สารบัญ
- กฎนี้เปลี่ยนเกมการยิงแอดอย่างไร
- ข้อเท็จจริงที่ธุรกิจต้องรู้
- ผลกระทบต่อธุรกิจในประเทศไทย
- เช็กลิสต์ที่ควรทำก่อน 1 พฤศจิกายน
- มุมมองผู้เชี่ยวชาญ
- แหล่งอ้างอิง
บทนำ
KYC โฆษณาโซเชียล กำลังเปลี่ยนจากเรื่องที่อยู่หลังบ้านของแพลตฟอร์ม ให้กลายเป็นเรื่องที่ฝ่าย Marketing, Agency, Finance และ Legal ของธุรกิจไทยต้องคุยกันจริงจัง เพราะตั้งแต่ 1 พฤศจิกายน 2569 ผู้ให้บริการสื่อสังคมออนไลน์ที่อยู่ในข่ายและมีโฆษณาแบบชำระเงินเผยแพร่ในประเทศไทย ต้องจัดให้มีการพิสูจน์ตัวตนของผู้ลงโฆษณาก่อนเผยแพร่โฆษณา
กฎนี้เปลี่ยนเกมการยิงแอดอย่างไร
ลองนึกภาพบริษัทหนึ่งกำลังเตรียมแคมเปญใหญ่
ชื่อแบรนด์อยู่ในสัญญากับ Agency แต่ Ad Account อยู่กับอีกบริษัทหนึ่ง คนที่กดเปิดแคมเปญเป็น Marketing Manager ส่วนบัตรที่ผูกจ่ายค่าโฆษณาเป็นของผู้บริหาร หรือในบางกรณีเป็นบัตรของ Agency
ก่อนหน้านี้ เรื่องเหล่านี้อาจเป็นเพียงปัญหาด้านการบริหารบัญชีโฆษณา
แต่โลกหลังวันที่ 1 พฤศจิกายนกำลังทำให้คำถามเปลี่ยนไปว่า “ใครคือผู้ลงโฆษณาตัวจริง และใครเป็นผู้จ่ายเงินให้โฆษณานั้น?”
ประกาศฉบับใหม่ให้ความสำคัญกับการเชื่อมโยงตัวตนกับการโฆษณา โดยผู้ให้บริการต้องตรวจสอบผู้ลงโฆษณาก่อนเผยแพร่โฆษณาที่อยู่ในขอบเขต และหากมีบุคคลอื่นเป็นผู้ชำระค่าโฆษณา ก็ต้องมีการจัดเก็บข้อมูลของผู้ชำระเงินด้วย
นี่คือเหตุผลที่ KYC โฆษณาโซเชียล ไม่ควรถูกมองเป็นเพียงขั้นตอน “สแกนหน้าเพิ่มอีกหนึ่งครั้ง”
มันกำลังกลายเป็นเรื่องของ Identity Governance ของการตลาด
ข้อเท็จจริงที่ธุรกิจต้องรู้เกี่ยวกับ KYC โฆษณาโซเชียล
ประกาศที่เป็นประเด็นคือประกาศของ คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ (คธอ.) เรื่อง มาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยีสำหรับผู้ให้บริการสื่อสังคมออนไลน์ (ฉบับที่ 2) ซึ่งประกาศในราชกิจจานุเบกษาเมื่อวันที่ 5 พฤษภาคม 2569 และจะมีผลเมื่อพ้น 180 วัน หรือวันที่ 1 พฤศจิกายน 2569
ขอบเขตไม่ได้หมายความว่า “โฆษณาออนไลน์ทุกชนิดของทุกแพลตฟอร์มต้องสแกนหน้าเหมือนกันหมด” โดยหลักแล้วเกี่ยวข้องกับผู้ให้บริการสื่อสังคมออนไลน์ตามกรอบที่กำหนด ซึ่งรวมถึงบริการ Social Media และ Social Commerce บางประเภท และตัวกระตุ้นสำคัญคือการมีโฆษณาที่เผยแพร่ในประเทศไทย
วิธีพิสูจน์ตัวตนสามารถทำผ่านการตรวจสอบเอกสารราชการที่เชื่อถือได้ หรือใช้ระบบ Digital ID ที่เป็นไปตามระดับความน่าเชื่อถือที่กำหนด ดังนั้นคำว่า “ต้องสแกนหน้า” จึงไม่ควรถูกตีความว่าเป็นวิธีเดียวที่ทุกคนต้องใช้
ข้อมูลที่เกี่ยวข้องกับผู้ลงโฆษณาที่ต้องเก็บรวมถึงชื่อของบุคคลหรือข้อมูลนิติบุคคล เอกสารยืนยันตัวตน และข้อมูลติดต่อ เช่น ที่อยู่และโทรศัพท์ และหากมีผู้จ่ายค่าโฆษณาแทนผู้ลงโฆษณา ก็มีข้อมูลของผู้ชำระเงินเข้ามาเกี่ยวข้องด้วย โดยข้อมูลต้องถูกเก็บไว้อย่างน้อย 90 วันหลังความสัมพันธ์ด้านการโฆษณาสิ้นสุดลง
อีกจุดที่ธุรกิจควรรู้คือการยืนยันตัวตนไม่ได้หมายความว่าต้องทำใหม่ก่อนโฆษณาทุกครั้งเสมอไป หากแพลตฟอร์มมีการยืนยันตัวตนไว้แล้ว ภายใต้หลักเกณฑ์ดังกล่าวสามารถอาศัยผลการยืนยันตัวตนเดิมได้ไม่เกินหนึ่งปี ก่อนต้องยืนยันใหม่
และมีอีกเรื่องที่สำคัญมากสำหรับการสื่อสารเรื่องความเสี่ยง
โทษจำคุกสูงสุด 5 ปี หรือปรับสูงสุด 500,000 บาท ไม่ควรถูกเขียนว่าเป็น “โทษโดยตรงของการไม่ทำ KYC”
Silk Legal ระบุชัดว่าประกาศไม่ได้สร้างความผิดอาญาใหม่เฉพาะสำหรับการไม่ปฏิบัติตามข้อกำหนด KYC แต่ความเสี่ยงของแพลตฟอร์มเชื่อมโยงกับความรับผิดตามมาตรการใน พ.ร.ก. อาชญากรรมทางเทคโนโลยี ขณะที่โทษสูงสุดดังกล่าวอยู่ในบริบทของความผิดที่เกี่ยวกับการใช้หรือจัดการข้อมูลส่วนบุคคลเพื่อก่ออาชญากรรมในกรณีที่เข้าหลักเกณฑ์ร้ายแรง
ผลกระทบต่อธุรกิจในประเทศไทย
นี่คือจุดที่ธุรกิจไทยควรสนใจมากที่สุด
ที่ผ่านมา Marketing มักมอง Ad Account เป็นเรื่องของทีมการตลาด Agency มองเป็นเรื่องของการตั้ง Campaign และ Finance มองเป็นเรื่องของการจ่ายเงิน แต่กฎใหม่กำลังบังคับให้ข้อมูลทั้งสามโลกมาเจอกัน
สมมติว่า Brand A เป็นเจ้าของสินค้า บริษัทแม่เป็นผู้ว่าจ้าง Agency B, Agency B เป็นคนดูแล Ad Account และบัตรเครดิตที่ใช้จ่ายเป็นของบริษัทแม่ โครงสร้างนี้ไม่ได้ผิดโดยตัวมันเอง แต่เมื่อแพลตฟอร์มต้องพิสูจน์ตัวตนและเก็บข้อมูลผู้ลงโฆษณา ธุรกิจต้องตอบให้ได้ว่าใครเป็นผู้ลงโฆษณา ใครเป็นตัวแทนของนิติบุคคล ใครมีสิทธิใช้งานบัญชี และใครเป็นผู้ชำระเงิน
นี่ทำให้ KYC โฆษณาโซเชียล กลายเป็นปัญหาเรื่อง “ความสอดคล้องของตัวตน” มากกว่าปัญหาเรื่องเอกสาร
ถ้าชื่อใน Ad Account เป็นบุคคล แต่สัญญาเป็นชื่อบริษัท และเงินมาจากอีกนิติบุคคลหนึ่ง กระบวนการตรวจสอบอาจต้องใช้เอกสารหรือการยืนยันเพิ่มเติม แม้สุดท้ายแคมเปญจะเป็นแคมเปญของธุรกิจจริงก็ตาม
ผลกระทบจึงมีอย่างน้อย 4 ชั้น
ชั้นแรกคือ Operational Risk แคมเปญที่ต้องปล่อยตามเวลาการตลาด เช่น Flash Sale, Product Launch หรือ Performance Campaign อาจติดขั้นตอน onboarding หรือ verification หากข้อมูลไม่พร้อม
ชั้นที่สองคือ Agency Risk Agency ที่บริหารหลายบัญชีให้ลูกค้าต้องรู้ว่าในแต่ละบัญชีใครคือเจ้าของตัวตน ใครเป็นผู้ชำระเงิน และใครมีสิทธิทำหน้าที่แทนลูกค้า มิฉะนั้น Agency อาจกลายเป็นจุดคอขวดของทุกแคมเปญ
ชั้นที่สามคือ PDPA Risk เมื่อกระบวนการยืนยันตัวตนต้องใช้บัตรประชาชน หนังสือเดินทาง ข้อมูลติดต่อ หรือวิธีตรวจสอบตัวตนที่อาจเกี่ยวข้องกับข้อมูลชีวมิติ องค์กรไม่ควรคิดว่า “แพลตฟอร์มเป็นคนเก็บ เพราะฉะนั้นเราไม่เกี่ยว” ในทางปฏิบัติ ธุรกิจควรทำความเข้าใจว่าข้อมูลใดถูกส่งให้ใคร ใช้เพื่ออะไร เก็บนานแค่ไหน และบทบาทของแต่ละฝ่ายคืออะไร โดยเฉพาะเมื่อข้อมูลบางประเภทอาจเข้าเกณฑ์ข้อมูลตามมาตรา 26 ของ PDPA
ชั้นที่สี่คือ Governance Risk เพราะเมื่อการโฆษณาเชื่อมกับตัวตนจริงมากขึ้น บริษัทจะเริ่มต้องมอง Ad Account เป็นสินทรัพย์ที่มีความรับผิดชอบ ไม่ใช่แค่เครื่องมือยิงแอดอีกต่อไป
นี่คือมุมที่บริษัทไทยควรเริ่มคิดตั้งแต่วันนี้ว่า
Ad Account ของเรา “เป็นของใคร” ตามเอกสารจริง?
คนที่เข้าถึงบัญชี “มีอำนาจ” จริงหรือไม่?
คนที่ยิงแอด กับคนที่จ่ายเงิน เป็นคนเดียวกันหรือไม่?
และถ้ามีปัญหา เราสามารถไล่ย้อนกลับไปหาคนที่รับผิดชอบได้หรือไม่?
เมื่อคำตอบทั้งสี่ข้อยังไม่ชัด การเตรียมตัวรับกฎใหม่ก็ยังไม่จบ
สิ่งที่ควรทำต่อก่อน 1 พฤศจิกายน 2569
- ทำ Ad Account Inventory
รวบรวมบัญชีโฆษณาทุกแพลตฟอร์มที่ธุรกิจใช้อยู่ แล้วระบุเจ้าของบัญชี ผู้มีสิทธิ์เข้าถึง Agency ที่เกี่ยวข้อง และนิติบุคคลที่เป็นผู้จ่ายเงิน - ทำ Identity Mapping
ทำตารางง่าย ๆ ให้เห็นความสัมพันธ์ระหว่าง “บุคคล → นิติบุคคล → Ad Account → ผู้ชำระเงิน → Agency” หากมีจุดใดไม่ตรงกัน ให้เริ่มเคลียร์ก่อนแคมเปญสำคัญ - คุยกับ Agency ตั้งแต่ตอนนี้
กำหนดให้ชัดว่าใครเป็นผู้ลงโฆษณา ใครเป็นผู้ดำเนินการแทน และใครเป็นผู้ชำระเงิน อย่ารอให้ระบบแพลตฟอร์มบังคับในวันที่แคมเปญกำลังจะเปิด - ตรวจ PDPA Flow ของข้อมูล KYC
เช็กว่าเอกสารหรือข้อมูลส่วนบุคคลที่ถูกส่งเพื่อการยืนยันตัวตนถูกเก็บที่ไหน ใครเข้าถึงได้ และมีการส่งต่อไปยังผู้ให้บริการรายใดบ้าง หากมีการใช้เทคโนโลยีตรวจใบหน้าหรือข้อมูลที่อาจเป็นข้อมูลชีวมิติ ควรตรวจฐานกฎหมายและมาตรการคุ้มครองข้อมูลให้ชัดเจน - อย่าวางแผนเปิดแคมเปญใหญ่ในช่วงแรกแบบไม่มี Buffer
ช่วงเริ่มต้นของระบบใหม่คือช่วงที่ขั้นตอนจริงบนแต่ละแพลตฟอร์มอาจสร้าง friction ให้ผู้ใช้งานได้ ธุรกิจที่มี Launch สำคัญควรเผื่อเวลาสำหรับ Verification และการแก้ปัญหาบัญชี
มุมมองผู้เชี่ยวชาญ
ประเด็นของ KYC โฆษณาโซเชียล จึงไม่ได้อยู่ที่ขั้นตอนยืนยันตัวตนเพียงอย่างเดียว แต่เป็นการบังคับให้ธุรกิจรู้จักโครงสร้างการโฆษณาของตัวเองอย่างเป็นระบบมากขึ้น ถ้าบริหารดี มันคือการเปลี่ยนจาก “Ad Account ที่ใครก็เข้าถึงได้” ไปสู่ “Advertising Infrastructure ที่ตรวจสอบย้อนกลับได้” สำหรับบริษัทที่ใช้งบโฆษณาจริงจัง การจัดระเบียบเรื่องนี้ก่อนกฎมีผล อาจถูกกว่า การแก้ปัญหาในวันที่ Campaign สำคัญกำลังจะขึ้นจริง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Silk Legal — Thailand Releases New Social Media Advertising-KYC Rules
อ่านบทความต้นทางจาก Silk Legal
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม — ชี้แจงกรณี ETDA ออกกฎยืนยันตัวตนผู้ลงโฆษณาบนสื่อสังคมออนไลน์
ETDA — แนวทางการดูแลโฆษณาบนบริการแพลตฟอร์มดิจิทัล และการตรวจสอบผู้ทำโฆษณา
Thai PBS — วิเคราะห์มาตรการยืนยันตัวตนผู้ลงโฆษณาและกำหนดมีผลวันที่ 1 พฤศจิกายน 2569
สำหรับผู้อ่านที่ต้องการดูภาพใหญ่เรื่อง Governance และกฎหมายเทคโนโลยีของธุรกิจไทย สามารถอ่านต่อได้ที่
กฎหมาย AI ไทยใกล้แค่ไหน? บริษัทไม่เริ่มวันนี้ อาจตั้งรับไม่ทัน
และ
ก.ล.ต. ปรับ AI Governance Framework รับ Agentic AI และ PDPA ไทย
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
