资金遭盗转时，第三方支付企业注意义务及责任范围的确定

资金遭盗转时，第三方支付企业注意义务及责任范围的确定

——河南邦欣电子商务有限公司上诉国付宝信息科技有限公司服务合同纠纷案

裁判要点

一、第三方支付企业对于用户信息、资金安全应承担严格、审慎的注意义务，并应对其进行的直接关系资金安全的操作符合注意义务的要求，承担举证证明责任。

二、第三方支付企业未尽注意义务，造成用户资金损失的，应承担损害赔偿责任，若用户在保管自身信息、资金等方面存在过失，该过失一定程度上导致了损害发生或扩大的，可相应减轻第三方支付企业的赔偿责任。

相关法条

《中华人民共和国合同法》

第一百零七条 当事人一方不履行合同义务或者履行合同义务不符合约定的，应当承担继续履行、采取补救措施或者赔偿损失等违约责任。

第一百一十三条第一款 当事人一方不履行合同义务或者履行合同义务不符合约定，给对方造成损失的，损失赔偿额应相当于因违约所造成的损失，包括合同履行后可以获得的利益。

第一百七十四条 法律对于其他有偿合同有规定的，依照其规定；没有规定的，参照买卖合同的有关规定。

《最高人民法院关于审理买卖合同纠纷案件适用法律问题的解释》

第三十条 买卖合同当事人一方违约造成对方损失，对方对损失的发生也有过错，违约方主张扣减相应的损失赔偿额的，人民法院应予支持。

《最高人民法院关于适用<中华人民共和国民事诉讼法>的解释》

第九十条 当事人对于自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。在作出判决前，当事人未能提供证据或证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果。

《最高人民法院关于民事诉讼证据的若干规定》

第五条第二款 对合同是否履行发生争议的，由负有履行义务的当事人承担举证责任。

案件索引

一审：北京市朝阳区人民法院（2014）朝民初字第41082号（2015年7月16日）

二审：北京市第三中级人民法院（2015）三中民终字第11561号（2015年11月25日）

基本案情

邦欣公司诉称：2013年1月8日，邦欣公司、国付宝公司签订了《电子支付服务协议书》，约定国付宝公司为邦欣公司提供安全、稳定、便捷的电子支付服务。2014年1月1日下午，邦欣公司发现账户密码错误无法使用，之后向国付宝公司申请了密码重置。重置密码并登陆后，邦欣公司发现账户余额短款60 000元。经向国付宝公司查询发现，2013年12月30日，邦欣公司账户三次发生账户支付密码输入错误，之后账户被锁定。2013年12月31日，有人伪造邦欣公司印章向国付宝公司提出了密码重置申请，而国付宝公司根据该伪造的密码重置申请，对邦欣公司账户进行了密码重置操作。此后，邦欣公司账户内的60 000元被分三笔支付给了“李佳”。邦欣公司认为，国付宝公司根据伪造的密码重置申请单对邦欣公司账户支付密码进行重置，违反了合同约定的安全注意义务和保密义务，给邦欣公司造成了损失。故邦欣公司诉至一审法院要求国付宝公司赔偿损失60 000元，并以此为基数按照中国人民银行同期贷款利率的标准赔偿自2014年1月1日至判决给付之日止的利息。

国付宝公司在一审中辩称：1.邦欣公司、国付宝公司签订合同的情况属实。国付宝公司根据邦欣公司发来的电子邮件进行了密码重置服务，当时邦欣公司重置的是支付密码，而非登录密码。重置后的支付密码发送到了邦欣公司的注册邮箱。如果邦欣公司的账户被盗用，说明邦欣公司同时丢失了注册邮箱的登录密码以及其账户的登录密码。邦欣公司作为实际使用方，对自己的密码负有管理责任，国付宝公司尽到了注意义务和保密义务，因此不同意承担赔偿责任。2.根据国付宝公司后台信息查询情况，邦欣公司主账户下设了一个子账户，子账户登记的姓名是“李佳”，并且显示李佳为公司财务人员，因此邦欣公司钱款丢失与国付宝公司无关；3.本案应先由公安机关予以处理。

法院经审理查明：

一、本案合同签订及账号开通情况

2013年1月8日，邦欣公司与国付宝公司签订了《电子支付服务协议书》，约定国付宝公司向邦欣公司提供电子支付服务。同时，该协议书第2.1.2条约定：邦欣公司在申请开通电子支付服务前须按国付宝公司要求如实提供基本业务情况说明（含法定代表人姓名、办公地址、联系方式）及必要资质证明文件复印件并加盖公章证明。在使用电子支付服务的过程中，邦欣公司所提供的资料或信息如有变更，应以书面形式通知国付宝公司，并按国付宝公司固定的程序办理有关手续。第2.2.1条约定：国付宝公司有义务向邦欣公司提供双方数据传输的接口和相关文档，协助邦欣公司安装国付宝公司提供的电子支付服务接口，提供安全、稳定、便捷的电子支付服务。

签订该协议书时，邦欣公司同时填写了《企业信息、网关接入申请表》，该申请表中预留了邦欣公司的国付宝账户名、营业执照注册号以及法定代表人、业务联系人、办公地址、电子邮箱等信息，并盖有邦欣公司公章。签订《电子支付服务协议书》后，邦欣公司开通了国付宝账户，该账户的用户名、登陆密码即为邦欣公司预留电子邮箱的地址和登陆密码。该账户另设置有不同于登陆密码的支付密码。

此外，在国付宝网站上进行国付宝账户注册时，必须勾选接受《国付宝用户注册协议》、《国付宝用户注册隐私协议》、《国付宝用户交易服务协议》。《国付宝用户注册协议》第三条第（二）项规定，国付宝公司保证对用户的隐私信息进行严格的管理及保护，防止用户的隐私信息泄露或被盗用；第五条第（一）项规定，国付宝公司应对支付系统信息处理过程中的安全、保密、及时性负责。《国付宝用户注册隐私协议》第三条规定，国付宝公司不应将客户的金融信息透露给任何人。

关于密码重置的程序，上述协议中均没有相关约定。

二、关于涉案密码重置及转款的过程

邦欣公司主张，2014年1月1日，邦欣公司发现账户支付密码错误，随后其申请了密码重置。密码重置后，邦欣公司登录国付宝账号，发现公司钱款丢失6万元，因此，邦欣公司立即与国付宝客服人员取得联系。国付宝客服人员表示，2013年12月30日，邦欣公司的支付密码发生了三次错误输入后被锁定，其后，国付宝公司收到了邦欣公司发来的重置密码书面申请，并对支付密码进行了重置。在邦欣公司的要求下，国付宝公司客服人员将当时的密码重置申请回发给了邦欣公司，邦欣公司收到后发现申请书上所盖印章与邦欣公司印章根本不同，此不同属于肉眼可鉴。邦欣公司在国付宝公司预留了企业信息，并加盖有印章，国付宝公司若稍尽审查注意义务即可审查出来两者的区别。由于国付宝公司没有尽到注意义务，致使邦欣公司账户款项被盗转。

国付宝公司不认可邦欣公司所述的上述过程，亦否认曾收到过密码重置申请单。关于密码重置过程，国付宝公司存在不同陈述。一审庭审中，国付宝公司曾表示其根据邦欣公司发来的电子邮件进行了密码重置服务，后又改变陈述为其收到的是重置密码的电话申请。二审中，国付宝公司明确表示其收到了密码重置的电话申请，并且在电话中核实了对方的身份情况，核实身份后对邦欣公司的密码进行了重置，并将重置后的密码发送到了邦欣公司的电子信箱。二审法院对国付宝公司进行释明，要求其对上述不同陈述说明理由、提交证据。国付宝公司表示系其一审中两位代理人分别作出的不同陈述。

尽管双方对于上述密码重置过程存在争议，但结合本案现有证据及双方陈述，可以认定：在邦欣公司支付密码连续三次输入错误而被锁定，随后国付宝公司根据申请对涉案密码进行了重置操作，并将重置后的密码发送到邦欣公司电子信箱，随后邦欣公司6万元款项非因邦欣公司授权而被转出。三次错误密码输入及款项转出时使用的IP地址均与邦欣公司正常使用的IP地址不同。

三、关于子账户的情况

根据国付宝公司提交的邦欣公司账户后台信息情况显示，邦欣公司账户下设置有子账户若干。其中一个子账户的名称为李佳，用户身份显示为公司财务人员，电子信箱为yyn0809@163.com。对于申请设置该子账户的人员、子账号的设置程序、子账户的权限以及国付宝公司的审查内容等，国付宝公司表示无法提供相关证据，并认为应由邦欣公司承担举证责任。邦欣公司表示，李佳的身份情况并不能减轻或免除国付宝公司的注意义务。根据国付宝公司的申请，二审法院调取了李佳银行账户的开户信息、交易信息，但上述信息并未显示出李佳与邦欣公司有关联关系。

四、其他情况

国付宝公司主张，本案应先由公安机关立案侦查。邦欣公司主张，在双方存在服务合同关系的情况下，其有权选择违约之诉，并且其曾向公安机关报案，但公安机关并未立案。

裁判结果

北京市朝阳区人民法院于2015年7月16日作出（2014）朝民初字第41082号民事判决，判决驳回邦欣公司全部诉讼请求。宣判后，邦欣公司提出上诉。北京市第三中级人民法院于2015年11月25日作出（2015）三中民终字第11561号民事判决，判决：一、撤销北京市朝阳区人民法院（2014）朝民初字第41082号民事判决；二、国付宝公司赔偿邦欣损失3万元；三、驳回邦欣其他诉讼请求。

裁判理由

邦欣公司与国付宝公司之间签订有《电子支付服务协议书》，邦欣公司以国付宝公司违约为由，要求国付宝公司对于未尽审查注意义务给邦欣公司造成的损失承担赔偿责任，该项争议为民商事纠纷，属于人民法院受案范围。由于本案不符合先行后民原则的适用范围，因此，国付宝公司关于本案应先由公安机关立案侦查的主张，本院不予支持。

根据本案中双方当事人的诉辩意见，本案争议焦点有四：一是国付宝公司对于涉案密码重置进行了何种审查行为；二是国付宝公司的审查行为是否符合注意义务的要求，是否构成违约；三是如构成违约，国付宝公司应承担何种民事责任；四是邦欣公司对于损失发生是否存在过错，是否应减轻或免除国付宝公司的民事责任。

一、国付宝公司对涉案密码重置进行了何种审查行为。

《最高人民法院关于适用<中华人民共和国民事诉讼法>的解释》第九十条规定：“当事人对于自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。在作出判决前，当事人未能提供证据或证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果。”《最高人民法院关于民事诉讼证据的若干规定》第五条第二款规定：“对合同是否履行发生争议的，由负有履行义务的当事人承担举证责任。”本案中，国付宝公司是提供支付业务的非金融机构，对于用户的支付密码重置申请进行审查，是其应尽的合同义务。因此，对于是否进行了审查以及进行了哪些审查，国付宝公司应承担举证责任。邦欣公司主张，国付宝公司根据伪造的密码重置申请进行密码重置操作，并提交了其公司员工与国付宝公司客服的聊天记录予以证明。国付宝公司对该聊天记录的真实性不予认可，主张其收到了邦欣公司的电话申请，并通过电话询问的方式审查了对方的身份情况。但对于重置密码的申请是否为电话形式，如是电话形式，国付宝公司对于对方的身份信息进行了哪些审查行为，国付宝公司均未提交任何证据予以证明，因此，国付宝公司应承担举证不能的不利后果。

同时需要特别指出的是，涉案密码的重置申请形式及国付宝公司的审查行为，是双方的重要争议焦点。对于这一重要、关键事实，国付宝公司在一、二审中存在两种完全不同的陈述。一审中，国付宝公司曾两次明确表示，根据邦欣公司的邮件申请进行了密码重置，其后又改变陈述为没有收到电子邮件，而是根据邦欣公司的电话申请进行相关操作。二审中，经法院释明，国付宝公司未能对改变陈述的原因作出合理解释，亦不能提供任何证据予以佐证。对于其在陈述当时所称邮件申请的指代内容，国付宝公司亦表示无法作出说明。综上，本院认为，国付宝公司就申请形式及审查行为所作陈述，存在前后矛盾、无法印证之处，其作出的解释亦无法自圆其说，故对国付宝公司关于已通过电话询问方式审查对方身份情况的主张，本院不予采信。

二、国付宝公司的审查行为是否符合注意义务的要求，是否构成违约。

邦欣公司主张，国付宝公司未尽注意义务，违反了双方合同中关于安全义务、保密义务的约定。国付宝公司主张，李佳为邦欣公司员工，在密码重置问题上，国付宝公司已尽注意义务，不存在违约行为。本院认为，由于国付宝公司对其审查行为未能提供任何证据，故而其审查行为是否符合注意义务的要求，本院无从进行判断。国付宝公司主张其已尽注意义务的另一理由为：李佳的账户为邦欣公司子账户，李佳为邦欣公司员工。对此，本院认为，国付宝公司是支付平台的技术服务方，对于子账户的设置程序、设置人等后台数据具有一定掌握、管理能力，因此，国付宝公司有责任提供证据加以证明子账号李佳的设置情况。现国付宝公司提交的证据不足以证明李佳为国付宝公司员工。同时，不管李佳是否为邦欣公司员工，均不影响国付宝公司应在密码重置审查问题上加施必要注意义务的认定，因此，本院认为，国付宝公司在涉案密码重置问题上未尽到应有的注意义务。

根据双方签订的《电子支付服务协议书》的约定，国付宝公司应提供安全、稳定、便捷的电子支付服务。根据《国付宝用户注册协议》、《国付宝用户注册隐私协议》的约定，国付宝公司对用户信息负有保密义务，保证对用户信息进行严格的管理及保护。国付宝公司就涉案密码的重置未能履行应尽的注意义务，导致了邦欣公司支付密码的泄露，不符合安全保障义务和保密义务的要求，构成违约。一审法院认为邦欣公司未能明确提出国付宝公司违约行为的具体内容，属于认定事实错误，本院予以纠正。

三、如构成违约，国付宝公司应承担何种民事责任。

《中华人民共和国合同法》第一百零七条规定：“当事人一方不履行合同义务或者履行合同义务不符合约定的，应当承担继续履行、采取补救措施或者赔偿损失等违约责任。”其第一百一十三条第一款规定：“当事人一方不履行合同义务或者履行合同义务不符合约定，给对方造成损失的，损失赔偿额应相当于因违约所造成的损失，包括合同履行后可以获得的利益。”本案中，国付宝公司未尽审查注意义务，构成违约，邦欣公司因国付宝公司的违约行为遭受了财产损失6万元，因此，国付宝公司应就此承担赔偿损失的民事责任。

四、邦欣公司对于损失发生是否存在过错，是否应减轻或免除国付宝公司的民事责任。

国付宝公司主张，邦欣公司保管密码不善，对于损失的发生存在过错，应自行承担责任。邦欣公司主张，国付宝公司构成违约，应对6万元损失负全部责任。对该争议焦点，本院将从以下两方面进行分析。

第一，邦欣公司是否存在过错。本院认为：首先，邦欣公司账户款项的支付要同时具备知晓账户登录密码和支付密码两个条件，2013年12月30日，邦欣公司的账户支付密码连续三次发生输入错误，这说明邦欣公司的账户登录密码已经泄露，而该泄露并无证据证明系国付宝公司所致，应认为邦欣公司在保管自身登录密码问题上存在过失；其次，在国付宝公司将重置后的支付密码发送到邦欣公司的注册邮箱，而该注册邮箱登录密码亦是邦欣公司保管不善而被获取，同时，该注册邮箱密码与账户登录密码相同，本身即存在安全隐患，故对于注册邮箱密码的丢失，邦欣公司亦存在过失。因此，本院认为，邦欣公司对于登录密码、注册邮箱密码的保管存在过失，该过失对于损失的发生具有原因力，故邦欣公司对于损失的发生具有过错。

第二，邦欣公司的过错是否足以减轻或免除国付宝公司的民事责任。《中华人民共和国合同法》第一百七十四条规定：“法律对于其他有偿合同有规定的，依照其规定；没有规定的，参照买卖合同的有关规定”。《最高人民法院关于审理买卖合同纠纷案件适用法律问题的解释》第三十条规定：“买卖合同当事人一方违约造成对方损失，对方对损失的发生也有过错，违约方主张扣减相应的损失赔偿额的，人民法院应予支持”。本院认为，根据《中华人民共和国合同法》的上述规定，本案为服务合同纠纷，双方当事人的权利义务在无特别规定的情况下，可以参照适用买卖合同的有关规定。而根据上述司法解释的规定，在受害方对于损失的发生亦存在过错的情况下，应扣减违约方的赔偿额。本案中，邦欣公司对于损失的发生具有过错，应减轻国付宝公司的赔偿责任。对于减轻的数额，本院综合考虑国付宝公司的违约情节，邦欣公司的过错程度，双方对于损害发生的原因力强弱等因素，酌情确定为3万元。对于邦欣公司所诉的利息损失，本院不再予以支持。

案例注解

在互联网环境下，由非金融机构经过中国人民银行批准，取得支付业务许可证后，可以开展互联网金融业务，具体内容包括资金收付、保管、结算等。然而对其安全监管，目前仅有中国人民银行制定的《非金融机构支付服务管理办法》，且监管力度与银行监管存在着巨大的差距。故本案审理时，重点对互联网环境下，第三方支付企业安全注意义务以及违反注意义务时民事责任的确定进行了探讨。

一、第三方支付企业对客户信息安全注意义务的确定

考虑到第三方支付企业提供的不仅仅是网络技术服务平台，更重要的是它还承担着一定的资金保管功能，因此，我们认为，仅取得支付业务许可证并不能满足支付业务开展的需要，第三方支付企业还应当采取必要的管理措施、技术措施，以保障支付环境的安全、便捷和可靠。同时，由于在互联网支付服务中，账户登录名、密码以及其他预留信息是客户的身份识别代码，其保管情况直接关系到用户的资金安全，故对于上述信息，尤其是对于支付密码的设置、重置等，第三方支付企业更应当进行严格、谨慎的审查。此外，由于第三方支付企业通过建立支付平台，吸引资金流，通过收取手续费、管理沉淀资金等方式获得利益，因此，其亦理应遵循风险与收益一致的原则，对用户信息、用户资金施以相应的注意义务。

本案中，尽管双方在服务合同中中并未约定支付密码的重置程序以及对于重置申请的审查方式、审查内容等，但国付宝公司作为支付机构，仍应本着对用户资金安全高度负责的原则，对于重置申请人的身份信息施以必要的、审慎的注意义务，对密码重置的操作流程进行严格的、规范的管理。

二、发生纠纷时第三方支付企业与用户举证责任的分配

第三方支付企业与用户之间存在服务合同关系，本案为违约之诉。在违约之诉中仍然应适用“谁主张、谁举证”的原则，用户主张第三方支付企业构成违约，应就违约的基本事实承担举证责任。只是鉴于金融环境下尤其是互联网金融环境下，网络支付操作具有一定的隐蔽性，因此，在用户初步举证资金非因己方或己方授权而被转移的情况下，举证责任转应由第三方支付企业承担，即由第三方支付企业对其履行了注意义务承担举证责任。举证责任转移的理由主要有两方面：

（一）从请求权与抗辩的角度分析。一方当事人基于合同关系向另一方主张违约责任，系行使其债权请求权，另一方为对抗其债权请求权而提出的主张系请求权抗辩。本案中，第三方支付企业主张其已经履行合同义务，实际提出了债权请求权已经消灭的抗辩意见，故第三方支付企业应对对方债权请求权已经消灭的事实承担举证责任。这在《最高人民法院关于民事诉讼证据的若干规定》第五条第二款中亦有明确规定，即对合同是否履行发生争议的，由负有履行义务的当事人承担举证责任。

（二）从举证能力的角度分析。合同纠纷案件中，当然应严格适用“谁主张、谁举证”的原则，但除合同义务是否履行等法律对举证责任已有明确规定的情形外，双方往往还在其他相关事实方面存在争议。因此，法官在审理案件时，应结合案件实际情况、当事人的举证能力等，对其他争议事实合理分配举证责任。本案中，考虑到互联网支付环境下举证所需要的专业知识、技术设备以及双方与证据的距离等因素，对于合同义务履行与否、子账号“李佳”的身份情况等事实问题的查明，最终确定由第三方支付企业即占有或接近证据材料且有能力提供的一方承担。

三、违约损害赔偿责任的确定

违约责任的归责原则为无过错责任原则，对于违约损害赔偿的范围我国合同法立法及其理论贯彻完全赔偿原则。也就是说，原则上，有违约就有责任，责任范围应是受害人损失的数额，通过赔偿损失，应使受害人处于如同合同已经履行的状态。但为平衡保护当事人双方的利益，防止损害赔偿责任不适当地扩张，在我国合同法立法及理论上，对赔偿损失的范围设立了若干限制，如当事人约定的限制、合理预见规则的限制、与有过失规则的限制等。本案中，在第三方支付企业构成违约的情况下，其损害赔偿责任的范围曾经是合议庭讨论的重点问题之一。在确定违约方完全赔偿还是适当减轻其赔偿责任方面，合议庭最终选择适用“与有过失”规则，合理限制违约方的赔偿责任。

“与有过失”规则，也称为过失相抵规则，即一方就损害的发生或扩大也有过失的，可相应减轻另一方的赔偿责任。在适用过失相抵规则时，我们认为应把握好以下四个问题：一是非违约方须有过失，二是该过失是损害发生或扩大的共同原因，三是因该过失可相应减轻违约方的责任，而非全部免除；四是减轻的程度，应考虑双方行为的原因力、过失强弱等因素综合予以确定。在立法层面上，该原则可见于《最高人民法院关于审理买卖合同纠纷案件适用法律问题的解释》第三十条，即买卖合同当事人一方违约造成对方损失，对方对损失的发生也有过错，违约方主张扣减相应的损失赔偿额的，人民法院应予支持。本案虽为服务合同纠纷，但根据《中华人民共和国合同法》第一百七十四条之规定，可参照适用买卖合同的该项规定。本案中，邦欣公司作为非违约方，在保管自身登陆密码、注册邮箱密码等方面存在过失，该过失也是损失发生的共同原因，根据过失相抵规则，应相应减轻违约方即国付宝公司的赔偿责任，本院综合考虑双方的过失程度、原因力大小等因素，确定国付宝公司、邦欣公司各承担一半责任。

四、本案例参照适用中应注意的问题

（一）在对网络账户进行支付密码重置等事关安全的操作应采取何种形式等方面，可首先允许双方当事人自行约定。在无相关约定的情况下，可考虑第三方支付企业应承担的注意义务、参照行业惯例等情形判断第三方支付企业是否构成违约。

（二）确定由第三方支付企业对注意义务履行与否承担举证责任，并不意味着免除用户的举证责任。正如传统银行卡伪卡交易的案件一样，在网络账户发生资金被盗转时，用户需积极保存证据，证明资金非因己方原因而被转移。

（三）适用过失相抵规则时，赔偿责任减轻的程度在理论上存在原因力说、过失强弱说等不同意见。我们认为，无论哪种衡量标准都不过是为法官提供了自由裁量的参照，具体适用时仍应由法官根据案件审理情况，综合权衡多重因素予以确定。

合议庭成员：杨路、杜丽霞、石煜

承办法官：杜丽霞

编写人：杜丽霞

责任编辑：张雨晴