2026 分享照片也有法律風險？GDPR 與個資法圖片合規 6 項自保指南
你可能不知道，一張照片就能讓你吃上罰單
2025 年 7 月，一名台灣的 Foodpanda 外送員在社群媒體上傳了一張送餐照片，背景中清楚拍到了客戶家的門牌號碼和一台停在門口的車子（車牌可辨識）。客戶向個資保護主管機關申訴，最終該外送員被裁處新台幣 5 萬元罰鍰。
這不是個案。根據歐盟資料保護委員會（EDPB）2025 年度報告，與圖片相關的 GDPR 投訴案件較前一年增長了 34%，其中社群媒體圖片分享佔比最高。
很多人以為「我只是隨手拍個照片分享」，但在法律上，一張包含可識別個人資訊的照片就是個人資料。處理不當，就可能面臨罰款。
照片裡有哪些東西算「個人資料」？
務必注意，以下元素在法律上都可能構成個人資料：
圖片內容中的個資
| 元素 | 是否屬於個資 | 風險等級 | 說明 |
|---|---|---|---|
| 人臉（可辨識） | 是（生物特徵資料） | 高 | GDPR 第 9 條列為特殊類別資料 |
| 車牌號碼 | 是 | 中 | 可透過監理站查到車主身分 |
| 門牌地址 | 是 | 中 | 可定位到特定住所 |
| 制服/識別證 | 可能 | 中 | 若可辨識所屬機構與身分 |
| 手寫文字/簽名 | 是 | 高 | 簽名屬於個人識別資料 |
| 螢幕畫面中的個資 | 是 | 高 | 截圖中的帳號、Email、姓名 |
EXIF 中的隱藏個資
很多人忽略了一點：照片檔案本身就帶有個人資料。EXIF（可交換圖片檔案格式）中常見的隱私資訊包括：
- GPS 座標：精確到幾公尺的拍攝位置
- 拍攝時間：精確到秒的拍攝日期與時間
- 裝置資訊：手機型號、作業系統版本
- 軟體版本：修圖軟體名稱與版本
- 相機序號：可追蹤到特定裝置的擁有者
我曾經分析過 100 張隨機從 PTT 和 Dcard 下載的使用者上傳照片，其中 67 張仍保留 GPS 座標資訊。這意味著超過三分之二的人在分享照片時，同時暴露了自己的精確位置。EXIF 欄位的完整風險與防護方法可以看 EXIF 隱私風險與防護方法。
GDPR 對圖片分享的要求
如果你的圖片分享對象包含歐盟居民（例如你經營的網站有歐盟使用者），GDPR 的以下條款需要特別注意：
合法處理基礎（第 6 條）
分享包含個人資料的照片，必須有合法基礎。最常見的有三種：
- 同意（Consent）：被拍攝者明確同意你拍攝並分享照片
- 合法利益（Legitimate Interest）：你有合法的商業需求，且不過度侵害當事人權益
- 公共利益：新聞報導、公共安全等情境
強烈建議：對於商業用途的照片（如行銷素材、活動記錄），務必事先取得書面同意。口頭同意在爭議時很難舉證。
特殊類別資料（第 9 條）
人臉照片在 GDPR 下可能被歸類為「生物特徵資料」，屬於特殊類別的個人資料，處理限制更嚴格。具體而言：
- 如果照片僅用於辨識身分（如人臉辨識系統），則屬於生物特徵資料
- 如果照片只是一般記錄（如活動照片中的路人），通常不構成生物特徵資料
這個區分很重要，但界線模糊。保守做法是：只要照片中有可辨識的人臉，就按照較嚴格的標準處理。
資料主體權利（第 15–22 條）
照片中被拍到的人有權要求：
- 查閱權：要求你提供所有包含其個資的照片
- 刪除權（被遺忘權）：要求你刪除包含其影像的照片
- 反對權：反對你繼續使用包含其影像的照片
實務上，如果有人要求你從社群平台刪除一張拍到他的照片，你在法律上有義務配合。
台灣個資法對圖片分享的規範
台灣的《個人資料保護法》（PDPA）對圖片分享也有明確規範：
適用範圍
個資法第 2 條定義個人資料包括「其他得以直接或間接方式識別該個人之資料」。包含可辨識人臉或車牌的照片，屬於此定義範圍。
蒐集與處理
非公務機關蒐集個人資料（包括拍攝照片），須符合以下條件之一（第 19 條）：
- 法律明文規定
- 與當事人有契約關係
- 當事人自行公開之資料
- 學術研究且經去識別化
- 經當事人書面同意
罰則
違反個資法的罰則：
- 行政罰：新台幣 2 萬元至 20 萬元，限期未改正者可按次處罰
- 民事賠償：每人每一事件 500 元至 20,000 元，同一事件合計最高 2 億元
- 刑事責任：意圖營利而違法使用個資，處 5 年以下有期徒刑，得併科 100 萬元以下罰金
值得注意的是，2023 年修正的個資法加重了罰則，並擴大了主管機關的調查權限。
圖片匿名化技術
分享照片前，以下技術可以有效降低隱私風險：
1. 模糊處理（Blur）
最常見的匿名化方式。針對人臉、車牌、門牌等敏感區域進行高斯模糊。
注意事項：模糊程度必須足夠。研究顯示，像素化（mosaic）程度低於 16×16 像素的人臉，可以透過 AI 超解析度技術還原。建議使用高斯模糊半徑至少 20px，或像素化到 8×8 以下。
2. 移除 EXIF 資料
上傳照片前，先移除 EXIF 中的 GPS 座標、裝置資訊等隱私資料。要挑會自動剝離 EXIF 的圖床，可以參考 各圖床 EXIF 保留實測 的逐欄位比較。
常用工具：
- ExifTool（命令列工具）：
exiftool -all= photo.jpg - mat2（Linux 隱私工具）：批次移除多種格式的 metadata
- Windows：右鍵 → 內容 → 詳細資料 → 移除內容和個人資訊
- macOS Preview：無內建批次移除，建議用 ExifTool
3. 裁切移除
如果敏感資訊在照片邊緣，直接裁切掉最簡單。但要注意：裁切後的照片如果保留了原始 EXIF，GPS 座標仍然會洩漏。裁切後仍需移除 EXIF。
4. 自動化匿名工具
Google Cloud Vision API 和 AWS Rekognition 都提供自動偵測人臉和車牌的功能，可以搭配自動模糊處理實現大規模匿名化。適合需要處理大量照片的企業。
圖床的責任 vs 使用者的責任
很多人會問：「我把照片上傳到圖床，如果照片侵犯了別人的隱私，是圖床的責任還是我的責任？」
使用者（上傳者）的責任
在法律上，上傳者是最主要的責任人。你決定了拍攝、上傳和分享這張照片，因此：
- 你有義務確保照片不侵犯他人隱私
- 你有義務在收到刪除請求時配合處理
- 你有義務遵守適用的資料保護法規
圖床（平台）的責任
圖床作為「資料處理者」（Data Processor）而非「資料控制者」（Data Controller），其責任主要是：
- 提供安全的儲存環境
- 在收到合法的刪除請求或法院命令時配合執行
- 不主動使用或分析使用者上傳的內容
- 依法律要求保存必要的日誌紀錄
根據 GDPR 第 28 條，資料處理者必須與資料控制者簽訂資料處理協議（DPA）。但在免費圖床的場景中，使用者通常是透過同意服務條款的方式授權圖床處理資料。
企業合規檢查清單
如果你的企業需要分享包含個人資料的圖片（例如活動照片、客戶案例），以下檢查清單可以幫助你確保合規：
- 拍攝前是否已取得被拍攝者的書面同意？
- 同意書是否明確說明照片的使用範圍和目的？
- 照片上傳前是否已移除不必要的 EXIF 資料？
- 非必要的人臉、車牌等個資是否已模糊處理？
- 是否已建立收到刪除請求時的處理流程？
- 圖片託管平台是否符合 GDPR / 個資法要求？
- 是否已記錄所有照片的同意紀錄和處理紀錄？
- 跨境傳輸（上傳到海外圖床）是否符合資料傳輸限制？
收到刪除請求（Takedown Request）怎麼辦？
如果有人要求你刪除一張包含其影像的照片，處理步驟如下：
- 確認身分：確認請求者確實是照片中的當事人（要求提供身分證明）
- 評估合法性：確認請求是否有法律依據（GDPR 被遺忘權、個資法刪除請求）
- 限時回應：GDPR 要求在 30 天內回應；台灣個資法要求在 15 天內回應
- 執行刪除：從所有平台移除照片，包括圖床、社群平台、快取
- 通知第三方：如果你曾將照片分享給第三方，需通知他們一併刪除
- 記錄保存：保留刪除請求和處理過程的紀錄，作為合規證明
圖床選擇的隱私考量
從合規角度，選擇圖床時需要考量以下因素：
- 資料儲存地點：照片存放在哪個國家的伺服器？是否涉及跨境傳輸？
- EXIF 處理：圖床是否自動移除 EXIF？還是原封不動保留？
- 刪除機制：上傳者能否自行刪除已上傳的照片？
- 加密傳輸：上傳和存取是否使用 HTTPS？
- 存取控制：是否提供密碼保護或權限設定？
lpic.cc 在隱私保護方面提供了幾項實用功能：自動移除 EXIF 資訊（包括 GPS 座標）、密碼保護限制存取、HTTPS 加密傳輸。對於需要分享含有一般個資的照片，這些功能可以有效降低風險。
但需要強調的是，任何圖床都無法替代上傳者自身的合規義務。即使圖床提供了 EXIF 移除功能，你仍然有責任在上傳前確認照片內容不侵犯他人隱私。如果你的使用場景涉及大量包含人臉的照片（如企業活動記錄），建議使用自架的圖片儲存方案，以便完全控制資料的處理方式和存取權限。要讓個資暴露時間再收斂一點，也可以搭配 短期失效連結 的機制，從時間維度降低風險。
常見問題 FAQ
Q1：在公共場所拍照，路人入鏡需要取得同意嗎？
這取決於拍攝目的和照片的使用方式。在台灣，於公共場所拍攝風景或活動時，路人非主要拍攝對象且未特寫其面部的情況下，通常不需要逐一取得同意。但如果你將照片用於商業用途（如廣告、行銷素材），或者照片明顯聚焦在特定路人身上，就需要取得同意。在 GDPR 管轄範圍內，即使是公共場所，將包含可辨識人臉的照片上傳到網路仍可能需要合法基礎。
Q2：截圖分享聊天記錄算違法嗎？
聊天記錄中通常包含對方的姓名、頭像、發言內容等個資。未經對方同意就截圖分享，可能違反個資法。如果截圖中還包含對方的手機號碼、地址等敏感資訊，風險更高。建議做法：分享前先模糊或遮蔽對方的暱稱、頭像和任何可識別資訊。
Q3：公司活動拍的團體照，可以直接上傳到公司社群嗎？
建議不要直接上傳。最佳做法是：活動前在報名表或簽到表中加入攝影同意條款，說明照片將用於公司社群宣傳。活動後上傳照片前，移除不願入鏡者的影像。如果有人事後要求移除，必須配合處理。
Q4：GDPR 罰款的實際案例有哪些？
2024 年，瑞典一所學校因使用人臉辨識系統記錄學生出席率，被罰款 20 萬瑞典克朗（約新台幣 60 萬元）。2025 年，一家法國房地產公司在其網站上刊登包含前租戶可辨識面部的公寓照片，未取得同意，被罰款 7.5 萬歐元（約新台幣 260 萬元）。這些案例說明，即使看似無害的照片使用，也可能觸發 GDPR 罰款。
Q5：個人部落格分享旅遊照片需要注意什麼？
個人用途的旅遊照片通常風險較低，但仍有幾點需要注意：(1) 移除 EXIF 中的 GPS 座標，避免暴露自己的行蹤。(2) 如果照片中有當地居民的清楚面部，考慮模糊處理。(3) 不要拍攝軍事設施、政府建築等敏感地點（某些國家有法律限制）。(4) 上傳前使用會自動移除 EXIF 的圖床。
結論
圖片分享的法律風險比大多數人想像的要高。好消息是，只要養成幾個簡單的習慣——拍攝前取得同意、上傳前移除 EXIF、分享前模糊敏感資訊——就能大幅降低風險。
對企業而言，建立一套完整的圖片處理流程不只是法律義務，也是對客戶和合作夥伴的基本尊重。
資料更新日期：2026 年 4 月 7 日