Openai/6947c607-85fc-8000-b698-a6fef21a2edf

This conversation was exported from ChatGPT

gpt-5-2

User: ประเทศไทยมี กฎหมายเกี่ยวกับ ความรับผิด โทษปรับ 5 แสน ฐานไม่จัดให้มีระบบระบุตัวตนหรือไม่ครับ ไหม

ประเทศไทยมี กฎหมายเกี่ยวกับ ความรับผิด (โทษปรับ 5 แสน) ฐานไม่จัดให้มีระบบระบุตัวตนหรือไม่ครับ ไหม

Assistant: ใช่ครับ ในประเทศไทยมีบทลงโทษทางกฎหมายที่เกี่ยวข้องกับการ “ไม่จัดให้มีระบบระบุตัวตน” หรือไม่ดำเนินมาตรการยืนยันตัวตนตามท…

ใช่ครับ ในประเทศไทยมีบทลงโทษทางกฎหมายที่เกี่ยวข้องกับการ “ไม่จัดให้มีระบบระบุตัวตน” หรือไม่ดำเนินมาตรการยืนยันตัวตนตามที่กฎหมายกำหนด ซึ่งมีโทษปรับสูงสุดถึงประมาณ 500,000 บาท หรือมากกว่า ขึ้นอยู่กับกฎหมายที่บังคับใช้ — แต่จะไม่ใช่กฎหมายเดียวที่ใช้คำว่า “ระบบระบุตัวตน” ทั่วไป แต่จะอยู่ในบริบทของการป้องกันอาชญากรรมทางเทคโนโลยี/ธุรกรรมการเงิน และการคุ้มครองข้อมูลส่วนบุคคล ดังนี้:

กฎหมายฉบับนี้ (เรียกสั้น ๆ ว่า “พ.ร.ก.ไซเบอร์ 2568”) มีบทบัญญัติว่าด้วยมาตรการต่าง ๆ เพื่อป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี เช่น:

✅ ผู้ประกอบธุรกิจ เช่น

• สถาบันการเงิน
• ผู้ให้บริการโทรคมนาคม
• ผู้ให้บริการสินทรัพย์ดิจิทัล ต้องมีระบบและมาตรฐานด้านยืนยันตัวตนผู้ใช้ และร่วมป้องกันการใช้บัญชีปลอม/บัญชีม้า เป็นต้น จึงมีแนวทางกำกับให้ “จัดระบบยืนยันตัวตน” ตามมาตรฐานที่กำหนดโดยหน่วยงานกำกับดูแล (เช่น ธปท. / กสทช. / อื่น ๆ) iLaw

หากผู้ให้บริการไม่ระงับบัญชีหรือไม่ปฏิบัติตามคำสั่งจากศูนย์ปฏิบัติการเพื่อป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ศปอท.) หรือไม่ปฏิบัติตามมาตรฐานที่กำหนดไว้ — อาจถูก ปรับสูงสุดประมาณ 500,000 บาท (และในบางกรณีบุคคลรับผิดชอบอาจถูกลงโทษทางอาญา) บก.กค.ภ.3

👉 กรณีตัวอย่าง เช่น หากไม่ดำเนินการตามคำสั่งระงับบัญชีของศปอท. หรือไม่จัดให้มีมาตรการยืนยันตัวตนตามมาตรฐานที่กำหนดไว้ ก็ถือเป็นการไม่ปฏิบัติตามกฎหมายและอาจโดนโทษปรับได้ บก.กค.ภ.3

แม้ไม่ใช่บทลงโทษโดยตรงจากประมวลกฎหมายอาญา แต่ระบบ KYC (ยืนยันตัวตนลูกค้า) เป็นข้อกำหนดทางกฎหมายภายใต้กฎหมายฟอกเงิน/การทำธุรกรรมทางการเงิน เช่น:

• มาตรฐานจาก ธปท. และกฎหมายป้องกันการฟอกเงิน ระบุให้สถาบันการเงินต้องดำเนินการยืนยันตัวตนลูกค้าอย่างเหมาะสมในการเปิดบัญชี และร่วมป้องกันการสวมรอยบัญชี เป็นต้น BOT
• การไม่ปฏิบัติตามมาตรฐานเหล่านี้อาจมีโทษตามกฎหมายฟอกเงิน รวมถึงโทษปรับและบทลงโทษตามประกาศ/คำสั่งที่เกี่ยวข้อง Shufti Pro

| | | |

| --- | --- | --- | | | | | | | | | | | | |

- ใช่: ในกฎหมายไทยมีบทลงโทษเกี่ยวกับ “การไม่ปฏิบัติตามระบบ/มาตรการยืนยันตัวตน” ในบริบทของกฎหมายป้องกันอาชญากรรมทางเทคโนโลยีและบริการทางการเงิน ซึ่งมีโทษปรับสูงสุดประมาณ 500,000 บาท บก.กค.ภ.3

• แต่: ไม่มีบทบัญญัติเดียวที่ใช้ประโยคว่า “ต้องจัดระบบระบุตัวตน” โดยทั่วไปสำหรับทุกธุรกิจ แต่จะเป็น ภายใต้ข้อกำหนดเฉพาะตามประเภทของบริการ (สถาบันการเงิน, telecom, digital assets, ฯลฯ) และตามมาตรฐานกำกับดูแลที่กฎหมายให้หน่วยงานออกประกาศ/มาตรการได้ iLaw

ถ้าคุณอยากทราบ ข้อมูลเฉพาะเจาะจง มากขึ้น เช่น ในบริบทของ บริการการเงินที่ต้องมี KYC หรือ ในกฎหมายไซเบอร์ที่กำหนดหน้าที่ยืนยันตัวตนอย่างไร บอกได้ครับ เดี๋ยวผมสรุปรายละเอียดให้เพิ่มเติมได้!

User: เช่นถ้าจะทำแอพแชทละ ต้องมีอะไรบ้างถึงจะไม่ผิดกฏหมาย

เช่นถ้าจะทำแอพแชทละ ต้องมีอะไรบ้างถึงจะไม่ผิดกฏหมาย

Assistant: คำถามนี้ดีมากครับ 👍

คำถามนี้ดีมากครับ 👍 ถ้าจะทำ “แอปแชท” ในประเทศไทย ต้องมีอะไรบ้างถึงจะไม่ผิดกฎหมาย สรุปให้แบบ โฟกัสเฉพาะที่จำเป็นจริง ๆ และแยกชัดเจนว่า อะไร “ต้องมี” กับ อะไร “ไม่จำเป็น”

❌ ไม่จำเป็นต้อง

• KYC ด้วยบัตรประชาชน
• ผูกกับเลขบัตรประชาชน
• Face scan / NDID
• ระบุตัวตนจริง (real-name)

📌 ถ้าแอปคุณไม่ได้เป็น

• แอปการเงิน
• แอปสินทรัพย์ดิจิทัล
• e-Wallet
• Marketplace ที่รับเงินแทนคนอื่น

!https://termly\.io/wp\-content/uploads/Snapchat\-clause\-data\-collection\-474x1024\.png\.webp?utm\_source=chatgpt\.com

!https://www\.netsolutions\.com/wp\-content/uploads/2024/09/encryption\-1024x707\.webp?utm\_source=chatgpt\.com !https://d2duuy9yo5pldo\.cloudfront\.net/zyngasupport/32275d22\-5bba\-4f6c\-bf9c\-21177a5373e9\.png?utm\_source=chatgpt\.com 4

กฎหมายไม่ได้บังคับว่าเป็น ตัวตนจริง

แต่ต้อง ระบุตัวผู้ใช้ในระบบได้

ตัวอย่างที่ใช้ได้:

• เบอร์โทรศัพท์ (OTP)
• Email
• Username + password
• UUID / user ID ภายในระบบ

📌 เหตุผล: ถ้ามีคำสั่งศาล → ต้องสามารถ ระงับ / ตรวจสอบ / ให้ข้อมูลเชิงเทคนิคได้

ภายใต้ PDPA

ต้องมี:

• แจ้งว่าคุณเก็บข้อมูลอะไรบ้าง
• ใช้เพื่ออะไร
• เก็บนานแค่ไหน
• ติดต่อคุณได้อย่างไร
• วิธีลบข้อมูล / ปิดบัญชี

📌 โทษ PDPA:

• ปรับทางปกครอง สูงสุดหลายล้าน
• บางกรณีมีโทษอาญา (5 แสน)

ไม่ต้องถึงระดับธนาคาร

แต่ต้อง “เหมาะสม”

ขั้นต่ำที่ควรมี:

• HTTPS
• Hash password
• จำกัดสิทธิ์การเข้าถึงข้อมูล
• Log การเข้าถึงระบบ (admin log)

📌 ถ้าข้อมูลรั่วเพราะ “ไม่ป้องกันเลย” → ผิด PDPA

ภายใต้ พ.ร.บ.คอมพิวเตอร์

ต้อง:

• มีระบบ report / block
• มี admin หรือ process รับเรื่อง
• ลบข้อมูลผิดกฎหมาย “เมื่อรู้แล้ว”

เช่น:

• หลอกลวง
• คุกคาม
• ลามกเด็ก
• ฟิชชิ่ง
• การพนัน

📌 ถ้า “รู้แล้วไม่ลบ” → ผู้ให้บริการมีความผิดร่วม

ไม่ใช่แค่ไม่มีระบบยืนยันตัวตนเฉย ๆ

จะโดนเมื่อ:

• ศาล/หน่วยงานสั่งให้ระงับ → ไม่ทำ
• ไม่ให้ความร่วมมือกับพนักงานเจ้าหน้าที่
• ละเลยจนเอื้อต่ออาชญากรรม
• ทำตัวเป็นแพลตฟอร์ม แต่ไม่จัดการอะไรเลย

📌 ถ้าคุณ:

• มี user ID
• มี log
• มี policy
• มี admin process

👉 แทบไม่เข้าเงื่อนไขโทษ 5 แสน

ขั้นต่ำที่แนะนำ

• สมัครด้วย email / เบอร์
• Privacy Policy + Terms
• ระบบลบบัญชี
• Report / Block user
• Log การใช้งานพื้นฐาน
• HTTPS + password hash

ถ้าจะปลอดภัยขึ้น

• E2EE (ไม่บังคับ แต่ดีมาก)
• Rate limit / anti-spam
• Abuse response workflow

| | |

| --- | --- | | | | | | | | | | | | | | | | | | |

ถ้าคุณอยากบอกเพิ่มว่า

• แอปแชท anonymous 100%
• หรือมี group / channel / public chat
• หรือ เก็บข้อความเข้ารหัส / ไม่เก็บเลย

ผมจะช่วย ไล่ความเสี่ยงทางกฎหมายแบบตรง use case ให้ได้เลยครับ 👌

User: โอเครแล้วถ้าเป็นแอพไม่ระบะตัวตันละมี แค่ username และ passworc

โอเครแล้วถ้าเป็นแอพไม่ระบะตัวตันละมี แค่ username และ passworc

Assistant: ได้ครับ ✅

ได้ครับ ✅ ทำได้ และ “ไม่ผิดกฎหมาย” ถ้าออกแบบถูกทาง ผมสรุปให้ตรงกรณีของคุณเลย: แอปแชทไม่ระบุตัวตน (anonymous) มีแค่ username + password

🔐 คำตอบสั้น ๆ ก่อน

แอปแชทที่มีแค่ username + password สามารถทำได้ถูกกฎหมายในไทย

ไม่จำเป็นต้องมีบัตรประชาชน / เบอร์ / email

แต่ต้องมี “มาตรการขั้นต่ำ” บางอย่าง ไม่งั้นจะเสี่ยงโดน พ.ร.บ.คอมฯ / PDPA

สิ่งที่ “ต้องมี” แม้จะ anonymous

!https://www\.code\-brew\.com/wp\-content/uploads/2025/07/III\.\-Top\-12\-Anonymous\-Messaging\-Apps\-for\-iOS\-Android\-in\-2025\-visual\-selection\-1\.png?utm\_source=chatgpt\.com 4

✅ 1️⃣ ระบบระบุตัว “เชิงเทคนิค”

ถึงไม่รู้ว่าเป็นใครจริง แต่ต้อง ผูกการกระทำกับ account ใด account หนึ่งได้

เช่น:

• internal user_id (UUID)
• ผูก message → user_id
• log เวลา / IP (แบบจำกัดและมีเหตุผล)

📌 เหตุผล:

• ศาลสั่ง → ต้อง “ปิดบัญชีต้นทางได้”
• ป้องกัน spam / bot / scam

❗ ถ้า “ไม่ผูกอะไรเลย” = เสี่ยงมาก

✅ 2️⃣ Privacy Policy (PDPA ยังใช้)

แม้จะไม่รู้ว่าเป็นใคร PDPA ยังใช้ เพราะ username / IP = ข้อมูลส่วนบุคคล

ต้องแจ้ง:

• เก็บอะไร (username, IP, log)
• เก็บทำไม (ความปลอดภัย)
• เก็บนานแค่ไหน
• วิธีลบบัญชี

📌 ถ้าไม่มี → ผิด PDPA ทันที

✅ 3️⃣ ระบบ Report / Block

สำคัญมากสำหรับ anonymous

ต้อง:

• report message / user
• block user
• admin ลบข้อความได้

📌 ถ้าไม่มี แล้วปล่อยให้เกิด:

• scam
• คุกคาม
• CSAM → ผู้ให้บริการ “ร่วมรับผิด”

✅ 4️⃣ Log ขั้นต่ำ (อย่าเก็บเกิน)

แนะนำ:

• user_id
• timestamp
• action type
• IP (hash หรือ truncate ก็ได้)

📌 ไม่ต้อง:

• device fingerprint ละเอียด
• ติดตามข้ามแอป
• ขายข้อมูล

✅ 5️⃣ ความปลอดภัยระบบ

ขั้นต่ำ:

• HTTPS
• password hash (bcrypt / argon2)
• rate limit login
• ป้องกัน brute force

🚨 สิ่งที่ “ห้ามทำ”

❌ อ้างว่า anonymous แต่แอบ track หนัก ❌ ไม่มีทางลบข้อมูล ❌ รู้ว่ามีเนื้อหาผิดกฎหมายแล้วไม่จัดการ ❌ ไม่มีช่องทางติดต่อผู้ให้บริการ

เรื่อง “โทษปรับ 5 แสน” ในเคสนี้

จะไม่โดน ถ้า:

• คุณให้ความร่วมมือเจ้าหน้าที่
• ระงับบัญชีตามคำสั่งศาล
• มี log ขั้นต่ำ
• ไม่เพิกเฉยต่อการรายงาน

จะเสี่ยง ถ้า:

• บอกว่า “ไม่เก็บอะไรเลย”
• ระบุตัวต้นทางไม่ได้แม้เชิงเทคนิค
• ปล่อย scam เป็นระบบ

🧩 Checklist สำหรับ anonymous chat app

ขั้นต่ำ

• username + password
• internal user_id
• report / block
• admin delete
• privacy policy
• password hash
• https

ปลอดภัยขึ้น

• rate limit
• captcha ตอนสมัคร
• temporary ban
• data retention limit

สรุปสุดท้าย (ตรงประเด็น)

✔️ แอปแชท anonymous มีแค่ username + password

✔️ ทำได้ถูกกฎหมายในไทย

❌ ไม่จำเป็นต้องยืนยันตัวตนจริง

⚠️ แต่ต้อง “ควบคุมได้” เมื่อเกิดปัญหา

ถ้าคุณอยากเล่าเพิ่มว่า

• เป็น 1–1 chat / group / public room
• เก็บ message กี่วัน
• มี end-to-end encryption หรือไม่

ผมช่วย ประเมินความเสี่ยง + แนะนำสถาปัตยกรรมที่ปลอดกฎหมาย ให้ได้เลยครับ 👌