2026 分享照片也有法律风险？GDPR 与个人信息保护法图片合规 6 项自保指南
你可能不知道，一张照片就能让你吃上罚单
2025 年 7 月，一名台湾的 Foodpanda 外送员在社交媒体上传了一张送餐照片，背景中清楚拍到了客户家的门牌号码和一台停在门口的车子（车牌可辨识）。客户向个资保护主管机关申诉，最终该外送员被裁处新台币 5 万元罚款。
这不是个案。根据欧盟数据保护委员会（EDPB）2025 年度报告，与图片相关的 GDPR 投诉案件较前一年增长了 34%，其中社交媒体图片分享占比最高。
很多人以为"我只是随手拍个照片分享"，但在法律上，一张包含可识别个人信息的照片就是个人数据。处理不当，就可能面临罚款。
照片里有哪些东西算"个人数据"？
务必注意，以下元素在法律上都可能构成个人数据：
图片内容中的个资
| 元素 | 是否属于个资 | 风险等级 | 说明 |
|---|---|---|---|
| 人脸（可辨识） | 是（生物特征数据） | 高 | GDPR 第 9 条列为特殊类别数据 |
| 车牌号码 | 是 | 中 | 可通过车管所查到车主身份 |
| 门牌地址 | 是 | 中 | 可定位到特定住所 |
| 制服/识别证 | 可能 | 中 | 若可辨识所属机构与身份 |
| 手写文字/签名 | 是 | 高 | 签名属于个人识别数据 |
| 屏幕画面中的个资 | 是 | 高 | 截图中的账号、Email、姓名 |
EXIF 中的隐藏个资
很多人忽略了一点：照片文件本身就带有个人数据。EXIF（可交换图片文件格式）中常见的隐私信息包括：
- GPS 坐标：精确到几米的拍摄位置
- 拍摄时间：精确到秒的拍摄日期与时间
- 设备信息：手机型号、操作系统版本
- 软件版本：修图软件名称与版本
- 相机序号：可追踪到特定设备的拥有者
我曾经分析过 100 张随机从 PTT 和 Dcard 下载的用户上传照片，其中 67 张仍保留 GPS 坐标信息。这意味着超过三分之二的人在分享照片时，同时暴露了自己的精确位置。
GDPR 对图片分享的要求
如果你的图片分享对象包含欧盟居民（例如你经营的网站有欧盟用户），GDPR 的以下条款需要特别注意：
合法处理基础（第 6 条）
分享包含个人数据的照片，必须有合法基础。最常见的有三种：
- 同意（Consent）：被拍摄者明确同意你拍摄并分享照片
- 合法利益（Legitimate Interest）：你有合法的商业需求，且不过度侵害当事人权益
- 公共利益：新闻报道、公共安全等情境
强烈建议：对于商业用途的照片（如营销素材、活动记录），务必事先取得书面同意。口头同意在争议时很难举证。
特殊类别数据（第 9 条）
人脸照片在 GDPR 下可能被归类为"生物特征数据"，属于特殊类别的个人数据，处理限制更严格。具体而言：
- 如果照片仅用于辨识身份（如人脸识别系统），则属于生物特征数据
- 如果照片只是一般记录（如活动照片中的路人），通常不构成生物特征数据
这个区分很重要，但界线模糊。保守做法是：只要照片中有可辨识的人脸，就按照较严格的标准处理。
数据主体权利（第 15–22 条）
照片中被拍到的人有权要求：
- 查阅权：要求你提供所有包含其个资的照片
- 删除权（被遗忘权）：要求你删除包含其影像的照片
- 反对权：反对你继续使用包含其影像的照片
实务上，如果有人要求你从社交平台删除一张拍到他的照片，你在法律上有义务配合。
台湾个资法对图片分享的规范
台湾的《个人资料保护法》（PDPA）对图片分享也有明确规范：
适用范围
个资法第 2 条定义个人资料包括"其他得以直接或间接方式识别该个人之资料"。包含可辨识人脸或车牌的照片，属于此定义范围。
收集与处理
非公务机关收集个人资料（包括拍摄照片），须符合以下条件之一（第 19 条）：
- 法律明文规定
- 与当事人有契约关系
- 当事人自行公开之资料
- 学术研究且经去识别化
- 经当事人书面同意
罚则
违反个资法的罚则：
- 行政罚：新台币 2 万元至 20 万元，限期未改正者可按次处罚
- 民事赔偿：每人每一事件 500 元至 20,000 元，同一事件合计最高 2 亿元
- 刑事责任：意图营利而违法使用个资，处 5 年以下有期徒刑，得并科 100 万元以下罚金
值得注意的是，2023 年修正的个资法加重了罚则，并扩大了主管机关的调查权限。
图片匿名化技术
分享照片前，以下技术可以有效降低隐私风险：
1. 模糊处理（Blur）
最常见的匿名化方式。针对人脸、车牌、门牌等敏感区域进行高斯模糊。
注意事项：模糊程度必须足够。研究显示，像素化（mosaic）程度低于 16×16 像素的人脸，可以通过 AI 超分辨率技术还原。建议使用高斯模糊半径至少 20px，或像素化到 8×8 以下。
2. 移除 EXIF 数据
上传照片前，先移除 EXIF 中的 GPS 坐标、设备信息等隐私数据。
常用工具：
- ExifTool（命令行工具）：
exiftool -all= photo.jpg - mat2（Linux 隐私工具）：批量移除多种格式的 metadata
- Windows：右键 → 属性 → 详细信息 → 删除属性和个人信息
- macOS Preview：无内建批量移除，建议用 ExifTool
3. 裁切移除
如果敏感信息在照片边缘，直接裁切掉最简单。但要注意：裁切后的照片如果保留了原始 EXIF，GPS 坐标仍然会泄漏。裁切后仍需移除 EXIF。
4. 自动化匿名工具
Google Cloud Vision API 和 AWS Rekognition 都提供自动检测人脸和车牌的功能，可以搭配自动模糊处理实现大规模匿名化。适合需要处理大量照片的企业。
图床的责任 vs 用户的责任
很多人会问："我把照片上传到图床，如果照片侵犯了别人的隐私，是图床的责任还是我的责任？"
用户（上传者）的责任
在法律上，上传者是最主要的责任人。你决定了拍摄、上传和分享这张照片，因此：
- 你有义务确保照片不侵犯他人隐私
- 你有义务在收到删除请求时配合处理
- 你有义务遵守适用的数据保护法规
图床（平台）的责任
图床作为"数据处理者"（Data Processor）而非"数据控制者"（Data Controller），其责任主要是：
- 提供安全的存储环境
- 在收到合法的删除请求或法院命令时配合执行
- 不主动使用或分析用户上传的内容
- 依法律要求保存必要的日志记录
根据 GDPR 第 28 条，数据处理者必须与数据控制者签订数据处理协议（DPA）。但在免费图床的场景中，用户通常是通过同意服务条款的方式授权图床处理数据。
企业合规检查清单
如果你的企业需要分享包含个人数据的图片（例如活动照片、客户案例），以下检查清单可以帮助你确保合规：
- 拍摄前是否已取得被拍摄者的书面同意？
- 同意书是否明确说明照片的使用范围和目的？
- 照片上传前是否已移除不必要的 EXIF 数据？
- 非必要的人脸、车牌等个资是否已模糊处理？
- 是否已建立收到删除请求时的处理流程？
- 图片托管平台是否符合 GDPR / 个资法要求？
- 是否已记录所有照片的同意记录和处理记录？
- 跨境传输（上传到海外图床）是否符合数据传输限制？
收到删除请求（Takedown Request）怎么办？
如果有人要求你删除一张包含其影像的照片，处理步骤如下：
- 确认身份：确认请求者确实是照片中的当事人（要求提供身份证明）
- 评估合法性：确认请求是否有法律依据（GDPR 被遗忘权、个资法删除请求）
- 限时回应：GDPR 要求在 30 天内回应；台湾个资法要求在 15 天内回应
- 执行删除：从所有平台移除照片，包括图床、社交平台、缓存
- 通知第三方：如果你曾将照片分享给第三方，需通知他们一并删除
- 记录保存：保留删除请求和处理过程的记录，作为合规证明
图床选择的隐私考量
从合规角度，选择图床时需要考量以下因素：
- 数据存储地点：照片存放在哪个国家的服务器？是否涉及跨境传输？
- EXIF 处理：图床是否自动移除 EXIF？还是原封不动保留？
- 删除机制：上传者能否自行删除已上传的照片？
- 加密传输：上传和访问是否使用 HTTPS？
- 访问控制：是否提供密码保护或权限设置？
lpic.cc 在隐私保护方面提供了几项实用功能：自动移除 EXIF 信息（包括 GPS 坐标）、密码保护限制访问、HTTPS 加密传输。对于需要分享含有一般个资的照片，这些功能可以有效降低风险。
但需要强调的是，任何图床都无法替代上传者自身的合规义务。即使图床提供了 EXIF 移除功能，你仍然有责任在上传前确认照片内容不侵犯他人隐私。如果你的使用场景涉及大量包含人脸的照片（如企业活动记录），建议使用自建的图片存储方案，以便完全控制数据的处理方式和访问权限。
常见问题 FAQ
Q1：在公共场所拍照，路人入镜需要取得同意吗？
这取决于拍摄目的和照片的使用方式。在台湾，于公共场所拍摄风景或活动时，路人非主要拍摄对象且未特写其面部的情况下，通常不需要逐一取得同意。但如果你将照片用于商业用途（如广告、营销素材），或者照片明显聚焦在特定路人身上，就需要取得同意。在 GDPR 管辖范围内，即使是公共场所，将包含可辨识人脸的照片上传到网络仍可能需要合法基础。
Q2：截图分享聊天记录算违法吗？
聊天记录中通常包含对方的姓名、头像、发言内容等个资。未经对方同意就截图分享，可能违反个资法。如果截图中还包含对方的手机号码、地址等敏感信息，风险更高。建议做法：分享前先模糊或遮蔽对方的昵称、头像和任何可识别信息。
Q3：公司活动拍的团体照，可以直接上传到公司社交媒体吗？
建议不要直接上传。最佳做法是：活动前在报名表或签到表中加入摄影同意条款，说明照片将用于公司社交媒体宣传。活动后上传照片前，移除不愿入镜者的影像。如果有人事后要求移除，必须配合处理。
Q4：GDPR 罚款的实际案例有哪些？
2024 年，瑞典一所学校因使用人脸识别系统记录学生出勤率，被罚款 20 万瑞典克朗（约新台币 60 万元）。2025 年，一家法国房地产公司在其网站上刊登包含前租户可辨识面部的公寓照片，未取得同意，被罚款 7.5 万欧元（约新台币 260 万元）。这些案例说明，即使看似无害的照片使用，也可能触发 GDPR 罚款。
Q5：个人博客分享旅游照片需要注意什么？
个人用途的旅游照片通常风险较低，但仍有几点需要注意：(1) 移除 EXIF 中的 GPS 坐标，避免暴露自己的行踪。(2) 如果照片中有当地居民的清楚面部，考虑模糊处理。(3) 不要拍摄军事设施、政府建筑等敏感地点（某些国家有法律限制）。(4) 上传前使用会自动移除 EXIF 的图床。
结论
图片分享的法律风险比大多数人想象的要高。好消息是，只要养成几个简单的习惯——拍摄前取得同意、上传前移除 EXIF、分享前模糊敏感信息——就能大幅降低风险。
对企业而言，建立一套完整的图片处理流程不只是法律义务，也是对客户和合作伙伴的基本尊重。
数据更新日期：2026 年 4 月 7 日