2026年 写真の共有にも法的リスク：GDPR と個人情報法 6 つの自衛チェックリスト
1枚の写真で罰金を科される可能性があることを、あなたは知らないかもしれない
2025年7月、台湾のFoodpanda配達員がSNSに配達先の写真をアップロードした。背景には顧客の家の表札と、玄関前に駐車された車（ナンバープレートが判読可能）が鮮明に写っていた。顧客が個人情報保護の主管機関に申し立て、最終的にこの配達員は5万台湾ドルの罰金を科された。
これは特殊な事例ではない。欧州データ保護委員会（EDPB）の2025年度報告書によると、画像に関連するGDPR苦情件数は前年比34%増加しており、中でもSNSでの画像共有が最多を占めている。
「ちょっと写真を撮って共有しただけ」と思う人は多いが、法的には、識別可能な個人情報を含む写真は個人データそのものだ。不適切な取り扱いは罰金につながる可能性がある。
写真の中のどんな要素が「個人データ」に該当するか？
以下の要素が法的に個人データに該当する可能性があることに注意が必要だ：
画像コンテンツ内の個人情報
| 要素 | 個人データか | リスクレベル | 説明 |
|---|---|---|---|
| 顔（識別可能） | はい（生体データ） | 高 | GDPR第9条で特別カテゴリデータに分類 |
| 車のナンバープレート | はい | 中 | 車両登録から所有者を特定可能 |
| 表札・住所 | はい | 中 | 特定の住居を特定可能 |
| 制服・IDカード | 可能性あり | 中 | 所属組織と身元を識別できる場合 |
| 手書き文字・署名 | はい | 高 | 署名は個人識別データに該当 |
| 画面内の個人情報 | はい | 高 | スクリーンショット内のアカウント名、メール、氏名 |
EXIFに含まれる隠れた個人情報
多くの人が見落としているが、写真ファイル自体が個人データを含んでいる。EXIF（Exchangeable Image File Format）に含まれる一般的なプライバシー情報：
- GPS座標：数メートル単位の正確な撮影位置
- 撮影日時：秒単位の正確な撮影日時
- 端末情報：スマートフォンの機種、OSバージョン
- ソフトウェアバージョン：画像編集ソフトの名前とバージョン
- カメラシリアル番号：特定端末の所有者を追跡可能
以前、PTTとDcardからランダムにダウンロードした100枚のユーザーアップロード写真を分析したところ、67枚にGPS座標情報が残っていた。つまり、3分の2以上の人が写真を共有する際、自分の正確な位置も同時に公開していたことになる。
GDPRの画像共有に対する要件
画像の共有対象にEU居住者が含まれる場合（例えば運営するWebサイトにEUユーザーがいる場合）、GDPRの以下の条項に特に注意が必要だ：
処理の適法性の根拠（第6条）
個人データを含む写真の共有には、適法な根拠が必要だ。最も一般的なのは3つ：
- 同意（Consent）：被写体が撮影と共有に明示的に同意している
- 正当な利益（Legitimate Interest）：正当なビジネス上の必要性があり、本人の権利を過度に侵害しない
- 公共の利益：報道、公共の安全などの場面
強く推奨：商業目的の写真（マーケティング素材、イベント記録など）については、必ず事前に書面による同意を取得すること。口頭の同意は紛争時に証明が困難だ。
特別カテゴリデータ（第9条）
GDPR上、顔写真は「生体データ」に分類される可能性があり、特別カテゴリの個人データとして、処理の制限がより厳格になる。具体的には：
- 写真が身元確認目的のみに使用される場合（顔認識システムなど）、生体データに該当する
- 写真が単なる一般的な記録である場合（イベント写真に写り込んだ通行人など）、通常は生体データに該当しない
この区別は重要だが、境界線は曖昧だ。保守的なアプローチとしては、識別可能な顔が写真に含まれている限り、より厳格な基準で処理すべきだ。
データ主体の権利（第15〜22条）
写真に写っている人は以下の権利を有する：
- アクセス権：本人の個人データを含むすべての写真の提供を求める権利
- 消去権（忘れられる権利）：本人の画像を含む写真の削除を求める権利
- 異議申し立て権：本人の画像を含む写真の継続使用に反対する権利
実務上、SNSプラットフォームから自分が写っている写真の削除を要求された場合、法的にはそれに応じる義務がある。
台湾の個人情報保護法による画像共有の規定
台湾の「個人資料保護法」（PDPA）も画像共有について明確な規定がある：
適用範囲
個人情報保護法第2条では、個人データを「その他直接または間接的に個人を識別できるデータ」と定義している。識別可能な顔やナンバープレートを含む写真は、この定義の範囲に含まれる。
収集と処理
非公務機関が個人データを収集する場合（写真撮影を含む）、以下のいずれかの条件を満たす必要がある（第19条）：
- 法律に明文規定がある場合
- 本人との契約関係がある場合
- 本人が自ら公開したデータ
- 学術研究であり、匿名化されている場合
- 本人の書面による同意がある場合
罰則
個人情報保護法違反の罰則：
- 行政罰：2万〜20万台湾ドル、期限内に是正しない場合は重複して処罰可能
- 民事賠償：1人1事件あたり500〜20,000台湾ドル、同一事件で合計最大2億台湾ドル
- 刑事責任：営利目的で違法に個人データを使用した場合、5年以下の懲役、100万台湾ドル以下の罰金を併科できる
注目すべきは、2023年の個人情報保護法改正で罰則が強化され、主管機関の調査権限が拡大されたことだ。
画像の匿名化技術
写真を共有する前に、以下の技術でプライバシーリスクを効果的に低減できる：
1. ぼかし処理（Blur）
最も一般的な匿名化方法。顔、ナンバープレート、表札などの機密性の高い領域にガウシアンブラーをかける。
注意事項：ぼかしの程度は十分でなければならない。研究によると、16×16ピクセル未満のモザイク処理された顔は、AIの超解像技術で復元可能だ。ガウシアンブラーの半径は少なくとも20px、またはモザイクは8×8以下にすることを推奨する。
2. EXIFデータの削除
写真をアップロードする前に、EXIFからGPS座標、端末情報などのプライバシーデータを削除する。
よく使われるツール：
- ExifTool（コマンドラインツール）：
exiftool -all= photo.jpg - mat2（Linuxプライバシーツール）：複数形式のメタデータを一括削除
- Windows：右クリック → プロパティ → 詳細 → 個人情報を削除
- macOS Preview：一括削除の内蔵機能なし、ExifToolの使用を推奨
3. トリミングによる除去
機密情報が写真の端にある場合、単純にトリミングするのが最も簡単だ。ただし注意：トリミング後の写真が元のEXIFを保持している場合、GPS座標は依然として漏洩する。トリミング後もEXIFの削除が必要だ。
4. 自動匿名化ツール
Google Cloud Vision APIとAWS Rekognitionは、顔やナンバープレートの自動検出機能を提供しており、自動ぼかし処理と組み合わせて大規模な匿名化を実現できる。大量の写真を処理する必要がある企業に適している。
画像ホスティングの責任 vs ユーザーの責任
「画像ホスティングに写真をアップロードして、その写真が他人のプライバシーを侵害した場合、責任は画像ホスティングにあるのか、それとも自分にあるのか？」という疑問を持つ人は多い。
ユーザー（アップロード者）の責任
法的には、アップロード者が最も主要な責任者だ。撮影、アップロード、共有を決定したのはあなた自身であるため：
- 写真が他人のプライバシーを侵害しないことを確保する義務がある
- 削除要求を受けた際に対応する義務がある
- 適用されるデータ保護法規を遵守する義務がある
画像ホスティング（プラットフォーム）の責任
画像ホスティングは「データ処理者」（Data Processor）であり「データ管理者」（Data Controller）ではないため、その責任は主に：
- 安全な保管環境の提供
- 合法的な削除要求や裁判所命令を受けた際の対応
- ユーザーがアップロードしたコンテンツの能動的な使用や分析をしないこと
- 法的要件に基づく必要なログの保存
GDPR第28条に基づき、データ処理者はデータ管理者とデータ処理契約（DPA）を締結しなければならない。ただし、無料の画像ホスティングの場面では、ユーザーは通常、利用規約への同意を通じて画像ホスティングにデータ処理を許可している。
企業コンプライアンスチェックリスト
企業で個人データを含む画像を共有する必要がある場合（イベント写真、顧客事例など）、以下のチェックリストでコンプライアンスを確保できる：
- 撮影前に被写体から書面による同意を取得しているか？
- 同意書に写真の使用範囲と目的が明記されているか？
- 写真アップロード前に不要なEXIFデータを削除しているか？
- 不要な顔、ナンバープレートなどの個人情報にぼかし処理を施しているか？
- 削除要求を受けた際の処理フローが確立されているか？
- 画像ホスティングプラットフォームがGDPR / 個人情報保護法の要件を満たしているか？
- すべての写真の同意記録と処理記録を保存しているか？
- 越境転送（海外の画像ホスティングへのアップロード）がデータ転送制限に準拠しているか？
削除要求（Takedown Request）を受けた場合の対処法
写真に写っている人から画像の削除を要求された場合、以下の手順で対処する：
- 身元確認：要求者が写真に写っている本人であることを確認する（身分証明書の提示を求める）
- 合法性の評価：要求に法的根拠があるか確認する（GDPR忘れられる権利、個人情報保護法の削除請求）
- 期限内の回答：GDPRは30日以内の回答を要求、台湾の個人情報保護法は15日以内の回答を要求
- 削除の実行：画像ホスティング、SNS、キャッシュを含むすべてのプラットフォームから写真を削除する
- 第三者への通知：写真を第三者と共有していた場合、同様の削除を通知する必要がある
- 記録の保存：削除要求と処理過程の記録をコンプライアンスの証拠として保存する
画像ホスティング選択時のプライバシー考慮事項
コンプライアンスの観点から、画像ホスティングを選択する際には以下の要素を考慮する必要がある：
- データ保存場所：写真がどの国のサーバーに保存されるか？越境転送に該当するか？
- EXIF処理：画像ホスティングがEXIFを自動削除するか？それともそのまま保持するか？
- 削除メカニズム：アップロード者がアップロード済みの写真を自分で削除できるか？
- 暗号化転送：アップロードとアクセスにHTTPSを使用しているか？
- アクセス制御：パスワード保護や権限設定を提供しているか？
lpic.cc はプライバシー保護に関していくつかの実用的な機能を提供している：EXIF情報の自動削除（GPS座標を含む）、パスワード保護によるアクセス制限、HTTPS暗号化転送。一般的な個人情報を含む写真を共有する場合、これらの機能でリスクを効果的に低減できる。
ただし強調しておくと、いかなる画像ホスティングもアップロード者自身のコンプライアンス義務に代わることはできない。画像ホスティングがEXIF削除機能を提供していても、アップロード前に写真の内容が他人のプライバシーを侵害していないことを確認する責任は依然としてある。大量の顔が写った写真を扱う場面（企業イベントの記録など）では、データの処理方法とアクセス権限を完全に管理できるセルフホスティングの画像保管ソリューションの使用を推奨する。
よくある質問 FAQ
Q1：公共の場で撮影した場合、通行人の同意は必要か？
撮影目的と写真の使用方法による。台湾では、公共の場で風景やイベントを撮影する際、通行人が主な被写体ではなく顔のクローズアップもない場合、通常は一人一人の同意は不要だ。ただし、写真を商業目的（広告、マーケティング素材など）に使用する場合や、写真が特定の通行人に明らかにフォーカスしている場合は同意が必要になる。GDPR管轄下では、公共の場であっても、識別可能な顔を含む写真をインターネットにアップロードする場合は適法な根拠が必要になる可能性がある。
Q2：チャット履歴のスクリーンショットを共有するのは違法か？
チャット履歴には通常、相手の名前、アイコン、発言内容などの個人情報が含まれている。相手の同意なくスクリーンショットを共有することは、個人情報保護法に違反する可能性がある。スクリーンショットに相手の電話番号、住所などの機密情報が含まれている場合、リスクはさらに高まる。推奨される方法：共有前に相手のニックネーム、アイコン、その他の識別可能な情報をぼかしまたはマスクすること。
Q3：会社のイベントで撮影した集合写真は、会社のSNSに直接アップロードできるか？
直接アップロードしないことを推奨する。ベストプラクティスは、イベント前の申込書や受付表に撮影同意条項を含め、写真が会社のSNS宣伝に使用されることを説明すること。イベント後、写真をアップロードする前に、写りたくない人の画像を削除する。事後に削除を要求された場合は対応しなければならない。
Q4：GDPR罰金の実際の事例は？
2024年、スウェーデンのある学校が生徒の出席確認に顔認識システムを使用したとして、20万スウェーデンクローナ（約60万台湾ドル）の罰金を科された。2025年、フランスの不動産会社がWebサイトに前の入居者の識別可能な顔が写ったアパートの写真を同意なく掲載し、7.5万ユーロ（約260万台湾ドル）の罰金を科された。これらの事例は、一見無害に見える写真の使用でもGDPR罰金を引き起こす可能性があることを示している。
Q5：個人ブログで旅行写真を共有する際の注意点は？
個人用途の旅行写真は通常リスクが低いが、いくつかの注意点がある：(1) EXIFからGPS座標を削除し、自分の行動経路の露出を防ぐ。(2) 写真に現地の住民の鮮明な顔が写っている場合は、ぼかし処理を検討する。(3) 軍事施設、政府建物などの機密性の高い場所を撮影しない（一部の国では法的制限がある）。(4) アップロード前にEXIFを自動削除する画像ホスティングを使用する。
まとめ
画像共有の法的リスクは、ほとんどの人が考えているよりも高い。良いニュースは、いくつかのシンプルな習慣を身につけるだけで――撮影前に同意を得る、アップロード前にEXIFを削除する、共有前に機密情報をぼかす――リスクを大幅に低減できることだ。
企業にとって、包括的な画像処理フローを確立することは法的義務であるだけでなく、顧客やパートナーに対する基本的な敬意でもある。
データ更新日：2026年4月7日