张清华：从一例银行卡案分析银行卡合同中密码交易条款的法律性质

银行卡被盗刷的赵先生认为工商银行计算机系统存在漏洞，致使其7万余元存款却被人转走了，因此起诉要求银行支付7万多元.

　　一个简单的案件，双方说法看似都合理。原告赵先生认为银行负有维护银行计算机交易系统保护交易安全的义务，如果银行计算机系统存在漏洞，就要承担风险责任和违约责任。银行认为根据银行灵通卡合同规定只要密码正确就视为开户人本人所为，原告负有相应的举证责任，证明自己没有进行过交易，如果是犯罪分子所为，那就要等公安局破案后再向犯罪分子追偿。总之不管密码交易是不是本人所为，银行都不负责任。笔者不禁要问的是，这种订立在合同中的条款究竟是什么样的条款？作出如此规定究竟是有没有法律效力？

　　一、密码交易条款的性质是格式条款

　　在与银行办理银行卡过程中，银行方会出具一份印刷好的银行卡合同，要求开户人在上面签字。合同中就有这样一条规定：只要用户名与密码正确，将视为开户人本人所为（以下简称密码交易条款）。并再三要求当事人保管好自己的密码否则银行将不负责任。《中华人民共和国合同法》第39条规定：“格式条款是当事人为了重复使用而预先拟定，并在订立合同时未与对方协商的条款。”首先银行卡合同是银行预先拟定并经过银监会备案认可的格式合同，客户在办理银行卡开户时用的都是银行方面提供的银行卡格式合同，而密码交易条款银行方面在订立合同时也不会与客户协商变更，因此，密码交易条款符合“重复使用、预先拟定、订立时未与合同对方协商”格式条款这三个特征，因此属于格式条款，是没有争议的。这是第一点。

　　二、密码交易条款究竟有没有法律效力？

　　密码交易条款规定交易中只要用户名和密码正确，将视为是开户人本人所为，银行方面就不负责任。这样一条规定是格式条款。这样一条格式条款是不是符合法律规定呢？就必须结合事实加以分析。

　　1.银行卡体现的法律关系及运作机制

　　银行卡中体现的法律关系有二种。第一种是储蓄合同关系，银行卡开户人首先在该银行存入一定数量的货币，从而取得利息收入，而银行也将储户存入的货币归入到银行现金池，中，对外进行放贷，取得贷款利息收入。这也是一般的储蓄存折所具备的功能与作用。第二种关系是银行支付与转帐服务合同关系，本来存折也具有这一功能，但是存折因为是人工操作，费时长且程序复杂，成本较高，所以银行卡被发明并广泛运用。银行卡是将这些操作都运用计算机及其网络来实现，通过一张磁卡来实现全国网点的存取支付转帐。因为是机器操作因此运用了用户名与密码这一安全设置来保障交易的准确与安全。因此，打一个形象的比喻，用户名与密码完全可以被称为是“钥匙”，没有这把“钥匙”，哪怕你就是房子的主人也无法开锁入内。

　　2.密码交易条款责任分配不合事实与情理。

　　如果我们把用户名与密码比喻成是“钥匙”，那么银行卡合同中的密码交易条款可以形象地改为：“只要是用钥匙开的锁，那就算是主人开的锁。因此门没坏，银行就不负责任。”用户名和密码可以看作是“钥匙”，银行提供的计算机网络安全服务可以看作是“锁”，将安全锁定，只有钥匙才能开锁。密码交易条款的潜台词是：我们银行负责提供安全服务，也就是“锁”，而把“钥匙”交给了开户人，只有钥匙能开锁，因此锁被正常打开了，就是钥匙所为，也就是被视为是开户人所为，银行对此由此造成的财产损失不负责任。好象从逻辑上来看是没有缺陷的。但是拿到现实中来，从经验就可以判断出，如果不是钥匙方面的问题而是锁存在问题导致安全性降低或不复存在，例如锁坏了、锁的技术性太差导致锁匙重复率高（也就是一把钥匙能开二把以上锁的概率）、提供锁和钥匙的内部人员的行为等等，这就不是银行持卡人或开户人的责任问题了。而据国内权威数据网络通讯专家、大唐软件公司银行信息安全项目研发总负责人余强灵教授的披露，由于传输标准的国际化与设备的标准化，而中国银行系统信息传输网是非独立专网，中国银行业至今为止没有为传输链路中信息提供有效安全防范设备，因此中国银行业的信息传输系统存在巨大的安全漏洞，中国银行业信息数据安全传输安全没有保障，极易泄密。也就是说由于锁出现了问题，交易的安全性得不到保障，那么所谓只有钥匙才能打开锁这一前提假设是不正确的。因此只要是用户名和密码正确所进行的交易就视为是持卡人本人所为这一规定是不合事实与情理的。 [page]

　　因此，银行密码交易格式条款的责任分配方式是存在着问题的。

　　3.密码交易格式条款不符合法律规定，是无效条款

　　民事责任的归责原则包括三种：过错责任、无过错责任和公平责任。其中过错责任是民事责任的一般归责原则，除非法律另有规定，在一般的合同及侵权责任中适用的是过错责任归责原则。而按照密码交易格式条款的内容来看，只要是发生了密码交易的行为，就认定为是持卡人本人的行为，银行就不承担责任，意思是由持卡人自行承担责任。也就是说不管持卡人主观上有没有过错，只要发生了密码交易行为，银行就不承担责任。而不管银行提供的计算机网络服务是否有瑕疵（如前文所述中国银行业的信息传输系统存在着巨大的安全漏洞）。

　　我国《合同法》第40条规定：“格式条款具有本法第52条和第53条规定情形的，或者提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。”

　　密码交易格式条款存在着提供格式条款一方（即银行方）免除其责任、加重对方责任、排除对方主要权利的情形。首先密码交易格式条款不合理不正当地免除格式条款提供方即银行方的主要责任即保护持卡人资金安全提供安全的银行计算机网络服务这一主要义务和责任。而免除银行方责任的依据是凭密码交易。只要是密码交易就视为是持卡人本人所为，银行不承担责任。至于导致密码交易的原因是什么在所不问，也就是说无论持卡人有没有过错，也不论银行方有没有过错，只要密码交易行为发生了，银行方就不担责任。这一依据是不合理的也是不合法的。其次，密码交易格式条款加重了持卡人的责任和义务。持卡人在尽了最大的注意义务??保管好银行卡及其密码之后，仍然无法阻止盗刷银行卡现象的出现，原因是银行方提供的计算机网络服务存在着安全漏洞，如果按照密码交易格式条款的要求，持卡人不仅要尽最大注意义务保管好银行卡和密码，还必须防止银行计算机网络安全漏洞的出现，才能不发生他人通过银行信息传输网络窃取密码来进行密码交易这种情况的发生。因此，持卡人的责任被加到让其无法承受的程度。第三，此格式条款事实上也同时排除了持卡人的主要权利??使用其银行卡内资金的权利。因此，密码交易格式条款存在着提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的情形，所以是无效的条款。《中华人民共和国消费者权益保护法》第24条规定：“经营者不得以格式合同、通知、声明、店堂告示等方式作出对消费者不公平、不合理的规定，或者减轻、免除其损害消费者合法权益应当承担的民事责任。格式合同、通知、声明、店堂告示等含有前款所列内容的，其内容无效。”密码交易条款就是属于此条规定的损害消费者合法权益的条款内容，因此，此内容无效。

　　总之，从事实和法律上对密码交易条款加以分析可以得出结论：密码交易条款是排除格式条款提供方（银行）的责任、加重对方（银行卡持卡人）的责任、排除对方主要权利（银行卡内资产权利）的格式条款，是典型的霸王条款，违反了《合同法》第40条和《消费者权益保护法》第24条的规定，因为它不管持卡人对密码的丢失有无过错，不顾银行方提供的银行计算机网络服务不安全的事实，把责任一概推向持卡人，排除自身的责任和义务，免除了其损害消费者合法权益应当承担的民事责任，因而是无效的条款，自始没有法律效力。事实上，法院法官在审理此类案件时也都是按此处理的，是按照过错原则来确定谁对密码的丢失具有过错来追究民事责任，而不是按照此类密码交易条款的规定来确定责任的承担的.

　　因为银行没有尽到自己的保管义务和交易安全保障义务，自身的交易系统信息传输系统存在着漏洞，因此应当对没有过错的储户赵先生的存款损失承担全部责任。至于是否应当先刑事后民事等公安部门破案后向犯罪嫌疑人求偿的问题，因为银行违反了保管储户资金安全的合同义务和保障交易安全的合同义务，银行方承担的是合同责任，根据合同的相对性可知，银行方应当先向储户承担违约责任。根据《合同法》第121条规定：“当事人一方因第三人的原因造成违约的，应当向对方承担违约责任。当事人一方和第三人之间的纠纷，依照法律规定或按照约定解决。”银行方在赔偿了储户损失之后，可在破案后向犯罪嫌疑人求偿。 [page]

张清华