พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 และ (ฉบับที่ 2) พ.ศ. 2568: หน้าที่ผู้ให้บริการและส่วนร่วมรับผิดชอบ
สรุปสาระสำคัญของ พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 และที่แก้ไขเพิ่มเติมโดย (ฉบับที่ 2) พ.ศ. 2568 ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 13 เมษายน 2568 ครอบคลุมผู้มีหน้าที่ตามมาตรา 3, 4 และ 8/10 การแลกเปลี่ยนข้อมูลบัญชีและธุรกรรม บทบาทของ ศปอท. การระงับธุรกรรม คำสั่งระงับข้อมูลของผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลที่ไม่ได้รับอนุญาต ส่วนร่วมรับผิดชอบตามมาตรา 8/10 และบทกำหนดโทษด้านข้อมูลตามมาตรา 11/2
- กลุ่มเป้าหมาย
- สถาบันการเงิน ผู้ให้บริการชำระเงิน ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล ผู้ให้บริการโทรคมนาคม สื่อสังคมออนไลน์ และองค์กรที่ถือครองข้อมูลบุคคลหรือผู้ถึงแก่กรรม
- รอบการทดสอบและทบทวน
- ปฏิบัติตามมาตรฐานป้องกันการทุจริตอย่างต่อเนื่อง ระงับธุรกรรมภายในกรอบเวลาตามกฎหมาย และทบทวนความมั่นคงปลอดภัยตามเกณฑ์หน่วยงานกำกับดูแล
- ขอบเขตการทดสอบ
- ระบบแลกเปลี่ยนข้อมูลตามมาตรา 4, การรับรายชื่อที่ ศปอท. แจ้ง, ระบบคัดกรอง SMS, Mobile Banking และฐานข้อมูลลูกค้า
- ความเสี่ยงที่เกี่ยวข้อง
- ส่วนร่วมรับผิดชอบในความเสียหายตามมาตรา 8/10 และโทษตามมาตรา 8/11 (ปรับนิติบุคคลไม่เกิน 500,000 บาท และกรรมการหรือผู้จัดการที่สั่งการหรือละเว้นจนเป็นเหตุ มีโทษจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ) มาตรา 8/12 และมาตรา 9 ถึงมาตรา 11/2
ผู้มีหน้าที่และการแลกเปลี่ยนข้อมูล (มาตรา 3, 4, 8/5 และ 8/10)
พระราชกำหนดฉบับที่ 2 ขยายคำนิยาม ผู้ประกอบธุรกิจ ให้รวมผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล เพิ่มเลขที่กระเป๋าสินทรัพย์ดิจิทัลในข้อมูลที่ต้องแลกเปลี่ยน และจัดตั้ง ศปอท. ในสำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
พ.ศ. 2566 และที่แก้ไขเพิ่มเติม (ฉบับที่ 2) พ.ศ. 2568
- ผู้มีหน้าที่ (มาตรา 3, 4 และ 8/10)
- สถาบันการเงิน ผู้ประกอบธุรกิจระบบชำระเงินและสินทรัพย์ดิจิทัล ผู้ให้บริการโทรคมนาคม ผู้ให้บริการอื่นที่เกี่ยวข้อง และผู้ให้บริการสื่อสังคมออนไลน์
- มาตรฐานและรายชื่อ (มาตรา 4/1, 4/2)
- หน่วยงานกำกับดูแลกำหนดมาตรฐาน ผู้ให้บริการโทรคมนาคมคัดกรอง SMS และเมื่อ ศปอท. แจ้งรายชื่อ ให้ปฏิเสธเปิดบัญชีหรือระงับบริการ
- ระงับธุรกรรมและส่วนร่วมรับผิดชอบ (มาตรา 6, 7, 7/1, 8/10)
- ระงับชั่วคราวไม่เกิน 7 วัน สั่งระงับข้อมูลของผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลที่ไม่ได้รับอนุญาต และมีส่วนร่วมรับผิดชอบเว้นแต่พิสูจน์ว่าปฏิบัติตามมาตรฐาน
- โทษข้อมูลบุคคลหรือผู้ถึงแก่กรรม (มาตรา 11/2)
- จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ หากซื้อขายหรือแสวงหาประโยชน์ที่มิควรได้ จำคุกไม่เกิน 5 ปี หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ
- ตัวบทกำหนดผู้มีหน้าที่ ได้แก่ สถาบันการเงิน (ธนาคารพาณิชย์และสถาบันการเงินของรัฐที่มีกฎหมายเฉพาะ) และผู้ประกอบธุรกิจตามกฎหมายว่าด้วยระบบการชำระเงินและผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล (มาตรา 3) ผู้ให้บริการเครือข่ายโทรศัพท์ ผู้ให้บริการโทรคมนาคมอื่น และผู้ให้บริการอื่นที่เกี่ยวข้อง (มาตรา 4 วรรคสอง) ส่วนผู้ให้บริการสื่อสังคมออนไลน์ถูกระบุในมาตรา 8/10
- มาตรา 4 วรรคหนึ่ง ให้สถาบันการเงินและผู้ประกอบธุรกิจเปิดเผยหรือแลกเปลี่ยนข้อมูลบัญชี ธุรกรรมของลูกค้าที่เกี่ยวข้อง และเลขที่กระเป๋าสินทรัพย์ดิจิทัล เมื่อมีเหตุอันควรสงสัยว่ามีหรืออาจมีอาชญากรรมทางเทคโนโลยี ผ่านระบบหรือกระบวนการที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม สำนักงานตำรวจแห่งชาติ กรมสอบสวนคดีพิเศษ สำนักงาน ปปง. ธปท. และสำนักงาน ก.ล.ต. เห็นชอบร่วมกัน
- มาตรา 4 วรรคสอง (ตัวบทเดิมปี 2566) ให้ผู้ให้บริการเครือข่ายโทรศัพท์ ผู้ให้บริการโทรคมนาคมอื่น หรือผู้ให้บริการอื่นที่เกี่ยวข้อง แลกเปลี่ยนข้อมูลการให้บริการระหว่างกันผ่านระบบหรือกระบวนการที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและสำนักงาน กสทช. เห็นชอบร่วมกัน
- มาตรา 8/5 จัดตั้ง ศปอท. มีอำนาจรับแจ้งเหตุจากผู้เสียหาย ระงับธุรกรรมของบัญชีเงินฝากหรือบัญชีเงินอิเล็กทรอนิกส์ สั่งให้นำส่งข้อมูลบัญชีและธุรกรรมที่ต้องสงสัย ประกาศรายชื่อบุคคลหรือเลขที่กระเป๋าสินทรัพย์ดิจิทัล และแจ้งข้อมูลหมายเลขโทรศัพท์ SMS และชื่อผู้ส่งให้สำนักงาน กสทช. ข้อเสนอแนะของ STH คือควรรักษาความมั่นคงปลอดภัยของการเชื่อมต่อ การยืนยันตัวตน และบันทึกการตรวจสอบย้อนหลังที่ใช้ในการแลกเปลี่ยนเหล่านี้
มาตรฐานของหน่วยงานกำกับดูแล การคัดกรอง SMS และการปฏิเสธหรือระงับบริการ (มาตรา 4/1 และ 4/2)
มาตรา 4/1 ให้หน่วยงานกำกับดูแลกำหนดมาตรฐานเพื่อประโยชน์ของมาตรา 8/10 ส่วนมาตรา 4/2 กำหนดหน้าที่ตรงต่อสถาบันการเงินและผู้ประกอบธุรกิจเมื่อ ศปอท. แจ้งรายชื่อ
- มาตรา 4/1 วรรคหนึ่ง ให้ ธปท. สำนักงาน ก.ล.ต. คณะกรรมการ กสทช. สำนักงาน กสทช. และคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ กำหนดมาตรฐานหรือมาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยี เพื่อประโยชน์แห่งมาตรา 8/10 ตัวบทวรรคนี้ไม่ได้กำหนดหน้าที่ตรงต่อผู้ให้บริการ
- มาตรา 4/1 วรรคสอง ให้ผู้ให้บริการเครือข่ายโทรศัพท์และผู้ให้บริการโทรคมนาคมอื่นตรวจสอบเพื่อคัดกรองเนื้อหา SMS ที่อาจเกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี ตามมาตรฐานที่สำนักงาน กสทช. กำหนด ส่วนการระงับบริการโทรคมนาคมเป็นอำนาจตามมาตรา 5 วรรคสอง โดยสำนักงานตำรวจแห่งชาติ กรมสอบสวนคดีพิเศษ สำนักงาน ปปง. หรือ ศปอท. แจ้งให้สำนักงาน กสทช. สั่งผู้ให้บริการระงับบริการ
- มาตรา 4/2 เมื่อ ศปอท. แจ้งรายชื่อบุคคลหรือเลขที่กระเป๋าสินทรัพย์ดิจิทัลที่เกี่ยวข้อง ให้สถาบันการเงินหรือผู้ประกอบธุรกิจปฏิเสธการเปิดบัญชี ระงับการให้บริการหรือการทำธุรกรรม หรือปิดบัญชี จนกว่าจะมีการเพิกถอนรายชื่อ ผู้ไม่ปฏิบัติตามมีโทษปรับไม่เกิน 500,000 บาทตามมาตรา 8/11
- ข้อเสนอแนะของ STH คือการทดสอบเจาะระบบ Mobile Banking, e-Wallet และแพลตฟอร์มสินทรัพย์ดิจิทัลช่วยยืนยันการควบคุมอุปกรณ์ การยืนยันตัวตน และธุรกรรมตามมาตรฐานที่หน่วยงานกำกับดูแลกำหนด โดยพระราชกำหนดไม่ได้กำหนดรอบการทดสอบ
บทกำหนดโทษเรื่องบัญชีม้า ซิมม้า และข้อมูลบุคคลหรือผู้ถึงแก่กรรม (มาตรา 9 ถึงมาตรา 11/2)
นอกจากความผิดฐานเปิดบัญชีม้าหรือซิมม้าแล้ว ฉบับที่ 2 เพิ่มความผิดเกี่ยวกับการใช้ เก็บรวบรวม ครอบครอง หรือเปิดเผยข้อมูลของบุคคลหรือผู้ถึงแก่กรรมที่ระบุตัวได้
- มาตรา 9 เปิดหรือยินยอมให้ผู้อื่นใช้บัญชีเงินฝาก บัตรอิเล็กทรอนิกส์ หรือบัญชีเงินอิเล็กทรอนิกส์ของตน (ซึ่งฉบับที่ 2 นิยามให้รวมบัญชีสินทรัพย์ดิจิทัล) หรือเลขหมายโทรศัพท์เคลื่อนที่ โดยรู้หรือควรรู้ว่าจะนำไปใช้กระทำความผิด มีโทษจำคุกไม่เกิน 3 ปี หรือปรับไม่เกิน 300,000 บาท หรือทั้งจำทั้งปรับ ส่วนมาตรา 10 และมาตรา 11 ซึ่งเป็นธุระจัดหา โฆษณา หรือไขข่าวเพื่อซื้อขาย ให้เช่า หรือให้ยืมบัญชี รวมถึงซื้อขายเลขหมายโทรศัพท์ที่ลงทะเบียนแล้วแต่ระบุตัวผู้ใช้ไม่ได้ มีโทษจำคุก 2 ถึง 5 ปี หรือปรับ 200,000 ถึง 500,000 บาท หรือทั้งจำทั้งปรับ
- มาตรา 11/2 วรรคหนึ่งและวรรคสอง ผู้ใช้ เก็บรวบรวม ครอบครอง หรือเปิดเผยข้อมูลเกี่ยวกับบุคคลหรือผู้ถึงแก่กรรมที่ระบุตัวได้ เพื่อกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยีหรือความผิดทางอาญาอื่นใด มีโทษจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ ส่วนวรรคสามเพิ่มโทษเป็นจำคุกไม่เกิน 5 ปี หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ หากกระทำโดยซื้อ เสนอซื้อ ขาย เสนอขาย แลกเปลี่ยน เสนอแลกเปลี่ยน หรือแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย
- มาตรา 11/2 ครอบคลุมข้อมูลของผู้ถึงแก่กรรม ซึ่งนิยามข้อมูลส่วนบุคคลตามมาตรา 6 แห่ง PDPA ไม่รวมไว้โดยเฉพาะ ส่วนมาตรา 12 แห่งพระราชกำหนดปี 2566 กำหนดให้การประมวลผลข้อมูลตามพระราชกำหนดไม่อยู่ภายใต้ PDPA แต่ผู้ได้รับหรือครอบครองข้อมูลจะเปิดเผยให้บุคคลซึ่งไม่มีหน้าที่เกี่ยวข้องทราบมิได้
- ข้อเสนอแนะของ STH คือควรรวมฐานข้อมูลลูกค้าและบัญชีทั้งที่ยังมีชีวิตและผู้ถึงแก่กรรมไว้ในขอบเขตการทดสอบเจาะระบบและการทบทวนสิทธิ์เข้าถึง เพื่อป้องกันการรั่วไหลจากทั้งภายนอกและผู้ปฏิบัติงานภายใน
ตารางอ้างอิงและขอบเขตการประเมิน
สรุปเอกสารอ้างอิง ขอบเขตการประเมิน และรอบทบทวนตามบริบทของแต่ละรายการ
| เอกสารอ้างอิง | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
|---|---|---|---|
| มาตรา 3, 4 และ 8/5 | การแลกเปลี่ยนข้อมูลตามมาตรา 4 และบทบาทของ ศปอท. | สถาบันการเงินและผู้ประกอบธุรกิจแลกเปลี่ยนข้อมูลบัญชี ธุรกรรม และเลขที่กระเป๋าสินทรัพย์ดิจิทัลเมื่อมีเหตุอันควรสงสัย ส่วนผู้ให้บริการโทรคมนาคมแลกเปลี่ยนข้อมูลบริการระหว่างกัน | เมื่อมีเหตุอันควรสงสัยตามที่ตัวบทกำหนด |
| มาตรา 4/1 และมาตรา 4/2 | มาตรฐานของหน่วยงานกำกับดูแล การคัดกรอง SMS และการปฏิเสธหรือระงับบริการ | ปฏิบัติตามมาตรฐานของ ธปท. สำนักงาน ก.ล.ต. กสทช. และคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ คัดกรอง SMS ตามมาตรฐานของสำนักงาน กสทช. และปฏิเสธเปิดบัญชีหรือระงับบริการตามรายชื่อที่ ศปอท. แจ้ง | ตามรอบและมาตรฐานที่หน่วยงานกำกับดูแลกำหนด ตัวพระราชกำหนดไม่ได้กำหนดรอบการทดสอบ |
| มาตรา 6, 7 และ 7/1 | การระงับธุรกรรมชั่วคราวและคำสั่งต่อผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลที่ไม่ได้รับอนุญาต | ระงับธุรกรรมชั่วคราวไม่เกิน 7 วันตามมาตรา 6 หรือตามขั้นตอนมาตรา 7 พร้อมแจ้งผู้รับโอนถัดไป และปฏิบัติตามคำสั่งของพนักงานเจ้าหน้าที่ตามมาตรา 7/1 | ทันทีเมื่อพบเหตุอันควรสงสัย ได้รับแจ้งจากผู้เสียหาย หรือได้รับคำสั่ง |
| มาตรา 8/10 และ 11/2 | ส่วนร่วมรับผิดชอบในความเสียหายและโทษอาญาด้านข้อมูลบุคคลหรือผู้ถึงแก่กรรม | เก็บหลักฐานการปฏิบัติตามมาตรฐานของหน่วยงานกำกับดูแลเพื่อพิสูจน์ตามมาตรา 8/10 และควบคุมการเข้าถึงข้อมูลบุคคลรวมถึงผู้ถึงแก่กรรม | เก็บหลักฐานอย่างต่อเนื่อง ตามข้อเสนอแนะของ STH |
รายการติดตามการดำเนินงาน
เลือกรายการที่องค์กรดำเนินการแล้ว เปอร์เซ็นต์แสดงสัดส่วนรายการที่เลือกเท่านั้น ไม่ใช่ผลประเมินความปลอดภัยหรือการปฏิบัติตามข้อกำหนด
คำถามที่พบบ่อย (FAQ)
คำถามและข้อสงสัยสำคัญเกี่ยวกับข้อกำหนดและการตรวจประเมินตามมาตรฐาน
พ.ร.ก. อาชญากรรมทางเทคโนโลยี (ฉบับที่ 2) พ.ศ. 2568 เพิ่มหน้าที่สำคัญอะไรบ้าง?
ฉบับที่ 2 (มีผลใช้บังคับ 13 เมษายน 2568) ขยายนิยาม ผู้ประกอบธุรกิจ ให้รวมผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล เพิ่มเลขที่กระเป๋าสินทรัพย์ดิจิทัลในการแลกเปลี่ยนข้อมูลตามมาตรา 4 เพิ่มมาตรา 4/1 และ 4/2 เพิ่มคำสั่งตามมาตรา 7/1 ต่อผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลที่ไม่ได้รับอนุญาต จัดตั้ง ศปอท. ตามมาตรา 8/5 กำหนดส่วนร่วมรับผิดชอบในความเสียหายตามมาตรา 8/10 และเพิ่มโทษอาญาด้านข้อมูลบุคคลหรือผู้ถึงแก่กรรมตามมาตรา 11/2
ส่วนร่วมรับผิดชอบตามมาตรา 8/10 มีเงื่อนไขอย่างไร?
สถาบันการเงินหรือผู้ประกอบธุรกิจ ผู้ให้บริการเครือข่ายโทรศัพท์ ผู้ให้บริการโทรคมนาคมอื่น ผู้ให้บริการอื่นที่เกี่ยวข้อง และผู้ให้บริการสื่อสังคมออนไลน์ มีส่วนร่วมรับผิดชอบในความเสียหายที่เกิดจากอาชญากรรมทางเทคโนโลยี เว้นแต่จะพิสูจน์ได้ว่าได้ปฏิบัติตามมาตรฐานหรือมาตรการที่ ธปท. สำนักงาน ก.ล.ต. กสทช. สำนักงาน กสทช. หรือคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์กำหนด แล้วแต่กรณี ตัวบทกำหนดหลักเบื้องต้นไว้เช่นนี้ และให้ผู้ให้บริการพิสูจน์การปฏิบัติตามมาตรฐานเพื่อพ้นความรับผิดชอบ
มาตรา 11/2 เชื่อมโยงกับการคุ้มครองข้อมูลส่วนบุคคลอย่างไร?
มาตรา 11/2 วรรคหนึ่งและวรรคสอง กำหนดโทษจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ สำหรับการใช้ เก็บรวบรวม ครอบครอง หรือเปิดเผยข้อมูลเกี่ยวกับบุคคลหรือผู้ถึงแก่กรรมที่ระบุตัวได้เพื่อกระทำความผิดอาญา และวรรคสามเพิ่มโทษเป็นจำคุกไม่เกิน 5 ปี หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ หากกระทำโดยซื้อ ขาย แลกเปลี่ยน หรือแสวงหาประโยชน์ที่มิควรได้ ตัวบทนี้ครอบคลุมข้อมูลของผู้ถึงแก่กรรม ซึ่งนิยามข้อมูลส่วนบุคคลตามมาตรา 6 แห่ง PDPA ไม่รวมไว้โดยเฉพาะ