三、未授權支付糾紛下合同義務的審視
（一）傳統銀行卡盜刷糾紛對安全保障義務的認定
根據合同法規定，違約責任的歸責原則為嚴格責任原則，不考慮違約方的過錯，僅需違約行為一個要件即可構成。在傳統的銀行卡盜刷案件中，此類糾紛的違約行為通常是指銀行違反了安全保障義務，造成交易行為在沒有得到用戶授權的情況下，實際為他人操作。由此，對安全保障義務的認定系該類案件違約構成與否以及最終責任分配的關鍵。一般認為，作為發卡方的銀行，其安全保障義務源于其向用戶提供的服務，包括保障銀行卡持卡人資金、卡號、密碼等重要個人信息的安全以及銀行卡支付交易中，能夠正確識別銀行卡及密碼。具體而言，首先，銀行卡的技術標準應當達到卡內所存信息不被他人未經授權復制、讀取的標準，這就要求銀行對其卡片安全性能作出及時更新；其次，即使他人通過讀取卡內信息制成偽卡，銀行也應當通過身份校驗正確識別出偽卡，以防止卡內資金被盜取；最后，銀行應保障其交易環境的安全，即對銀行營業場所及其延伸的地域應保證交易設備設施的使用安全，如對所轄自動柜員交易終端（ATM）進行必要的檢查和維修以保證通過該設施進行交易的安全性。
（二）互聯網環境對傳統刷卡支付模式中安全保障義務認定的影響
互聯網環境下的交易方式與傳統刷卡交易具有顯著差別，支付環境脫離了銀行卡這一物理載體，相比于傳統支付方式，互聯網支付下安全保障義務的內容需要重新加以審視和考量。首先，傳統銀行卡盜刷的關鍵在于對銀行卡的復制，雖然原卡和復制卡儲有相同的信息，但從物理上仍存在真偽之分，對原卡和復制卡的識別也尚有據可循。但互聯網支付的完成并不有賴于物理載體，未授權支付也不再以對物理載體的復制為前提，其支付過程系完全通過信息的交互完成，而信息是不存在真偽的，即使是未授權支付，銀行或第三方支付機構（以下簡稱支付服務提供者）收到的仍然是真實的賬戶、密碼、驗證碼，由此支付服務提供者客觀上不具備在傳統支付環境中識別交易真偽的物理條件，故也很難苛責支付服務提供者對所謂的“偽信息”負有識別義務。其次，就交易環境而言，在傳統刷卡交易中，由于支付設備的終端由銀行等支付機構提供，其對交易環境具有較大的控制權和主導權，可通過對終端設備的檢測、調試、監控、更新等措施保障交易環境的安全。然而，在互聯網環境下，交易指令系由用戶所在終端發起，該終端設備脫離了支付服務提供者控制范圍，但卻又是整個交易環境下的重要組成部分，支付服務提供者無法像維護傳統物理終端一樣來保障用戶所控制終端的安全性，而事實上，大部分交易信息的泄露恰恰是因為該用戶終端被植入惡意程序所致，此時，要求支付服務提供者負有傳統支付方式下同等的安全保障義務似也有失公平。正是基于互聯網支付下的這些特點，大部分支付服務提供者都在與用戶的合同中約定了憑密交易條款，即支付服務提供者只負有驗證交易信息是否與客戶預留信息一致的義務，只要密碼等交易信息通過了驗證，即推定該交易系由用戶本人授權做出。由此，支付服務提供者并不將那些未經用戶授權卻通過正確的用戶交易信息所完成的交易視為未授權支付，這在一定程度上通過合同條款的設置影響了自身的安全保障義務。雖然支付服務提供者的該類條款設置有利用格式條款免除或減輕自身義務之嫌疑，但不可否認的是，基于互聯網支付的特性，很難將傳統銀行卡刷卡交易中的安全保障義務以及基于此所形成的違約行為認定規則照搬適用于互聯網支付環境下。
（三）從安全保障義務到附隨義務的復歸
起初的安全保障義務系合同附隨義務中保護義務的衍生品，由于基于附隨義務的安全保障僅限于對進入締約關系的當事人提供保障，其保障對象、損失賠償都較為有限，加之安全保障責任和侵權法上的保護生命安全的責任并無界分，安全保障義務逐步上升為契約當事人普遍遵守的義務，并最終成為一項侵權責任體系下的法定義務。我國《商業銀行法》《消費者權益保護法》等都對相關服務提供者負有安全保障義務作了明文規定，故援引安全保障義務來判定傳統銀行卡盜刷案件的責任，不管從合同法角度還是在侵權法視野下都具備翔實充分的法律依據，由此成為該類案件審判邏輯的主旋律。然而，正如上文所分析的那樣，在互聯網環境下，基于支付形態的變革，這種審判邏輯受累予安全保障義務的文義局限性，僅靠保護理論似很難厘清各方的義務責任。而實踐中，基于用戶與銀行或第三方支付機構間存在明確的合同關系，加之合同法遵循嚴格責任的歸責原則，絕大部分未授權支付案件的原告又都會選擇以違約之訴來主張權利，如此原有基于安全保障義務的審判邏輯在互聯網支付環境下遇到了適用“瓶頸”。
事實上，安全保障義務源于附隨義務，但并非附隨義務的全部，既然在互聯網支付環境下，基于用戶與銀行或第三方支付機構間的合同關系清晰明確，那么未授權支付的責任如何劃分，不僅考慮服務提供者的安全保障義務，還要考慮雙方各自對合同義務的全面履行情況，包括是否履行了各自的附隨義務。對于附隨義務，我國《合同法》第60條作出了概括性的規定，即“當事人應當按照約定全面履行通知、協助、保密等義務”。王澤鑒先生認為：“附隨義務是指為履行給付義務或保護當事人人身或財產上利益，于契約發展過程中基于誠信原則而生的義務。”史尚寬先生認為：“依照誠信原則，債務人于契約及法律所定內容之外，尚負有附隨的義務。”韓世遠教授則將附隨義務列舉式地概括為當事人未締結合同而接觸、準備或者磋商過程中的說明、告知、保密、保護等義務：實現給付結果的準備過程中的通知、協助保密等義務；以及實現給付結果后為了保持此結果的合同終了后的通知、協助、保密等義務。可見，附隨義務根本上源自于誠實信用原則，由于不管法律規定或當事人約定的多么周密，都無法預知合同履行過程中可能發生的全部情況，故而無法意各方所需負擔的全部義務進行窮盡式的約定，但就這些法律未作規定、合同未作約定的義務，依據誠實信用原則各方仍需一體遵循，故而形成了各種附隨義務。正因如此，附隨義務的形態事實上也存在不確定性，“此類義務，并非如給付義務之自始確定，而系隨著債之關系的發展，于個別情形要求當事人之一方有所為或不作為，以維護相對人的利益，于任何債的關系尤其是契約均可發生。”具體到互聯網第三方支付環境下，我們認為，支付服務提供者和用戶應分別負有如下附隨義務：
1,支付服務提供者的附隨義務
首先，支付開通階段，支付服務提供者應保證服務的開通系用戶的真實意思表示。具體而畝，第一，應對具體業務進行充分說明。在互聯網支付環境下，基于不同的交易結構，支付服務提供者和用戶在不同支付模式下的權利義務也有所不同，因此支付服務提供者在與用戶締約前，就具體的業務模式及操作方式對用戶負有說明義務，特別是銀行和第三方支付機構應分別向用戶說明其在特定業務模式下所承擔的角色及擔負的職責，讓用戶充分了解其所使用的服務及相關服務提供方。第二，應如實告知支付風險。互聯網環境下的支付有別于傳統線下支付，特別是交易過程中無須憑借物理載體的特征使交易效率提升的同時也放大了交易風險，支付服務提供者應在開通服務時，明確將相關風險告知用戶。其次，在支付交易階段，支付服務提供者應提供必要的安全保障。該義務系傳統刷卡支付中安全保障義務在互聯網環境下的衍生，一是對互聯網環境下交易環境的安全保護，包括進行必要的系統維護、技術更新、提供用戶相應的安全支付插件、設置安全支付限額、協助用戶止付掛失等；二是負有及時通知義務，支付服務提供者應第一時間通知用戶實時支付信息，同時就已監測到的用戶異常支付（如短時間內多次交易、交易端IP地址、MAC地址異常等）及時告知用戶，以防損失進一步擴大。
2.用戶的附隨義務
首先，負有謹慎保管交易信息的義務，互聯網支付環境下，身份驗證僅是針對支付信息的驗證，由此用戶對交易信息的保管就顯得更為重要，基于誠實信用原則，用戶負有妥善保管、防止信息泄露的義務。其次，負有不符信息的及時通知義務。用戶若發現收到的支付信息與實際情況不符，應立即致電支付服務提供者，并及時就相關銀行卡采取止付掛失等安全措施，以避免損失擴大。

摘自：《互聯網金融法律評論（2017年第2輯·總第9輯）》，2017年8月出版。
淘寶鏈接：https://item.taobao.com/item.htm?spm=a1z0g.2.1000432.2.iXUR9j&id=558780040319