银行卡盗刷责任 ——解读《关于审理银行卡民事纠纷案件若干问题的规定》

随着申领、使用银行卡的人数逐渐增多，银行卡盗刷、信用卡透支息费、违约金收取等行为引发的银行卡纠纷也呈现出增长趋势，成为社会广泛关注的重要问题。

为规范银行卡交易秩序，保障持卡人合法权益，以及保障银行卡支付市场的安全稳定发展，最高人民法院（以下称“最高院”）于2021年5月25日表示，经最高院审判委员会审议通过，发布并实施了《最高人民法院关于审理银行卡民事纠纷案件若干问题的规定》（以下称“《银行卡解释》”或“本解释”）。

纵观本解释，全文共包括十六条内容，根据《民法典》中关于格式合同条款效力、合同责任、侵权责任、诉讼时效等方面的规定，围绕着银行卡盗刷交易问题、息费违约金条款的提示说明义务、诉讼时效中断制度的适用等问题作出了里程碑式的规定。其中，鉴于当下电子商务的的快速发展，《银行卡解释》中关于网络盗刷的规定尤其值得关注。本文将针对《银行卡解释》中关于银行卡盗刷责任的规定予以解读。

1、银行卡盗刷交易的认定。

根据《银行卡解释》第十五条，法院认定是否构成盗刷交易的关键在于该交易的发生是否基于持卡人的授权，即对于被盗刷的借记卡或信用卡，是否出现符合“非因本人意思的资金减少或者透支数额增加的行为 ”这一要件的情形。该要件的设立，旨在将持卡人与他人恶意串通进行的银行卡交易排除在本解释的适用范围之外。

2、银行卡盗刷交易的分类。

本解释适用的盗刷交易的范围包括借记卡盗刷交易和信用卡盗刷交易两类；而基于线上交易日趋增多，《银行卡解释》第十五条又将盗刷交易分成伪卡盗刷交易和网络盗刷交易。伪卡盗刷交易指通过伪造银行卡进行的交易行为，而网络盗刷交易系通过窃取持卡人的身份识别信息和交易验证信息[1]，造成持卡人借记卡资金减少或信用卡透支数额增加的行为。

值得注意的是，此次出台的司法解释的一大亮点为首次将网络盗刷的实务情形固定于法律法规中，并将银行卡盗刷区分为伪卡盗刷和网络盗刷，而在以往司法实践中，网络盗刷大多被称为无卡盗刷，以与伪卡盗刷形成对比。由于以往无卡盗刷交易通常发生于网上银行、手机银行、第三方支付平台处的交易，对于该事实的认定，大部分裁判结合了以下因素，综合判断该交易是否符合“非本人授权”这一要件：是否存在对应基础交易事实；盗刷发生的网络IP地址与持卡人所在地及其网络IP地址是否相符；持卡人手机号是否被盗用；交易发生的时间、地点、频率、方式及资金流向是否与持卡人的交易习惯是否明显相悖等等。

基于不同的银行卡盗刷情形，本解释第7条至第12条规定了各类银行卡盗刷情形下，发卡行、非银行支付机构、收单行、特约商户、持卡人及盗刷者的责任。

1、发卡行、非银行支付机构的责任

在本解释出台前，法律、法规并未就不同交易方式、不同银行卡的盗刷交易中银行和非银行支付机构的赔偿责任进行统一规定，而是零散地存在于司法解释及部门规章中，如：

以往司法实践中，面对此类纠纷中发卡行主张的“章程约定持卡人具有妥善保管借记卡密码义务” 、“持卡人未妥善保管其交易信息”等抗辩理由，法院多引用《商业银行法》第6条中规定的银行的安全保障义务[3]和原《合同法》第121条（现《民法典》第593条）中因第三人原因承担违约责任[4]的基本规定进行兜底处理，认定银行作为银行卡产品的提供者，在获取收益的同时附有保障持卡人用卡安全的安全保障义务[5]，同时基于银行卡合同法律关系下的违约责任，应当向持卡人承担赔偿责任。

近年来，对于银行卡盗刷交易下银行及非银行支付机构的责任，司法实践及各规范性文件里都呈现出倾向于保护持卡人、由银行承担无过错责任并进行先行赔付的趋势。本次出台的《银行卡解释》并未对上述规范的内容和责任认定进行实质性的改变，而是延续了该立场，进行了统一规定，并在形式上把银行、非银行支付机构的先行赔付责任固定于司法解释中。

另外，针对网络盗刷，由于其具有使用范围广、交易地点跨度大、交易时间灵活、风险多样化等特点，且频繁发生于跨境盗刷中，应当由持卡人自担交易风险抑或是由支付机构承担该盗刷责任以及如何进一步保护持卡人权益一直是社会关注的热点。基于许多银行和非银行支付机构为了开拓业务，主动在推广中承诺对网络盗刷进行先行赔付的现象，为了更好的落实对持卡人权益的保护，本解释第十条第一款规定，若在推广其金融产品的宣传资料中承诺将承担网络盗刷的先行赔付责任的，根据《民法典》第473条第2款的规定，该承诺内容应被视为要约，并在与持卡人订立银行卡合同或开通网络支付业务功能时，成为合同的一部分。持卡人有权依据该承诺要求发卡行等支付机构先行承担盗刷责任。这是对银行等支付机构承担先行赔付责任提出的更高要求，排除了跨境盗刷发生后，因未能及时发现被盗刷、报警受阻或延误报警、无法阻止损失扩大等情况，而无法有效主张银行承担全部责任的可能，既尊重了合同双方的合意，也为该合同约定赋予了法律保障。

综上，无论盗刷事实系属借记卡或信用卡盗刷，是通过伪卡交易还是网络支付，持卡人均可直接依据本解释第七条，基于其与发卡行、非银行支付机构之间的银行卡合同法律关系，要求发卡行、非银行支付机构就盗刷交易先行承担赔偿责任，支付相应款项并赔偿损失，为保护持卡人银行卡下的权益以及进一步保障金融秩序提供了更全面、统一的法律支持，督促银行及非银行支付机构落实安全保障义务。

2、收单行、特约商户的责任

在支持持卡人或银行诉请收单行、特约商户承担赔偿责任的判例中，大部分引用了《银行卡收单业务管理办法》第七条、第八条、第九条的规定，认定收单机构具有了解客户并承担收单业务管理的责任，应谨慎或拒绝为存在不利信息的商户提供收单服务，审核结算账户的合法性。

另外，法院还会根据案情涉及的银行卡种类，参考案涉合同的约定或银行内部文件进行判定。如，中信银行股份有限公司北京富华大厦支行、中国民生银行股份有限公司苏州分行与苏州轩昶信息科技有限公司侵权责任纠纷一案中，法院参照了《银联卡业务运作规章》（2014年12月版）第二卷第三章的规定，要求收单机构“做好商户发展前的资信调查工作，做好商户的培训、维护和走访，及时了解和掌握商户经营状况、做好高风险商户大额、异常交易跟踪”；以及，根据收单机构内部的《业务操作细则》，从事先审查、监管职责和过错比较的角度分析，认定收单行未按规范要求尽到审慎审查和注意义务，未尽监管职责及时发现问题、控制风险，因此相比于发卡行，其对资金被盗刷负有更大过错，应承担盗刷的主要责任。[6]

对此，本解释明确了收单行的对持卡人用卡安全的保障义务，和特约商户审核持卡人签名及银行卡真伪的义务，若银行卡盗刷交易的发生系因以上义务未被履行，持卡人有权要求收单行及特约商户承担侵权赔偿责任。

3、盗刷者的责任

由于盗刷者是盗刷损害发生的直接侵权人，持卡人当然享有向盗刷者主张侵权损害责任的权利；同时，发卡行、收单行及特约商户在向持卡人承担赔偿责任后，均可向最终责任人盗刷者追索赔偿，这也符合侵权责任的归责原则。

4、持卡人的过错责任及不得重复受偿原则

在银行卡正常交易过程中，持卡人对交易中使用的身份识别信息和交易验证信息具有不可替代的保管义务，其中包括银行卡密码、交易验证码、指纹识别信息或人脸识别信息等；同时，在盗刷交易发生后，持卡人在知情后立即采取报案、通知发卡行冻结银行卡等措施是一般人在日常生活中应对盗刷事件的常理之举，对于保护银行卡免受进一步损失也具有十分重要的意义。故，关于上述两项持卡人义务，《银行卡解释》第七条第三款、第四款规定，若持卡人未尽到妥善保管身份识别信息、交易验证信息的义务进而发生盗刷交易，或持卡人未及时采取挂失等措施防止损失扩大，发卡行可主张持卡人就其未尽的义务承担相应过错责任，以减轻其自身责任。

鉴于就同一银行卡盗刷交易，持卡人可以基于不同法律关系，向发卡行、非银行支付机构、收单行、特约商户、盗刷者分别主张权利，为避免持卡人重复受偿，《银行卡解释》第十三条规定，持卡人所获赔偿数额不应超过其因银行卡被盗刷所致损失总额。

根据《民事诉讼法》，一般民事举证原则为“谁主张谁举证”，但由于此类纠纷中，发卡行掌握着交易数据和记录，根据《最高人民法院关于民事诉讼证据的若干规定》（即“《证据新规》”）第95条，发卡行无正当理由拒不提交的，对盗刷交易事实负有举证义务的持卡人可向法院主张该证据内容不利于控制人并得到法院支持。

从本解释第四条的表述可以看出，盗刷交易的举证责任更倾斜于银行及其他支付机构，体现在持卡人的举证责任是“可以提供”，而银行的为“应当承担举证责任”。具体而言：

1、持卡人的举证责任

根据“谁主张谁举证”原则，持卡人对银行卡盗刷事实进行初步举证并形成初步确信即可。由于在出现盗刷时，被盗刷人通常做法为报案、挂失等，因此《银行卡解释》第四条列举的部分证据材料，意在引导持卡人完成其举证责任，证据材料包括生效法律文书、交易时真卡所在地、交易行为地、账户交易信息、交易通知、报警记录、挂失记录等。

2、银行、支付机构的举证责任

（1）“谁占有谁举证”的基本举证规则

相比于持卡人的举证责任，银行、支付机构的举证责任更为严格。由于银行卡交易中，银行、支付机构掌握着相关支付授权的所有记录和数据、录像，相比于持卡人更具备举证能力，故基于“谁占有谁举证”的举证分配原则，第四条列举了交易单据、对账单、监控录像、交易身份识别信息、交易验证信息等用以佐证的材料。其中，对于监控录像，基于时效性及成本的考虑，实务中支付机构难以将其提供；而监控录像往往又是最直观的证据，鉴于目前人脸识别技术的广大普及和适用，银行和第三方支付机构对交易中刷卡人进行人脸识别并记录，将会成为一种趋势。因此，银行及其他支付机构应根据本解释第5条，注意对人脸识别技术下采集的证据进行核实及保存，以保障在纠纷发生时，履行相应举证责任，以免承担举证不能的不利后果。

（2）开通网络支付业务功能的告知义务

对于在网络盗刷中，本解释规定，银行等支付机构应当在主张由持卡人承担过错责任之前，举证证明自身已履行告知开通网络支付业务功能的义务。这一前提条件的设置，对该类机构提出了更严格的要求，进一步明确了以银行承担网络盗刷无过错责任为原则，以持卡人承担相应过错责任为例外的价值取向。

首先，据前文所述，由于网络盗刷交易的关键是利用持卡人的身份认证信息进行网络交易，所以网络支付功能开通与否，以及持卡人对该功能的开通是否知情、同意，对此类盗刷交易的责任归属具有重要意义。

根据本解释第8条、第9条的规定，在开通该业务功能时，发卡行需要向持卡人全面、具体地告知，足以影响其决定是否同意开通该业务的内容，告知内容包括身份识别方式、交易验证方式、交易规则等。该规定是发卡行在网络盗刷交易中，主张持卡人承担过错责任、减轻自身责任的前提条件。若发卡行未能完成告知义务，持卡人有权主张其未就网络支付业务相关的条款与发卡行达成合意，从而不承担网络盗刷责任，即使持卡人在盗刷交易中确有未妥善保管交易身份认证信息、未及时采取措施防止损失扩大的过错情形；若发卡行履行了告知义务但未完全告知，致持卡人未能全面准确理解该内容，除非发卡行能够另行举证证明持卡人知道并理解该功能，否则发卡行只能先行全额承担盗刷责任，而无法据此主张持卡人的过错责任。

综上，就银行卡盗刷交易的责任，本次司法解释把发卡行、支付机构承担责任作为一般原则，以持卡人承担过错责任为例外，加重了银行卡盗刷交易情形下，发卡行、支付机构的举证责任及法律责任，以达到平衡此类案件中双方举证能力并明确银行落实保障持卡人交易安全等权益义务的目的，进一步保护金融秩序。

对于银行卡盗刷中各方责任的承担，本解释规定以发卡行、非银行支付机构承担先行赔付责任为一般原则，以持卡人承担过错责任为补充。

发卡行要主张持卡人过错责任以减轻自身责任的，首先需要区分伪卡盗刷、网络盗刷两种情形：

在伪卡交易的情形下，若能举证证明持卡人具有未尽妥善保管身份识别信息、交易验证信息的义务或未及时采取相关措施防止损失扩大等过错情形的，可直接向法院主张持卡人承担相应过错责任；

对于网络盗刷交易情形，在举证证明持卡人的过错情形之前，需要先对已履行网络支付业务功能的告知义务予以举证证明，并证明该履行已达到本解释所要求的标准，否则，即使持卡人存在上述过错情形，应由持卡人承担过错责任的主张不能获得法院支持，发卡行、非银行支付机构只能对持卡人承担全额赔偿责任。

其次，发卡行、非银行支付机构在诉讼过程中可申请把收单行、特约商户追加为第三人，或在其承担赔偿责任后向有过错的收单行、特约商户追偿。当然，盗刷交易的最终责任方是盗刷者，最后应当由盗刷者承担赔偿责任。

另外，借记卡盗刷和信用卡盗刷中发卡行、非银行支付机构需承担的赔偿内容不同。借记卡盗刷交易中，需支付借记卡被盗刷存款本息并赔偿损失；信用卡盗刷交易中，则需赔付的款项为信用卡被扣划透支款本息、违约金及相应损失。

本微信文章仅为交流探讨之目的，不得视为广悦律师事务所或其律师出具的正式法律意见，任何仅依照本文的全部或部分内容而做出的行为及因此带来的后果均由行为人自行负责。