网上银行存款丢失,谁来承担赔偿责任

[案件经过]

张伟于2006年4月1日向长沙中业银行申请开通网上银行业务，并在账户中存入资金7.5万元。4月7日，当张伟准备进行网上转账时，发现账户中的资金仅剩十几元，其余7万多元不翼而飞。张伟自信并未向他人泄露过用户名和密码，因此怀疑是银行弄错了，随即拨打银行专用呼叫电话进行质问。银行呼叫中心服务人员收到电话后，根据张伟提供的情况，判断认为可能是张伟在网上操作时被人窃取了网上银行信息资料，犯罪分子使用张伟的密码转移了存款。服务人员随即联系银行后台，查找张伟账户中的资金去向，发现7万元款项被分次转入该银行设在广州的一家分支机构的某个账户内，服务人员随即打电话要求广州分支机构对资金转入账户进行冻结。由于银行无权自行决定冻结第三方的账户，因此广州方只进行了临时的挂失处理，账户被挂失后，除非解除挂失，资金无法转出。呼叫中心人员将资金已被挂失的有关情况告诉了张伟，并同时建议张伟尽快向公安机关报案。

张伟得知资金已经被银行冻结的消息后，大为放心，虽向公安机关报了案，却并未催促公安人员抓紧办案，尽快办理正式的挂失手续，也未能提供出有利于破案的线索。公安机关只知道犯罪分子开立的账户在广州，经证实开户人开户时使用的是假身份证，再无其他信息，侦破工作受阻。4月9日，张伟到银行要求支取7万元资金，银行以资金存在第三人名下为由，未予同意，后经再次查询，存在广州分支机构的7万元多元款项也已被取走。

原来，在账户被挂失冻结后，犯罪分子取款不成，便迅速持开户时提交的证件到银行柜台办理了解除挂失手续，并当即取走了款项。根据银行业务有关规定，账户被挂失冻结后，开户人可以持证件要求解挂，银行审查开户人资料无误后，应当即时解除挂失，恢复账户的正常使用。张伟得知犯罪分子已取走全部款项，遂向法院银行要求赔偿。

审理过程中，张伟认为：自己未曾泄露过网上银行资料，犯罪分子如果知道了交易密码，肯定是银行网络系统存在问题所致，存款被盗取，错不在己。张伟还认为银行在接到自己的电话后，已经办理了挂失手续，并承诺资金已经被冻结，不会发生损失，在此情况下，犯罪分子是否又将资金转走已与存款人无关，作为不熟悉银行内部流程的普通存款人，仍然有权利根据银行的承诺来提取已被冻结的资金。

银行认为：经过评估，网银系统并无风险，也无被人侵入的迹象，因此，只可能是张伟自己不慎，故意或疏忽将个人资料泄露给了犯罪分子，从而导致资金被转移，张伟应对自己的损失承担责任。至于挂失行为，银行只是在试图帮助张伟挽回损失，不构成承担赔偿责任的承诺，损失应由张伟自担。

法院经审理认为：银行作为网上银行的服务提供方，未能证明张伟存在曾经泄露个人资料的事实，应当承担过错责任；同时，银行专业呼叫人员向张伟明确告知资金账户已被挂失，无论银行是否实际拥有冻结的能力，其结果都足以使张伟相信犯罪分子不可能再将自己的资金转走，这种行为构成赔偿承诺。法院最后判决银行承担全部赔偿责任。

[法律评析]

谁是导致网银资料泄露的责任方 本案中，导致损失发生的根本原因是犯罪分子窃取了张伟的信息资料，并转走款项，犯罪分子毫无疑问是最终的责任承担者。但在犯罪分子无法抓获的前提下，就需要其他的法律关系参与方来分担损失，由此，如何来合理确定银行与张伟之间的责任份额是案件的关键。责任大小取决于过错程度，也即谁对资料泄露负有过错责任。我国《电子签名法》第28条规定：“电子签名人或者电子签名依赖方因依据电子认证服务提供者提供的电子签名认证服务从事民事活动遭受损失，电子认证服务提供者不能证明自己无过错的，承担赔偿责任”。《电子银行业务管理办法》第89条规定：“金融机构在提供电子银行服务时，因电子银行系统存在安全隐患、金融机构内部违规操作和其他非客户原因等造成损失的，金融机构应当承担相应责任。因客户有意泄漏交易密码，或者未按照服务协议尽到应尽的安全防范与保密义务造成损失的，金融机构可以根据服务协议的约定免于承担相应责任，但法律法规另有规定的除外。”根据这些规定，在确定电子信息泄露行为的责任时，实行过错推定的原则，即首先要假设银行存在过错，然后由银行来证明自己无错，否则就要承担责任。通常情况下，银行既无法排除自身可能出现差错的一切情况，也证明不了客户实施了不当行为，常常因举证不充分而最终承担责任。虽然在事实上，电子信息资料丢失更多缘起于客户而非银行。本案中的银行同样无法证明张伟曾经不慎泄露信息的事实存在。

银行是在帮助他人还是在承诺赔偿

张伟账户中的资金被转出后，损害赔偿责任已经发生。但在本案中，银行呼叫中心事后又告知张伟资金已被控制，这个告知行为与张伟账户资金被转出无关，但对于银行的赔偿责任却是不利证据。事实上，银行不是国家机关，即使怀疑犯罪发生，也无权自行冻结他人名下的账户，呼叫中心向张伟承诺的“冻结”显然并非法定的冻结，但至少可以理解为是一种资金保管意义上的义务，这种义务虽然并非银行所固有，但一经向客户承诺，就成为一种约定义务。银行最终未能保管好资金，属于违约行为，应向张伟承担一定比例的赔偿责任。

谁对使用假证件的行为后果负责 本案中，犯罪分子将张伟的资金转到了开在广州银行分支机构的账户内，而该账户是犯罪分子用假证件开立的，且在解除挂失时使用的同样是假证件，银行未能审查出假证件也是导致资金最终损失的原因之一。虽然在客观上，银行并无审查证件真伪的能力，但在我国司法实践中，银行未能审查出假证件通常被视为是承担责任的理由之一，这也是国际上通行的原则。因此，本案中的银行在犯罪分子开户和解除挂失过程中是存在过错的，只是这种过错与张伟账户内的资金被转出无因果关系而已。

[银行服务的底限在哪里]

从本案来看，银行之所以承担赔偿责任，一个重要的原因是其呼叫中心事发后在客户要求之外，甚至是超出自身服务能力之外提供了查询、挂失等服务。仅仅从为客户服务的角度，这是一个善举，但从银行行为的合规性角度，却存有争议。原因在于：银行和被害人都是普普通通的市场主体，不具有国家机关的身份，不能行使法定权力，而冻结账户是限制他人财产权利的行为，除了权利人自己和“法定机关”以外，任何人不得为之。所以，银行基于张伟的指称就挂失第三人名下的资金显然是违法行为。银行向客户承诺挂失他人名下的资金则等于为银行设定了一项新义务，而且这项义务形成之后，银行会处于两难境地：如果履行则违规，如果不履行则承担损失。

所以，银行在提供金融服务的过程中，要坚持客户利益至上，又要坚守合法合规的服务底限，否则必将遭受更大损失。

当然，银行人员如果认定犯罪行为确实存在，自行采取限制犯罪资金支取的措施，并及时联系公安人员介入，这则是协助司法机关办案的合法行为，也符合银行履行司法协助义务的要求。但这种发生在银行与司法机关之间的行为不是民事行为，更不应该作为承诺通知客户。

另一方面，在电子交易过程中，由于银行承担的举证责任过重，客户资金失窃之时，常常也就是银行的赔偿责任产生之时，在此情况下，止付犯罪分子的账户已经成为银行保护自身利益，而不仅仅是客户利益的私力救济行为，私力救济是必要的，也是符合法律原则的。从银行管理制度上讲，私力救济属于内控的范畴，银行应当建立这方面相应的配套机制，但这种机制显然是仅适用于银行内部的风险防控措施，旨在维权和自救，属于商业秘密的范畴，绝对不是可以向社会披露的业务流程，或可以向客户承诺的服务范围。

（本文中所涉及人名、单位名称均为化名。本文由中国建设银行法律事务部提供。）