网络银行交易安全法律问题

内容提要：随着电子商务的发展,网络银行已成为国际银行业发展的趋势,成为21世纪银行竞争的主要领域.网络银行业务在突破传统银行业务理念的同时,也对我国现有法律制度提出了新的挑战.与传统银行业务不同,网络的发展给银行带来了新型的交易安全问题,诸如攻击、病毒入侵等.本文所讨论的是,在网络银行不断发展的前提下,应如何对客户利益进行最优的保护.

关键字：网络银行归责原则网络隐私权个人数据

中图分类号：F830.4文献标识码:A文章编号：1006-1770(2008)04-059-04

1995年10月18日,世界上首家以网络银行冠名的金融组织――安全第一网络银行(SecurityFirstNetworkBank,NB)正式诞生了,该网络银行是得到美国联邦银行管理机构批准,在因特网上提供银行金融怎么写作的第一家银行,也是在因特网上提供大范围和多种银行怎么写作的第一家银行,其前台业务在因特网上进行,其后台处理只集中在一个地点进行.该银行可以保证安全可靠地开办网络银行业务,业务处理速度快、怎么写作质量高、怎么写作范围极广.开业后的短短几个月,即有近千万人次上网浏览,给金融界带来极大震撼.于是,若干银行紧随其后在网络上开设银行,此股风潮亦逐渐蔓延全世界,网络银行从此走进了人们的生活.

网络银行（BankonNetworks）又称网上银行（OnlineBanking）,是银行结合因特网技术提供业务怎么写作的活动.美联储的定义是：利用互联网作为其产品、怎么写作和信息的业务渠道,向其零售和公司客户提供怎么写作的银行.这种全新的为客户怎么写作的方式,可以使客户不受地理、时空的限制（网络时代的银行怎么写作理念可以被归纳为3A怎么写作,即任何时间Any-time、任何地方Anywhere、任何方式Anyhow）,只要能上网,就能够在家里、办公室或旅途中方便快捷地管理自己的资产,了解各种信息以及享受银行的各种怎么写作.

1996年6月中国银行在国内率先设立网站,面向社会提供网络银行怎么写作.之后招商银行、交通银行、工商银行、建设银行、中信实业银行等商业银行也陆续推出了各具特色的网络银行业务,其他一些金融机构也正在筹划逐步涉足这一领域.短短几年,网络银行便飞速发展起来.但与此同时,网络银行的发展也面临着诸多安全性问题的困扰,在此,笔者欲对此做一个法律解析.

一、网络银行侵权中的归责原则

一般而言,网络银行交易涉及的主体主要是指银行和客户.但是,银行和客户之间的法律关系如何定位却并不明晰,由此也带来了一系列的问题,诸如入侵时客户的经济损失究竟由谁承担,、病毒等危害又该如何定性等,在此,笔者将逐一进行分析.

(一)银行与客户法律关系定位

我国现行法律中,对网络银行进行规制的主要有2001年颁布的《网上银行业务管理暂行办法》及2005年开始实施的《电子签名法》.但这两部法律中对于银行与客户的关系定位却并没有提及,这使得问题出现时,两者之间的责任难以明确,从而为问题的解决带来了一定困难.

网络银行与客户的法律关系定位不明或者错误,甚至没有定位,是长期以来导致客户权利受到侵害的根源.有人认为网络银行和客户是一种债权人和债务人之间的契约关系,这种定位未免太过宽泛,并且,将客户定位为债务人亦不利于对客户方的利益的保护；有人论述了银行与客户之间的关系不是信托关系,也不是寄存关系,但最终是什么关系仍然没有加以明确；有的则在论述两者的法律责任时往往回避他们的法律关系性质问题.法律关系尚没有确定又怎能明确两者的权利义务呢

英国法官曾在判决中认为,存入银行的钱便已成为银行的钱.英国学理和判例认为,银行与客户之间的关系不是信托项下的关系.因为如果是信托项下的关系,银行将是客户资金的受托人,他必须依约把利润全部交给客户,事实上却并非如此.

当然,银行与客户之间的关系也不是一种委托关系.《合同法》规定,委托合同是委托人和受托人约定,由受托人处理委托人事务的合同.委托合同的效力体现在：受托人应当按照委托人的指示处理委托事务.事实上,银行取得客户的钱以后,是由银行自身决定如何使用客户所储蓄的钱的.当约定时间到来时,银行亦只需按约定的利率给付本金及利息.

有学者认为,寄存关系亦不能说明客户把金钱寄存在客户的贷记余额账户上的法律性质.因为,第一,金钱不适宜作为寄存物；第二,如果把一笔硬币放在袋中交给银行保管,银行应该保管特定的硬币.这显然也与事实不符.

由此,笔者认为,银行与客户之间应该是一种借贷法律关系.银行与客户在不同的情况下身份也会有所不同.

当客户将钱存入银行以后,客户便成为贷方,银行则作为借方.此时,银行可以依法将客户的钱用于其他金融用途并进行收益.当约定取款的时间到来,银行需要按约定的利率支付利息,并归还本金.当客户从银行贷款以后,则两者关系相反.

(二)及病毒类侵害定性

在开展网络银行等电子业务时,人们最关心的问题是安全问题.网络技术的不断提高,也给银行业的发展带来了一些新的威胁,例如和病毒入侵.

在经济竞争如此激烈的科技时代,银行网络系统也必然遭到各类的“青睐”.有的通过监视网络数据截取信息,从事经济领域的间谍活动；有的未经授权擅自对计算机系统的功能进行修改；有的进行信用卡诈骗和盗用资金；有的进行恶意破坏,造成通信流量堵塞.我国的电子商务工作屡遭挫折,很多原因就是遭遇攻击.

不仅如此,计算机病毒的危害亦很大.病毒数据的蔓延,会导致系统计算机瘫痪,破坏系统和数据,耗费资源,使网络的效率和作用大大降低,使许多功能无法使用或不敢使用.层出不穷的各种各样的计算机病毒活跃在各个角落,大有一触即发之势,令人堪忧.

在或病毒入侵的情况下,如何把握此类危害的性质变得十分重要.当盗用资金,删改客户账户时；当病毒扰乱计算机系统,使得记账系统不能正常工作时,应如何认定此类损害的性质?网络银行常常将及病毒入侵归结为不可抗力,这显然是银行为自己免责所找的挡箭牌.

首先,和病毒等的侵害,并不完全符合“不能预见、不能避免并不能克服”的要求,和病毒在很大程度上是可以预见并解决的,充其量只能属于“难以预见、难以避免并难以克服”的情况,所以武断的将等侵害归为不可抗力,是缺乏法律依据的.

其次,银行与客户的利益息息相关.将造成客户损失的原因简单归责于不可抗力,就使得客户要承担损失的风险.长此以往,必然造成客户的不信任与流失,这对于银行来说,是比承担损失更加严重的问题.所以,出于眼前利益的考虑而将病毒、等归为不可抗力范畴,从而主张银行的免责是短视的.

笔者认为,应该将或病毒入侵归类为银行的技术风险,这样,避免风险损失的责任就落在了银行身上,这在保护客户利益的同时,也可以加强银行的责任心.

(三)新型安全风险下的归责原则

在认清了银行与客户之间的法律关系以后,许多问题便迎刃而解.当客户将钱存入银行以后,银行便成为借款方.那么,当或者病毒入侵,导致客户账面的金额减少或消失时,应该认为是银行的损失而非客户.

在传统银行业务中,情况与我们设想的相同.银行对存款人的贷记余额帐户与实物钱币帐款是分别记录保存的,窃贼进入银行偷,一般不会去修改存款人贷记余额帐目上的数字.于是,银行理所当然的承担了被盗的损失,与客户并无关联,因而也没有争议.

但在银行使用电子网络技术的创新业务条件下情况则有所不同.存款人的钱在银行表现为网络上的数字符号,而通过网络金钱的方式是通过进入银行网络系统修改其帐上的数据,将存款人帐目上的金钱转移走.网络银行条件下的盗窃,不再是以的形式,而是直接从银行帐上将钱划走.因而其后果必然是存款人帐户上显示款项减少,表面上看,这似乎成了存款人受到的损失.也就是在这样的前提下,银行堂而皇之的将损失转移到了客户身上.当或者病毒入侵时,银行将客户账面上被划走的数额归结为客户实际资金的损失,进而主张应由客户承担原告的举证责任.同时,由于没有明文规定对银行适用何种归责原则,因而在现行法律中,银行承担侵权责任的归责原则是过错责任原则.

种种原因都使得客户的举证责任变得非常苛刻.在网络银行业务无纸化、虚拟化、开放性条件下,客户对证据的占有和获取都与传统银行截然不同.客户几乎没有可能掌握相关证据,而这些证据往往都由银行一方控制.加上电子信息易被删除、修改而不着痕迹,即使客户取得了相关证据,其可信度亦值得商榷.简而言之,即使银行存在过错,客户也很可能无法举证证明,银行因此不需要承担相应的责任,而是由客户来承担损失的后果.这显然违背公平原则.

笔者认为,要更好的保护客户权益,衡平银行与客户之间的利益关系,就客户账面上的损失而言,应对银行适用无过错责任原则.

第一,银行作为大型的金融机构,比客户有更强的分散风险的条件和能力,因而,也比客户更有能力承担意外的损失.

第二,如前所述,入侵情形下,客户账面资金的损失,并不可作为客户实际资金的损失.基于银行与客户之间的借贷关系,已经存入银行的资金的损失,就应该认定为是银行的损失.因此,客户没有义务承担受损的后果.当银行承担该种损失以后,则可直接向追究责任；若银行不能确定,则由银行承担最终的损失.

第三,银行的良好的风险承担能力与承诺,是成就银行优秀业绩的保证.如美国的网络银行――富国银行即公开明确向客户保证凡因非客户原因而造成的损失均由银行负责；花旗银行的网上协议中规定,如果银行系统未能防范计算机犯罪,等均由银行向客户支付直接损失、利息和由延迟支付造成的惩罚性利息；我国香港地区制定的《虚拟银行的认可》中亦明确规定：金融管理专员认为除非客户以欺诈手段行事或严重疏忽,否则客户不应就通过其账户进行的未授权交易而引致的直接损失负责.银行的生存与客户密切相关,我国法律也应向国外法借鉴,“客户利益至上”是网络银行乃至整个金融系统应遵循的原则.

二、网络隐私权的保护

有关隐私权的定义,学者们存在较大分歧.分歧部分又主要集中于隐私权的主体及内容方面.对于隐私权的主体,多数学者认为隐私权的主体仅限于自然人,少数人认为隐私权的主体既包括自然人也包括法人.有学者主张隐私权的主体仅限于生存的自然人而不包括死者,有学者则认为隐私权的主体不仅包括生存的自然人而且包括死者.

正是由于对隐私权主体的认识不同,因而也影响了学者对隐私权内容的定义.概而言之,我国学术界关于隐私权的内容有三种观点：第一种,仅限于保护不愿公开或告人的个人事情（即私人信息）,称之为“信息说”；第二种,限于保护私人生活不受侵扰（即私生活安宁）与私人信息,称之为“信息安宁说”；第三种,保护的内容包括,个人生活与个人私事决定,称之为“信息+安宁+决定说”.

笔者认为,隐私权作为一项民事权利,其保护主体应仅限于生存的自然人,而不包括法人或其他组织,亦不包括死者.隐私权作为一个法律问题提出来,有两方面的动因：一、大众传媒大量登载涉及个人的桃色新闻和庸俗流言；二、公众尤其是受害者感受到侵犯个人隐私所带来的极大精神痛苦.可见,隐私权从产生之初,就是专为自然人而设的权利,并不包括法人或者其他组织,因为只有自然人才会有精神上的痛苦或其他情感现象.

死者因为没有精神感受及情感流露,因而也不具备受隐私权保护的特征.我国法律对死者家属受流言干扰或其他侵权行为而设的保护,其针对的是死者家属的情感因素或名誉利益的保护,而非对死者本人人格权的衍生保护.

在厘清隐私权的主体之后,隐私权的内容也相应明晰.隐私权作为对生存自然人的保护,其内容应该包括自然人的私人生活安宁与信息秘密不受他人非法侵扰、知悉、搜集、利用或者公开,同时,权利主体对他人在何种程度上可以介入自己的私生活,以及是否公开隐私和公开的范围及程度都享有决定的权利.

可以说,隐私权作为一项独立的人格权已经越来越多的受到国际社会的关注与重视.在主要的人权类国际公约与区际性条约中,隐私权已经得到明确的认可与保护.在经济与科技日益发达的现代社会,与网络有关的隐私权保护,也理应得到正确的定位.

在网络银行的运作当中,隐私权的保护主要体现在个人数据的保护上.个人数据（persondata）,是指涉及个人的已被识别和可被识别的任何资料,如个人的自然情况和识别信息――如姓名、性别、出生地、住址、和收入状况等.

通常情况下,个人注册网络银行,必须先提交个人数据以明确和鉴定客户身份.所以,在网络银行的数据库中,个人隐私材料比比皆是,其收集、储存、处理、传输和利用阶段也都可能涉及公民隐私材料以及隐私权的保护问题.目前,我国法律并没有对个人数据保护的相关立法,有关个人数据的隐私权保护亦存在立法空白.但笔者认为,在网络应用日益广泛的今天,个人数据及网络隐私权的法律保护亟待完善.

1、英国的立法实践.为了适应《欧洲数据资料保护公约》的要求,1999年6月,英国议会修改了1984年《个人数据保护法》.该法确立了以下基本原则：

（1）取得个人数据必须经过有关个人的同意,公平合法地取得个人资料,不得以欺诈手段从数据资料主体处获取资料.

（2）用途上限制的原则.只有为了特定、合法的目的,才能持有个人数据资料.判断目的是否合法,主要看持有者是否依法被准许就有关资料在登记处进行登记.

（3）如果持有某人的个人数据资料是有期限的,则持有该个人数据资料的时间不得超过期限.

（4）必须采取安全措施,防止个人数据资料未经许可而被扩散、更改、披露或销毁.

2、德国的立法实践.德国于1997年6月13日通过了网络法《联邦信息与电信怎么写作架构型条件建构规制法》简称《多媒体法》,并于同年8月1日生效,成为世界上第一个对网络的应用与行为规范提出单一法律架构的国家.《多媒体法》第二条“电信怎么写作数据保护法”中,除揭示个人数据保护在信息时代的重要性外,对网络应用过程中可能衍生的个人及营业资料的侵害状况也一一加以规定,使网络用户更愿意在网络上从事各种活动.“个人数据处理的基本原则”主要规定：

（1）只有在本法或其他法规允许或当事人同意的情况下,才可对个人资料加以搜集、处理或利用.

（2）在没有取得当事人同意的情况下,不得为其他目的而对其资料进行处理或利用.

（3）使用人在其个人资料被搜集前,对该搜集、处理及利用的方式、范围、地点及目的应被告知.在对使用人身份能事后辨认或个人资料的搜集、处理或利用已预先设定的自动化作业程序中,使用人应自始被告知有此程序.使用人对该报告的内容,应可随时取得.使用人可以放弃被告知的权利,但放弃被告知不得视为同意.

3、美国的立法实践.虽然美国没有制定专门的《个人数据保护法》,但是制定了《儿童网上隐私保护法》、《电子通讯隐私法》和《联邦隐私法案》等法规.其中,《电子通讯隐私法》是全面规范电子通讯领域隐私问题的最重要的联邦法律.该法的主要内容包括：

（1）规定故意截取、进入、泄露或者使用他人或其他电子通讯设备行为为犯罪行为.

（2）禁止在未经授权、许可的前提下侵入公共电子通讯系统上贮存的电子信息,它针对不同的应用环境,规定了不同的约束,为个人寻求自己拥有何种隐私权保护提供了最佳的途径.

（3）免责的例外规定.通讯怎么写作的提供者在遵循特定条件的情况下免除该法的责任.此外,根据商业例外或者正常的商业过程,也可以在适当条件下免除责任.得到另一方当事人同意的,也可以免除责任.

《联邦隐私法》是1974年美国国会通过并公布实施的美国最重要的一部保护个人隐私权方面的法律.该法案对政府和法律执行机关应当如何收集个人资料、什么内容的个人资料能够存储、收集到的个人资料如何向公众开放以及材料相对人的权利等,都做出了比较详细的规定.

4、台湾地区立法实践.1995年8月11日,我国台湾地区颁布了《电脑处理个人资料保护法》.

该法第一条规定,为规范电脑处理个人资料,以避免人格权受侵害,并促进个人资料之合理利用,特制定本法.第六条规定,个人资料之搜集或利用,应尊重当事人之权益,依诚实及信用方法为之,不得逾越特定目的之必要范围.

该法第十八条规定非公务机关（主要包括（一）征信业及以搜集或电脑处理个人资料为主要业务之团体或个人.（二）医院、学校、电信业、金融业、证券业、保险业及大众传播业.（三）其他经法务部会同目的事业主管机关指定之事业、团体或个人.）对个人资料之搜集或电脑处理,非有特定目的,并符合下列情形之一者,不得为之.

（1)经当事人书面同意者.

(2)与当事人有契约或类似契约之关系而对当事人权益无侵害之虞者.

(3)已公开之资料且无害于当事人之重大利益者.

(4)为学术研究而有必要,且无害于当事人之重大利益者.

第二十八条规定,非公务机关违反本法规定,致当事人权益受损害者,应负损害赔偿责任.但能证明其无故意或过失者,不在此限.可见,台湾地区关于电脑处理个人资料的保护原则与国外立法基本一致,目的都在于保护个人数据和个人隐私权不受侵害和干扰.

5、对我国相关立法的建议.从现行状况来看,我国亦急需制定个人数据保护法以保护个人数据及相关隐私权,其基本原则大体可分为：

（1）搜集限制原则.个人资料的搜集应有限制.这种限制主要是收集个人资料应以实现特定目的为必要.超过特定的法定目的之外的擅自的资料搜集应属于违法行为.

（2）收集个人资料的手段必须诚信、合法.个人资料收集必须符合法律规定的方法或手段,个人资料的取得必须合法、诚信及公正.要获取权利人的个人资料,必须经过权利人的同意.

（3）告知原则.告知原则可以说是贯穿个人数据保护始终的一项基本原则.收集个人资料必须告知权利人收集是谁批准的,提供这些信息是强制的还是自愿的,收集资料的目的或者计划的用途是什么,并应该及时告知权利人有关进程的特殊状态等.

（4）限制揭露原则.除目的使用范围内的披露以外,个人数据不得披露给任何个人或者机构,除非有法律的特别规定或者有资料当事人的事前书面特别声明.这也是信息搜集机构必须遵循的保密义务.

（5）公开原则.应该在特定载体上公示有关数据记录系统的存在及特征；资料系统的名称及其保存地点；资料系统中包含哪些群体的资料；资料内容、用途等等.

（6）安全保护原则.资料收集和使用的机构必须采取一切可能的措施,保障所收集的个人资料在存储和传输过程中的安全.比如在存储个人资料的设备上安装防火墙；在传送个人资料的过程中使用加密技术,以免个人资料遭受破坏、篡改、利用或者披露等.

（7）责任原则.当网络银行保存的个人数据受到破坏、泄露等事件而导致损害时,究竟应由谁来承担责任?笔者以为,对收集个人资料的机构适用无过错责任原则比较恰当.原因有三：其一,相对于权利人而言,机构更加具有承担责任的能力.当各种风险发生时,机构比个人更具有分散风险的条件和能力；其二,将资料提交给机构以后,就意味着风险的转移,如果权利人的个人数据受到破坏或泄露,仍需权利人承担责任,势必导致不再有人愿意提供个人数据,这对搜集工作而言,无疑增加了难度；最后,当发生损害或者侵权时,由权利人自行承担举证责任,未免过于苛刻,毕竟,数据库的状况根本不可能完全向资料提供者开放.

三、结语

21世纪是信息经济的时代,由于经济全球化、信息网络化和我国现代化建设的高速发展,网络银行也将有一个更大规模的发展.随着我国加入WTO后缓冲期的结束,大量国际资本,包括金融银行资本将涌入我国,和我们的民族产业竞争.因此,我国银行不仅要面临传统银行业务的激烈竞争,而且也面临网络银行产品和怎么写作的激烈竞争.要使得网络银行的发展处于有利地位,就必须优先保护客户利益.网络银行应采取一切措施确保网络交易安全,让客户放心,借以吸引更多的客户,这也是我国网络银行的发展方向.

借鉴国外的先进经验,网络银行应承担起相比传统银行更多的责任.网络的发展在带给人们便利和快捷的同时,也增加了更多的风险.由网络银行来承担各种风险,是合理而明智的选择.我们在肯定银行贡献的同时,也期待得到更多的交易安全和有力保护.

作者简介：

周含中国政法大学民商法专业