กฎ eKYC ในประเทศไทย ปี 2026: สิ่งที่ธนาคาร บริษัทประกัน และธุรกิจดิจิทัลต้องรู้

คำตอบสั้น ๆ

ประเทศไทยไม่มี "กฎหมาย eKYC" ฉบับเดียว การยืนยันตัวตนทางไกลถูกกำหนดโดยกฎสี่ชั้นที่ทำงานร่วมกัน ได้แก่ หน้าที่ตรวจสอบตัวตนลูกค้าตามกฎหมายป้องกันและปราบปรามการฟอกเงิน มาตรฐานของสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) ที่กำหนดว่าการพิสูจน์ตัวตนน่าเชื่อถือเพียงใด กฎของหน่วยงานกำกับแต่ละภาคธุรกิจ (ธนาคารแห่งประเทศไทย สำนักงาน ก.ล.ต. หรือสำนักงาน คปภ.) และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ซึ่งดูแลภาพใบหน้าและข้อมูลชีวภาพที่ระบบ eKYC เก็บ

สำหรับการรับลูกค้าใหม่ในธุรกิจที่มีการกำกับดูแลส่วนใหญ่ เป้าหมายในทางปฏิบัติคือ ระดับความน่าเชื่อถือของการพิสูจน์ตัวตน IAL2.3 คือ ตรวจสอบบัตรประชาชนกับแหล่งข้อมูลของรัฐ และเปรียบเทียบข้อมูลชีวภาพระหว่างบุคคลที่อยู่หน้ากล้องกับบัตร พร้อมตรวจสอบการมีชีวิตเมื่อลูกค้าทำรายการจากระยะไกล บทความนี้อธิบายว่าข้อกำหนดนี้มาจากไหน และมีความหมายอย่างไรต่อระบบที่องค์กรของคุณสร้างหรือเลือกใช้

---

ชั้นที่ 1: หน้าที่ในการรู้จักลูกค้า

พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 คือจุดเริ่มต้นของหน้าที่นี้ สถาบันการเงินและผู้มีหน้าที่รายงานอื่น ๆ ต้องระบุและพิสูจน์ทราบตัวตนลูกค้าก่อนทำธุรกรรม eKYC ไม่ได้เปลี่ยนหน้าที่นี้ แต่เปลี่ยน วิธี ทำให้ครบถ้วน คือผ่านกล้อง เครื่องอ่านชิป หรือเครือข่ายพิสูจน์ตัวตนดิจิทัล แทนการมาที่เคาน์เตอร์สาขา

---

ชั้นที่ 2: ระดับความน่าเชื่อถือของการพิสูจน์ตัวตนตามมาตรฐาน สพธอ.

มาตรฐานดิจิทัลไอดีของ สพธอ. (ส่วนที่ 2: ข้อกำหนดของการพิสูจน์และยืนยันตัวตน ฉบับปี 2566) ให้มาตรวัดร่วมกันของประเทศว่า "เรามั่นใจเพียงใดว่าบุคคลนี้คือผู้ที่เขากล่าวอ้าง" หน่วยงานกำกับและภาคธุรกิจอ้างอิงระดับเหล่านี้เมื่อกำหนดข้อกำหนด

• IAL1 ผู้ใช้แจ้งข้อมูลตัวตนเอง ผู้ให้บริการไม่จำเป็นต้องตรวจสอบ
• IAL2.1 ตรวจสอบเอกสารแสดงตน (สำหรับบัตรประชาชน คืออ่านข้อมูลจากชิป) และเจ้าหน้าที่เปรียบเทียบใบหน้ากับภาพบนบัตร หากพิสูจน์ตัวตนทางไกลต้องบันทึกภาพใบหน้าลูกค้า
• IAL2.2 เหมือน IAL2.1 และเพิ่ม การตรวจสอบสถานะบัตรกับระบบตรวจสอบของภาครัฐ โดยใช้หมายเลขชิปหรือรหัสหลังบัตร (laser code)
• IAL2.3 เหมือน IAL2.2 และเพิ่ม การเปรียบเทียบข้อมูลชีวภาพ คือเทียบใบหน้า (หรือลายนิ้วมือ) ของลูกค้ากับข้อมูลชีวภาพในชิปบัตร หรือผ่านบริการตรวจสอบใบหน้าของกระทรวงมหาดไทยเมื่อไม่ได้ใช้เครื่องอ่านบัตร
• IAL3 ต้องพบหน้าเท่านั้น ใช้เครื่องอ่านบัตร ตรวจสอบสถานะบัตร ยืนยันตัวตนกับแหล่งข้อมูลของรัฐอย่างน้อยหนึ่งแหล่งนอกเหนือจากฐานข้อมูลทะเบียนราษฎร และเปรียบเทียบข้อมูลชีวภาพ

มาตรฐานยังกำหนดความแม่นยำของการเปรียบเทียบข้อมูลชีวภาพด้วย การเทียบต้องเป็นแบบหนึ่งต่อหนึ่ง (บุคคลนี้กับบัตรใบนี้ ไม่ใช่การค้นหาในฐานข้อมูล) อัตราการยอมรับผิดพลาด (false match) ต้องไม่เกิน 0.01% และ อัตราการปฏิเสธผิดพลาด (false non-match) ต้องไม่เกิน 3% เมื่อพิสูจน์ตัวตนทางไกล ระบบต้องมี การตรวจจับการปลอมแปลง (presentation attack detection) ซึ่งในทางปฏิบัติคือการตรวจสอบการมีชีวิต (liveness detection) ที่ป้องกันการใช้ภาพพิมพ์ ภาพจากหน้าจอ หรือหน้ากาก

ตัวเลขเหล่านี้คือสิ่งที่แยกระบบ eKYC ที่ใช้ในธุรกิจที่มีการกำกับดูแลออกจาก "การอัปโหลดเซลฟี" เมื่อประเมินผู้ให้บริการ ควรขอผลทดสอบอัตรา false match และ false non-match และใบรับรองการตรวจสอบการมีชีวิต ไม่ใช่แค่ดูการสาธิต

---

ชั้นที่ 3: หน่วยงานกำกับแต่ละแห่งคาดหวังอะไร

ธนาคารและผู้ให้บริการชำระเงิน (ธนาคารแห่งประเทศไทย)

ธนาคารแห่งประเทศไทยเปิดทางให้เปิดบัญชีทางไกลผ่านโครงการ Regulatory Sandbox ซึ่งธนาคารได้ทดสอบการเปิดบัญชีเงินฝากด้วย e-KYC และการจดจำใบหน้าผ่านแพลตฟอร์ม National Digital ID (NDID) กลุ่มแรกที่ได้รับอนุมัติ ได้แก่ ธนาคารกสิกรไทย ธนาคารไทยพาณิชย์ ธนาคารกรุงเทพ ธนาคารกรุงศรีอยุธยา ธนาคารทหารไทย และธนาคารซีไอเอ็มบี ไทย

สำหรับเงินอิเล็กทรอนิกส์ ประกาศ ธปท. ที่ สนช. 1/2563 (ออกเมื่อ 13 มีนาคม 2563 มีผลใช้บังคับ 6 พฤษภาคม 2563) กำหนดการพิสูจน์ตัวตนแบบไม่พบหน้าไว้ว่า ผู้ให้บริการต้องถ่ายภาพลูกค้าด้วยเทคโนโลยีที่ยอมรับได้ และ เปรียบเทียบกับข้อมูลชีวภาพในบัตรประชาชนแบบสมาร์ตการ์ด และสามารถพิสูจน์ตัวตนผ่าน NDID ได้ ทั้งแบบใช้เพียงอย่างเดียวหรือร่วมกับขั้นตอนเหล่านี้

หลังจากนั้นจุดเน้นได้เปลี่ยนจากการเปิดบัญชีไปสู่การป้องกันการฉ้อโกง ตามมาตรการที่ ธปท. ประกาศในเดือนมีนาคม 2566 ธนาคารต้อง ยืนยันตัวตนด้วยใบหน้าเมื่อโอนเงินเกิน 50,000 บาทต่อครั้ง โอนรวมเกิน 200,000 บาทต่อวัน หรือปรับเพิ่มวงเงินโอนเกิน 50,000 บาทต่อครั้ง และผู้ใช้โมบายแบงกิ้งหนึ่งรายใช้งานได้บนอุปกรณ์เดียว ในปี 2568 ธปท. ได้เข้มงวดการรู้จักลูกค้าสำหรับการเปิดบัญชีธนาคาร บัญชีชำระเงิน และบัญชีเงินอิเล็กทรอนิกส์ใหม่ ซึ่งเป็นส่วนหนึ่งของมาตรการป้องกันภัยทุจริต กล่าวคือ การยืนยันตัวตนด้วยข้อมูลชีวภาพไม่ได้เป็นเพียงขั้นตอนครั้งเดียวตอนสมัครอีกต่อไป แต่เป็นส่วนหนึ่งของธุรกรรมความเสี่ยงสูงในชีวิตประจำวัน

หลักทรัพย์และกองทุน (สำนักงาน ก.ล.ต.)

สำนักงาน ก.ล.ต. สนับสนุนให้บริษัทหลักทรัพย์และบริษัทจัดการกองทุนเปิดบัญชีออนไลน์ผ่าน NDID ผู้ลงทุนที่ผ่านการพิสูจน์ตัวตนกับธนาคารแล้วสามารถใช้ผลการพิสูจน์ตัวตนนั้นผ่าน NDID ได้ จึงไม่ต้องทำกระบวนการทั้งหมดซ้ำเมื่อเปิดบัญชีซื้อขายหลักทรัพย์หรือกองทุน ณ เดือนพฤศจิกายน 2563 มีบริษัทหลักทรัพย์ 6 แห่งและบริษัทจัดการกองทุน 4 แห่งที่ให้บริการนี้

ประกันภัย (สำนักงาน คปภ.)

ธุรกิจประกันภัยกำลังเปลี่ยนเป็นดิจิทัลโดยค่าเริ่มต้น เมื่อวันที่ 15 กันยายน 2569 สำนักงาน คปภ. ได้ออกประกาศใหม่สำหรับการประกันชีวิตและการประกันวินาศภัย ซึ่งมีผลใช้บังคับ 1 มกราคม 2570 โดยกำหนดให้บริษัทประกัน ส่งมอบกรมธรรม์ในรูปแบบอิเล็กทรอนิกส์เป็นค่าเริ่มต้น ส่งกรมธรรม์ที่ออกแล้วให้สำนักงาน คปภ. ทางอิเล็กทรอนิกส์ทันทีที่ออก และ ตรวจสอบตัวตนและอำนาจของผู้เสนอขาย เมื่อขายผ่านพนักงาน ตัวแทน หรือนายหน้า สำหรับบริษัทประกัน ตัวตนจึงเป็นโจทย์สองด้าน คือพิสูจน์ว่าลูกค้าคือใคร และพิสูจน์ว่าใครเป็นผู้ขาย

---

ชั้นที่ 4: PDPA และข้อมูลชีวภาพ

ข้อมูลใบหน้าหรือลายนิ้วมือที่ใช้ระบุตัวบุคคลเป็น ข้อมูลส่วนบุคคลที่มีความอ่อนไหว ตามมาตรา 26 ของ PDPA โดยหลักต้องได้รับ ความยินยอมโดยชัดแจ้ง จากเจ้าของข้อมูล เว้นแต่มีฐานทางกฎหมายอื่น เช่น การปฏิบัติตามหน้าที่ตามกฎหมาย สำหรับกระบวนการ eKYC หมายถึงสี่เรื่องในทางปฏิบัติ คือ ขอความยินยอมอย่างชัดเจนก่อนเก็บข้อมูล เก็บเฉพาะที่จำเป็นต่อการตรวจสอบ เข้ารหัสข้อมูลชีวภาพและแยกจากข้อมูลลูกค้าทั่วไป และกำหนดระยะเวลาเก็บรักษาที่ชี้แจงต่อผู้ตรวจสอบได้

---

องค์ประกอบของระบบพิสูจน์ตัวตนดิจิทัลของไทย

• NDID (National Digital ID) เครือข่ายที่ให้สถาบันที่พิสูจน์ตัวตนลูกค้าแล้วยืนยันตัวตนนั้นให้อีกสถาบันหนึ่งได้ เมื่อลูกค้าอนุมัติผ่านแอปธนาคารของตน
• กรมการปกครองและแอป ThaID กรมการปกครองดูแลฐานข้อมูลทะเบียนราษฎรที่ใช้ตรวจสอบสถานะบัตร และแอป ThaID (เปิดตัวในปี 2566) ช่วยให้ประชาชนยืนยันตัวตนด้วยใบหน้าเพื่อใช้บริการออนไลน์
• การอ่านชิปและรหัสหลังบัตร เครื่องอ่านบัตร (dip chip) อ่านข้อมูลในชิป รวมถึงภาพใบหน้าที่ใช้เปรียบเทียบข้อมูลชีวภาพ หากไม่มีเครื่องอ่าน จะใช้รหัสหลังบัตร (laser code) ในการตรวจสอบสถานะ

---

เช็กลิสต์สำหรับระบบ eKYC ขององค์กร

1. กำหนดระดับเป้าหมายของแต่ละผลิตภัณฑ์ การสมัครรับจดหมายข่าวไม่จำเป็นต้องถึง IAL2.3 แต่บัญชีเงินฝาก กระเป๋าเงินที่โอนเงินได้ หรือกรมธรรม์ประกันภัยมักจำเป็น ควรบันทึกระดับที่ใช้ของแต่ละเส้นทางให้ชัดเจน
2. รองรับทั้งสองช่องทาง ใช้เครื่องอ่านบัตรในจุดที่มีเคาน์เตอร์หรือตู้บริการ และใช้รหัสหลังบัตรสำหรับลูกค้าที่ทำรายการบนโทรศัพท์ของตนเอง
3. ตรวจสอบสถานะบัตรกับแหล่งข้อมูลของรัฐ ไม่ใช่ดูเพียงภาพบัตร
4. ใช้ระบบตรวจสอบการมีชีวิตที่ได้รับการรับรอง และเก็บผลการทดสอบไว้สำหรับผู้ตรวจสอบ
5. รู้อัตราความผิดพลาดของระบบชีวภาพ และยืนยันว่าเป็นไปตามเกณฑ์ของ สพธอ. (false match ไม่เกิน 0.01% และ false non-match ไม่เกิน 3%)
6. เก็บบันทึกการตรวจสอบ (audit trail) ให้ครบ ทุกการตรวจ ทุกการตัดสินใจ และทุกการแก้ไขโดยเจ้าหน้าที่
7. จัดการความยินยอมและระยะเวลาเก็บรักษาตาม PDPA สำหรับภาพใบหน้าและแม่แบบข้อมูลชีวภาพ
8. ใช้ผลการยืนยันตัวตนซ้ำสำหรับธุรกรรมความเสี่ยงสูงภายหลัง เช่น การโอนเงินจำนวนมาก การเปลี่ยนวงเงิน หรือการแก้ไขกรมธรรม์ เพื่อไม่ให้ลูกค้าต้องเริ่มต้นใหม่
9. เชื่อมต่อกับระบบหลัก (core banking ระบบบริหารกรมธรรม์ CRM) เพื่อให้ลูกค้าที่ยืนยันตัวตนแล้วพร้อมใช้บริการได้ทันที

---

TMES ช่วยได้อย่างไร

แพลตฟอร์ม Digital Identity และ eKYC ของ TMES ครอบคลุมการอ่านและตรวจสอบเอกสาร การเปรียบเทียบใบหน้าพร้อมตรวจสอบการมีชีวิต การประเมินความเสี่ยงแบบเรียลไทม์ ขั้นตอนรับลูกค้าใหม่ที่ปรับตั้งค่าได้ การจัดการความยินยอม และบันทึกการตรวจสอบครบถ้วน พร้อมเชื่อมต่อกับระบบ core banking, CRM และแพลตฟอร์มข้อมูล สำหรับ Richemont ระบบ eKYC ช่วยลดเวลายืนยันตัวตนจากหลายวันเหลือไม่ถึง 60 วินาที หากต้องการวางเส้นทางรับลูกค้าใหม่ขององค์กรให้สอดคล้องกับกฎข้างต้น พูดคุยกับทีมผู้เชี่ยวชาญด้านการพิสูจน์ตัวตนของเรา

บทความนี้เป็นข้อมูลทั่วไปเกี่ยวกับกฎเกณฑ์ของไทย ณ เดือนพฤศจิกายน 2569 ไม่ใช่คำแนะนำทางกฎหมาย กฎเกณฑ์อาจเปลี่ยนแปลง ควรตรวจสอบข้อกำหนดล่าสุดกับหน่วยงานกำกับที่เกี่ยวข้องหรือที่ปรึกษากฎหมายก่อนออกแบบกระบวนการที่มีการกำกับดูแล