【裁判要旨】
一、银行不能仅因为取款输入的密码正确，就推定储户支取。
二、银行未尽到安全防范义务，不能识别储蓄卡的真伪，造成储户存款被盗取，应当承担民事赔偿责任。
【案例索引】
一审：宁波市鄞州区人民法院（2008）甬鄞民二初字第2462号（2009年2月25日）。
二审：宁波市中级人民法院（2009）浙甬商终字第439号（2009年7月13日）。
【案情】
原告：吴宗飞。
被告：中国建设银行股份有限公司宁波石碶支行（简称建行石碶支行）。
宁波市鄞州区人民法院经审理查明：2007年10月19日，原告在被告处开设活期储蓄存折，存折号码为331003349873，账号为1595669980110284513，标志为通存通兑，同时办理了一张中国建设银行龙卡储蓄卡，卡号为6227001595660082828，该卡性质属借记卡，原告为存折和龙卡储蓄卡设定了密码。2008年6月9日下午16时48分43秒至16时55分17秒，原告所属账户内的存款在福建龙岩ATM机上被他人分十次支取19500元，银行收取异地取款手续费195元。原告即向公安机关报案，公安机关于2008年6月9日下午19时20分对原告作了询问笔录，并于2008年9月2日出具了一份证明，证明原告向公安机关报案时持有卡号为6227001595660082828的建行龙卡。
吴宗飞诉称:原、被告之间的储蓄合同依法成立，被告应保证原告的存款安全，现原告账户内的存款在原告没有任何过错的情况下被他人盗取，由此造成的损失被告应予赔偿。故请求法院判令被告赔偿原告损失19695元。
建行石碶支行辩称：龙卡储蓄卡作为信用支付工具，具有货币电子化特有的交易特点，原告持有的龙卡储蓄卡账号和设置的密码共同形成电脑交易系统确认原告身份的认证手段，同时根据《领用合约》和《中国建设银行龙卡借记卡章程》中的“妥善保管密码是原告的义务，凡使用密码进行的交易，均视为本人所为。”条款的约定，本案中，电脑系统记录显示讼争的19500元款项系通过ATM机完成取款程序，而ATM机取款必须凭龙卡储蓄卡和密码共同完成，故在原告没有任何证据证明讼争款项系被他人支取的情况下，根据“私人密码使用即为本人行为”原则，应认定讼争的款项系由原告支取。
【审判】
宁波市鄞州区人民法院经审理认为：原告吴宗飞在被告建行石碶支行办理了存折及储蓄卡，便与建行石碶支行建立了储蓄合同关系，建行石碶支行有保证原告储蓄卡内存款安全的义务。ATM机上取款必须满足两个条件，持有储蓄卡和具有正确的密码，本案原告的存款被他人在福建龙岩建设银行的ATM机上取走，ATM机未能识别出冒领人所持的龙卡储蓄卡是假卡而向其付款。银行设置ATM机节省了人力投入和交易成本，提高了工作效率和市场竞争能力，就应当通过技术投资和硬件改造来加强风险防范，确保储户的存款安全。 ATM机不但要能辨别密码，更要能辨别储蓄卡的真伪，对ATM机无法识别储蓄卡真伪这种安全漏洞及技术风险，应当由银行承担。被告的ATM机未能识别伪造卡，被告也未尽到采取安全措施防范风险的义务，应承担违约责任。被告关于其没有过错、密码使用为本人行为，要求驳回原告诉讼请求的辩解意见，由于没有证据证明密码系原告本人故意泄露，应承担举证不能的不利后果，对此辩解意见不予支持。据此判决：
被告中国建设银行股份有限公司宁波石碶支行赔偿原告吴宗飞损失19695元，限于判决生效后十日内履行完毕。
建行石碶支行上诉称：本案存在吴宗飞将其建行的龙卡交与他人并告知密码，由他人在异地取款，之后吴宗飞再持复制的龙卡到公安机关报案的可能性。十次取款均是在ATM机上完成，密码输入是正确的，龙卡的密码只有吴宗飞本人掌握，所以该十次取款也应认定为吴宗飞本人支取。一审将存款被取走的原因及吴宗飞是否泄漏密码的举证责任分配给上诉人没有法律依据。
宁波市中级人民法院经审理认为:建行石碶支行与吴宗飞之间的储蓄存款合同关系依法成立，双方当事人均应依合同履行自己的义务。本案所涉存款于2008年6月９日下午16时48分至16时55分在福建龙岩市的ATM机上被支取，吴宗飞在当日下午19时20分前即向宁波市公安局鄞州分局石碶派出所报案，鉴于两地相隔遥远，足以认定该款并非吴宗飞本人支取。吴宗飞在发现存款被盗取后，立即向公安机关报案，并出示了卡号一致的建行龙卡储蓄卡，公安机关对此也出具了证明，在建行石碶支行未提供相反证据的情况下，应认定在福建龙岩市的ATM机上取款的储蓄卡系复制卡。吴宗飞否认泄露了密码，建行石碶支行也不能举证证明吴宗飞泄露了密码，难以据此认定吴宗飞存在过错。另外，仅泄露密码并不能导致存款被他人取走，取款人还须持有金融机构发放的储蓄卡。在本案中，ATM机未能识别储蓄卡的真伪，是吴宗飞存款被他人盗取的根本原因，建行石碶支行对此显然负有责任。由于建行石碶支行向吴宗飞之外的第三人支付了存款，导致吴宗飞的财产损失，建行石碶支行理应承担赔偿责任。据此判决：
驳回上诉，维持原判。
【评析】
一、不能因取款输入的密码正确就推定储户支取
此前国内出现的几起伪造储蓄卡盗取案件，由于公安机关及时侦破或者掌握了一定的线索，基本事实是清楚的，有取款人在取款时卡号和密码被犯罪分子安放在ATM机上的针孔摄像机所盗取，也有“吞卡”后取款人拨打犯罪分子在ATM机上所粘贴的电话号，导致取款人的卡号和密码被盗取。本案由于公安机关没有可利用的案件线索，一些基础事实处于真伪不明的状态，比如讼争的款项是谁取走的，在ATM机上取款使用的储蓄卡是真卡还是伪造卡，如果是他人取走的那么密码是如何泄露的等。
事实真伪不明是诉讼中的一种客观现象，在不能拒绝裁判的情况下，法官必须采用一定的对策来作出应对，推定是民事诉讼中处理事实真伪不明的一种常用方法。学术界一般将推定分为法律推定和事实推定，最高人民法院《关于民事诉讼证据的若干规定》也采用了这种分类。法律推定是指法律直接规定某项基础事实存在且无相反证明，即可推定出另一事实；事实推定是指法官以已被证明的事实为基础，按照经验法则推定出诉讼另一待证事实存在与否。
在本案中，原、被告双方主张了不同的推定方式。被告认为，《中国建设银行龙卡借记卡章程》中规定“妥善保管密码是原告的义务，凡使用密码进行的交易，均视为本人所为。”该条款虽然只是章程中的一个条款，但是它来源于“私人密码使用即为本人行为”的法律原则，我国的《电子签名法》规定：“可靠的电子签名与手写签名或者签章具有同等的法律效力。”因此，被告主张的是一种准法律推定。法律推定的逻辑大前提是法律规定，小前提是基础事实，结论是推定事实。被告欲利用“私人密码使用即为本人行为”的大前提，和ATM机上密码验证正确这一小前提，来推定讼争的款项是原告支取或者视为是原告支取。
私人密码的作用在于辨识文件签署者身份及表示签署者同意电子文件内容并对数据电文进行保密，私人密码具有私有性、唯一性、秘密性的特点。公民对因其生成的包括私人密码在内的个人数据拥有无可争议的专有权。私人密码在储户设定后由系统对密码进行加密后传输到ABIS后台数据库中，在规范的电子化银行业务自动交易系统中，私人密码不仅在操作员的电脑中看不出，即使到银行中心机房也无法查到。只要客观上在电子化银行交易中使用了私人密码，如无免责事由，则视为交易者本人使用私人密码从事了交易行为，本人对此交易应承担相应的责任。但私人密码使用推定为本人使用有一个成立的前提，就是“现有技术完全可以做到其安全性超过传统交易方式”， ①而事实上近期在国内发生了多起犯罪分子通过在自助银行网点门口刷卡处安装读卡器、在柜员机上安装摄像装置方式窃取储户卡号及密码的案件，这使得ATM机交易的隐私性与安全性大大降低。在目前ATM机安全性不高的情形下，“私人密码使用即为本人行为原则”的适用应当受到一定的限制。银行不能仅因为取款输入的密码正确，就推定储户支取。
二、银行不能识别伪造储蓄卡造成储户存款损失，应承担民事赔偿责任
本案原告主张的是事实推定的方式，事实推定的逻辑大前提是经验法则，小前提是事实基础，结论是推定事实。原告以福建到宁波相隔较远，不可能在一个多小时内到达这一经验法则为大前提，以存款于2008年6月９日下午16时48分至16时55分在福建龙岩市的ATM机上被支取，自己在当日下午19时20分前已向宁波市鄞州区公安机关报案这一基础事实作为小前提，来推定在福建取款的不是自己而是他人。自己报案时拿着该卡号的龙卡并被公安机关所证明，来推定他人在福建取款使用的卡是伪造卡。
无论是法律推定还是事实推定，都是可反驳的推定，这决定了两者并没有适用上的优先性。比如在本案中，法官在公安机关证实原告于讼争款项在福建被取后不久便在宁波报案，报案时持有该卡的情况下，认同了原告的事实推定结论。该事实推定的结论与被告主张的准法律推定的结论是相悖的，因此也等于否定了被告的推定结论。
由于本案刑事部分没有侦破，储蓄卡密码是如何泄露的无法查实。但是，即便真的是原告过失泄露了密码，是否原告就一定要承担违约责任？并非如此，正如被告在庭审中的辩解：“ATM机只有在辨别正确的卡及正确的密码后才能进行交易。”要完成取款交易，必须要“正确的卡”和“正确的密码”两个条件同时具备。
委托别人代自己到银行ATM机上取款的事情在日常生活中并不少见，这种委托行为存在的前提，是委托人相信在完成此次委托事务后，受托人不可能再取出委托人账户内的款项，因为完成委托事务后受托人要交出真实的储蓄卡。并且，储户有理由相信，储蓄卡比密码更安全，因为密码虽然具有私有性、唯一性、秘密性等特点，但它毕竟只是一组虚拟的数字，会被他人通过各种途径所掌握。许多人为了防止忘记密码，会在多个需要设置密码的地方，设置同一组数字的密码，这也增加了密码被破译的机率。而储蓄卡是一个实实在在的物体，储户在妥善保管的情况下，对存款安全更为放心。
本案被告辩称“ATM机只能辨别正确的卡及正确的密码”，显然这种说法只有一半正确，即通过ATM机认证则密码肯定是正确的，但在国内已经发生多起犯罪分子持伪造的储蓄卡盗取储户存款案件的情况下，“ATM机只能辨别正确的卡”的推定无法成立。原告通过提供公安机关出具的证明，证实自己在报案时持有该卡号的建行龙卡，已经尽到相应的举证责任，银行要进行反驳，必须举出证据来证明，而不是试图用“ATM机通过认证肯定就是真卡”来推定。
科学技术的发展给人们带来了便利，也给银行的金融安全带来了挑战，银行设置ATM机节省了人力投入和交易成本，提高了工作效率和市场竞争能力，就应当通过技术投资和硬件改造来加强风险防范，确保储户的存款安全。ATM机不但要能辨别密码，更要能辨别储蓄卡的真伪。储户有证据证明存款被他人在银行自助柜员机盗取时自己持有储蓄卡且没有取款条件，应推定银行自助柜员机不能识别储蓄卡的真伪。银行未尽到安全防范义务，造成储户存款被盗取，应当承担民事赔偿责任。　　
撰稿人：宁波市鄞州区人民法院 张光宏
郭敬波