三、未授权支付纠纷下合同义务的审视
（一）传统银行卡盗刷纠纷对安全保障义务的认定
根据合同法规定，违约责任的归责原则为严格责任原则，不考虑违约方的过错，仅需违约行为一个要件即可构成。在传统的银行卡盗刷案件中，此类纠纷的违约行为通常是指银行违反了安全保障义务，造成交易行为在没有得到用户授权的情况下，实际为他人操作。由此，对安全保障义务的认定系该类案件违约构成与否以及最终责任分配的关键。一般认为，作为发卡方的银行，其安全保障义务源于其向用户提供的服务，包括保障银行卡持卡人资金、卡号、密码等重要个人信息的安全以及银行卡支付交易中，能够正确识别银行卡及密码。具体而言，首先，银行卡的技术标准应当达到卡内所存信息不被他人未经授权复制、读取的标准，这就要求银行对其卡片安全性能作出及时更新；其次，即使他人通过读取卡内信息制成伪卡，银行也应当通过身份校验正确识别出伪卡，以防止卡内资金被盗取；最后，银行应保障其交易环境的安全，即对银行营业场所及其延伸的地域应保证交易设备设施的使用安全，如对所辖自动柜员交易终端（ATM）进行必要的检查和维修以保证通过该设施进行交易的安全性。
（二）互联网环境对传统刷卡支付模式中安全保障义务认定的影响
互联网环境下的交易方式与传统刷卡交易具有显著差别，支付环境脱离了银行卡这一物理载体，相比于传统支付方式，互联网支付下安全保障义务的内容需要重新加以审视和考量。首先，传统银行卡盗刷的关键在于对银行卡的复制，虽然原卡和复制卡储有相同的信息，但从物理上仍存在真伪之分，对原卡和复制卡的识别也尚有据可循。但互联网支付的完成并不有赖于物理载体，未授权支付也不再以对物理载体的复制为前提，其支付过程系完全通过信息的交互完成，而信息是不存在真伪的，即使是未授权支付，银行或第三方支付机构（以下简称支付服务提供者）收到的仍然是真实的账户、密码、验证码，由此支付服务提供者客观上不具备在传统支付环境中识别交易真伪的物理条件，故也很难苛责支付服务提供者对所谓的“伪信息”负有识别义务。其次，就交易环境而言，在传统刷卡交易中，由于支付设备的终端由银行等支付机构提供，其对交易环境具有较大的控制权和主导权，可通过对终端设备的检测、调试、监控、更新等措施保障交易环境的安全。然而，在互联网环境下，交易指令系由用户所在终端发起，该终端设备脱离了支付服务提供者控制范围，但却又是整个交易环境下的重要组成部分，支付服务提供者无法像维护传统物理终端一样来保障用户所控制终端的安全性，而事实上，大部分交易信息的泄露恰恰是因为该用户终端被植入恶意程序所致，此时，要求支付服务提供者负有传统支付方式下同等的安全保障义务似也有失公平。正是基于互联网支付下的这些特点，大部分支付服务提供者都在与用户的合同中约定了凭密交易条款，即支付服务提供者只负有验证交易信息是否与客户预留信息一致的义务，只要密码等交易信息通过了验证，即推定该交易系由用户本人授权做出。由此，支付服务提供者并不将那些未经用户授权却通过正确的用户交易信息所完成的交易视为未授权支付，这在一定程度上通过合同条款的设置影响了自身的安全保障义务。虽然支付服务提供者的该类条款设置有利用格式条款免除或减轻自身义务之嫌疑，但不可否认的是，基于互联网支付的特性，很难将传统银行卡刷卡交易中的安全保障义务以及基于此所形成的违约行为认定规则照搬适用于互联网支付环境下。
（三）从安全保障义务到附随义务的复归
起初的安全保障义务系合同附随义务中保护义务的衍生品，由于基于附随义务的安全保障仅限于对进入缔约关系的当事人提供保障，其保障对象、损失赔偿都较为有限，加之安全保障责任和侵权法上的保护生命安全的责任并无界分，安全保障义务逐步上升为契约当事人普遍遵守的义务，并最终成为一项侵权责任体系下的法定义务。我国《商业银行法》《消费者权益保护法》等都对相关服务提供者负有安全保障义务作了明文规定，故援引安全保障义务来判定传统银行卡盗刷案件的责任，不管从合同法角度还是在侵权法视野下都具备翔实充分的法律依据，由此成为该类案件审判逻辑的主旋律。然而，正如上文所分析的那样，在互联网环境下，基于支付形态的变革，这种审判逻辑受累予安全保障义务的文义局限性，仅靠保护理论似很难厘清各方的义务责任。而实践中，基于用户与银行或第三方支付机构间存在明确的合同关系，加之合同法遵循严格责任的归责原则，绝大部分未授权支付案件的原告又都会选择以违约之诉来主张权利，如此原有基于安全保障义务的审判逻辑在互联网支付环境下遇到了适用“瓶颈”。
事实上，安全保障义务源于附随义务，但并非附随义务的全部，既然在互联网支付环境下，基于用户与银行或第三方支付机构间的合同关系清晰明确，那么未授权支付的责任如何划分，不仅考虑服务提供者的安全保障义务，还要考虑双方各自对合同义务的全面履行情况，包括是否履行了各自的附随义务。对于附随义务，我国《合同法》第60条作出了概括性的规定，即“当事人应当按照约定全面履行通知、协助、保密等义务”。王泽鉴先生认为：“附随义务是指为履行给付义务或保护当事人人身或财产上利益，于契约发展过程中基于诚信原则而生的义务。”史尚宽先生认为：“依照诚信原则，债务人于契约及法律所定内容之外，尚负有附随的义务。”韩世远教授则将附随义务列举式地概括为当事人未缔结合同而接触、准备或者磋商过程中的说明、告知、保密、保护等义务：实现给付结果的准备过程中的通知、协助保密等义务；以及实现给付结果后为了保持此结果的合同终了后的通知、协助、保密等义务。可见，附随义务根本上源自于诚实信用原则，由于不管法律规定或当事人约定的多么周密，都无法预知合同履行过程中可能发生的全部情况，故而无法意各方所需负担的全部义务进行穷尽式的约定，但就这些法律未作规定、合同未作约定的义务，依据诚实信用原则各方仍需一体遵循，故而形成了各种附随义务。正因如此，附随义务的形态事实上也存在不确定性，“此类义务，并非如给付义务之自始确定，而系随着债之关系的发展，于个别情形要求当事人之一方有所为或不作为，以维护相对人的利益，于任何债的关系尤其是契约均可发生。”具体到互联网第三方支付环境下，我们认为，支付服务提供者和用户应分别负有如下附随义务：
1,支付服务提供者的附随义务
首先，支付开通阶段，支付服务提供者应保证服务的开通系用户的真实意思表示。具体而亩，第一，应对具体业务进行充分说明。在互联网支付环境下，基于不同的交易结构，支付服务提供者和用户在不同支付模式下的权利义务也有所不同，因此支付服务提供者在与用户缔约前，就具体的业务模式及操作方式对用户负有说明义务，特别是银行和第三方支付机构应分别向用户说明其在特定业务模式下所承担的角色及担负的职责，让用户充分了解其所使用的服务及相关服务提供方。第二，应如实告知支付风险。互联网环境下的支付有别于传统线下支付，特别是交易过程中无须凭借物理载体的特征使交易效率提升的同时也放大了交易风险，支付服务提供者应在开通服务时，明确将相关风险告知用户。其次，在支付交易阶段，支付服务提供者应提供必要的安全保障。该义务系传统刷卡支付中安全保障义务在互联网环境下的衍生，一是对互联网环境下交易环境的安全保护，包括进行必要的系统维护、技术更新、提供用户相应的安全支付插件、设置安全支付限额、协助用户止付挂失等；二是负有及时通知义务，支付服务提供者应第一时间通知用户实时支付信息，同时就已监测到的用户异常支付（如短时间内多次交易、交易端IP地址、MAC地址异常等）及时告知用户，以防损失进一步扩大。
2.用户的附随义务
首先，负有谨慎保管交易信息的义务，互联网支付环境下，身份验证仅是针对支付信息的验证，由此用户对交易信息的保管就显得更为重要，基于诚实信用原则，用户负有妥善保管、防止信息泄露的义务。其次，负有不符信息的及时通知义务。用户若发现收到的支付信息与实际情况不符，应立即致电支付服务提供者，并及时就相关银行卡采取止付挂失等安全措施，以避免损失扩大。
摘自：《互联网金融法律评论（2017年第2辑·总第9辑）》，2017年8月出版。
淘宝链接：https://item.taobao.com/item.htm?spm=a1z0g.2.1000432.2.iXUR9j&id=558780040319
