正义而非矫正正义，目的主要在于平衡当事人双方的利益，为受害人提供适当的救济。但是公平责任仍然是一种法律责任，因为它具有法律上的强制性。所以，适用公平责任时，除主观要件外，还应当具备侵权责任的其他构成要件:(1)行为人需有加害行为。包括直接加害行为、未尽法定职责行为以及违反保护他人权益之法律的行为等;(2)有较严重的损害结果发生，这是适用公平责任原则的客观前提。此处的“严重”应当是达到相当的程度，如不分担损失则受害人将受到严重损害，且有悖于民法公平、正义的理念;(3)加害行为与损害结果之间具有法律上的因果关系。因果关系是决定是否承担责任的关键之所在，该要件也是避免滥用公平责任原则的屏障;(4)公平责任的适用仅限于造成财产损失的情况。［5］公平责任的目的是衡平当事人之间的财产状况和财产损失，并对不幸损失在当事人之间进行合理分配，以期恢复被破坏的财产利益的平衡。一般仅指因加害行为所造成的直接财产损失，不包括精神损害赔偿，也不包括间接的物质损失。

对于本案而言，法官首先应根据诚实信用原则、公平正义原则，考虑银行是否因此获利、损害的来源及强度和银行对风险的预见能力与控制能力等具体因素确定银行是否违反了安全保障义务。［6］若没有违反，损失全部由第三人行为造成，那么银行不应承担责任，这时不应动用公平责任原则判决银行承担责任，因为银行不是损害行为人且没有因此受益，不符合公平责任的构成要件;如果银行违反了安全保障义务，应根据合同严格责任原则进行归责，这里的严格责任不等于承担全部责任，而是承担相应份额责任时不考虑银行是否有主观过错，或根据《侵权责任法》第三十七条规定依据过错推定原则要求银行承担相应的责任。所以，对于此类的案件公平责任原则适用的空间很小，不能动辄适用公平责任原则判决银行承担责任。

5 原因力大小是银行承担责任份额的法理依据

即使在某一具体案件中银行的确未尽或未完全尽安全保障义务，也不应当不加分析地直接判决银行承担全部赔偿责任。从违约责任角度分析，承担违约责任的多少取决于违约行为这一原因力对损失的作用力的大小。并非只要有违约行为就应承担全部赔偿责任。《合同法》以严格责任为原则，以过错责任为例外。在严格责任中，违约责任的构成要件包括:违约行为，损害事实，违约行为与损害事实之间的因果关系，但违约金除外。违约责任的大小应看违约行为与损害事实之间的因果关系的密切程度，即违约行为这一原因力对于损失所起的作用力。若损失仅由违约行为这一唯一原因力造成，那么损失就应由违约一方全部承担;若除违约行为外，损失还有别的原因力造成，那么就应具体分析违约行为这一原因力在造成损失的所有原因力中的比例，从而确定违约责任份额。就本案而言，即使认定银行未尽到安全保障义务，那么这也不应被认定为造成储户损失的唯一原因力。客户对银行卡及相关信息的保管是否足够谨慎，应该也是法院需要查明的一个重要事实。特别是在本案刑事案件最终破案之前，持卡人究竟有无过错或过失还是待证事实，在这种情况下判决银行承担全部责任显然缺乏足够的证据支持。

从侵权责任角度分析，侵权责任的大小也应分析侵权行为之原因力对于损失所起的作用力。若损害结果只由一个侵权行为造成，那么这一侵权主体应承担全部责任;若由多个侵权行为造成，就应当分析每个侵权行为作为损害结果的原因力作用的大小，从而确定相应的责任份额。我国《侵权责任法》第三十七条第二款规定，“因第三人的行为造成他人损害的，由第三人承担侵权责任，管理人或者组织者未尽到安全保障义务的，承担相应的补充责任。”具体到本案而言，从侵权责任分析，即使有正当理由认定银行违反了《侵权责任法》的安全保障义务，银行与犯罪也并非共同侵权，不应承当连带责任，应承担补充责任。补充责任可以从两个方面理解:时间上补充，即直接侵权人先承担责任。只有在直接侵权人不能承担责任或无法确定直接侵权人时，违反安全保障义务的人才承担相应的补充责任;范围上的补充，只有在直接侵权责任人无力承担全部责任时，违反安全保障义务人才承担相应的补充责任。总之，即使有充分理由证明银行未尽安全保障义务，无论从违约责任角度分析，还是从侵权责任角度分析，本案判决银行承担全部责任都欠妥当。

6 结语

在一定的时期内银行所具有的安全防范能力也是有限的。要求银行防范、控制高科技犯罪的技术能力绝对高于犯罪分子的犯罪技术能力，否则就要承担违反安全保障义务的责任，亦是强人所难，有失公平。因此，应根据诚实信用原则与公平正义原则，合理界定银行的安全保障义务的范围，只要银行提供设备合格并处于正常运行状态，同时履行了操作提示、安全警示、录像监控等力所能及的安全保障义务，就可以认定银行已经尽到了安全保障义务，这时不应轻易适用公平责任原则判决银行承担责任。另外，即使银行未尽安全保障义务，也应具体分析造成损失原因力对损失所起作用力，从而合理确定银行的责任份额，而不应不加区分地判决银行承担全部责任。

［1］ 王泽鉴.债法原理［M］.北京:北京大学出版社，2009:30.

［2］ 吴庆宝.最高人民法院专家法官阐释民商裁判疑难问题［M］.北京:中国法制出版社，2011:389.

［3］ 刘德权.最高人民法院裁判意见精选:上卷［M］.北京:人民法院出版社，2011:39.

［4］ 黄颖.论安全保障义务范围的界定［J］.审判研究，2010(4):89－96.

［5］ 曹险峰.无过错责任原则、数人侵权与公平责任的适用——以一则案例的分析为主线［J］.判解研究，2006(6):121－141.

［6］ 杨立新.中华人民共和国侵权责任法司法解释草案建议稿［EB/OL］.(2010 －08 －13).http://www.yanglx.com/dispnews.asp?id=1042.