律师观点分析

再审申请人（一审原告，二审被上诉人）：张XX，男，1983年8月8日出生，汉族，住海南省澄迈县。
委托诉讼代理人：王X，广东XX律师。
被申请人（一审被告，二审上诉人）：XXX，住所地海南省海口市龙华区南海大道81号京XX107、108、207、208、209、210号铺面，统一社会信用代码9146XXXX4130004H。
负责人：王X，行长。
委托诉讼代理人：刘XX，海南XX律师。
委托诉讼代理人：李X，海南XX律师。
再审申请人张XX因与被申请人XXX（以下简称XXX）储蓄合同纠纷一案，不服海口市中级人民法院（2018）琼01民终4816号民事判决（以下简称二审判决），向本院申请再审。本院依法组成合议庭进行了审查，现已审查终结。
张XX申请再审称，（一）XXX未经张XX的书面签字许可，为张XX开通了转账功能和电子银行及其相关业务，导致张XX的存款被他人转走。XXX违反了相关规定，在履行合同的过程中存在重大过错，应当赔偿张XX的损失。（二）XXX作为专业办理金融业务的银行在办理业务时居于明显的支配优势地位，应为处于相对被支配弱势地位的自然人，尽到最大的注意义务、风险提示和说明义务。XXX在张XX申请一卡通和电子银行的过程中没有尽到全面披露网络转账业务的相关风险和财防范措施，也未尽到安全保障义务。（三）XXX没有尽到保障张XX存款安全的义务，不能正确识别张XX真实、有效的身份，无法识别异常交易行为，且没有对支付环境实行有效的检测和管理，存在重大过错。1.XXX无法对XX银行APP的网络支付环境进行实时监测，不能及时发现并打击网络上盗取客户资料的行为。2.XXX没有实施善意的风险控制行为和异常情况提醒行为，不能对异常情况及时作出暂停登录、暂停交易等防范措施，存在过错。3.XXX没有尽到交易限额的有效管理。张XX的涉案银行卡在一天之内被转走200000元，超出了一卡通（II类）现金日累计限额10000元的限制。4.张XX银行卡被盗刷后，XXX没有及时对获取张XX信息的“银联”软件进行调查，也没有主动积极提供相应的信息，配合张XX追回被盗刷的钱款，未尽到安全保障义务。（四）根据诚实信用原则，银行应当对持卡人账户的资金变动情况及时履行告知义务，特别是涉及盗刷行为的情形，及时告知行为可提醒持卡人采取补救措施，避免扩大损失，但XXX没有尽到上述义务，存在重大违约。综上，张XX依据《中华人民共和国民事诉讼法》第二百条第二项、第六项的规定申请再审。
XXX提交书面意见称，（一）XXX通过可视化柜台为张XX开立借记卡符合法律规定。XXX严格依照张XX的申请开通上述功能，同时对张XX开立的借记卡所需要注意的安全事项已经进行了明确的提示。XXX在VTM可视柜台开户录音录像可以明确证明，银行大堂工作人员已经明确告知张XX该储蓄卡日交易限额为20万元。（二）XXX已经向张XX全面披露网络转账业务相关风险和防范措施，已尽安全保障义务。张XX在申请开立账户时，XXX已经通过可视化柜台向其充分解释了XXX、XXX，且XXX对于张XX开设账户、开通转账汇款业务等均有明确短信提示，XXX已经尽到了全面披露网络转账业务风险的义务。对于张XX转账交易活动，XXX亦均以账号、密码、短信验证码等个人账户信息作为转账交易的安全保障和风险提醒，已经尽到了风险提示义务。在张XX申请挂失后，XXX积极帮助张XX分析被盗刷的原因，指导张XX报警，并积极配合，已经尽到减少张XX损失扩大的义务。（三）XXX已在现有的技术层面采取适当措施、适当技术，对客户作业权限、资金转移进行有效管理。XXX网上银行的运行系统符合国家规定的风险防范与安全保障标准，从现有的技术层面出发，XXX已经尽责安全保障义务。1.XX银行网上银行的运行系统经过国家信息技术研究中心的评估及深圳市XX公司的测评，均符合国家规定的风险防范与安全保障标准。2.从现有的技术层面出发，XX银行已经尽到安全保障义务。目前我国所有的银行系统领域中，只能对有介质（如刷卡、使用U盾的网上银行）的转账操作地址进行有效的精准定位，而对于无介质的XX银行是无法精准定位的，这是技术层面所决定的。相对于信用卡和借记卡，信用卡的刷卡操作属于有介质的操作，其操作程序是持卡、刷卡、免密、签名即可，程序非常简单，只要信用卡遗失，或者持卡人透支不能及时还款，对本人或银行来说都是极大损失，所以出于弥补漏洞和防范风险，并且是基于现有技术层面的支持，银行系统对该介质（POS机、U盾等）进行定位和追踪，就能及时精准地对该介质进行定位，确定其IP地址，如果发现异常，可以精准提醒客户，以尽安全防范之义务。但在无卡的虚拟环境中，如XX银行，其IP地址与物理位置是不能精确对应的，最主要的原因是运营商对此没有号段的分配机制，这就从源头上导致其IP地址无法精准定位。而IP地址显示异常也是不特定的，并且与很多因素有关，如WIFI、电话卡、距离等等，在同一个地方，显示两个以上IP地址是非常普遍的事情。WIFI环境不同，显示IP地址不同，电话卡的区域不同，显示的IP地址不同，基站不同或距离不同，也就是说跨越基站或者在基站的临界点都会显示IP地址不同。而现今，1-3公里的范围内就存在一个基站，这种不确定性及普遍性导致不能用模糊定位的信息提醒客户，这将极大影响客户的服务体验，造成不必要的恐慌和焦虑。基于风险防控，借记卡的操作流程要求非常严格。首先XX银行客户都被要求在正规的APP环境上登录，通过银行卡卡号和查询密码登录XX银行客户端，在转账功能选项输入收款人的银行卡信息，点击发送短信验证码，XXX会向其预留的手机号上发送短信验证码，储户收到短信验证码后，输入短信验证码，再输入取款密码完成转账操作，在实际交易中，XXX电子管理系统受到了涉案银行卡的转账申请后，发出验证码，督促客户按照交易流程的要求完成资金交易，同时进行了有关安全短信提示，履行了有关交易安全转账的警示义务。该风险防控措施已经完备且符合银行风险防控系统规范。在风险防范标准中对借记卡和信用卡的服务要求是不同的，借记卡侧重于服务体验，信用卡侧重于风险防控，退一步说，如果商业银行精准定位借记卡物理位置并实时提醒，必须定位客户的手机或手机卡，这就涉及到客户的人权和隐私权，该措施在法律层面上是无法越及的。（四）张XX被盗刷20万元的经济损失，是由于自身未妥善保管个人账户信息所致，XXX并无过错。张XX作为一名具有大专学历、受过高等教育的完全行为能力人，应当具备一定的网络信息安全知识，基于违规办理信用卡，透支高额信用贷款的目的，居然轻信素未谋面的骗子，将自己的手机号码、邮箱等明确告知对方，并按照其指示，安装并登陆其发过来的所谓不明“银联”软件，甚至关闭短信拦截功能和在安全中心设置无权限监控后，按照该骗子的要求多次重复登录XXXAPP，被骗子通过木马病毒软件拦截窃取借记卡的密码和短信验证码，盗刷涉案银行卡中的20万元人民币。张XX的行为等同于将自己的银行卡账号、密码、短信验证码等直接泄露给骗子。张XX被盗刷20万元的后果是由于张XX的主观过错和主动行为所造成的，与XXX的技术监管没有因果关系，由此导致的损失应由张XX自行承担。综上，请依法驳回张XX的再审请求。
本院经审查认为，根据张XX的申请再审理由、XXX的答辩意见以及二审法院查明的事实，本案再审审查的焦点问题为XXX是否存在违约行为，是否尽到了安全保障义务。
经查，（一）张XX在VTM可视柜台开立“一卡通”账户时，可视化柜台已向张XX出示了XXX和XXX，张XX亦以输入密码的方式进行了确认，其选择动态密码作为手机网上银行的安全认证方式，XXX根据张XX预留的固定密码、身份信息、客户号之间的不同组合通过动态密码认证的方式识别、确认张XX身份。针对张XX的10次转账操作，XXX按照服务协议的约定，通过短信的方式对张XX进行了提示，并向张XX预留的手机号码发送了转账验证码，经检验验证码和取款密码后，才完成转账操作。因此，XXX的转账行为符合协议约定，并无违约行为。
另外，XXX在张XX向公安机关报案后已提供详细的信息协助公安机关侦查，已尽到协助义务，也无消极违约行为。
（2根据深圳市信息安全等级保护工作协调领导小组办公室出具的《深圳市信息安全等级保护测评结果通知书》和国家信息技术安全研究中心出具的《XX银行网上银行信息系统风险评估技术报告》，可以认定XX银行网上银行信息服务系统符合安全防范和保障标准，不存在安全隐患。且在转账过程中，XXX的操作，无论是短信提示，还是验证码、取款密码校验，均符合标准。因此，无论从技术保障，还是操作流程来看，XXX尽到了安全保障义务。
（3张XX银行卡被盗刷，系张XX对本人的全部信息、密码和动态指令，没有尽到基本的安全防范与保密义务所致。张XX基于自身原因轻信陌生人，根据陌生人的指示下载安装陌生人发送的所谓“银联”软件，按陌生人的要求登录该软件和和XX银行APP，并根据陌生人的指令多次点击获取验证码、关闭短信拦截功能和安全中心设置无权限监控，致使陌生人利用截取的张XX个人网上银行所需的全部信息、密码和动态指令，盗刷了张XX银行卡里的20万元。
综上，张XX的再审理由不成立，其再审申请不符合《中华人民共和国民事诉讼法》第二百条第二项、第六项规定的情形。依照《中华人民共和国民事诉讼法》第二百零四条第一款、《最高人民法院关于适用<中华人民共和国民事诉讼法>的解释》第三百九十五条第二款的规定，裁定如下：
驳回张XX的再审申请。