PSD2 คือชื่อเรียกกฎของสหภาพยุโรป (Directive (EU) 2015/2366) ว่าด้วยบริการชำระเงิน ศาลยุติธรรมแห่งสหภาพยุโรป (CJEU) ตีความในคดี C-70/25 เมื่อ 15 ตุลาคม 2569 ว่าธนาคารปฏิเสธคืนเงินทันทีโดยอ้างว่าลูกค้าประมาทเลินเล่ออย่างร้ายแรงไม่ได้ ต้องคืนก่อนแล้วค่อยพิสูจน์ บทความนี้เหมาะกับธนาคาร ฟินเทค e-wallet ฝ่ายกฎหมาย และคนขายของออนไลน์ ที่อยากรู้ว่าหลักนี้เทียบกับไทยอย่างไร
ลองนึกภาพคนขายของออนไลน์ที่มี “ผู้ซื้อ” ส่งลิงก์หน้าเว็บธนาคารมาให้กรอกข้อมูล แล้วเงินในบัญชีหายไป คดีที่ศาลยุโรปตัดสินเมื่อ 15 ตุลาคม 2569 มาจากเหตุแบบนี้ ปัญหาที่ศาลตอบคือ ธนาคารมีสิทธิ์ “ไม่คืนเงินก่อน” เพราะเห็นว่าลูกค้ากรอกข้อมูลให้มิจฉาชีพเองหรือไม่
สรุปสั้น: ศาลยุโรปตัดสินในคดี C-70/25 เมื่อ 15 ต.ค. 2569 ว่าตาม PSD2 ผู้ให้บริการชำระเงินปฏิเสธคืนเงินทันทีโดยอ้างความประมาทเลินเล่ออย่างร้ายแรงของผู้ชำระไม่ได้ ต้องคืนอย่างช้าสุดสิ้นวันทำการถัดจากวันที่ได้รับแจ้ง ธนาคารไล่เบี้ยลูกค้าภายหลังได้ถ้าพิสูจน์ได้ คำพิพากษานี้ไม่ผูกมัดไทย แต่เป็นตัวเทียบเคียงสำหรับแบงก์และฟินเทคไทย
PSD2 คดี C-70/25 คืออะไร เกิดอะไรขึ้น
คดี C-70/25 เป็นคดีที่ศาลชั้นต้นของโปแลนด์ส่งคำถามมาให้ CJEU ตีความ PSD2 โดยมีธนาคาร PKO BP เป็นฝ่ายที่ปฏิเสธคืนเงิน ข้อเท็จจริงตามที่ศูนย์วิจัย EFRI และ heise online รายงานจากคำพิพากษา ลูกค้ารายหนึ่งขายของออนไลน์ มิจฉาชีพปลอมเป็นผู้ซื้อแล้วส่งลิงก์เว็บธนาคารปลอมให้
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ศาล / คดี | CJEU คดี C-70/25 ตัดสิน 15 ต.ค. 2569 (แถลงข่าวหมายเลข 147/2026) |
| กฎหมายที่ตีความ | PSD2 มาตรา 73(1) และ 74(1) |
| ข้อเท็จจริงในคดี | ลูกค้ากรอกข้อมูลล็อกอินในเว็บปลอม มิจฉาชีพโอนไป 3,000 złoty (ราว 705 ยูโร) และหลอกเอารหัส SMS |
| หลักที่ศาลวางไว้ | ปฏิเสธคืนเงินทันทีเพราะลูกค้าประมาทร้ายแรงไม่ได้ ต้องคืนภายในสิ้นวันทำการถัดไป |
| ตัวเลขประกอบจาก EFRI | โปแลนด์ ไตรมาส 1 ปี 2569 โอนไม่ได้รับอนุญาตราว 250 ล้าน złoty ธนาคารแบกรับราว 27 ล้าน złoty |
ศาลยุโรปให้ธนาคารทำอะไรเมื่อลูกค้าแจ้งว่าถูกฟิชชิง
ศาลยุโรปให้ธนาคารคืนเงินอย่างช้าสุดสิ้นวันทำการถัดจากวันที่ได้รับแจ้ง ข้อยกเว้นเดียวคือธนาคารมีเหตุอันควรสงสัยว่าลูกค้าทุจริตและแจ้งหน่วยงานกำกับเป็นหนังสือ
หลักนี้แยกคำถามสองข้อออกจากกัน ข้อแรกคือใครต้องคืนเงินก่อน ซึ่งคือธนาคาร ข้อสองคือใครรับความเสียหายสุดท้าย ซึ่งยังพิสูจน์กันต่อได้ ธนาคารไล่เบี้ยลูกค้าภายหลังได้ถ้าพิสูจน์ได้ว่าลูกค้าจงใจหรือประมาทเลินเล่ออย่างร้ายแรง และภาระพิสูจน์อยู่ที่ธนาคาร
คำพิพากษา PSD2 นี้ยังไม่ได้ตัดสินอะไร
คำพิพากษา PSD2 ฉบับนี้ไม่ได้ตัดสินว่าลูกค้ารายนั้นประมาทร้ายแรงจริงหรือไม่ และไม่ครอบคลุมกรณีลูกค้าสั่งโอนเองเพราะถูกหลอก (APP fraud) ที่คนไทยเจอบ่อย คำพิพากษาครอบคลุมเฉพาะธุรกรรมที่ลูกค้าไม่ได้อนุญาต
ประเด็นว่าร่าง Payment Services Regulation (PSR) ของสหภาพยุโรปที่ยังไม่ผ่านอาจต้องปรับตามคำพิพากษา เป็นการวิเคราะห์ ยังไม่ใช่ข้อเท็จจริงที่ยืนยัน
PSD2 ธนาคารคืนเงินฟิชชิงก่อน กระทบธุรกิจไทยอย่างไร
คำพิพากษา PSD2 ไม่ผูกมัดธนาคารไทย เพราะไทยไม่ได้อยู่ใต้กฎหมายของสหภาพยุโรป การเทียบกับไทยต่อจากนี้เป็นการวิเคราะห์ของผู้เขียน
ธนาคารและ e-wallet ไทยต้องทบทวนอะไร
ธนาคารและ e-wallet ไทยควรทบทวนขั้นตอนปฏิเสธคืนเงินในเคสฟิชชิงว่าตั้งอยู่บนข้อสันนิษฐานว่าลูกค้าประมาทหรือไม่ และใครต้องพิสูจน์อะไร ถ้ามีลูกค้าหรือพันธมิตรในยุโรป คำพิพากษา C-70/25 กระทบโดยตรงต่อวิธีตอบข้อร้องเรียน เพราะหลัก “คืนก่อน แล้วค่อยพิสูจน์” ใช้กับตัวธุรกรรมที่ผู้ให้บริการอยู่ในขอบเขต PSD2
ไทยมีกรอบร่วมรับผิดชอบอะไรอยู่แล้ว
ไทยใช้แนวคิด “ร่วมรับผิดชอบ” ผ่านพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ที่แก้ไขเพิ่มเติม (ฉบับที่ 2) พ.ศ. 2568 ซึ่งให้ธนาคาร ผู้ให้บริการโทรคมนาคมและแพลตฟอร์มมีส่วนรับผิดต่อความเสียหาย บทความนี้ไม่ระบุเลขมาตราของพระราชกำหนดเพราะยังไม่ได้ตรวจกับราชกิจจานุเบกษา ภาพรวมว่าเหยื่อแก๊งคอลเซ็นเตอร์ควรเรียกร้องจากใคร อ่านได้ใน พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ
คดีที่สภาองค์กรของผู้บริโภคฟ้อง Meta, LINE, Apple, Google และสถาบันการเงิน 9 แห่ง เรียกค่าเสียหายกว่า 230 ล้านบาท ยังอยู่ในศาลแพ่ง ยังไม่มีคำพิพากษา
ฟินเทคและผู้ให้บริการชำระเงินที่มีลูกค้าในยุโรปต้องเตรียมอะไร
ฟินเทคและผู้ให้บริการชำระเงินที่ขายบริการในสหภาพยุโรปควรตรวจสัญญากับธนาคารพันธมิตรว่าใครคืนเงินก่อน และใครรับความเสียหายสุดท้ายเมื่อธนาคารไล่เบี้ยไม่ได้ ถ้าสัญญาเขียนให้ฟินเทครับภาระทั้งหมดโดยไม่มีกลไกพิสูจน์ ฟินเทครายเล็กอาจแบกกระแสเงินสดไม่ไหว
แม่ค้าออนไลน์และผู้บริโภคได้อะไรจากหลักนี้
แม่ค้าออนไลน์และผู้บริโภคในยุโรปได้สิทธิ์ขอเงินคืนเร็วโดยไม่ต้องรอพิสูจน์ความผิดของตัวเองก่อน ผู้บริโภคไทยยังไม่ได้สิทธิ์เดียวกันโดยอัตโนมัติ แต่ควรแจ้งธนาคารทันทีที่รู้ตัวและเก็บหลักฐาน รหัส SMS ที่ถูกหลอกเอาไปเป็นจุดอ่อนที่ ธปท. เตรียมปรับ ดูบริบทใน Deepfake สวมหน้าขอซิมใหม่ ดูดคริปโต 162 ล้านบาท ขณะที่ ธปท. เตรียมเลิก SMS-OTP ธุรกิจที่ใช้ eKYC ด้วยใบหน้าต้องเตรียมอะไร
ถ้าธนาคารและฟินเทคไม่ทบทวนขั้นตอนคืนเงิน จะเสี่ยงอะไร
ถ้าไม่ทบทวน ธนาคารและฟินเทคที่มีลูกค้าหรือพันธมิตรในยุโรปเสี่ยงถูกร้องเรียนว่าปฏิเสธคืนเงินโดยไม่มีฐานตามกฎหมาย และเสี่ยงแพ้คดีเพราะภาระพิสูจน์ความประมาทอยู่ที่ธนาคาร
ในไทย ความเสี่ยงคือคู่มือปฏิเสธเคสที่เขียนว่า “ลูกค้าให้รหัสเอง” แล้วจบ โดยไม่มีบันทึกว่าระบบตรวจจับความผิดปกติทำงานหรือไม่ เมื่อกรอบร่วมรับผิดชอบและคดีของผู้บริโภคเดินหน้า คู่มือแบบนี้จะอธิบายต่อศาลหรือหน่วยงานกำกับได้ยากขึ้น ฝั่งบัญชีม้าและการรับชำระ ธปท. ก็เตรียมคุมผู้ให้บริการชำระเงินอยู่แล้ว ตามที่สรุปไว้ใน ธปท. สกัด “เงินเทา” คุมบัญชีม้า–USDT เตรียมออกประกาศห้ามผู้ให้บริการชำระเงินรับกลุ่มพนันออนไลน์ ธุรกิจออนไลน์ไทยต้องเตรียมสัญญาและ KYC อย่างไร
ฝ่ายกฎหมายและ Compliance ของแบงก์ฟินเทคควรทำอะไรต่อ
ฝ่ายกฎหมายและ Compliance ควรทำ 5 ข้อนี้ เพื่อให้ขั้นตอนรับมือเคสฟิชชิงรองรับทั้งหลักของไทยและหลักที่ศาลยุโรปวางไว้
- 1. ทบทวนคู่มือปฏิเสธคืนเงิน แยกให้ชัดว่าเคสไหนเป็นธุรกรรมที่ลูกค้าไม่ได้อนุญาต และเคสไหนลูกค้าสั่งโอนเอง
- 2. กำหนดเวลาตอบเคสฟิชชิง วางเส้นเวลาภายในให้ทันกรอบ “สิ้นวันทำการถัดไป” สำหรับลูกค้าหรือพันธมิตรที่อยู่ใต้ PSD2
- 3. เก็บหลักฐานที่ใช้พิสูจน์ได้ บันทึกเวลาที่ลูกค้าแจ้ง ล็อกการล็อกอิน การส่งรหัส และการแจ้งเตือน เพราะภาระพิสูจน์ความประมาทอยู่ที่ธนาคาร
- 4. ตรวจสัญญาพันธมิตร ระบุว่าใครคืนเงินก่อน ใครรับความเสียหายสุดท้าย และไล่เบี้ยกันอย่างไร
- 5. ติดตามร่างกฎของ EU และกฎไทย ดูร่าง PSR ของสหภาพยุโรปและความคืบหน้าของคดีผู้บริโภคในศาลแพ่งไทย
ถ้าต้องการให้ผู้เชี่ยวชาญช่วยทบทวนคู่มือและสัญญาด้านนี้ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ คำพิพากษานี้ไม่ได้บอกว่าลูกค้าไม่มีความผิด แต่บอกว่าธนาคารต้อง “จ่ายก่อนแล้วค่อยเถียง” ถ้าอยากรู้ว่าใครรับผิดชอบ ให้ดูว่าใครต้องวางเงินก่อน จุดที่องค์กรมักพลาดคือคู่มือปฏิเสธเคสที่อ้างความประมาทของลูกค้า แต่ไม่มีหลักฐานระบบรองรับ ควรเช็กว่าเคสฟิชชิงทุกเคสย้อนดูเส้นเวลาได้ครบ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ PSD2
PSD2 คืออะไร และเกี่ยวกับธนาคารไทยไหม
PSD2 คือ Directive (EU) 2015/2366 ว่าด้วยบริการชำระเงินของสหภาพยุโรป ไม่ผูกมัดธนาคารไทยโดยตรง แต่เกี่ยวกับธนาคารและฟินเทคไทยที่ให้บริการลูกค้าหรือพันธมิตรในยุโรป
ธนาคารปฏิเสธคืนเงินฟิชชิงเพราะลูกค้าประมาทได้ไหม
ตามคดี C-70/25 ปฏิเสธทันทีไม่ได้ ธนาคารต้องคืนอย่างช้าสุดสิ้นวันทำการถัดจากวันที่ได้รับแจ้ง ข้อยกเว้นคือมีเหตุอันควรสงสัยว่าลูกค้าทุจริตและแจ้งหน่วยงานกำกับเป็นหนังสือ
ธนาคารไล่เบี้ยลูกค้าที่ถูกฟิชชิงได้ภายหลังไหม
ไล่เบี้ยได้ถ้าพิสูจน์ได้ว่าลูกค้าจงใจหรือประมาทเลินเล่ออย่างร้ายแรง ภาระพิสูจน์อยู่ที่ธนาคาร และต้องคืนเงินก่อนเสมอ
คำพิพากษานี้ใช้กับลูกค้าที่สั่งโอนเองเพราะถูกหลอกไหม
ไม่ใช้ คำพิพากษาครอบคลุมธุรกรรมที่ลูกค้าไม่ได้อนุญาต ส่วนกรณีลูกค้าสั่งโอนเองเพราะถูกหลอก (APP fraud) ไม่อยู่ในขอบเขตของคดีนี้
แหล่งอ้างอิง
- Court of Justice of the European Union — แถลงข่าวหมายเลข 147/2026 (อ่านต้นฉบับ)
- EFRI — อ่านต้นฉบับ
- heise online — ECJ: Banks must initially reimburse phishing losses
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
[…] […]