广东省深圳市中级人民法院民 事 判 决 书（2013）深中法民终字第189号上诉人（原审原告）杨沁河，男。被上诉人（原审被告）中国银行股份有限公司深圳鹏龙支行。代表人李某某，该支行行长。委托代理人陈某，北京市君泰（深圳）律师事务所律师。
上诉人杨沁河为与被上诉人中国银行股份有限公司深圳鹏龙支行（以下简称中国银行鹏龙支行）储蓄存款合同纠纷一案，不服深圳市南山区人民法院（2012）深南法民二初字第176号民事判决，向本院提起上诉。本院受理后，依法组成合议庭审理了本案。本案现已审理终结。原审法院查明，原告杨沁河为中国银行鹏龙支行的储蓄客户（存折账号：×××7616；对应借记银行卡账号：×××0512）。杨沁河于2009年5月14日在被告中国银行鹏龙支行处开通了网上银行业务，其申请的证书类型为动态口令E-t0ken，其领取的动态口令E-t0ken身份认证设备上标注的中国银行的网址为：www.b0c.cn。杨沁河在《中国银行网上银行B0CNET个人客户服务申请／变更表》中签字确认其自愿申请中国银行网上银行服务，同意遵守《中国银行电子银行章程》、《中国银行网上银行B0CNET个人客户服务协议》、相关业务协议与业务规则，对因违反协议与业务规定而造成的损失和后果，愿意承担一切责任。杨沁河对《中国银行股份有限公司网上银行个人客户服务协议（B0CNET）》予以签字确认。该协议第二条的主要内容有：杨沁河办理网上银行业务应直接登录中国银行网站（网址为：http：／／.www.b0c.cn），而不要通过邮件或其他网站提供的链接登录；杨沁河必须妥善保管用户名、密码、银行卡号、存折账号、动态口令及数字安全证书等信息，并对通过以上信息完成的网上交易负责。《中国银行股份有限公司电子银行章程》第九条规定：“凡使用正确的客户身份识别标识和身份认证方式进入中国银行电子银行系统使用电子银行服务的均视为客户本人所为，所产生的电子信息记录为该项交易的合法有效凭据”。第十五条规定：“客户使用电子银行服务时应防范的风险包括但不限于：（一）电子银行用户名、账号、编号和密码等重要信息可能被其他人猜出、偷窥或通过木马病毒、假冒网站、欺诈电话或短信等手段窃取，从而导致客户信息泄露、资金损失、账户被恶意操作等后果。（二）客户安全证书可能遗失或被其他人盗用，证书密码也可能被泄露或盗取，从而导致客户信息泄露、资金损失、账户被恶意操作等后果”。第十六条规定：“客户应采取风险防范措施，安全使用电子银行，相关措施包括但不限于……（三）直接登录中国银行门户网站www.b0c.cn，或拨打客服电话95××6，或发送短信到中国银行网站公布的特定号码办理电子银行业务。不要通过其他网址、号码或链接登录电子银行……”。中国银行鹏龙支行在《中行网银（个人服务）及中银掌上行转账汇款费率表（深圳）》中规定：中行内异地人民币实时转账（银行卡之间转账），按转账金额的2.5‰收取手续费。2011年1月22日20点16分、20点18分、20点26分、20点33分，杨沁河账号为×××0512的银行账户通过中国银行鹏龙支行网上银行向“梁某某”（中国银行海南省分行账户，账号：×××6328）进行了四笔汇款转账操作，每笔转账金额均为4999元，共转出金额19996元；中国银行鹏龙支行按转账金额的2.5‰对上述每笔转账收取了手续费12.49元，共收取手续费49.96元。2011年1月25日，杨沁河妻子贾某某向深圳市南山区××派出所报案，称在2011年1月22日晚上20点左右，其在深圳市南山区××路××号家中收到杨沁河的手机短信，说其U盘网银已到期，就进入www.b0ccsc.c0m网址进行升级，然后输入账号和U盘密码，显示正在处理，经过很长时间进入网址4次，到1月25日才发现被划走20000元，每笔是5000元。杨沁河主张中国银行鹏龙支行从其账户汇划涉案款项未获得杨沁河授权或同意。中国银行鹏龙支行对此不予认可，并辩称根据杨沁河签字确认的《中国银行股份有限公司网上银行个人客户服务协议（B0CNET）》及《中国银行股份有限公司电子银行章程》的约定，只要使用正确的用户名、密码及动态口令登录网上银行系统发出交易指令，中国银行鹏龙支行网上银行系统将根据指令要求完成相应的交易服务。中国银行鹏龙支行对于杨沁河涉案账户存款的划款行为，是基于接受了专属于杨沁河正确身份识别认证信息在网上银行发出转账支付的交易指令而完成网上银行转账服务的正常业务行为，并无不当。中国银行鹏龙支行提交了《中国银行股份有限公司网上银行个人客户服务协议（B0CNET）》及《中国银行股份有限公司电子银行章程》作为证据，杨沁河对上述证据的真实性予以认可，但认为相关条款是无效的格式条款。杨沁河主张中国银行鹏龙支行提供给杨沁河的动态口令卡未能达到与电脑进行物理连接的要求，中国银行网上银行未与操作方的IP地址进行绑定，存在缺陷，不符合有关法律及银监会规定的安全标准。中国银行鹏龙支行对此不予认可，并辩称其网上银行系统采用三道防线双重身份认证方式，符合银监会的安全标准规定，银监会也未规定网上银行采取的附加认证必须使用物理连接的方式。杨沁河主张中国银行鹏龙支行在付款前后未向杨沁河进行过任何提示。中国银行鹏龙支行辩称其针对用户账户变动所提供的提醒服务需要用户在开通网上银行后及时设置网银预留信息、选择使用中国银行网银“中银E信”服务设置短信通知，杨沁河未根据相关协议及业务规则的规定设置该项服务，导致杨沁河不能获得提示。中国银行鹏龙支行为证明其曾于2011年1月18日、19日及20日通过95××6端口短信平台向包括杨沁河在内的网上银行用户发送了防范网络诈骗的风险提示短信，申请法院向中国移动深圳分公司查询上述短信记录。原审法院受理该申请以后，两次向中国移动深圳分公司发出协助调查函，但该公司均未答复。杨沁河以中国银行鹏龙支行擅自划扣其账户存款为由，诉至法院，请求判令：1、中国银行鹏龙支行将其擅自扣划的杨沁河存款20045.96元返还杨沁河；2、中国银行鹏龙支行按照同期贷款利率赔偿杨沁河存款被扣划期间的资金收益（暂计至2012年1月9日为1362.90元）；3、由中国银行鹏龙支行承担本案诉讼费用。原审法院认为，杨沁河在中国银行鹏龙支行处开立储蓄账户并办理借记卡，双方即形成了合法有效的储蓄存款合同关系，双方均应依约行使权利、履行义务。本案争议焦点是中国银行网上银行系统是否存在缺陷及中国银行鹏龙支行是否有违约行为。杨沁河主张中国银行网上银行系统的缺陷表现为：
一、中国银行鹏龙支行的动态口令卡未能达到与电脑进行物理连接的要求，中国银行的网上银行也未与操作方的IP地址进行绑定。
二、中国银行鹏龙支行转汇的数额超过杨沁河预设的每日2万元转账金额上限，中国银行鹏龙支行网上银行系统内部存在管理缺陷。关于第一个问题，根据银监会《关于做好网上银行风险管理和服务的通知》［银监办发（2007）134号］第一项的规定，各商业银行应对网上银行账户操作统一使用双重身份认证，双重身份认证由基本身份认证和附加身份认证组成。基本身份认证是指网上银行用户知晓并使用，预先注册在银行的本人用户名及口令／密码；附加身份认证是指网上银行用户持有、保管并使用可实现其他身份认证方式的信息（物理介质或电子设备等），附加身份认证信息应不易被复制、修改和破解。该规定并未强制要求网上银行采取的附加认证必须使用物理连接的方式，也未要求网上银行应与操作方IP地址进行绑定。中国银行鹏龙支行的网上银行系统采用的认证方式为：用户使用用户名、密码＋动态口令登录，登录网上银行系统后提交交易指令时需再次输入动态口令进行再次身份验证才能完成交易，中国银行鹏龙支行采取的该双重身份认证方式符合银监会的上述安全标准。关于中国银行鹏龙支行转账数额是否超过杨沁河预设限额问题。根据本案查明的事实，中国银行鹏龙支行通过杨沁河的网上银行账户共转账20045.96元，其中包括手续费49.96元，手续费并非转账汇款交易，实际转账金额为19996元，未超过杨沁河预设的每日转账金额上限，中国银行鹏龙支行网上银行系统接受低于交易限额的转账支付交易指令请求而办理的转账汇划并无不当。杨沁河主张中国银行鹏龙支行进行涉案款项的转账时未获得杨沁河授权，应承担违约责任。根据杨沁河签字确认的《中国银行股份有限公司网上银行个人客户服务协议（B0CNET）》及《中国银行股份有限公司电子银行章程》的约定，使用用户名、密码及动态口令完成电子交易均视为客户本人所为，网上银行交易指令一经确认，客户不得要求变更及撤销。只要杨沁河涉案账户网上银行的交易指令是使用杨沁河正确身份识别认证信息及其动态密码发出的，中国银行鹏龙支行网上银行系统识别到用户的正确身份就会依据该指令完成交易。杨沁河妻子在事发当日收到杨沁河转发的短信以后曾登录非中国银行网站进行“升级”，输入涉案账户的登录信息及动态口令，不排除杨沁河妻子在实施以上操作时已将涉案账户的相关身份识别认证信息泄露给第三人。中国银行鹏龙支行对于杨沁河涉案账户存款的划款行为，是基于接受了专属于杨沁河正确身份识别认证信息在网上银行发出转账支付的交易指令而完成网上银行转账服务的正常履约行为，并无不当。杨沁河主张中国银行鹏龙支行未通过短信等方式提示、通知其账户变动情况，但杨沁河未提供证据证明其在开通网上银行时设置了短信通知服务，不能认定中国银行鹏龙支行未提示账户变动情况是违约行为。同时，中国银行鹏龙支行在《中国银行股份有限公司网上银行个人客户服务协议（B0CNET）》及《中国银行股份有限公司电子银行章程》、网上银行登录界面等处明确告知杨沁河要直接登录中国银行的网站www.b0c.cn，中国银行鹏龙支行已尽到了适当的告知及风险提示义务。但杨沁河妻子在收到杨沁河短信后曾登录非中国银行网站输入涉案账户的登录信息及动态口令进行“升级”，杨沁河妻子在实施以上操作时将涉案账户的相关身份识别认证信息泄露给第三人的可能性较大。杨沁河及其妻子作为完全民事行为能力人，对使用具有高度私密性的用户身份识别认证信息进行相关的网上操作存在一定风险性是应当知道需谨慎对待并尽到安全注意义务的，杨沁河及其妻子却在并未认真核对登录网址是否确为中国银行鹏龙支行网上银行正确网址的情况下，进行了“升级”操作，其相关身份识别认证信息有可能因此泄露，杨沁河应对其自身行为承担责任。杨沁河主张《中国银行股份有限公司网上银行个人客户服务协议（B0CNET）》及《中国银行股份有限公司电子银行章程》的相关条款为无效的格式条款，但上述条款的内容主要是中国银行鹏龙支行向杨沁河告知利用电子银行进行交易可能面临的风险、银行已采取的风险控制措施和客户应采取的风险控制措施、相关风险的责任承担，并无任何免除中国银行鹏龙支行责任、加重杨沁河责任、排除杨沁河权利的内容，不属于法律规定的无效格式条款。综上，杨沁河未能举证证明中国银行鹏龙支行的网上银行系统存在缺陷以及中国银行鹏龙支行存在违约行为，应当承担举证不能的不利后果。杨沁河的诉讼请求，缺乏事实依据，不予支持。依照《中华人民共和国合同法》第四十条、第四十四条，《中华人民共和国民事诉讼法》第六十四条第一款、第一百二十八条之规定，判决：驳回杨沁河的全部诉讼请求。一审案件受理费335.22元，由杨沁河承担。
上诉人杨沁河不服一审判决，向本院提起上诉，请求撤销一审判决，支持其一审诉讼请求。理由如下：原审在未获得直接、有效、独立的专业机构证明条件下，凭中国银行鹏龙支行自述，主观认定“中国银行鹏龙支行对于杨沁河涉案账户存款的划款行为是正常履约行为”。原审要求杨沁河承担中国银行鹏龙支行银行系统存在缺陷以及中国银行鹏龙支行存在违约行为的举证责任，有意疏忽了中国银行鹏龙支行作为划款行为主体，有义务对自身行为的合法、合约性举证，即证明自身划走杨沁河账户资金的行为，得到了杨沁河授权及履行了与杨沁河电子银行服务协议的全部义务，包括全面记录、差错处置、及时通告杨沁河和配合杨沁河及公安机关追查资金去向等义务。原审认定中国银行鹏龙支行已经全面履约缺乏证据。原审认定中国银行鹏龙支行格式合同有效不当。中国银行鹏龙支行没有对自身对杨沁河履约有效举证，应承担举证不能责任。1、中国银行鹏龙支行无法证明其划扣行为得到杨沁河的授权。针对杨沁河的指控，中国银行鹏龙支行仅向一审法庭提供了一份中国银行鹏龙支行自身电子银行部门提供的电子银行T＋1查询明细单。该单据无法证明是杨沁河授权所为，也无法证明中国银行鹏龙支行的该业务操作完整执行了银监会要求，中国银行鹏龙支行本身承诺的电子银行三道防线双重身份认证程序。对中国银行鹏龙支行操作是否取得杨沁河授权和履行了合规合约的电子身份认证的证明，应由取得银行监管部门资格认定的第三方评价机构进行认定。2、中国银行鹏龙支行没有根据银行监管机关对电子银行业务管理办法的要求和与杨沁河电子银行业务协议的规定，尽到3日内对杨沁河告知的电子银行差错及时调查，及时报告客户和及时处理差错的义务。3、中国银行鹏龙支行没有履行《中国银行网上银行个人客户服务协议》第五条和《电子银行业务管理办法》第四十七条要求应履行的对客户义务，没有对该事故启动事故处理预案及管理，没有控制和减少事件对客户造成的危害。4、中国银行鹏龙支行没有依照《电子银行业务管理办法》第五十一条，全面记录并妥善保存电子银行业务数据。金融机构应采用适当的加密技术和措施，保证电子交易数据传输的安全性与保密性，以及所传输交易数据的完整性、真实性和不可否认性。在一审中，中国银行鹏龙支行连操作这几笔业务的网上电子指令发出的电脑IP地址都无法提供，在公安机关向中国银行鹏龙支行取证时，中国银行鹏龙支行也未能满足公安机关对操作记录尤其是操作人IP地址和取款人、收款人详细信息等取证要求，导致未能有效采取司法措施。5、中国银行鹏龙支行的《中国银行网上银行个人客户服务协议》及《电子银行章程》在中国银行鹏龙支行权利义务一栏（第三条）中没有明确中国银行鹏龙支行采取的电子银行业务方式及认证方式应得到监管机关的审批等法律义务，该条款都是免除中国银行鹏龙支行责任的条款。在《中国银行网上银行个人客户服务协议》第五条，未明确指出中国银行鹏龙支行的事故处理措施责任，违背了银监办发（2007）134号通知中对电子银行事故的处理责任要求。因此，中国银行鹏龙支行以上协议和章程存在无效格式条款，相关免责条款无效，中国银行鹏龙支行应该承担本次转款的赔偿责任。6、金融机构应按照中国银监会的有关规定，定期对电子银行系统进行安全评估，并将其作为电子银行风险管理的重要组成部分。中国银行鹏龙支行采用的所谓双重身份认定方式已经事实证明同物理链接的附加身份认定方式相比存在较大的安全隐患，其他银行不采用这一个落后技术。中国银行鹏龙支行根据《电子银行业务管理办法》应该向杨沁河和法庭出示银行监管部门在事发年度对中国银行鹏龙支行动态口令E-t0ken技术和方式可以用于电子银行转账业务的行政许可和年度安全评估报告和备案。综上，请求法院支持杨沁河一审诉讼请求。
被上诉人中国银行鹏龙支行答辩称：1、上诉人与被上诉人之间签订网上银行个人客户协议及电子银行章程是出于双方真实意思表示，对双方均具有法律约束力。根据双方签订的协议及电子银行章程的规定，上诉人负有保管用户名、银行卡号、动态口令、密码等信息的义务，且储户对通过以上信息完成网上银行交易负责，网上交易指令一经确认，其不能要求变更或者撤销。双方在合同中也确认上诉人使用网上银行服务，其交易情况均以被上诉人电脑记录的资料为准，双方均承认被上诉人电脑记录资料真实性、准确性和合法性，一审判决已经确认了被上诉人所提交的上述证据，故上诉人提出涉案转账并非其授权、划款缺乏事实依据；2、上诉人涉案账户资金转账均是通过只有其本人才可掌控的用户名、密码、动态口令才能完成的，上述私人用户名、密码、动态口令卡等的使用，表明交易者的身份，是对交易内容的确认，从而起到电子签名的作用，况且上述密码均是由储户本人生成，并且在保密状态下由储户使用，除非本人泄密，别人无法知晓，作为发卡银行也并不知晓。一审查明的事实及公安机关做的询问笔录反映，上诉人的妻子曾经根据诈骗短信所提供的非属于被上诉人的网址登陆，并输入了只有持卡人本人掌握的重要密码信息及动态口令，上诉人作为储户非但没有妥善保管信息，反而在未核对诈骗短信的真伪的情况下，泄露了上述重要信息，违反合同义务，理应自行承担责任；3、上诉人声称被上诉人的网上银行存在漏洞，但却未提供证据证明，应承担不利后果。根据一审认定的由被上诉人系统记录清单明细显示，涉案几笔转账交易记录与其他储户交易记录均为使用用户名、密码、动态口令完成的交易，被上诉人是基于接受专属于上诉人正确身份识别的认证信息，在网上银行发出转账支付的交易指令，而完成网上转账服务的正常履约行为，并非上诉人诉称的无授权行为；4、双方签订的协议以及电子章程内容主要是被上诉人向上诉人告知利用电子银行进行交易可能面临的风险及银行面临的风险，银行采取的控制措施和客户采取的控制措施及相互的责任承担，并无任何免除、加重被上诉人责任，排除上诉人权利的内容，不属于法律规定的无效格式条款。因此，被上诉人认为一审判决认定事实清楚、适用法律正确，请求二审法院驳回上诉人的上诉请求。本院经二审审理查明，被上诉人中国银行鹏龙支行提交的T＋1明细单显示，涉案4笔转款系网银交易，交易类型为行内他人转账，接入方式为网上银行。在上诉人杨沁河发现可能被诈骗后，中国银行鹏龙支行按照杨沁河的要求挂失了涉案账户。原审查明的其他事实属实，本院予以确认。
本院认为，二审中，上诉人杨沁河申请法院调取公安机关处理本案时银行配合调查的记录，欲证明中国银行鹏龙支行未积极配合公安机关提供相关数据，导致公安机关无法查清本案，同时，上诉人杨沁河申请法院调取中国银行电子银行的操作记录，但上诉人杨沁河未在法定期限内提出上述调查取证申请，其申请调查的内容亦不属于二审中出现的新证据，对其调查取证申请，本院不予准许。根据T＋1明细单、交易明细日报表显示，本案所涉四笔转款系网上银行转账。在中国银行网上银行转账中，需要凭账号、密码操作，本案中，上诉人杨沁河还设置了E-T0KEN动态口令，以上信息在无相反证据证明情况下，均由上诉人杨沁河个人保管。根据《中华人民共和国电子签名法》的规定，收件人按照发件人认可的方法对数据电文进行验证后结果相符的，视为发件人发送。被上诉人中国银行鹏龙支行按照指令进行转款，应视为上诉人杨沁河本人所为。上诉人杨沁河主张中国银行鹏龙支行的转账行为未得到其授权，要求赔偿损失，缺乏依据，本院不予支持。根据公安机关对上诉人妻子贾某某所作询问笔录及被上诉人中国银行鹏龙支行提交的交易明细日报表，2011年1月22日20点左右，上诉人妻子贾某某在收到上诉人杨沁河转发来的短信后，在非中国银行网站进行了账号密码操作。同日20点16分、20点18分、20点26分、20点33分，杨沁河账号为×××0512的银行账户通过中国银行鹏龙支行网上银行向“梁春梅”进行了四笔汇款转账操作，每笔转账金额均为4999元，共转出金额19996元。两者时间高度吻合，不能排除杨沁河妻子不慎泄露账户密码资料，致使资金被不法分子转走的可能性。上诉人杨沁河主张中国银行鹏龙支行的网上银行系统未绑定IP地址，存在安全隐患，但未举证证明提供安全的网上银行系统必须绑定IP地址或者未绑定IP地址即视为系统不安全，应承担举证不能的不利后果。上诉人杨沁河主张被上诉人中国银行鹏龙支行未及时进行差错告知及调查，未启动事故处理预案，没有控制和减少客户危害。对此，
本院认为，中国银行鹏龙支行按照网上银行指令进行转款操作系正常履约行为，不存在差错告知及调查的问题。在上诉人杨沁河发现可能被诈骗并报案后，中国银行鹏龙支行亦按照杨沁河的要求挂失了涉案账户，上诉人杨沁河的该主张不能成立，本院不予支持。上诉人杨沁河主张《中国银行股份有限公司网上银行个人客户服务协议（B0CNET）》及《中国银行股份有限公司电子银行章程》相关条款为格式条款，应属无效。
本院认为，根据《电子银行业务管理规定》第三十九条的规定，金融机构应当与客户签订电子银行服务协议或合同，明确双方的权利与义务。在电子银行服务协议中，金融机构应向客户充分揭示利用电子银行进行交易可能面临的风险，金融机构已经采取的风险控制措施和客户应采取的风险控制措施，以及相关风险的责任承担。中国银行鹏龙支行依据上述规定在与上诉人杨沁河签订的合同中作出相关约定，符合法律规定。杨沁河主张相关条款系格式条款的上诉理由，本院不予支持。至于上诉人杨沁河主张的中国银行鹏龙支行未积极配合公安机关调查取证的问题，但未举证证明，本院不予支持。综上所述，原审认定事实清楚，适用法律正确，依据《中华人民共和国民事诉讼法》第一百七十条第一款第（一）项之规定，
判决如下：驳回上诉，维持原判。二审案件受理费335元，由上诉人杨沁河负担。本判决为终审判决。
审 判 长 唐国林
代理
审判员 刘 燕
代理
审判员 伍 芹
二〇一三年二月二十五日
书 记 员 陈 嘉 来源：百度搜索“”