【作者】王康（上海政法学院教授、博士生导师）
【来源】《法学杂志》2025年第5期
内容提要：《反电信网络诈骗法》第46条第2款规定了相关经营者对电信网络诈骗受害人的民事责任，由此初步形成一个在全球范围内具有开创性的反电信网络诈骗的共同责任框架，但其不能成为独立的请求权基础。这一条款并非单纯的引致条款，而是有具体规范内容的概括性补充，即将“本法规定”转介于《民法典》有关安全保障义务的规范领域，以构建能够符合特定请求权基础的具体要件事实。通过转介《反电信网络诈骗法》及其他管制法中的行为标准，《民法典》第1198条所述“安全保障义务”可具体化为“电信网络诈骗风险防控义务”。若经营者未尽此义务而直接致人损害，则《个人信息保护法》第69条、《电子商务法》第54条或第57条第2款、《民法典》第1198条第1款等有关自己责任的条款或可有限适用，但效果不佳。在第三人实施电信网络诈骗致人损害之典型情况下，基于利益衡量，受害人对经营者的侵权损害赔偿请求权的基础应被引致以《民法典》第1198条第2款为中心的规范群，即安全保障义务人补充责任之依据。《反电信网络诈骗法》第46条第2款虽可作为广义的违反保护性规范侵权责任之具象，但鉴于其所转致的违反安全保障义务侵权责任系独立的规范类型，违反保护性规范侵权责任应采狭义的界定，即限缩为基于过错责任一般条款的观念类型。
关键词：电信网络诈骗；违反保护性规范；安全保障义务；损害赔偿；请求权基础；侵权责任
一、引言
近年来，电信网络诈骗“已经成为当前发案最高、损失最大、群众反响最强烈的突出犯罪”。鉴于追缴此类犯罪所得极为困难，受害人的财产损害往往难获救济，甚或衍生其他严重后果。为有效形成协同治理合力，2022年12月1日施行的《反电信网络诈骗法》第46条第2款规定：“电信业务经营者、银行业金融机构、非银行支付机构、互联网服务提供者等违反本法规定，造成他人损害的，依照《中华人民共和国民法典》等法律的规定承担民事责任。”由此，电信网络诈骗受害人对相关经营者就有了独立的损害赔偿请求权，现有私法规范成为电信网络诈骗治理的便利工具。此项制度在世界范围内颇具引领性。然而，因现行法律规定相对模糊、解释论构造不足及裁判实务未作可能的积极进取，此项开创性的制度实践在国内外都未获得应有的关注。
本条款引发了以下法律适用之惑：究竟应依照哪些“法律的规定”对经营者“违反本法规定，造成他人损害”的行为加以归责？即如何阐明该“民事责任”的基础、内容和形态？就受害人的侵权损害赔偿请求权而言，一个更具本质意义的问题是：本条款及其所属的违反保护性规范侵权责任类型在法的现实化过程中如何定位？我国侵权法体系对此并未提供一个“整体的论证框架”，学界亦未形成通说。目前，基于《反电信网络诈骗法》第46条第1款判令“为电信网络诈骗活动提供相关帮助”的行为人承担民事责任的案件已有多起，但尚未形成依据第2款的裁判经验。讨论第2款适用的论文也未出现。故而本条款的生命力还有待发现。
本文的目标在于揭示本条款的规范价值，及其在整体法秩序下创造性的具体化过程。本文拟先讨论本条款的规范意旨，并结合实务检视其可能的适用方案，再基于体系和类型思维来具体阐释《反电信网络诈骗法》第46条第2款适用的法理，并透过本条款之内在精神来探查保护性规范与安全保障义务在侵权责任类型体系中的不同定位，最后对电信网络诈骗受害人对经营者的损害赔偿请求权予以解释论角度的具体构造。
二、《反电信网络诈骗法》第46条第2款的规范意旨与适用困惑
（一）本条款的规范目的
《反电信网络诈骗法》兼具保护公共秩序和私人权益之目的。第46条第2款责令“违反本法规定”的经营者对所造成的他人损害承担赔偿责任，虽有“藉私法的求偿来‘围堵’公法上不法行为，增加违法成本、降低执法成本”的意图，但更呈现出对电信网络诈骗受害人权益予以特别保护的规范目的。究其规范意旨，本条款初步构建了一个反电信网络诈骗的共同责任框架，以实现协同治理目标。
这个共同责任框架以经营者的反电信网络诈骗义务及损害赔偿责任为内容，在全球范围内具有开创性。为避免电信网络诈骗可能破坏对数字银行和支付系统的信心，新加坡、英国、澳大利亚也在探索并形成了此类治理政策。新加坡于2024年12月16日实施了反电信网络诈骗的《共同责任框架指引》。其主要内容包括：对未经授权交易的数字化诈骗，金融机构及电信公司若未尽反电信网络诈骗之法定义务，则须对消费者承担赔偿损失（甚至全部损失）的责任，若它们已尽义务则不需赔偿；责任承担机制以“瀑布模式”为依据，即金融机构排在首位（它们作为消费者资金的保管人应承担更大责任），电信公司排在第二位（它们在促进数字支付的安全性方面发挥着次要作用）；消费者须随时保持警惕的注意义务（如不要点击任何未经请求的可疑链接），若前述机构都履行了相应的义务则不利后果将由消费者承担。较之我国法，其规制范围较窄（仅限于“网络钓鱼”诈骗），责任主体不含网络服务提供者，但责任配置更为精细。英国2024年以来实施的反电信网络诈骗治理政策与新加坡类似，尽管主要对金融机构施加此种赔偿责任（汇款银行和收款银行对实时支付诈骗受害人的赔偿责任予以分担），规制范围却不限于“网络钓鱼”诈骗。消费者如有重大过失则可豁免金融机构的责任，但对弱势消费者（由于个人情况而特别容易受到伤害——尤其是当金融机构没有以适当的谨慎水平行事时——的自然人）除外。澳大利亚2025年2月通过的《诈骗防范框架法》同样对银行、电信公司和数字平台施加了相应的义务，以确保其网络不会被恶意行为者用于诈骗，但侧重于监管、争议解决及对经营者的惩罚机制。该法在规制对象上和中国法类似，但并未像中国、新加坡和英国那样引入对受害人的损害赔偿机制。
当然，我国《反电信网络诈骗法》并未明确规定“瀑布模式”的责任机制，同时金融、电信、网络等监管部门也因立法权限而难以提供有关损害赔偿责任的分配规则，故以解释论路径来阐明反电信网络诈骗共同责任框架的应有面貌在法政策上当属妥当。
（二）本条款的规范价值
本条款是把有关行为标准的公法规则积极汇入私法体系的一个特别通道。它所陈述的“违反本法规定，造成他人损害”之事实构成，须在个案中连接至特定的民事责任规范，并通过规范、事实之间循环往复的具体对应，才可能形成该民事责任所需之加害行为等要件事实。而“本法规定”当属典型的保护性规范，这意味着本条款被定性为管制法中的转致性规范（或称连接条款）。所谓转致性规范，是指那些不具有独立、完整的规范意义的条款，即本身不规定或不完全规定构成要件或法律后果，而仅申明就特定情形之调整须借助其他规范的指引性条款。就范围而言，转致可分为内部转致（连接本法的其他条款）与外部转致（连接其他法律的条款）。就形态而言，转致可分为引致和转介。引致是指立法者就有关特定情形之调整对裁判者作出的直接适用、参照适用（或准用）其他条款的指引，后者对此指引唯有遵照而无须权衡。转介则指立法者就特定情形之调整对裁判者概括作出的“找法”授权，使后者能够通过个案权衡引入其他规范以形成具体的裁判依据。正如学者所述，引致是外向型的，即着眼于规范之间的外部接轨；转介是内向型的，即重在规范（尤其公、私法规范）之间的内部接轨。典型的转介条款多存在于私法领域。某个特定的私法规范在适用中必须引入特定的公法规范来“充实及具体化”自己的事实构成，即把特别的公法规定转换为影响私法关系的规范。从公法视角来看，特定的私法规范也可被引入公法领域，以促进特定的管制规范具体功能的发挥。
本条款虽因包含“违反本法规定”而部分地具有内部转介的性质，但就其对民事责任适用方向之指示而言，其主要应被定性为引致条款。其要义在于把有关“违反本法规定”并“造成他人损害”的民事责任依据（请求权基础）引致《民法典》“等法律的规定”，裁判者对此指引不能违背。当然，该请求权基础被具体引致《民法典》“等法律”之何项规定，尚需裁判者根据个案事实详加斟酌。在受害人的侵权损害赔偿请求权的规范基础经由引致被确定后，依然要转介前述“本法规定”来具体化加害行为、法益侵害等要件，由此形成一种双向的检视关系。我国裁判实务对《反电信网络诈骗法》第46条已有此种观念认知，虽因仅把该条定性为转介条款而有不足，但仍然值得赞赏。
从本条款的规范价值来看，引致作为一项立法技术的实益较为明显：一方面，立法者的规范创制之负担得以减轻，民事基本法责任体系之安定性得以保持；另一方面，裁判者被授权在个案基础上通过公法和私法的互动（或称相互工具化）与价值补充以形成具体的法规范，进而能够在整体法秩序下构造出基于特定侵权类型的归责体系。本条款通过植入“违反本法规定”之内容不确定的事实构成，向裁判者概括性地授予了把公法规范中的行为标准导入私法责任构成要件的权力。因而，本条款就成为特定请求权基础的辅助规范，只有对其所陈述的“违反本法规定”予以充分具体化，才能构成一个完整的请求权“规则体”。
（三）本条款的适用困惑
本条款的最大价值在于其明确规定了电信网络诈骗受害人对经营者损害赔偿请求权的行使路径。若没有本条款，则只能依赖刑事诉讼之退赔、返还程序来对被害人予以有限的损害救济，但这是非常困难的。本条款虽然已面世近3年，但如前所述，据其支持受害人对经营者的损害赔偿请求权的裁判，无论是作为单独的裁判依据还是辅助的裁判依据，目前在前述权威案例库中都检索不到。即便受害人依据《反电信网络诈骗法》第46条第1款向提供帮助电信网络诈骗行为的被告提起了民事诉讼，但在“先刑后民”的定式裁判思维及须经刑事责令退赔程序的司法政策下，受害人被拒绝救济之情形依然频发（裁判结论往往是“不予受理”“驳回起诉”“驳回诉讼请求”或“驳回再审申请”）。例如，在一个案例中，法院认为第46条（实指第1款）所指向的民事责任应结合个案的具体情形予以适用，本案不属于“受理民事诉讼的范围，原告的起诉应予以驳回”。第46条第2款不被“激活”的现实困境之原因，从中亦可窥一二。
实践中，受害人可能存在其他的救济路径，如民事公益诉讼。在最高人民法院公布的一个典型案例中，广东某信息科技公司与某电信公司签订协议，由前者负责后者的线上订单交付服务。前者的管理人员陈某利用职务便利，违法获取、出售大量实名用户的手机号码，其中一个手机号码注册的微信账号被诈骗分子利用，并导致被害人廖某某被骗走巨款。就本案的处理，实务界已提出“检察机关可以依法对涉案公司提起民事公益诉讼”并要求其“赔偿损失、赔礼道歉”的建议。然而，民事公益诉讼不能代替受害人自己的侵权责任请求权。在最高人民检察院公开的一个案例中，虽然非法获取他人信息、注册大量“白卡”并销售的被告人在附带民事公益诉讼中被判令对电信诈骗受害人承担连带赔偿责任，但是电信业务经营者并未对自己“违反国家有关规定”的行为（尤其是有关网点“养卡”、随意修改开卡位置之监管过失）“承担相应责任”。检察机关仅在与经营者的座谈中提出加强内部监管的建议。若受害人能够依据《反电信网络诈骗法》第46条第2款的规定要求经营者就其违法行为承担赔偿责任，则可借助民事责任机制形成威慑，从而更高效地实现该法的管制目标。
若不考虑《反电信网络诈骗法》的施行时间，符合第46条第2款之事实构成的案件也曾发生，受害人的赔偿请求获得了部分支持。在一个案例中，被告某非银行支付机构将某公司的资金违规划转至后者指定的非同名银行结算账户，存在违反相关规定的行为。被告不能证明其违规划转的资金与原告乔某某的投资款之间无对应关系。此外，被告对某公司将协议约定的支付接口用于其他网址的行为未尽到及时发现、监管的义务。最高人民法院认为，因被告存在监管措施未落实到位、违规转账等过错行为，该行为可能影响原告对某公司的损失赔偿权利的有效实现，客观上与原告的损失存在因果关系，故二审法院确定被告承担20%的补充赔偿责任并无不当。该案受害人的请求权基础被确定为过错责任一般条款，即当时施行的《侵权责任法》第6条第1款。在另一个案例中，被告某非银行支付机构将原告李某某在某银行开立的账户上的16万余元作消费支出处理，原告向公安机关报案称其银行卡被盗刷，公安机关遂告知被告该诈骗情况并要求采取措施。法院认为，被告未提供原告注册第三方快捷支付的证据，未建立健全客户身份识别机制，且对公安机关提出的采取措施的要求不予理会，存在过错，应与某银行平均承担赔偿责任。本案判决书载明的裁判依据为《侵权责任法》第12条，但该条仅系有关数人侵权之按份责任的规定，可推知受害人的请求权基础亦为过错责任一般条款。令人难以理解的是，在《反电信网络诈骗法》为受害人提供了独立的诉权基础之后，司法实务反而更显保守。
总之，要想让《反电信网络诈骗法》第46条第2款充分实现其预期的治理目标，就必须进一步阐明其体系化适用的法理，尤其要对电信网络诈骗受害人对经营者的损害赔偿请求权予以具体化，进而对违反保护性规范侵权责任类型作一般化的解释学构造。
三、《反电信网络诈骗法》第46条第2款体系化适用的法理
（一）本条款的解释论构造方向：案型归纳与现有解释论
为分析的便利，此处基于现实个案归纳出三个案型，作为与可能的请求权基础相互对应的事实，据以探寻本条款之解释论作业方向。
案型1（涉电信业务经营者）：陆某某等于2022年末“购买”了一批已登记的移动电话卡，这些卡均为海某某指示、诱骗案外人实名或持伪造的身份证在某通信公司办理。该通信公司未落实反电信网络诈骗内部控制机制，未对异常办卡情形进行监测识别并采取相应核验措施，尤其是在办卡人名下已有号码涉诈骗案且被冻结的情形下依然为其补卡，致诸多电话卡被集中办理并被反复用于诈骗。尽管经附带民事公益诉讼，但受害人被骗的数百万元仍未得退赔。本案型中，受害人与该电信业务经营者不存在合同关系，不可主张违约损害赔偿请求权，但或可主张《反电信网络诈骗法》第46条第2款规整范围内的侵权责任请求权。
案型2（涉银行业金融机构、非银行支付机构）：韩某某接到一个陌生电话，对方告知其涉嫌电信诈骗，需缴纳“保证金”到自己名下的银行账户来证明无罪，韩某某即去甲银行办理了一张储蓄卡并存入大额资金。次日该储蓄卡账户绑定的手机银行被他人重设密码，并经13笔支付操作（方式均为“人脸/指纹+交易密码”）向在某电子支付公司开设的某账户转账63万余元，该款项后被转至与某账户开户人的非同名的银行结算账户。甲银行不能证明其对韩某某完成了前述安全验证流程。某电子支付公司疏于对支付账户及支付结算服务的监测，违反规定转账，甚至在明知大量账户快进快出且与实际经营状况不符、存在高频投诉与公安机关调查取证的情况下依然不采取措施，致使大量账户被用于诈骗犯罪。本案型中，该银行业金融机构因与受害人存在合同关系而负有具体的安全保障义务，由此或可产生基于违约或侵权的自己责任；该非银行支付机构与受害人不存在合同关系，但或可产生因第三人侵权的补充责任，由此落入《反电信网络诈骗法》第46条第2款的规整范围。
案型3（涉互联网服务提供者）：原告申某在被告某公司运营的App平台上为同事订购两张联程机票。诈骗分子利用非法获取的乘机人姓名、航程等完整信息，以退费为由，通过短信、电话等方式诱导原告进行网上银行转账，致原告被诈骗约12万元。诈骗人利用被告在个人信息保护方面的安全漏洞，在较短时间内非法获取涉案个人信息并实施诈骗。本案型中，该互联网服务提供者因与受害人存在合同关系而负有具体的安全保障义务，可在不考虑《反电信网络诈骗法》第46条第2款的情形下承担基于违约或侵权的自己责任。
虽然《反电信网络诈骗法》第46条第2款的适用尚在“睡眠”之中，但在学理上仍可见几种解释方案：一是把受害人对经营者的请求权引致《民法典》第1165条第1款（过错责任之一般条款）；二是引致《民法典》第1168条（数人共同侵权之按份责任）或第1169条第1款（教唆、帮助侵权之连带责任）；三是引致第1172条（数人分别侵权之按份责任）；四是对网络服务提供者适用《民法典》第1197条（网络服务提供者之连带责任），对电信业务经营者、银行业金融机构和非银行支付机构类推适用《民法典》第1198条第2款（安全保障义务人之补充责任）；五是经营者因违法而被视为过失，进而成立“违反保护性法律”侵权责任；这些意见虽有可能的启发，但亦存不妥之处。
首先，前三个方案都有单纯“向一般条款逃逸”之嫌，对部分个案（如案型2和案型3）明显存在或可适用的具体规范未予以关注。它们分别把受害人对经营者的请求权引致《民法典》有关过错责任的一般条款及有关数人侵权责任的一般规定，这些条款所含之加害行为、法益侵害、损害后果、因果关系、过错等事实构成都须被具体化。若已存在将过错、加害行为等要件特别予以具体化的其他可得适用的条款，则适用一般规定就有所不妥。
其次，第二、第三个方案仅关注（亦未合理确定）数人侵权的责任形态，而没有细究责任成立的法律基础。就本文所论特定情形而言（除案型2外），数人侵权（包括共同侵权、教唆或帮助侵权、分别侵权）难以成立，故《民法典》第1168条、第1169条第1款、第1172条等难以成为受害人的请求权基础。此外，这些条款中的责任形态均为对自己直接实施的加害行为的最终责任，经营者据此承担赔偿责任后将不存在对第三人追偿的可能，对其而言这样的责任过于严苛。
再次，第四个方案在方法论上对法律适用的理解不够严谨。它虽正确地回避了对一般规定的适用，但因把受害人对网络服务提供者的请求权基础一般性地定位于《民法典》第1197条而有所不妥。例如，案型3中损害发生的真正原因是来自第三人的电信诈骗行为，互联网服务提供者虽在个人信息处理中“未采取必要措施”，但不符合“知道或应当知道”第三人侵权之要件，故《民法典》第1197条难以适用。此外，此方案也未就该条所指“网络服务提供者”做目的性限缩并基于不同类型而形成不同的注意义务，进而未留意到在第三人侵权情形下这几类经营者的侵权责任都有直接（而非类推）适用《民法典》第1198条第2款的可能性。
复次，以上五个方案未能充分展示法的现实化过程中应有的类型思维和体系思维，未对经营者是否存在合同义务、具体法益侵害等事实构成以及责任形态予以区分，进而细究法律适用方向。例如，在经营者负有合同义务之情形下，其违反具体安全保障义务的不作为可能直接侵害受害人权益并产生损害后果，因此可能产生自己责任而非补充责任。相较于《反电信网络诈骗法》第46条第1款对“为电信网络诈骗活动提供相关帮助”行为之规整，第2款的规整范围应限于第三人实施电信网络诈骗行为、经营者存在未尽法定义务的不作为之情形，据此方可妥当确定可转致的法条。
最后，亦为最重要的，前述五个方案都未真正触及本条款所蕴含之根本问题，即违反保护性规范侵权责任类型在现行法中如何展开。第五个方案虽已留意到经营者可能成立违反保护性规范侵权责任（广义），但未能对作为观念类型的违反保护性规范侵权责任（狭义）与作为规范类型的违反安全保障义务侵权责任在法律适用路径上加以区分。
对上述困扰可从体系的视角来观察。法规范之体系包括外在、内在两个方面。对本条款所含要件事实及法律后果的具体化当属外在体系之展开，而对其背后潜藏着的违反保护性规范侵权责任类型的法理阐释则为内在体系之考量。
（二）作为事实构成的外在体系：对“违反本法规定”的展开
从侵权归责的角度来看，《反电信网络诈骗法》第46条第2款所述“违反本法规定”应限缩为“违反本法规定中的保护性规范”，尤其体现为行为人对“本法规定”中具体注意义务的违反。当然，对那些仅具行政管制性的公法义务应予以排除。
根据“本法规定”，这几类经营者均一般性地负有作为个人信息处理者的保密义务，以及“建立反电信网络诈骗内部控制机制和安全责任制度，加强新业务涉诈风险安全评估”，“在有关业务活动中对防范电信网络诈骗作出提示，对本领域新出现的电信网络诈骗手段及时向用户作出提醒”等共性的“电信网络诈骗风险防控义务”。鉴于经营者负有“防范用户被害的道德义务”并具有“独特的治理优势”，此种内容概括性的义务也被称为“犯罪控制义务”。此外，这几类经营者还负有对电信网络诈骗及其关联违法、犯罪人员进行“金融惩戒、电信网络惩戒、信用惩戒”的公法义务。
电信业务经营者的注意义务包括：一是确保真实，包括“依法全面落实电话用户真实身份信息登记制度”，“规范真实主叫号码传送和电信线路出租，对改号电话进行封堵拦截和溯源核查”等；二是限制电话卡办理数量和识别、处置异常办卡；三是采取技术措施以识别、阻断“非法设备、软件接入网络”；四是对“涉诈支持、帮助活动进行监测识别和处置”。电信业务经营者尤其应尽到对电信虚拟号卡（尤其是所谓的电销卡、虚拟卡、防封卡）发放和使用的审慎监管义务，这些虚拟号码正是电信网络诈骗犯罪的主要工具。案型1中的经营者对以上义务均有违反，尤其是对异常办卡情形明知而不予以处置。
银行业金融机构、非银行支付机构的注意义务包括：一是确保真实，包括“建立客户尽职调查制度，依法识别受益所有人”及“保证交易信息的真实、完整和支付全流程中的一致性”等；二是限制账户开立数量和识别、处置异常开户；三是对“符合电信网络诈骗活动特征的异常账户和可疑交易监测”并采取必要措施。案型2中，某银行违反了确保交易信息真实性的义务，某电子支付公司则违反了以上全部义务。
互联网服务提供者的注意义务包括：一是确保真实，包括“依法要求用户提供真实身份信息”，“登记并核验应用程序开发运营者的真实身份信息”，保证“域名解析、域名跳转、网址链接转换服务”真实、准确和可溯；二是对“监测识别的涉诈异常账号”重新核验并采取“限制功能、暂停服务等处置措施”、对“涉诈应用程序重点监测、及时处置”；三是对“涉诈支持、帮助活动进行监测识别和处置。案型3中，经营者违反了个人信息安全保障义务，此系“电信网络诈骗风险防控义务”之当然内容。
揆诸《反电信网络诈骗法》公益、私益兼而保护之目的，以上注意义务本质上均为经营者在反电信网络诈骗场景下的具体行为标准。违反这些保护性规范的行为，在事物本质上不合乎“法”的要求。不过，对“违法性”的识别及其在侵权归责过程中的意义不可泛泛而论，应在个案中依特定请求权基础来具体理解。
（三）作为法源补充的外在体系：对《民法典》“等法律的规定”的连接
本条款所陈述的“法律的规定”系有关法源补充方向的提示语，在内容上应包括实体法和程序法，在法律适用中还需考虑一般法和特别法的关系。就实体法而言，唯有具体连接《民法典》“等法律的规定”，保护性规范才得以“符合法律渊源的要求”，本条款才得以借助有关私法规范而具体、充实自己的事实构成和法律后果。就本条款的构成要件而言，“违反本法规定，造成他人损害”的行为可能产生自己责任、补充责任两种类型，由此形成请求权基础检索的不同方向。具体引致何项特定的侵权责任规定，尚需在个案中详加斟酌。
基于对个案事实的具体考量，《个人信息保护法》《电子商务法》等特别法中有关自己责任的条款可得有限适用。例如，案型2中的某银行对韩某某账户对外转账的业务操作属于“未经授权的支付”，直接侵害了受害人的财产权，存在适用《民法典》第1198条第1款或《电子商务法》第54条、第57条第2款的可能性。案型3中的互联网服务提供者对申某未尽安全保障义务以致其个人信息泄露，直接侵害了受害人的个人信息法益（并衍生了财产损害），存在适用《民法典》第1198条第1款或《个人信息保护法》第69条的可能性。较之《民法典》第1198条第1款，上述《电子商务法》和《个人信息保护法》的条款均系有关未尽安全保障义务责任的特别法。这些特别法虽可优先适用，但适用效果可能受限，因为第三人诈骗侵权之事实未得以清晰、充分的评价。
在第三人实施电信网络诈骗致人损害之典型情况下，违反注意义务的经营者对受害人承担以《民法典》第1198条第2款为基础的补充责任更为妥当。这些经营者负有“电信网络诈骗风险防控义务”，不特定受害人及其损害都处于此特别的安全保障义务的保护范围内，经营者亦对损害发生具有较高程度的可预见性。案型1中的电信业务经营者、案型2中非银行支付机构均应对自己未尽“电信网络诈骗风险防控义务”之不作为，对受害人承担“相应的补充责任”。鉴于案型3中的具体损害本质上并非经营者未尽安全保障义务之不作为本身所致，即若无真正加害人利用经营者对受害人个人信息的不当处理而实施诈骗，则该损害就不会发生，该不作为仅系损害发生的消极条件而非真正原因。所以，衡量各方利益，经营者承担单独且可追偿的补充责任（而非最终责任、连带责任）更为合理，故以《民法典》第1198条第2款为受害人的请求权基础为佳。
总之，“法律的规定”虽包括其他特别法的条款，但应以《民法典》第1198条第2款为基本依据。当然，即便这些特别法在一定情形下可得有限适用，例如用“风险损害”这一“法学的新发现”来解释经营者未尽安全保障义务致消费者个人信息泄露之要件事实，据此产生自己责任，也需要借助《民法典》的一般法才能对其法律后果作进一步的具体化。
（四）作为法之精神的内在体系：违反保护性规范侵权责任之具象
本条款的事实构成包括经营者“违反本法规定”并“造成他人损害”，法律后果为依照《民法典》“等法律的规定”（其亦包含自身的事实构成）承担民事责任。其中所谓“造成他人损害”要件的规范意义不大，仅在于强调本条款系损害赔偿法之定位，亦可被理解为对《民法典》中的具体请求权基础所含的事实构成（法益侵害、损害后果）的重复性规定。具有较大规范意义的要件是“违反本法规定”和依照《民法典》“等法律的规定”，它们让本条款成为一个连接公法规范与私法效果的通道，亦成为违反保护性规范侵权责任（广义）类型构造的具体样板。这就是本条款内含的法之精神之所在。然而，受害人的请求权不能泛泛地指向所谓“违反保护性规范侵权责任”，而需作具体的解释学构造。
四、电信网络诈骗受害人对经营者的侵权损害赔偿请求权的具体构造
（一）请求权构造的核心要件：违反“安全保障义务”或“保护性规范”
综合内在体系和外在体系视角的观察，《反电信网络诈骗法》第46条第2款作为保护性规范和侵权责任的连接通道，在不考虑特别法优先适用的情形下，可具体引致《民法典》第1198条。后者构成要件中的“未尽到安全保障义务”，需以前者的“违反本法规定”为媒介来转介其相关保护性规范，才得以在个案中形成加害行为、法益侵害、过错等具体要件事实。
安全保障义务，也被称（译）为“安全关照义务”“交易安全义务”“社会交往义务”“社会安全义务”等。《反电信网络诈骗法》第25条甚至使用了“合理注意义务”一词，似可以涵盖安全保障义务（该法未提及这个词）。安全保障义务规则源自《最高人民法院关于审理人身损害赔偿案件适用法律若干问题的解释》（法释〔2003〕20号）第6条。依权威解释，安全保障义务不能简单地被界定为附随义务或法定义务，其具体内容可能来源于法律规定、合同约定及诚信原则；是否尽到安全保障义务，可以综合义务人所在行业或地区的具体情况、所组织活动的规模、侵权行为的性质和力度、义务人的安保能力及所采取的防范、制止侵权行为的状况等因素加以判断。义务人的“实际行为是否符合法律、法规、规章或特定的操作规程的要求，是否属于同类社会活动或者一个诚信善良的从业者应当达到的通常限度”是合理的判断标准。
《民法典》第1198条中的“未尽到安全保障义务”属一般条款，其具体内容需依赖其他法源予以补充。鉴于这些补充法源可能表现为保护性规范，“未尽到安全保障义务”就可被归入实质意义的转介条款范围。通过“未尽到安全保障义务”之转介功能，《反电信网络诈骗法》的相关规定得以保护性规范之名进入私法领域，成为侵权归责所需的事实构成的一部分。转介条款虽因概括性之品格而常被描述为“空洞的公式”，但亦可被视为一项具有重要体系功能的“木马规则”：它“犹如特洛伊木马把特别法代表的公共政策源源不断地导入中立的民法”，在调和管制与自治方面展示了别致的体系效应。转介条款“绝对不只是为了济民事规范之穷”，而有“统合社会值，减少法律秩序内部冲突”的意思，但其只是概括地转介某个社会伦理或公法规定，对被转介对象在私法中的具体适用未作指示，而由裁判者来具体权衡。由此，转介条款有助于民法典在体系和品格上保持纯粹，使其能够“回应开放的管制需要和政策目标”。
保护性规范中的行为标准与安全保障义务的边界似乎是模糊的：作为事实构成但具有内容概括性的安全保障义务，本身是否属于保护性规范？或反过来，其可否涵盖保护性规范所陈述的注意义务？就法律适用而言，鉴于我国《民法典》并未采用德国式的侵权归责结构，且在第1198条明确规定了“违反安全保障义务侵权责任”的请求权基础，就有必要对二者作相对清晰的区分。一方面，安全保障义务的来源不限于保护性规范，保护性规范在内容上亦未必都着眼于安全保障；另一方面，安全保障义务的意涵甚至比保护性规范中有关安全保障的注意义务更加空心化，因此应结合个案对其予以进一步的具体化。考虑安全保障义务已受现行法的“严格限制”，其他学者也反对将其“作为建立违反保护性规范的侵权责任的管道”。
综上，在体系定位上，违反保护性规范侵权责任（广义）类型可以包括基于《民法典》第1198条的违反安全保障义务侵权责任以及狭义的违反保护性规范侵权责任，即基于《民法典》第1165条第1款且以“违法”为形式要素的过错责任。当然，从法律适用角度来看，前者属于制定法中的规范类型，后者则为方法论上的观念类型。
（二）请求权基础的合理发现：基于“电信网络诈骗风险防控义务”
从规范形成的历史材料来看，法释〔2003〕20号第6条所称“安全保障义务”虽系依据“一般安全注意义务”理论而形成的一个统合性的概念，但本条着重调整“尚未被法律法规等纳入规范范围的一般安全注意义务类型”，以在无法定或约定注意义务时为受害人提供请求权的基础，或在有法定或约定注意义务时提供请求权的选择空间。故在侵权责任领域，若无其他有关安全保障义务的特别法律规定，则经营者违反安全保障义务侵权责任的规范基础只能是《民法典》第1198条之一般条款；在超出该条所称“安全保障义务”保护范围——诸如非“经营（者）”“管理（者）”或“组织活动（者）”、非“公共”场所、非“安全保障”领域—的情形下，即所涉义务或可被归入保护性规范所含法定注意义务或只能归入一般注意义务之时，具有转介功能的第1165条第1款方得成为受害人的请求权基础。
在我国，安全保障义务是由公法、私法共同构建并日益扩张的一个规范体系。我国裁判实务存在把安全保障义务仅限于物理空间的认知。不过学界已大体认同其也能适用于网络空间，《电子商务法》等法律也已采此立场。裁判实务和理论研究中还存在安全保障义务泛化的不妥现象，学者把其原因归为错误的理论认知，即把《民法典》第1198条中的安全保障义务错误地扩张为一般注意义务（不限于公共场所、公共活动场景）。我国民法中安全保障义务之法源不限于《民法典》第1198条，而体现在多个具体规范（安全保障义务之特别法）之中。《民法典》第1198条仅系前述特殊主体违反安全保障义务侵权责任的一般条款，亦为《民法典》第1165条第1款的特别法，故安全保障义务不能进一步泛化理解为一般注意义务而纳入后者的事实构成范围。当然，《民法典》第1198条中“安全保障义务”的内容需要转介其他法律规定才能具体确定；若无可转介的制定法中的行为标准，则或可借助“一般注意义务”的解释力而在个案中予以具体化。
结合具体案型，《民法典》第1198条中的“安全保障义务”均可通过转介《反电信网络诈骗法》等管制法中的行为标准，而具体化为“电信网络诈骗风险防控义务”。案型1中的电信业务经营者对异常办卡情形疏于识别、核验并采取相关措施，致诸多某号段电话号码沦为诈骗工具，无疑是对“反诈”之公共秩序和私人权益保护的漠视。案型2中的银行业金融机构未尽确保支付指令真实的核验义务；非银行支付机构明知新开立的大量账户被用于诈骗犯罪，甚至在高频投诉与公安机关调查取证的情况下依然不采取措施，对“电信网络诈骗风险防控义务”之违反情节恶劣。案型3中的互联网服务提供者违反了防范“个人信息被用于电信网络诈骗”的法定义务，并未“采取技术措施和其他必要措施”以“保障电子商务交易安全”，致涉案个人信息被他人非法获取并用于诈骗活动。
综上，在经营者的自己责任之情形，经营者违反“电信网络诈骗风险防控义务”之行为均可归入“未尽到安全保障义务”的意义范围，应以《民法典》第1198条第1款为主要依据（涉及特别法的优先适用），并无借助“一般注意义务”解释力的必要，即不需转致《民法典》第1165条第1款。在第三人实施电信网络诈骗致人损害之典型情况下，经营者或需承担补充责任，受害人的请求权基础应经由《反电信网络诈骗法》第46条第2款引致，以《民法典》第1198条第2款为中心，并转介《反电信网络诈骗法》和相关制定法中的保护性规范，同时必要时辅以《民法典》中有关责任方式、责任形态、责任范围等归责技术条款，从而构成一个规则体。
（三）请求权的事实构成及其具体化：以《民法典》第1198条第2款为中心
鉴于前述《反电信网络诈骗法》第46条第2款的特别规整范围，应以《民法典》第1198条第2款为中心形成相应的请求权基础。《民法典》第1198条第2款的事实构成包括“第三人的行为造成他人损害”和经营者“未尽到安全保障义务”，法律后果即“承担相应的补充责任”，均需在个案中作进一步的具体化。
所谓“第三人的行为造成他人损害”，是指受害人遭受了第三人的直接侵害。该“损害”具体包含了法益侵害、损害后果两个层面。在本文讨论场景下，受侵害之法益在于财产权，损害后果在于受害人的银行（金融）账户资金损失。该损失之性质并非纯粹经济损失，而系具体的财产损害。就前述三个案型而言，“第三人的行为”具体指诈骗行为人“以非法占有为目的，利用电信网络技术手段，通过远程、非接触等方式”对受害人实施的诈骗财物的加害行为。
“未尽到安全保障义务”之陈述具有一般条款性质，包含了丰富的但有待具体意义补充的事实构成内容。补充的方法就是转介《反电信网络诈骗法》第46条第2款所陈述的“本法规定”，即借此保护性规范中的注意义务使“安全保障义务”具体化。保护性规范规定的注意义务未必都可以归入安全保障义务，二者在义务内容、保护领域和适用方法方面具有明显差异。保护性规范中的注意义务内容和类型多样，包括作为和不作为，而安全保障义务聚焦以安全保障为内容的作为义务。从法律适用角度来看，保护性规范不能直接成为私法领域中的侵权归责要素，而须经利益衡量被转介为具体的请求权基础（通常是有关过错责任的一般条款）；而安全保障义务在私法（不限于侵权责任领域）中往往有具体的规范基础（包括一般条款和特别规定），亦在《个人信息保护法》《电子商务法》等特别法领域可以找到具体依据，因而可以直接在个案中适用。
在本文讨论场景下，“未尽到安全保障义务”之陈述有三层归责意义。首先，它意味着经营者的加害行为本质上是一种消极的不作为侵权，不同于诈骗行为人的积极侵权。此不作为侵权以经营者的作为义务为前提，这些作为义务主要来源于保护性规范。通过“安全保障义务”之转介，管制法中的经营者所负电信网络诈骗风险防控义务被引入侵权责任领域，并成为安全保障义务的一个亚类型。其次，它反过来指向《反电信网络诈骗法》第46条第2款中的“违反本法规定”之要件，从而以违法性为基点明确行为加害性之归责要素。在本文讨论之场景下，未尽电信网络诈骗风险防控义务的行为不合乎由《反电信网络诈骗法》（及相关制定法）所具体陈述的“法”的要求，此客观不法本身就体现了该侵权行为内在的加害性。最后，它意味着经营者对前述法定注意义务的违反，可在满足一定条件（尤其是经营者具有对损害或损害风险的预见和防范能力）时被视为主观不法，进而可能成为判断过错的事实依据。经营者不是一般性地“未尽到安全保障义务”，而是在对受害人及其损害具有相应的预见和防范能力的条件下，出于逐利等动机主观上对“违反本法规定”之加害行为疏忽、懈怠甚或有意为之。例如，案型1中的电信业务经营者、案型2中的非银行支付机构都明知自己负有具体的电信网络诈骗风险防控义务，亦可预见到自己“违反本法规定”之加害行为可能导致电信网络诈骗受害人及其损害的发生，仍滥发电话卡或违法提供转账服务。这些行为在客观和主观上都具有严重的不法性，即行为加害性和过错。立法史料曾明示此过错系重大过错，解释论上可资借鉴。
所谓“承担相应的补充责任”，在本文讨论场景下亦有丰富的归责意义。一方面，“补充”二字暗含着另一个责任成立的具体构成要件，即受害人不能从第三人（直接侵权人）那里获得完全赔偿。此要件的明确具有相当大的意义，因为在电信网络诈骗情形下受害人基本上难以获得直接侵权人的充分退赔。另一方面，“相应的”限定词揭示了损害后果的判断工具——责任范围的因果关系，即经营者仅承担与其行为加害性、过错程度相适应的赔偿责任（并据本款后句而对第三人具有追偿权）。追偿权正是《民法典》第1198条第2款作为第1165条第1款之特别法的意义之所在。这也意味着立法者对“未尽到安全保障义务”之不作为采取了宽容立场：经营者的不作为不能成为第三人侵权的理由，更不能成为第三人的抗辩事由；但补充责任的可追偿性意味着对该不作为加害性的忽视，从而背离了对客观“不法”行为应有的主观非难性。当然，在目前电信网络诈骗情形下，此项规范的行为评价效应之不足可能体现得不太明显。
责任成立的因果关系要件当然也内含于《民法典》第1198条第2款。经营者违反电信网络诈骗风险防控义务的行为为损害发生提供了条件。此条件关系可否进阶为责任成立的因果关系，需在个案中基于相当性之衡量具体分析。学者正确地指出，因安全保障义务包括防止受害人遭受第三人侵害的内容，故第三人的侵权行为无法作为外因切断经营者的不作为与损害间的因果关系。同样，经营者的电信网络诈骗风险防控义务本就具有保护性规范之意涵，与法益侵害、损害后果、过错等责任要件具有内在关联。
（四）请求权执行的法律后果：责任形态及“瀑布模式”的可行性
在经营者单独侵权情形下，自己责任及补充责任两种形态都有可能产生。例如，在案型3中，经营者在处理个人信息过程中未尽信息安全保障义务（存在过失），致受害人的个人信息权益受到侵害（受害人敏感个人信息被泄露），若无该信息泄露则受害人基本上不会遭遇诈骗，受害人的财产损害可被评价为经营者加害行为的衍生后果。若受害人如此主张个人信息侵权责任请求权，则该案事实完全符合《个人信息保护法》第69条第1款（应优先于《民法典》第1198条第1款）的构成要件，足以产生经营者的自己责任。若受害人主张第三人实施诈骗行为、经营者未尽到安全保障义务、因受诈骗而发生财产损害等事实构成，则《民法典》第1198条第2款应为请求权基础，可以产生经营者的补充责任。
在数人侵权情形下，可能出现共同侵权、分别侵权等责任形态，还存在应否采取“瀑布模式”责任分配机制的问题。例如，在案型2中，甲银行与某电子支付机构（甚至可能包括电信业务经营者）都对受害人的财产损害负有赔偿责任，此责任系分别侵权责任。甲银行未尽到付款时的安全验证义务，某电子支付公司未尽到电信网络诈骗风险防控义务，分别实施的加害行为共同致同一损害的发生，需要合理判断各自的责任比例。当然，在数人侵权时是否应采取像新加坡那样列出“金融机构—电信公司—消费者”顺位的责任分配模式，值得斟酌。基于我国电信网络诈骗的复杂样态（不同于新加坡等国多发“网络钓鱼”金融诈骗）和重点环节，现行法对相关经营者的范围规定得较为宽泛，尤其是考虑民法中独具特色的有关责任范围、损害分配的“原因力理论”，我国不宜一般性地采取“瀑布模式”的责任机制，而应在个案中对相关经营者之间的责任顺位、责任形态、责任范围作具体判断。
五、结语
在我国现行法背景下，如同私法中存在一些公法规范之情形，《反电信网络诈骗法》第46条第2款也可被视为公法中的私法规范（第1款亦同），只不过其因系引致条款而需要结合被引致的对象以形成具体的法规则。此种转致性规范不应被笼统地评价为“正确的废话”，而有着“真正的法律适用价值”：基于内部转介所得的行为标准（具体的“本法规定”）可外部引致《民法典》中具体的请求权基础，进而从后者视角来看，该行为标准被真正转介于民事责任领域，从而发挥辅助构建作为规则体请求权基础的功能。由此就形成了一种公法和私法相互渗透的“双向的介面关系”。因而本条款的规范力在于：一方面，作为一个有关电信网络诈骗治理的公法条款，主动借力于私法的责任机制以实现自身特定管制目标；另一方面，成为被引致的民事责任规范的转介对象，提供归责所需事实构成的具体化依据。
就外在体系而言，本条款并非单纯的引致条款，而是有具体规范内容的概括性补充。这个补充的规范内容本质上是对《民法典》中特定请求权基础的事实构成部分的具体化，即将“本法规定”（及其所转介的“他法规定”）转介于《民法典》的规范领域，以构建能够符合特定请求权基础的具体要件事实。考察前述具体案型，《民法典》第1198条所述“安全保障义务”均可通过转介《反电信网络诈骗法》及其他管制法中的行为标准，而具体化为“电信网络诈骗风险防控义务”，经营者对此义务之违反可能产生自己责任、补充责任两种形态。有关自己责任的条款，例如《个人信息保护法》第69条、《电子商务法》第54条或第57条第2款及《民法典》第1198条第1款等，虽可得适用（应遵循特别法优先规则），但效果不佳。在第三人实施电信网络诈骗致人损害之典型情况下，经营者补充责任的法律基础指向以《民法典》第1198条第2款为中心的规范群，《反电信网络诈骗法》第46条第2款以及相关制定法中的保护性规范是其中的重要辅助条款。在数人侵权时，我国不宜一般性地采取“瀑布模式”责任机制，而应在个案中对相关经营者之间的责任顺位、责任形态、责任范围作具体判断。
就内在体系而言，《反电信网络诈骗法》第46条第2款虽可被视为违反保护性规范侵权责任（广义）之具象，但鉴于我国《民法典》并未构建包括违反保护性规范在内的侵权归责结构，且违反安全保障义务侵权责任有具体的规范基础，即属于独立的规范类型，违反保护性规范侵权责任应采狭义的界定，即其仅为一种以过错责任一般条款为基础的观念类型。
唯有充分发挥本条款的生命力，以严格的民事责任机制来“倒逼”相关经营者在善尽“电信网络诈骗风险防控义务”的前提下依法获取经营利益，《反电信网络诈骗法》的协同治理目标（尤其是共同责任框架）才得以更好实现。
