สาระสำคัญในสัญญาให้บริการเครื่องรับชำระเงินอัจฉริยะ (Smart POS) สำหรับร้านค้า
วิเคราะห์เครื่อง Smart POS เทียบกับเครื่อง EDC แบบเดิม มาตรฐานความปลอดภัยของตัวเครื่อง PCI PTS และการเข้ารหัสแบบ P2PE โครงสร้างค่าธรรมเนียม MDR สามส่วน การคิดราคาแบบเหมาอัตรา (Blended) กับแบบ Interchange Plus และค่าธรรมเนียมแอบแฝง กติกาของรายการแบบแสดงบัตร (EMV) กับแบบไม่แสดงบัตร (3-D Secure) และความรับผิดเมื่อการอัปเดตเฟิร์มแวร์บกพร่อง ✓

การเปลี่ยนแปลงของระบบการชำระเงินค้าปลีกไทย: จากเครื่องรูดบัตร EDC แบบดั้งเดิมสู่ Smart POS และ Omnichannel

พัฒนาการของระบบรับชำระเงินในประเทศไทยได้ก้าวข้ามยุคเครื่อง EDC (Electronic Data Capture) แบบดั้งเดิมที่ประมวลผลผ่านสายโทรศัพท์หรือซิมการ์ดแบบง่าย ไปสู่ยุค Smart POS ซึ่งเป็นฮาร์ดแวร์ที่ทำงานบนระบบปฏิบัติการ Android หรือระบบปฏิบัติการเฉพาะ ที่สามารถเชื่อมต่อแอปพลิเคชันการบริหารจัดการร้านค้า (Inventory & ERP) พร้อมกับรองรับการชำระเงินหลากหลายรูปแบบ (Omnichannel) ในเครื่องเดียว ได้แก่ บัตรเครดิตหรือบัตรเดบิตแบบชิปการ์ด (EMV) บัตร Contactless การสแกน QR PromptPay และ E-Wallet ต่าง ๆ

โครงสร้างทางกฎหมายและสถาปัตยกรรมสัญญาเดิมไม่ครอบคลุมความซับซ้อนของ Smart POS เนื่องจากระบบใหม่นี้มีการส่งผ่านข้อมูล (Data Pipeline) หลายชั้น ระหว่างเครื่อง Smart POS, Cloud Server ของผู้ให้บริการ Gateway, สถาบันการเงินผู้รับบัตร (Acquirer), ผู้ให้บริการโครงข่ายบัตร (Card Schemes เช่น Visa, Mastercard) และธนาคารผู้ออกบัตร (Issuer)

ความซับซ้อนนี้ทำให้เกิดช่องว่างทางกฎหมายในสัญญา Smart POS & Omnichannel Merchant Acquiring Agreement เช่น การนิยามบทบาทของผู้ให้บริการว่าอยู่ในฐานะ Acquirer หรือ Payment Facilitator (PayFac) การกำหนดจุดตัดความรับผิดชอบด้าน Cyber Security และการจัดการข้อมูลส่วนบุคคลของผู้ถือบัตร ซึ่งหากไม่ได้รับการวิเคราะห์อย่างถี่ถ้วน ย่อมนำไปสู่ความเสี่ยงขั้นรุนแรงต่อการดำเนินธุรกิจของร้านค้า

บทความนี้เป็นบทความคู่ฉบับของบทความเรื่อง ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway ซึ่งวิเคราะห์สถานะของผู้ให้บริการตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 การย้ายความรับผิดและกระบวนการ Chargeback เงินสำรองและการกักเงินโอน การหักกลบลบหนี้ และการแยกมาตรฐาน PCI DSS ออกจากหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไว้แล้ว บทความนี้จึงกล่าวถึงประเด็นเหล่านั้นเพียงโดยสรุป และมุ่งวิเคราะห์ประเด็นที่เกิดจากตัวเครื่อง Smart POS ได้แก่ มาตรฐานของตัวเครื่อง โครงสร้างค่าธรรมเนียม กติกาของรายการแบบแสดงบัตรและแบบไม่แสดงบัตร และความรับผิดเมื่อการอัปเดตเฟิร์มแวร์บกพร่อง

ผลกระทบเชิงธุรกิจ Business Consequences

การเข้าทำสัญญาให้บริการเครื่อง Smart POS โดยไม่ตรวจสาระสำคัญของสัญญา อาจส่งผลกระทบต่อความมั่นคงทางการเงินและชื่อเสียงของร้านค้าในด้านหลักดังต่อไปนี้

• ข้อมูลบัตรของลูกค้ารั่วไหลจากเครื่อง Smart POS: หากตัวเครื่องไม่ได้รับการรับรองตามมาตรฐาน PCI PTS หรือข้อมูลบัตรไม่ได้ถูกเข้ารหัสตั้งแต่หัวอ่านบัตร จนมัลแวร์ดักจับข้อมูลในหน่วยความจำของเครื่องได้ (RAM Scraping) ร้านค้าอาจถูกเรียกเก็บค่าปรับตามกติกาของเครือข่ายบัตรที่สัญญารับเอาไว้ [ต้องยืนยันแหล่งที่มา] และหากร้านค้าเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับข้อมูลดังกล่าว แต่ไม่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) ร้านค้าต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาทตามมาตรา 83 และต้องชดใช้ค่าสินไหมทดแทนแก่เจ้าของข้อมูลส่วนบุคคลตามมาตรา 77 หากการฝ่าฝืนนั้นทำให้เกิดความเสียหาย ไม่ว่าจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ เว้นแต่ร้านค้าพิสูจน์ได้ว่าความเสียหายเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลส่วนบุคคลนั้นเอง หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย
• ความเสียหายจากการอัปเดตเฟิร์มแวร์หรือซอฟต์แวร์ที่บกพร่อง: เครื่อง Smart POS มักรับการอัปเดตเฟิร์มแวร์และซอฟต์แวร์จากระยะไกลโดยผู้ให้บริการ หากสัญญามิได้กำหนดผู้มีหน้าที่ทดสอบชุดอัปเดตและความรับผิดเมื่อชุดอัปเดตบกพร่อง ร้านค้าจะพิสูจน์ได้ยากว่าผู้ให้บริการไม่ชำระหนี้ตามสัญญา และอาจถูกผู้ให้บริการยกข้อสัญญาจำกัดความรับผิดขึ้นต่อสู้ (ดูตัวอย่างสถานการณ์จำลองในหัวข้อที่ 9)
• ค่าธรรมเนียมแอบแฝง: หากสัญญามิได้แจกแจงโครงสร้างค่าธรรมเนียม MDR และค่าธรรมเนียมอื่น เช่น ค่าเช่าเครื่องและค่าบำรุงรักษา ร้านค้าจะตรวจสอบได้ยากว่าค่าธรรมเนียมที่ถูกเรียกเก็บเป็นไปตามที่ตกลงกันหรือไม่

ส่วนผลกระทบจากการกักเงินสำรอง การระงับการโอนเงิน และการถูกหักเงิน Chargeback โดยไม่มีโอกาสโต้แย้ง ซึ่งเกิดได้กับสัญญารับชำระเงินทุกรูปแบบ ดูรายละเอียดใน ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway

กรอบกฎหมายและ Claim Ledger Legal Framework

การทำสัญญาและบริหารจัดการจุดรับชำระเงินอัจฉริยะอยู่ภายใต้บทบัญญัติของกฎหมายไทยหลายฉบับ ประกอบกับมาตรฐานและกติกาของเอกชนที่ผูกพันผ่านสัญญา Claim Ledger ต่อไปนี้สรุปเฉพาะประเด็นของเครื่อง Smart POS ส่วนเงินสำรอง การกักเงินโอน การหักกลบลบหนี้ และกระบวนการ Chargeback ดูรายละเอียดใน ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway

• C-SH-42-01: สถานะของผู้ให้บริการตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560

• อ้างอิงกฎหมาย: พระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 16 มาตรา 17 และมาตรา 45
• สาระสำคัญ: การให้บริการรับชำระเงินด้วยวิธีการทางอิเล็กทรอนิกส์แทนผู้ขายสินค้าหรือผู้ให้บริการหรือเจ้าหนี้เป็นบริการตามมาตรา 16 (3) เมื่อรัฐมนตรีโดยคำแนะนำของธนาคารแห่งประเทศไทยประกาศกำหนดให้บริการนี้เป็นบริการการชำระเงินภายใต้การกำกับแล้ว ผู้ประกอบธุรกิจต้องได้รับอนุญาตจากรัฐมนตรีโดยคำแนะนำของธนาคารแห่งประเทศไทย หรือได้รับการขึ้นทะเบียนจากธนาคารแห่งประเทศไทย ตามมาตรา 17 ผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับโดยมิได้ขึ้นทะเบียนหรือมิได้รับอนุญาตตามมาตรา 17 ต้องรับโทษตามมาตรา 45 การจัดประเภทการอนุญาตของผู้ให้บริการแต่ละราย รวมทั้งสถานะของ Payment Facilitator ต้องตรวจจากประกาศที่ออกตามมาตรา 16 [ต้องยืนยันแหล่งที่มา] ส่วนผลต่อความสมบูรณ์ของสัญญาที่ร้านค้าทำกับผู้ให้บริการ ดูรายละเอียดในบทความคู่ฉบับที่อ้างถึงข้างต้น

• C-SH-42-02: ข้อมูลบัตรที่เครื่อง Smart POS และร้านค้าเก็บรักษาได้

• อ้างอิงกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 22 มาตรา 24 มาตรา 37 และมาตรา 83 ประกอบมาตรฐาน PCI DSS ซึ่งเป็นมาตรฐานเอกชน
• สาระสำคัญ: ข้อห้ามจัดเก็บรหัสลับหลังบัตร (CVV/CVC) ข้อมูลแถบแม่เหล็ก และ PIN block หลังการอนุมัติรายการเป็นข้อกำหนดของมาตรฐาน PCI DSS ซึ่งเป็นมาตรฐานเอกชนที่ผูกพันผ่านสัญญา [ต้องยืนยันแหล่งที่มา: ข้อกำหนด PCI DSS] ส่วนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลเท่าที่จำเป็นตามมาตรา 22 ต้องมีฐานทางกฎหมายในการเก็บรวบรวมตามมาตรา 24 และต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) ผู้ควบคุมข้อมูลส่วนบุคคลที่ฝ่าฝืนมาตรา 22 หรือมาตรา 37 ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาทตามมาตรา 83

• C-SH-42-03: การย้ายความรับผิด (Liability Shift) ของรายการแบบแสดงบัตรและแบบไม่แสดงบัตร

• อ้างอิงกฎหมาย: พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 368 (การตีความสัญญา) ส่วนการย้ายความรับผิดเป็นกติกาของเครือข่ายบัตรซึ่งเป็นกฎของเอกชน [ต้องยืนยันแหล่งที่มา]
• สาระสำคัญ: การย้ายความรับผิด (Liability Shift) กรณีบัตรปลอมหรือบัตรถูกขโมยเป็นกติกาของเครือข่ายบัตรซึ่งเป็นกฎของเอกชน และตามที่ตรวจได้ในขณะนี้มิใช่กติกาที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา] ร้านค้าได้รับความคุ้มครองจากการถูกหักเงิน Chargeback ตามกติกานั้นเมื่อสัญญากับผู้ให้บริการรับเอากติกาไว้และรายการเป็นไปตามเงื่อนไขของกติกา สัญญาจึงควรระบุเรื่องนี้ไว้โดยชัดแจ้ง ส่วนประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 368 เป็นเพียงหลักการตีความสัญญาไปตามความประสงค์ในทางสุจริตโดยพิเคราะห์ถึงปกติประเพณี ความคุ้มครองนี้ครอบคลุม Chargeback ประเภทฉ้อโกงตามเงื่อนไขของกติกา ส่วน Chargeback ประเภทอื่น เช่น ไม่ได้รับสินค้า ยังเป็นไปตามข้อสัญญา และหากสัญญาสำเร็จรูปกำหนดให้ผู้ให้บริการหักเงินร้านค้าได้แม้การย้ายความรับผิดเกิดขึ้นแล้ว และข้อตกลงนั้นทำให้ผู้ให้บริการได้เปรียบร้านค้าเกินสมควร ข้อตกลงนั้นเป็นข้อสัญญาที่ไม่เป็นธรรมและมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 โดยพิเคราะห์พฤติการณ์ทั้งปวงตามมาตรา 10

• C-SH-42-04: ความรับผิดเมื่อเครื่อง ซอฟต์แวร์ หรือการอัปเดตเฟิร์มแวร์ที่ผู้ให้บริการดูแลบกพร่อง

• อ้างอิงกฎหมาย: ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 215 มาตรา 220 มาตรา 222 และมาตรา 373 และพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และมาตรา 8
• สาระสำคัญ: สัญญาควรกำหนดให้ผู้ให้บริการรับผิดต่อความเสียหายที่เกิดจากความบกพร่องของระบบหรือซอฟต์แวร์ที่ตนดูแล เมื่อผู้ให้บริการไม่ชำระหนี้ให้ต้องตามความประสงค์อันแท้จริงแห่งมูลหนี้ ร้านค้าเรียกค่าสินไหมทดแทนได้ตามมาตรา 215 ภายในขอบเขตของมาตรา 222 และผู้ให้บริการต้องรับผิดในความผิดของบุคคลที่ตนใช้ในการชำระหนี้ เช่น ผู้รับจ้างพัฒนาเฟิร์มแวร์ เสมือนเป็นความผิดของตนเองตามมาตรา 220 ข้อสัญญาจำกัดความรับผิดเป็นโมฆะในส่วนที่ยกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการเองตามมาตรา 373 แต่มาตรา 373 ไม่ใช้บังคับแก่ความผิดของบุคคลที่ผู้ให้บริการใช้ในการชำระหนี้ตามมาตรา 220 ส่วนที่ไม่เป็นโมฆะมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง และหากเป็นสัญญาสำเร็จรูป ข้อตกลงยกเว้นหรือจำกัดความรับผิดที่เกิดจากการผิดสัญญาเป็นข้อตกลงที่อาจถือได้ว่าทำให้ผู้ให้บริการได้เปรียบตามมาตรา 4 วรรคสาม (1)

• C-SH-42-05: ความโปร่งใสของโครงสร้างค่าธรรมเนียม MDR และการปรับค่าธรรมเนียม

• อ้างอิงกฎหมาย: ข้อสัญญาระหว่างร้านค้ากับผู้ให้บริการ ประกอบพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และมาตรา 10 และหลักเกณฑ์ของธนาคารแห่งประเทศไทยเรื่องการคิดค่าธรรมเนียม [ต้องยืนยันแหล่งที่มา]
• สาระสำคัญ: การแจกแจงค่าธรรมเนียม MDR เป็น Interchange Fee, Scheme Fee และส่วนของผู้ให้บริการ (Acquirer Margin) และการแจ้งล่วงหน้าก่อนปรับค่าธรรมเนียม เป็นข้อเสนอในการเจรจาที่สัญญาควรกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา] หากสัญญาสำเร็จรูปให้สิทธิผู้ให้บริการปรับเพิ่มค่าธรรมเนียมได้ฝ่ายเดียว ข้อตกลงนั้นเป็นข้อตกลงที่อาจถือได้ว่าทำให้ผู้ให้บริการได้เปรียบตามมาตรา 4 วรรคสาม (5) และหากเป็นการได้เปรียบร้านค้าเกินสมควร ข้อตกลงนั้นเป็นข้อสัญญาที่ไม่เป็นธรรมและมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี โดยพิเคราะห์พฤติการณ์ทั้งปวงตามมาตรา 10

สถานะของผู้ให้บริการและมาตรฐานความปลอดภัยของเครื่อง Smart POS (PCI PTS และ P2PE)

ก่อนเข้าทำสัญญา ร้านค้าควรตรวจสถานะของผู้ให้บริการและมาตรฐานของตัวเครื่อง Smart POS ดังต่อไปนี้

สถานะของผู้ให้บริการตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560

การให้บริการรับชำระเงินด้วยวิธีการทางอิเล็กทรอนิกส์แทนผู้ขายสินค้าหรือผู้ให้บริการหรือเจ้าหนี้เป็นบริการตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 16 (3) เมื่อรัฐมนตรีโดยคำแนะนำของธนาคารแห่งประเทศไทยประกาศกำหนดให้บริการนี้เป็นบริการการชำระเงินภายใต้การกำกับแล้ว ผู้ประกอบธุรกิจต้องได้รับอนุญาตจากรัฐมนตรีโดยคำแนะนำของธนาคารแห่งประเทศไทย หรือได้รับการขึ้นทะเบียนจากธนาคารแห่งประเทศไทย ตามมาตรา 17 วิธีตรวจสถานะของผู้ให้บริการ ผลต่อสัญญาของร้านค้า และความแตกต่างระหว่าง Payment Gateway, Payment Facilitator และผู้ให้บริการเงินอิเล็กทรอนิกส์ ดูรายละเอียดใน ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway ส่วนการจัดประเภทการอนุญาตของผู้ให้บริการแต่ละราย รวมทั้งสถานะของ Payment Facilitator ต้องตรวจจากประกาศที่ออกตามมาตรา 16 [ต้องยืนยันแหล่งที่มา]

มาตรฐานความปลอดภัยฮาร์ดแวร์และซอฟต์แวร์ Smart POS

มาตรฐาน PCI DSS และ PCI PTS เป็นมาตรฐานของอุตสาหกรรมบัตรที่เอกชนจัดทำขึ้น ผูกพันผ่านสัญญากับผู้ให้บริการและกติกาของเครือข่ายบัตร และตามที่ตรวจได้ในขณะนี้มิใช่ข้อบังคับที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา] สัญญาจึงควรระบุมาตรฐานที่ผู้ให้บริการรับรองและฉบับของมาตรฐานที่ใช้บังคับ ณ วันทำสัญญา โดยแยกการรับรองตัวเครื่องออกจากการรับรองหน่วยงาน ดังนี้

• PCI PTS (PIN Transaction Security): สัญญาควรกำหนดให้ตัวเครื่อง Smart POS และส่วนรับรหัส PIN ได้รับการรับรองตามมาตรฐาน PCI PTS ซึ่งเป็นการรับรองตัวอุปกรณ์เพื่อป้องกันการดักจับรหัส PIN และระบุรุ่นของเครื่องที่ได้รับการรับรองไว้ในสัญญา [ต้องยืนยันแหล่งที่มา]
• PCI DSS (Payment Card Industry Data Security Standard): สัญญาควรกำหนดให้ผู้ให้บริการและระบบ Gateway ผ่านการประเมินตามมาตรฐาน PCI DSS ซึ่งเป็นการรับรองหน่วยงานที่จัดเก็บ ประมวลผล หรือส่งผ่านข้อมูลบัตร มิใช่การรับรองตัวเครื่อง ส่วนระดับ (Level) ของการประเมินจัดตามปริมาณธุรกรรมตามกติกาของเครือข่ายบัตร [ต้องยืนยันแหล่งที่มา]
• P2PE (Point-to-Point Encryption): สัญญาควรกำหนดให้ข้อมูลบัตรที่หัวอ่านของเครื่องอ่านได้ถูกเข้ารหัสทันทีในระดับฮาร์ดแวร์ (Hardware-level Encryption) และส่งไปยังระบบที่ปลอดภัยของผู้ให้บริการ โดยไม่มีการถอดรหัสในหน่วยความจำของเครื่องหรือเซิร์ฟเวอร์ของร้านค้า พร้อมคำรับรองว่าโซลูชันของผู้ให้บริการได้รับการรับรองตามมาตรฐาน P2PE [ต้องยืนยันแหล่งที่มา]
• การอัปเดตเฟิร์มแวร์และซอฟต์แวร์จากระยะไกล (Remote Update): สัญญาควรระบุผู้มีหน้าที่อัปเดตเฟิร์มแวร์และซอฟต์แวร์ของเครื่อง ขั้นตอนทดสอบชุดอัปเดตก่อนส่งไปยังเครื่อง การแจ้งร้านค้าก่อนการอัปเดต และความรับผิดเมื่อชุดอัปเดตบกพร่อง ตามที่อธิบายในหัวข้อที่ 6 และตัวอย่างสถานการณ์จำลองในหัวข้อที่ 9

กลไกการกำหนดค่าธรรมเนียม: โครงสร้าง MDR การคิดราคาแบบ Blended กับ Interchange Plus และค่าธรรมเนียมแอบแฝง

สัญญาส่วนใหญ่มักกำหนดค่าธรรมเนียมการรับชำระเงินในรูปแบบ MDR (Merchant Discount Rate) ซึ่งมีความซับซ้อน ร้านค้าต้องเข้าใจโครงสร้างค่าธรรมเนียมเพื่อป้องกันการเสียเปรียบ ดังนี้:

โครงสร้างของ MDR

MDR รวมประกอบด้วย 3 ส่วนสำคัญ:

1. Interchange Fee: ค่าธรรมเนียมที่จ่ายให้แก่ธนาคารผู้ออกบัตร (Issuer) ตามอัตราที่เครือข่ายบัตร (Card Schemes เช่น Visa และ Mastercard) กำหนด [ต้องยืนยันแหล่งที่มา]
2. Scheme Fee: ค่าธรรมเนียมการใช้เครือข่ายประมวลผลของเครือข่ายบัตร
3. Acquirer Margin: ส่วนของผู้ให้บริการรับชำระเงินหรือผู้ประมวลผล

รูปแบบการคิดราคา (Pricing Models)

• Blended Pricing (การคิดราคาแบบเหมาอัตรา): ผู้ให้บริการคิดอัตราเดียวสำหรับบัตรทุกประเภท เช่น ร้อยละ 2.5 ของยอดรายการ (ตัวเลขตัวอย่าง มิใช่อัตราที่กฎหมายกำหนด) ข้อดีคือเข้าใจง่าย แต่ร้านค้าอาจเสียค่าธรรมเนียมสูงกว่าต้นทุนจริงสำหรับบัตรเดบิตหรือบัตรที่มี Interchange Fee ต่ำ
• Interchange Plus Pricing (Unbundled Pricing): ผู้ให้บริการคิดค่าธรรมเนียมตาม Interchange Fee และ Scheme Fee ที่เกิดขึ้นจริง บวกส่วนของผู้ให้บริการในอัตราคงที่ เช่น Interchange บวกร้อยละ 0.50 (ตัวเลขตัวอย่าง) รูปแบบนี้โปร่งใสกว่าเพราะร้านค้าเห็นต้นทุนแต่ละส่วน แต่ค่าธรรมเนียมรวมขึ้นอยู่กับสัดส่วนประเภทบัตรที่ร้านค้ารับ ร้านค้าจึงควรเปรียบเทียบทั้งสองรูปแบบกับข้อมูลยอดขายจริงของตน

ค่าธรรมเนียมแอบแฝง (Hidden Fees) ที่ต้องควบคุมในสัญญา

สัญญาควรระบุรายการค่าธรรมเนียมเพิ่มเติมทุกรายการไว้อย่างชัดเจน และกำหนดระยะเวลาแจ้งล่วงหน้าก่อนปรับค่าธรรมเนียม ข้อเสนอเริ่มต้นคือไม่น้อยกว่า 30 วัน ซึ่งเป็นข้อเสนอในการเจรจา และตามที่ตรวจได้ในขณะนี้มิใช่เกณฑ์ที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา] ค่าธรรมเนียมที่ควรควบคุม เช่น

• Terminal Rental / Maintenance Fee (ค่าเช่าและค่าบำรุงรักษาเครื่อง Smart POS)
• Monthly Gateway Access Fee (ค่าธรรมเนียมเชื่อมต่อระบบรายเดือน)
• PCI Compliance Penalty Fee (ค่าปรับกรณีไม่ส่งรายงานการปฏิบัติตามมาตรฐาน PCI)
• Cross-Border Transaction Fee / Dynamic Currency Conversion (DCC) Markup

หากสัญญาสำเร็จรูปให้สิทธิผู้ให้บริการปรับเพิ่มค่าธรรมเนียมได้ฝ่ายเดียว ข้อตกลงนั้นเป็นข้อตกลงที่อาจถือได้ว่าทำให้ผู้ให้บริการได้เปรียบตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 วรรคสาม (5) และหากเป็นการได้เปรียบร้านค้าเกินสมควร ข้อตกลงนั้นเป็นข้อสัญญาที่ไม่เป็นธรรมและมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี โดยพิเคราะห์พฤติการณ์ทั้งปวงตามมาตรา 10 ส่วนหากสัญญามิได้ให้สิทธิดังกล่าว การปรับค่าธรรมเนียมต้องได้รับความตกลงของร้านค้า

รายการแบบแสดงบัตร (EMV) กับแบบไม่แสดงบัตร (3-D Secure) และความรับผิดเมื่อระบบขัดข้อง Card-Present and Card-Not-Present Rules

กระบวนการ Chargeback ตั้งแต่ผู้ถือบัตรโต้แย้งรายการจนถึงการส่งหลักฐานของร้านค้า ระยะเวลาโต้แย้ง และการหักเงิน Chargeback จากยอดโอนงวดถัดไป ใช้กับเครื่อง Smart POS เช่นเดียวกับการรับชำระเงินออนไลน์ ดูรายละเอียดใน ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway หัวข้อนี้กล่าวเฉพาะความแตกต่างระหว่างรายการที่ทำผ่านเครื่อง Smart POS ที่หน้าร้านกับรายการออนไลน์ และความรับผิดเมื่อระบบของผู้ให้บริการขัดข้อง

การย้ายความรับผิด (Liability Shift) กรณีบัตรปลอมหรือบัตรถูกขโมยเป็นกติกาของเครือข่ายบัตรซึ่งเป็นกฎของเอกชน และตามที่ตรวจได้ในขณะนี้มิใช่กติกาที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา] ร้านค้าได้รับความคุ้มครองจากการถูกหักเงิน Chargeback ตามกติกานั้นเมื่อสัญญากับผู้ให้บริการรับเอากติกาไว้และรายการเป็นไปตามเงื่อนไขของกติกา สัญญาจึงควรระบุเรื่องนี้ไว้โดยชัดแจ้ง ส่วนประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 368 เป็นเพียงหลักการตีความสัญญาไปตามความประสงค์ในทางสุจริตโดยพิเคราะห์ถึงปกติประเพณี มิได้เป็นฐานของการย้ายความรับผิด

หลักการจัดสรรความรับผิด (Liability Shift Rules)

1. Card-Present Transactions (EMV / Contactless): หากสัญญารับเอากติกาการย้ายความรับผิดไว้ และร้านค้าทำรายการโดยเสียบชิปหรือแตะบัตรผ่านเครื่อง Smart POS ที่ได้มาตรฐาน โดยรายการได้รับอนุมัติจากธนาคารผู้ออกบัตร ภาระความเสียหายจากการใช้บัตรปลอมหรือบัตรถูกขโมยตกแก่ธนาคารผู้ออกบัตรตามเงื่อนไขของกติกานั้น ผู้ให้บริการจึงไม่มีสิทธิตามข้อสัญญาที่รับเอากติกานั้นไว้ที่จะหักเงินจากร้านค้า [ต้องยืนยันแหล่งที่มา]
2. Card-Not-Present / E-Commerce Transactions: สำหรับรายการออนไลน์ หากสัญญารับเอากติกาไว้และรายการผ่านการยืนยันตัวตนผู้ถือบัตรด้วย 3-D Secure (EMV 3DS) เช่น รหัส OTP หรือการยืนยันด้วยข้อมูลชีวภาพ ความรับผิดต่อ Chargeback ประเภทฉ้อโกงย้ายไปยังธนาคารผู้ออกบัตรในทำนองเดียวกัน ทั้งนี้ ฉบับของโปรโตคอล 3-D Secure ที่กติกากำหนดต้องตรวจกับกติกาที่ใช้บังคับ ณ วันทำสัญญา [ต้องยืนยันแหล่งที่มา]
3. ขอบเขตของความคุ้มครอง: การย้ายความรับผิดคุ้มครองร้านค้าจาก Chargeback ประเภทฉ้อโกงตามเงื่อนไขของกติกาเท่านั้น ส่วน Chargeback ประเภทอื่น เช่น ผู้ถือบัตรอ้างว่าไม่ได้รับสินค้า ยังเป็นไปตามข้อสัญญา [ต้องยืนยันแหล่งที่มา]
4. System Failure / Processing Error: สัญญาควรกำหนดให้ผู้ให้บริการรับผิดต่อความเสียหายที่เกิดจากความบกพร่องของระบบหรือซอฟต์แวร์ที่ตนดูแล รวมทั้งระบบ Gateway และซอฟต์แวร์ของเครื่อง Smart POS ข้อสัญญาจำกัดความรับผิดอยู่ภายใต้ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 กล่าวคือ เป็นโมฆะในส่วนที่ยกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการเอง ส่วนที่ไม่เป็นโมฆะมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง และหากเป็นสัญญาสำเร็จรูป ข้อตกลงนั้นยังอยู่ภายใต้มาตรา 4 ของพระราชบัญญัติเดียวกัน ส่วนความรับผิดในความผิดของผู้รับจ้างที่ผู้ให้บริการใช้ในการชำระหนี้ อธิบายในตัวอย่างสถานการณ์จำลองในหัวข้อที่ 9

LAS Practice Note: เงินสำรอง ข้อมูลบัตรในเครื่อง Smart POS และขั้นตอนการระงับข้อพิพาท

เงินสำรองและการกักเงินโอน (Rolling Reserve & Holdback)

ข้อสัญญากักเงินสำรองที่ผู้ให้บริการกำหนดไว้ล่วงหน้าในสัญญาสำเร็จรูป หากทำให้ผู้ให้บริการได้เปรียบร้านค้าเกินสมควร เป็นข้อสัญญาที่ไม่เป็นธรรมตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี โดยศาลพิเคราะห์พฤติการณ์ทั้งปวงตามมาตรา 10 ส่วนเหตุแห่งการกักเงิน เพดานและระยะเวลากัก การแจ้งก่อนกักเงินเพิ่ม และการหักกลบลบหนี้กับยอดโอน ซึ่งใช้กับเครื่อง Smart POS เช่นเดียวกับการรับชำระเงินออนไลน์ ดูรายละเอียดใน ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway

ข้อมูลบัตรที่เครื่อง Smart POS เก็บได้และการเข้ารหัส

• Data Minimization: สัญญาควรกำหนดให้เครื่อง Smart POS และระบบประมวลผลบันทึกเฉพาะข้อมูลที่จำเป็นต่อการยืนยันการชำระเงิน เช่น เลขบัตรที่ปิดบังบางส่วน (Masked PAN เช่น 4541-XXXX-XXXX-1234) และเลขอ้างอิงรายการ (Transaction Reference ID) ซึ่งสอดคล้องกับหลักที่ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 22
• Sensitive Authentication Data: ข้อห้ามจัดเก็บรหัสลับหลังบัตร (CVV/CVC) ข้อมูลแถบแม่เหล็ก และ PIN block หลังการอนุมัติรายการเป็นข้อกำหนดของมาตรฐาน PCI DSS ซึ่งเป็นมาตรฐานเอกชนที่ผูกพันผ่านสัญญา [ต้องยืนยันแหล่งที่มา: ข้อกำหนด PCI DSS] ส่วนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายในการเก็บรวบรวมตามมาตรา 24 และต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) ผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บข้อมูลเกินความจำเป็นหรือไม่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ย่อมฝ่าฝืนมาตรา 22 หรือมาตรา 37 และต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาทตามมาตรา 83 และต้องชดใช้ค่าสินไหมทดแทนแก่เจ้าของข้อมูลส่วนบุคคลตามมาตรา 77 หากการฝ่าฝืนนั้นทำให้เกิดความเสียหาย ไม่ว่าจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าความเสียหายเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลส่วนบุคคลนั้นเอง หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย
• Encryption at Rest and In Transit: สัญญาควรกำหนดให้ข้อมูลการทำรายการที่เก็บในเครื่องหรือส่งผ่านเครือข่ายได้รับการเข้ารหัสตามอัลกอริทึมและโปรโตคอลที่ระบุไว้ในสัญญา เช่น AES-256 สำหรับข้อมูลที่จัดเก็บและ TLS 1.3 สำหรับการส่งผ่าน โดยอ้างฉบับของมาตรฐานที่ใช้บังคับ ณ วันทำสัญญา [ต้องยืนยันแหล่งที่มา]

การแยกมาตรฐาน PCI DSS ซึ่งเป็นข้อสัญญาออกจากหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หน้าที่ของผู้ให้บริการในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล และการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล ดูรายละเอียดในบทความคู่ฉบับที่อ้างถึงข้างต้น

ขั้นตอนการระงับข้อพิพาท (Dispute Resolution Procedure)

สัญญาควรกำหนดให้คู่สัญญาเจรจาโดยสุจริต (Good Faith Negotiation) ภายในระยะเวลาที่ตกลงกัน ข้อเสนอเริ่มต้นคือ 30 วัน ซึ่งเป็นข้อเสนอในการเจรจา มิใช่เกณฑ์ที่กฎหมายไทยกำหนด [ต้องยืนยันแหล่งที่มา] หากตกลงกันไม่ได้ ให้เสนอข้อพิพาทต่ออนุญาโตตุลาการ โดยคู่สัญญาควรระบุว่าจะใช้อนุญาโตตุลาการเฉพาะกิจหรืออนุญาโตตุลาการของสถาบันใด ทั้งนี้ สัญญาอนุญาโตตุลาการต้องมีหลักฐานเป็นหนังสือลงลายมือชื่อคู่สัญญาตามพระราชบัญญัติอนุญาโตตุลาการ พ.ศ. 2545 มาตรา 11 เว้นแต่จะเข้ากรณีที่มาตราเดียวกันให้ถือว่ามีสัญญาอนุญาโตตุลาการแล้ว เช่น ข้อสัญญาปรากฏในเอกสารที่คู่สัญญาโต้ตอบกันซึ่งมีการบันทึกข้อสัญญานั้นไว้ ส่วนวิธีตั้งคณะอนุญาโตตุลาการ หากคู่พิพาทมิได้กำหนดไว้เป็นอย่างอื่น ให้เป็นไปตามมาตรา 18 ของพระราชบัญญัติเดียวกัน นอกจากนี้ ร้านค้าอาจพิจารณายื่นเรื่องร้องเรียนต่อศูนย์คุ้มครองผู้ใช้บริการทางการเงินของธนาคารแห่งประเทศไทย แต่ชื่อของศูนย์และการที่ศูนย์รับเรื่องจากร้านค้าซึ่งเป็นผู้ประกอบการได้หรือไม่ ต้องตรวจกับแหล่งทางการของธนาคารแห่งประเทศไทย [ต้องยืนยันแหล่งที่มา]

ข้อต่อสู้ของผู้ให้บริการรับชำระเงิน (Acquirer/PayFac) กับร้านค้าหรือผู้ประกอบการค้าปลีก Devil's Advocate

ข้อต่อสู้เรื่องการระงับการโอนเงินและการกักเงินสำรอง ซึ่งเกิดได้กับสัญญารับชำระเงินทุกรูปแบบ ดูรายละเอียดใน ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway

ตัวอย่างสถานการณ์จำลอง Worked Example

บริบทของสถานการณ์

เครือข่ายร้านอาหาร A มีสาขาจำนวน 20 สาขา ใช้เครื่อง Smart POS ระบบ Android และระบบประมวลผลแบบ Omnichannel ของผู้ให้บริการ B ตามสัญญา B เป็นผู้ดูแลและอัปเดตเฟิร์มแวร์ของเครื่องจากระยะไกล และ B ใช้ผู้รับจ้าง C เป็นผู้พัฒนาชุดอัปเดตเฟิร์มแวร์ ต่อมาเกิดธุรกรรมทุจริตจากบัตรเครดิตต่างประเทศรวมเป็นเงิน 3,000,000 บาท ผ่านเครื่อง Smart POS ในสาขาต่าง ๆ ภายในระยะเวลา 3 วัน

ผู้ให้บริการ B มีหนังสือแจ้งระงับการโอนยอดขายทั้งหมดของทุกสาขา และหักเงินจากบัญชีของ A เพื่อชำระ Chargeback จำนวน 3,000,000 บาท โดยอ้างว่าร้านค้าไม่ตรวจหนังสือเดินทางของผู้ถือบัตร และเครื่องในสาขาถูกตรวจพบมัลแวร์ดักจับข้อมูล

Walkthrough การสืบสวนและการต่อสู้ทางกฎหมาย

1. การตรวจสอบนิติวิทยาศาสตร์ดิจิทัล (Digital Forensics Audit): A ว่าจ้างผู้เชี่ยวชาญตรวจสอบ และพบว่ามัลแวร์เข้าสู่เครื่องผ่านชุดอัปเดตเฟิร์มแวร์ที่ C พัฒนาและ B ส่งไปยังเครื่องจากระยะไกล (Remote Update) ซึ่งเป็นช่องทางที่ B เป็นผู้ดูแลตามสัญญา โดยแอปพลิเคชันขายหน้าร้านของ A ไม่มีช่องโหว่
2. การตรวจสอบการทำรายการ (Transaction Log Analysis): รายการทุจริตทั้งหมดเป็นรายการแบบแตะบัตร (EMV Contactless) และแบบเสียบชิปพร้อมรหัส PIN (EMV Chip-and-PIN) ผ่านหัวอ่านบัตรของเครื่อง และได้รับรหัสอนุมัติ (Authorization Code) จากธนาคารผู้ออกบัตรครบทุกรายการ
3. การปรับใช้ Liability Shift: ตามกติกาของเครือข่ายบัตรที่สัญญาระหว่างเครือข่ายร้านอาหาร A กับผู้ให้บริการ B รับเอาไว้ เมื่อรายการเป็นการเสียบชิปหรือแตะบัตรที่ได้รับอนุมัติจากธนาคารผู้ออกบัตร ภาระความเสียหายจากการใช้บัตรปลอมหรือบัตรถูกขโมยตกแก่ธนาคารผู้ออกบัตร ผู้ให้บริการ B จึงไม่มีสิทธิตามสัญญาที่จะหักเงินร้านค้าด้วยเหตุว่าร้านค้าไม่ตรวจหนังสือเดินทาง [ต้องยืนยันแหล่งที่มา]
4. การต่อสู้ข้อเรียกร้องตามสัญญา:

• A มีหนังสือคัดค้านการระงับการโอนยอดขายทั้งหมด โดยอ้างว่า B ระงับการโอนหรือหักเงินได้เท่าที่ข้อสัญญาให้สิทธิไว้ และต้องใช้สิทธิโดยสุจริตตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 5 การกักเงินเกินสิทธิตามสัญญาเป็นการไม่ชำระหนี้ และหากข้อสัญญากักเงินในสัญญาสำเร็จรูปทำให้ B ได้เปรียบเกินสมควร ข้อนั้นเป็นข้อสัญญาที่ไม่เป็นธรรมและมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 (การวิเคราะห์เงินสำรองและการหักกลบลบหนี้โดยละเอียด ดูบทความคู่ฉบับว่าด้วยสัญญา Payment Gateway)
• A ชี้แจงว่าเหตุข้อมูลรั่วไหลเกิดจากความบกพร่องของชุดอัปเดตเฟิร์มแวร์ตามรายงานการตรวจสอบนิติวิทยาศาสตร์ดิจิทัล เมื่อสัญญากำหนดให้ B เป็นผู้ดูแลและอัปเดตเฟิร์มแวร์ การส่งชุดอัปเดตที่มีมัลแวร์ถือได้ว่า B ไม่ชำระหนี้ให้ต้องตามความประสงค์อันแท้จริงแห่งมูลหนี้ A จึงเรียกค่าสินไหมทดแทนได้ตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 215 ภายในขอบเขตของมาตรา 222 และ B ต้องรับผิดในความผิดของ C ซึ่งเป็นบุคคลที่ B ใช้ในการชำระหนี้ เสมือนเป็นความผิดของตนเองตามมาตรา 220
• หาก B อ้างข้อสัญญาจำกัดความรับผิด ข้อสัญญานั้นเป็นโมฆะเฉพาะในส่วนที่ยกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของ B เองตามมาตรา 373 แต่มาตรา 220 บัญญัติว่ามาตรา 373 ไม่ใช้บังคับแก่ความผิดของบุคคลที่ลูกหนี้ใช้ในการชำระหนี้ ดังนั้น แม้ข้อเท็จจริงจะแสดงต่อไปว่ามัลแวร์เข้าสู่ชุดอัปเดตเพราะความประมาทเลินเล่ออย่างร้ายแรงของ C (ข้อเท็จจริงสมมติเพิ่มเติม) ความประมาทเลินเล่อนั้นก็ไม่ทำให้ข้อจำกัดความรับผิดเป็นโมฆะตามมาตรา 373 แต่หากพิสูจน์ได้ว่า B เองประมาทเลินเล่ออย่างร้ายแรงในการส่งชุดอัปเดตไปยังเครื่อง ข้อจำกัดความรับผิดย่อมเป็นโมฆะในส่วนที่ยกเว้นความรับผิดเพื่อความประมาทเลินเล่ออย่างร้ายแรงของ B นั้นตามมาตรา 373 อย่างไรก็ดี ข้อจำกัดความรับผิดที่ไม่เป็นโมฆะยังมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง และมาตรา 4 หากเป็นสัญญาสำเร็จรูป

1. ผลลัพธ์ (ตัวอย่างสมมติเพื่อการเรียนรู้ มิใช่ผลที่จะเกิดขึ้นเสมอไป): B ยินยอมปลดล็อกยอดโอนของยอดขายปกติทั้งหมด คืนเงิน 3,000,000 บาทที่หักไปเป็น Chargeback เพราะรายการเป็นไปตามเงื่อนไขของกติกาการย้ายความรับผิดที่สัญญารับเอาไว้ และรับภาระค่าปรับที่เครือข่ายบัตรเรียกเก็บอันเกิดจากความบกพร่องของเฟิร์มแวร์ ตามข้อสัญญาที่จัดสรรภาระดังกล่าว

Checklist 10 จุดตรวจสัญญาให้บริการเครื่อง Smart POS

• ตรวจสอบสถานะของผู้ให้บริการที่ร้านค้าทำสัญญาด้วยโดยตรงว่าถูกต้องตามประเภทบริการ คือได้รับอนุญาตหรือได้รับการขึ้นทะเบียนตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 17 ในกรณีที่บริการนั้นเป็นบริการการชำระเงินภายใต้การกำกับ ซึ่งรัฐมนตรีโดยคำแนะนำของธนาคารแห่งประเทศไทยประกาศกำหนดไว้ตามมาตรา 16 แล้ว [ต้องยืนยันแหล่งที่มา] และตรวจว่าผู้ให้บริการเป็นบริษัทจำกัด บริษัทมหาชนจำกัด หรือนิติบุคคลอื่นตามที่ธนาคารแห่งประเทศไทยประกาศกำหนด (มาตรา 17)
• ตรวจสอบการรับรองมาตรฐาน PCI PTS ของตัวเครื่อง Smart POS และรุ่นของเครื่องที่ได้รับการรับรอง แยกจากการรับรองมาตรฐาน PCI DSS ของผู้ให้บริการ โดยระบุฉบับของมาตรฐานที่ใช้บังคับ ณ วันทำสัญญา [ต้องยืนยันแหล่งที่มา]
• ตรวจสอบคำรับรองเรื่องการเข้ารหัสแบบ Point-to-Point Encryption (P2PE) ตั้งแต่หัวอ่านบัตรจนถึงระบบของผู้ให้บริการ
• ตรวจสอบว่าสัญญาระบุผู้มีหน้าที่อัปเดตเฟิร์มแวร์และซอฟต์แวร์ของเครื่อง ขั้นตอนทดสอบชุดอัปเดต และการแจ้งร้านค้าก่อนการอัปเดตจากระยะไกล
• ตรวจสอบข้อสัญญาจำกัดความรับผิดของผู้ให้บริการกรณีระบบ Gateway ซอฟต์แวร์ หรือเฟิร์มแวร์บกพร่อง รวมทั้งความรับผิดในความผิดของผู้รับจ้างที่ผู้ให้บริการใช้ในการชำระหนี้ ตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 220 และมาตรา 373 และพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และมาตรา 8
• ตรวจสอบว่าค่าธรรมเนียม MDR แจกแจงเป็น Interchange Fee, Scheme Fee และส่วนของผู้ให้บริการ และเปรียบเทียบการคิดราคาแบบ Blended กับ Interchange Plus กับข้อมูลยอดขายจริงของร้านค้า
• ตรวจสอบรายการค่าธรรมเนียมอื่นทุกรายการ (ค่าเช่าและค่าบำรุงรักษาเครื่อง ค่าเชื่อมต่อระบบ ค่าปรับเกี่ยวกับการปฏิบัติตามมาตรฐาน PCI และค่าแปลงสกุลเงิน) และระยะเวลาแจ้งล่วงหน้าก่อนปรับค่าธรรมเนียม ซึ่งเป็นข้อเสนอในการเจรจา และตามที่ตรวจได้ในขณะนี้มิใช่เกณฑ์ที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา]
• ตรวจสอบว่าเครื่องและระบบเก็บเฉพาะเลขบัตรที่ปิดบังบางส่วน และไม่เก็บรหัสลับหลังบัตร (CVV/CVC) PIN block หรือข้อมูลแถบแม่เหล็ก ตามมาตรฐาน PCI DSS ที่สัญญารับเอาไว้ [ต้องยืนยันแหล่งที่มา] ซึ่งสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 22 และมาตรา 37 (1)
• ตรวจสอบว่าสัญญารับเอากติกาการย้ายความรับผิดของเครือข่ายบัตรสำหรับรายการแบบแสดงบัตร (EMV) และแบบไม่แสดงบัตร (3-D Secure) ไว้โดยชัดแจ้ง และระบุว่าความคุ้มครองครอบคลุม Chargeback ประเภทฉ้อโกงตามเงื่อนไขของกติกา [ต้องยืนยันแหล่งที่มา]
• ตรวจสอบข้อระงับข้อพิพาทว่าระบุอนุญาโตตุลาการเฉพาะกิจหรือสถาบันใด และระยะเวลาเจรจาก่อนเสนอข้อพิพาท

การตรวจเพดานและระยะเวลากักเงินสำรอง ระยะเวลาโต้แย้ง Chargeback และรอบการโอนเงิน ให้ใช้ Checklist ในบทความเรื่อง ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway ประกอบ ส่วนเหตุแห่งการระงับบัญชี ให้ดูหัวข้อการหักกลบลบหนี้ Chargeback กับยอดโอนงวดถัดไป เกณฑ์การระงับบัญชี และการแจ้งก่อนกักเงินเพิ่มในบทความเรื่องเดียวกัน

คำถามที่พบบ่อย Frequently Asked Questions