สารบัญ
1. พ.ร.บ. คอมพิวเตอร์ คืออะไร?
พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับที่ 2) พ.ศ. 2560 เป็นกฎหมายฉบับล่าสุดที่ใช้บังคับในประเทศไทย (แก้ไขจากฉบับ พ.ศ. 2550) เพื่อกำหนดความผิดและบทลงโทษเกี่ยวกับการใช้คอมพิวเตอร์และระบบอินเทอร์เน็ต
คำว่า "คอมพิวเตอร์" ในกฎหมายนี้กว้างกว่าที่คิด — รวมถึง:
- คอมพิวเตอร์ตั้งโต๊ะ / โน้ตบุ๊ค
- สมาร์ตโฟน / แท็บเล็ต
- Server, Network equipment, IoT devices
- ระบบใดๆ ที่ควบคุมด้วยซอฟต์แวร์
"พ.ร.บ. คอม 2566" ไม่มีอยู่จริง — ฉบับล่าสุดคือ พ.ศ. 2560 ที่ยังบังคับใช้อยู่ หลายเว็บไซต์ใช้คำผิด ทำให้คนสับสน
2. ใครต้องปฏิบัติตาม?
กฎหมายฉบับนี้แบ่งคนเป็น 2 กลุ่ม — ทั้งสองกลุ่มมีหน้าที่และความรับผิด
กลุ่มที่ 1: ผู้ใช้บริการ (ทุกคน)
ทุกคนที่ใช้คอมพิวเตอร์/อินเทอร์เน็ต — เช่น การ post, share, comment, hack, ส่ง email
กลุ่มที่ 2: ผู้ให้บริการ ⚠️ (ทุกองค์กรที่มี WiFi/Internet)
นี่คือกลุ่มที่ SME ส่วนใหญ่ไม่รู้ว่าตัวเองเข้าข่าย — รวมถึง:
- 🏢 บริษัท สำนักงาน — มี WiFi/Internet ให้พนักงาน
- 🏨 โรงแรม, รีสอร์ท, หอพัก — มี WiFi ให้ลูกค้า
- ☕ ร้านกาแฟ, ร้านอาหาร — มี WiFi ให้ลูกค้า
- 🏥 โรงพยาบาล, คลินิก — มี Guest WiFi
- 🎓 โรงเรียน, มหาวิทยาลัย — มี Internet ให้นักเรียน
- 🏪 ห้างสรรพสินค้า — มี WiFi ให้ลูกค้า
- 🏦 ธนาคาร, สถาบันการเงิน
- 📡 ร้าน Internet Cafe, ร้านเกม
ถ้าธุรกิจคุณ มี WiFi/Internet ให้พนักงานหรือบุคคลภายนอกใช้ — คุณคือ "ผู้ให้บริการ" ตามกฎหมาย และต้อง เก็บ Log อย่างน้อย 90 วัน ตามมาตรา 26 หรือเสี่ยงโดนปรับ 500,000 บาท
3. 9 มาตราหลักที่ต้องรู้
มาตรา 5 — เข้าถึงระบบโดยมิชอบ (Hacking)
การ hack เข้าระบบที่มีมาตรการป้องกัน — เช่น เดารหัสผ่าน, ใช้ username/password คนอื่น login
มาตรา 6 — เปิดเผยมาตรการป้องกัน
รู้รหัสผ่านหรือมาตรการป้องกันแล้วเอาไปบอกคนอื่น ทำให้เกิดความเสียหาย
มาตรา 7 — เข้าถึงข้อมูลโดยมิชอบ
เข้าไปดู file, database, ข้อมูลในระบบที่ไม่ใช่ของตัวเอง
มาตรา 8 — ดักข้อมูลคอมพิวเตอร์
Sniff packet, man-in-the-middle, ดักจับ traffic ในเครือข่าย
มาตรา 9 — แก้ไข/ทำลายข้อมูล
เปลี่ยนแปลง, ลบ, ทำลายข้อมูลในระบบโดยไม่มีอำนาจ
มาตรา 10 — รบกวนระบบ (DDoS)
ทำให้ระบบของคนอื่นใช้งานไม่ได้ — DDoS, ส่ง spam ทำให้ระบบล่ม
มาตรา 11 — ส่ง spam email
ส่ง email หรือข้อความรำคาญใจโดยไม่เปิดทางให้ผู้รับ unsubscribe
มาตรา 14 — นำเข้าข้อมูลเท็จ ⭐ (มาตราที่มีคดีเยอะที่สุด)
โพสต์ข่าวปลอม, ใส่ร้าย, ภาพลามก, ข้อมูลผิดที่กระทบประเทศ — รวมถึงการ share/like ข้อมูลปลอม
มาตรา 26 — เก็บ Log 90 วัน ⭐ (สำคัญกับ SME ที่สุด)
ผู้ให้บริการต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Log) ไม่น้อยกว่า 90 วัน
4. ตารางบทลงโทษ
สรุปบทลงโทษแต่ละมาตราเป็นตาราง — เรียงจากเบาสุดถึงหนักสุด:
| มาตรา | ความผิด | บทลงโทษ |
|---|---|---|
| ม.5 | เข้าถึงระบบโดยมิชอบ (Hacking) | จำคุก ≤ 6 เดือน ปรับ ≤ 10,000 ฿ |
| ม.6 | เปิดเผยมาตรการป้องกัน | จำคุก ≤ 1 ปี ปรับ ≤ 20,000 ฿ |
| ม.7 | เข้าถึงข้อมูลโดยมิชอบ | จำคุก ≤ 2 ปี ปรับ ≤ 40,000 ฿ |
| ม.8 | ดักจับข้อมูล (Sniffing, MITM) | จำคุก ≤ 3 ปี ปรับ ≤ 60,000 ฿ |
| ม.9 | แก้ไข/ทำลายข้อมูล | จำคุก ≤ 5 ปี ปรับ ≤ 100,000 ฿ |
| ม.10 | รบกวนระบบ (DDoS, ทำให้ล่ม) | จำคุก ≤ 5 ปี ปรับ ≤ 100,000 ฿ |
| ม.11 | ส่ง spam email | ปรับ ≤ 200,000 ฿ |
| ม.14 | นำเข้าข้อมูลเท็จ / ภาพลามก / ปลอม | จำคุก ≤ 5 ปี ปรับ ≤ 100,000 ฿ |
| ม.26 ⭐ | ไม่เก็บ Log 90 วัน (สำหรับองค์กร) | ปรับ ≤ 500,000 ฿ |
สำหรับองค์กรที่ ไม่ส่งข้อมูล Log ตามคำสั่งเจ้าหน้าที่ — ปรับ 200,000 บาท บวกรายวันวันละ 5,000 บาท จนกว่าจะปฏิบัติตาม
5. กรณีศึกษาจริง 6 เรื่อง
เพื่อให้เห็นภาพชัดเจน นี่คือกรณีจริงที่เกิดขึ้นในประเทศไทย:
👨💻 พนักงานใช้ username/password ของหัวหน้า เข้าระบบ HR
พนักงานคนหนึ่งเห็นหัวหน้าจดรหัสผ่านในกระดาษ จึงแอบเอามาใช้ login เข้าระบบ HR เพื่อดูเงินเดือนเพื่อนร่วมงาน — แม้ไม่ได้แก้ไขข้อมูล ก็ถือว่า "เข้าถึงระบบโดยมิชอบ"
📱 พ่อค้าออนไลน์ใช้ภาพคู่แข่ง + บิดเบือนข้อมูล
พ่อค้า A เอารูปสินค้าจากร้าน B มาตัดต่อใหม่ พร้อมเขียนว่า "ของเลียนแบบ ไม่มีคุณภาพ" เพื่อทำลายชื่อเสียง — แม้ B ไม่ได้รู้เรื่อง ก็เข้าข่าย "นำเข้าข้อมูลปลอม" ตามมาตรา 14
👍 share ข่าวปลอมในกลุ่ม LINE
หญิงสาวคนหนึ่งเห็นข่าว fake news เรื่องวัคซีนใน LINE group ของครอบครัว จึง forward ต่อโดยไม่ตรวจสอบ — ศาลตัดสินว่าการ share หรือ forward ข้อมูลปลอม ที่ทำให้เกิดความเสียหาย ก็เข้าข่ายผิด พ.ร.บ. คอมฯ มาตรา 14
☕ ร้านกาแฟไม่เก็บ Log WiFi — ลูกค้าโดน hack ผ่านร้าน
ร้านกาแฟแห่งหนึ่งใน กทม. ให้บริการ WiFi ฟรีโดยไม่เก็บ Log มีคนใช้ WiFi ในร้านทำการฉ้อโกงออนไลน์ — เมื่อตำรวจมาขอข้อมูล Log ร้านไม่สามารถให้ได้ จึงโดนปรับ 500,000 บาท ตามมาตรา 26 + ไม่สามารถระบุตัวผู้ใช้ที่ก่อเหตุได้
🎭 ทำเพจปลอมแอบอ้างเป็น CEO ธนาคารดัง
ผู้กระทำสร้าง LINE ID ปลอมแอบอ้างเป็น CEO ของธนาคารชื่อดัง ส่งข้อความเชิญลงทุน หลอกเงินเหยื่อกว่า 100,000 บาท — ปอท. ตามจับและดำเนินคดี
💻 อดีตพนักงาน IT ลบฐานข้อมูลบริษัทหลังถูกเลิกจ้าง
อดีต IT Admin โกรธบริษัทที่เลิกจ้าง จึง remote เข้ามาลบฐานข้อมูลลูกค้าทิ้งหมด ทำให้บริษัทเสียหายหลายล้าน — เข้าข่ายผิดมาตรา 5 (เข้าถึงโดยมิชอบ), มาตรา 9 (ทำลายข้อมูล), และมาตรา 10 (รบกวนระบบ)
6. มาตรา 26: เก็บ Log 90 วัน (สำคัญกับ SME!)
มาตรา 26 เป็นมาตราที่ SME ทุกองค์กรต้องสนใจ เพราะส่งผลกับธุรกิจโดยตรง
Log อะไรบ้างที่ต้องเก็บ?
หลักการเก็บ Log ที่ถูกต้อง
- Integrity (ความครบถ้วน): ใช้ hash, digital signature ป้องกันการแก้ไข
- Identification (ระบุตัวบุคคล): ต้องบอกได้ว่าใครเข้าถึง
- Confidentiality (ความลับ): เก็บใน centralized server ที่จำกัดการเข้าถึง
- Retention (อายุการเก็บ): ≥ 90 วัน (อาจถึง 2 ปีถ้าเจ้าหน้าที่สั่ง)
วิธีเก็บ Log ที่ผิดกฎหมาย (ห้ามทำ!)
- ❌ เก็บใน Router/Firewall อย่างเดียว (มี space จำกัด, เขียนทับเอง)
- ❌ ใช้ free cloud (เช่น Google Drive) — ไม่มี integrity check
- ❌ เก็บแบบ plain text ที่ admin คนเดียวเข้าถึงและแก้ไขได้
- ❌ ไม่มี timestamp ที่ถูกต้อง (sync NTP ไม่ได้)
- ❌ ไม่สามารถระบุตัวผู้ใช้ในเวลานั้นได้
7. Checklist สำหรับ SME
10 ข้อต้องทำเพื่อ compliance กับ พ.ร.บ. คอม 2560:
- ติดตั้งระบบเก็บ Log แบบ Centralized — รวบรวมจาก Firewall, Router, Server, WiFi ทั้งหมด
- ตั้งระยะเก็บอย่างน้อย 90 วัน — แนะนำ 180 วัน เผื่อกรณีพนักงานเจ้าหน้าที่ขอ
- Identity Management — ทุก user ใน WiFi ต้อง login ด้วย username/password ที่ระบุตัวบุคคลได้
- Time Synchronization — sync กับ NTP server เพื่อให้เวลาตรงกัน
- Integrity Protection — ใช้ hash chain หรือ append-only storage
- Access Control — จำกัดสิทธิ์การดู Log เฉพาะ IT Auditor และผู้บริหาร
- Backup Strategy — backup Log ไปยัง offsite location
- Audit Report พร้อมส่ง — ทำได้ทันทีเมื่อเจ้าหน้าที่ขอ
- Privacy Policy — ติดป้ายแจ้งผู้ใช้ว่ามีการเก็บ Log (PDPA)
- ทบทวนระบบทุก 6 เดือน — ตรวจว่า log ครบ, restore ได้จริง
🎯 Fada Network Log Viewer ทำให้คุณ Compliance ง่ายๆ
ครบทั้ง 10 ข้อ checklist — Centralized log collection, 90+ วัน retention,
Audit Report ภาษาไทย พร้อมส่งทันทีเมื่อเจ้าหน้าที่ขอ
🎉 ลด 30% เดือนนี้ + ทดลองฟรี 30 วัน
8. คำถามที่พบบ่อย
Q: บริษัทเล็ก 10-20 คนต้องเก็บ Log ด้วยหรือ?
A: ต้อง — กฎหมายไม่แบ่งขนาดบริษัท ถ้ามี Internet ให้พนักงานใช้ คุณเข้าข่ายผู้ให้บริการ
Q: ใช้ FortiCloud หรือ MikroTik built-in log พอไหม?
A: ไม่พอ — ต้องเป็น centralized log server ภายนอก เพราะ Firewall มี storage จำกัด เขียนทับตัวเองเมื่อเต็ม ทำให้ log หายไปก่อนครบ 90 วัน
Q: เก็บ Log ที่ Cloud ต่างประเทศได้ไหม?
A: ได้ตามกฎหมาย แต่ ไม่แนะนำ เพราะ: (1) PDPA กำหนดให้ข้อมูลส่วนบุคคลควรเก็บในไทย (2) Latency สูง, costly เมื่อข้อมูลโต (3) เสี่ยงเรื่อง data sovereignty
Q: ค่าใช้จ่ายระบบเก็บ Log โดยทั่วไปเท่าไหร่?
A: ขึ้นกับขนาดธุรกิจ:
- SME (50-100 คน): 30,000-100,000 บาท ตั้งครั้งเดียว + MA รายปี
- Mid-size (100-500): 100,000-500,000 บาท
- Enterprise (500+): 500,000-2,000,000+ บาท
Q: ตำรวจมาขอ Log ทำไง?
A: ปฏิบัติตามคำสั่งเป็นลายลักษณ์อักษร (หมายค้น หรือคำสั่งศาล) ส่งให้ภายในเวลาที่กำหนด ถ้าไม่ส่งโดน ปรับ 200,000 บาท + รายวันวันละ 5,000 บาท จนกว่าจะส่ง
Q: ถ้าโดนปรับแล้วต้องเสียจริงไหม?
A: ใช่ — มีคำสั่งศาลและคำพิพากษาที่ปรับจริง โดยเฉพาะมาตรา 26 ที่กฎหมายระบุเป็น ความผิดทางอาญา ไม่ใช่ทางแพ่ง
บทความนี้เขียนเพื่อให้ความรู้ทั่วไป — ไม่ใช่คำปรึกษาทางกฎหมาย หากคุณต้องการคำแนะนำที่ตรงกับธุรกิจของคุณ ควรปรึกษานักกฎหมายที่เชี่ยวชาญ ด้าน Cyber Law หรือผู้เชี่ยวชาญ IT Compliance