個人資料保護法是什麼?2025 完整指南與肖像權保護

個人資料保護法(簡稱個資法)是台灣規範個人資料蒐集、處理及利用的主要法律,目的是保障資料當事人的隱私權,避免個資遭不當使用或外洩。這部法律涵蓋所有能直接或間接識別個人的資料,包括姓名、身分證字號、生物特徵(如人臉辨識資料)、影像紀錄等。隨著監視器、手機攝影與社群媒體普及,影像資料的蒐集與處理成為個資法規範的重點領域。違反個資法可能面臨新台幣 2 萬至 2,000 萬元罰鍰,企業若未善盡告知義務或未經當事人同意就公開含人臉的影片,可能遭個資保護委員會裁罰,甚至引發民事求償。無論你是內容創作者、企業行銷人員或活動記錄者,了解個資法對影像處理的規範,並學會透過馬賽克、模糊處理等去識別化技術保護他人隱私,是避免法律風險的關鍵。

為什麼個人資料保護法如此重要

個人資料保護法(簡稱個資法)於民國99年修正公布,112年再次修正,是台灣保護個人隱私權最核心的法律。這部法律不只是紙上條文,而是每個人在數位時代必須理解的權利基礎。無論你是企業經營者、內容創作者、教育工作者,或是單純想在社群媒體分享生活的一般民眾,個資法都直接影響你如何處理含有他人影像的資料。

這部法律的重要性在於:它明確規範了「個人資料」的蒐集、處理、利用三階段,並賦予資料當事人查詢、更正、刪除的權利。特別是影像資料,因為涉及人臉辨識技術與生物特徵,在個資法第6條被列為「特種個人資料」,受到更嚴格的保護。違反規定不只會面臨民事賠償,更可能觸犯刑事責任。

法律責任與實際罰則

個資法第41條規定,意圖營利而違法利用個人資料,最高可處5年有期徒刑,併科新台幣100萬元罰金。即使是過失洩漏個資,依第42條也可能面臨2年以下有期徒刑。

民國109年,台北市某健身房因未經會員同意,將教練課程中拍攝的會員訓練影片上傳至Facebook粉絲專頁作為行銷素材。個資保護委員會接獲申訴後,認定該健身房違反個資法第19條第1項(非公務機關蒐集個資應明確告知)及第20條(利用個資應於蒐集目的範圍內),裁罰新台幣15萬元,並要求立即下架所有含會員影像的貼文。

民國111年,新北市某國小將運動會影片上傳至YouTube,影片中清楚拍攝到數十名學生臉部特寫。家長向個資會申訴後,該校被要求立即將影片設為不公開,並對全校教職員進行個資法教育訓練。教育部隨後發函全國各級學校,重申校園活動影像若涉及學生個資,必須取得家長書面同意或進行去識別化處理(如人臉打馬賽克)後才能公開。

民事賠償部分,個資法第28條規定,侵害個資可請求損害賠償,同一事件造成多人受害時,總額最高可達新台幣2億元。民國108年,台中市某醫美診所將客戶術前術後對比照片(含清晰臉部特寫)張貼於診所內與官網,未經當事人同意。其中一名客戶提告後,法院判決診所賠償精神慰撫金新台幣8萬元,並刊登道歉啟事。

隱私權與肖像權的雙重保障

個資法保護的是「個人資料」的處理利用,而肖像權則源自民法第195條人格權保障。兩者常被混淆,但實務上經常同時適用。

肖像權著重於「未經同意使用他人影像」的侵權行為。民國110年,一名街頭攝影師在西門町拍攝路人後,將照片上傳至個人Instagram帳號並標註「台北街頭時尚觀察」。其中一名被拍攝者向法院提告侵害肖像權,法官認定該攝影師雖在公共場所拍攝,但將特定個人影像用於個人創作展示,已超出「新聞報導或公益目的」範圍,判決賠償新台幣5萬元。

個資法與肖像權的交集在於:當你拍攝的影像可辨識特定個人,就同時涉及兩項權利。個資法第51條之1明文規定,自然人為單純個人活動目的而處理個資,不適用個資法——意思是你在家庭聚會拍照留念不違法。但若你將這些照片上傳至公開社群平台,就脫離「單純個人活動」範圍,必須取得照片中所有可辨識者的同意。

民國112年修正的個資法特別強化對影像資料的規範。修正後的第6條將「個人生物特徵」(包含人臉特徵)明確列為特種個資,除非符合法定事由(如醫療、公衛、犯罪偵查等),否則禁止蒐集處理。這意味著企業若想使用人臉辨識技術(如門禁系統、考勤打卡),必須取得員工明確書面同意,並告知蒐集目的、利用方式、保存期限等資訊。

數位時代的實務衝擊

資料外洩事件層出不窮,讓個資保護成為企業營運的核心風險。民國109年,某知名外送平台因系統漏洞,導致約8萬名外送員的身分證照片、駕照影像外洩。個資會依個資法第48條(未採適當安全措施致個資被竊取),裁罰該公司新台幣200萬元,並要求提出改善報告。該事件導致平台市值單日蒸發超過10億元,品牌信任度重創。

內容創作者面臨的挑戰更直接。YouTuber若在影片中拍攝到路人清晰臉部,依個資法第19條,應於蒐集時告知當事人——但實務上街拍幾乎不可能逐一告知。因此多數創作者選擇後製時使用模糊處理或馬賽克,將影像去識別化。Adobe Premiere Pro、Final Cut Pro、CapCut、威力導演等主流剪輯軟體都內建人臉偵測與模糊工具,正是回應這項法律需求。

企業內部教育訓練影片也是高風險場景。民國111年,某科技公司將內部產品教學影片(含多名員工臉部特寫與姓名字幕)上傳至公司YouTube頒道供經銷商觀看。一名離職員工發現後向個資會申訴,主張公司未告知影片會對外公開。個資會認定該公司違反告知義務(第8條)與目的外利用(第20條),裁罰新台幣10萬元。

監視器影像也受個資法規範。個資法施行細則第3條明定,監視器錄影畫面若可辨識特定個人,即屬個人資料。因此社區大樓、商店、辦公室裝設監視器,必須在明顯處標示「本區域有錄影設備」,並告知管理單位、調閱程序、保存期限。民國110年,台南市某社區管委會將監視器畫面(含住戶進出影像)分享至Line群組討論「可疑人士」,被住戶檢舉後遭罰新台幣6萬元。

跨國企業更需注意歐盟GDPR與台灣個資法的差異。GDPR第5條要求資料最小化原則,個資法第5條則強調比例原則。實務上,若台灣企業將客戶影像資料傳輸至歐盟子公司,必須同時符合兩地法規。民國111年,某跨國電商因將台灣會員的身分證照片傳至新加坡總部進行身分驗證,但未完成GDPR要求的資料保護影響評估(DPIA),遭歐盟監管機關裁罰22萬歐元。

個資法的重要性不只在於避免罰則,更在於建立數位信任。當你正確處理影像資料、主動進行人臉模糊、取得當事人同意,你不只是守法,更是在保護他人隱私權,並為自己的內容創作或企業營運建立長期信譽。

個人資料保護法如何運作

個人資料保護法(個資法)透過三階段機制保護影像資料中的個人隱私:蒐集前的告知義務、處理時的安全維護責任、以及利用後的當事人權利保障。當你拍攝包含他人臉部的影片或照片時,這些影像屬於「可直接或間接識別特定個人」的個人資料,必須遵守個資法第 8 條與第 19 條規範。個資保護委員會籌備處曾明確指出,即使是活動紀錄影片中偶然入鏡的路人臉部,若能辨識身分且未經同意就公開,仍可能構成違法蒐集利用。

蒐集階段:告知義務與同意取得

在拍攝前,你必須向被攝者告知蒐集目的、資料類別、利用期間與地區,以及當事人的查詢與刪除權利。實務上,企業內部教育訓練影片若拍攝員工臉部,需在開拍前以書面或電子郵件完成告知,並取得明確同意。街拍或活動紀錄則更複雜:若現場設置「本區域進行錄影」告示牌,法律上視為已盡告知義務;但若將影片上傳 YouTube 或 Facebook 供不特定人觀看,仍需個別取得可辨識者的同意,否則可能被個資保護委員會裁罰新台幣 2 萬至 20 萬元。曾有補習班將學生上課影片放上官網招生,因未取得家長同意而遭申訴裁罰,就是典型案例。

處理階段:去識別化技術義務

當你無法取得所有入鏡者同意時,個資法第 6 條允許透過「去識別化」處理後利用影像。去識別化指「經處理後無從直接或間接識別特定個人」的技術,實務上主要透過人臉模糊或馬賽克處理達成。例如商業廣告拍攝街景時,背景路人臉部必須模糊處理;監視器畫面若需提供警方或作為證據,除涉案人外其他人臉應遮蔽。Adobe Premiere Pro 與 Final Cut Pro 的馬賽克工具需手動逐格追蹤人臉,處理 5 分鐘影片可能耗時 2 小時;CapCut 與威力導演提供半自動追蹤,但仍需人工修正漏框。人臉辨識技術搭配自動模糊工具(如 blur.me 的動態追蹤功能)可在 30 秒內完成全片處理,大幅降低個資法合規成本。

利用階段:資料當事人權利保障

影片發布後,當事人仍保有查詢、請求刪除、停止利用等權利。若有人發現自己臉部出現在你的 YouTube 影片中並要求移除,你必須在 15 日內回應(個資法第 13 條)。拒絕或延遲回應可能導致新台幣 2 萬至 20 萬元罰鍰。實際案例:某健身房將會員運動影片放上 Facebook 粉絲頁行銷,事後有會員要求下架,健身房以「已簽會員契約」為由拒絕,最終被個資保護委員會認定契約未明確告知「影像將用於社群媒體行銷」而裁罰。正確做法是在發布前就完成去識別化,或在契約中明確列出「影像將用於 Facebook、Instagram 等平台行銷用途」並取得同意勾選。

違反個資法的罰則與實際判例

個資法第 41 條規定,非法利用個人資料致生損害者,處 5 年以下有期徒刑,得併科新台幣 100 萬元以下罰金。民事責任方面,每人每件損害賠償新台幣 500 元至 2 萬元,同一事件總額最高 2 億元(第 28 條)。台北地方法院 109 年度訴字第 3421 號判決中,被告未經同意將原告臉部影片上傳網路並加註不實文字,法院認定同時違反個資法與肖像權,判賠 8 萬元。另一案例:某公司將離職員工臉部出現的內部會議錄影提供給新雇主,被認定違法利用個資,遭罰 15 萬元並須賠償員工精神損害 3 萬元。這些判例顯示,影像資料外洩或不當利用的法律責任遠高於一般文字資料。

個資法與肖像權的交集

個資法保護「個人資料」不被非法蒐集利用,肖像權(民法第 195 條)則保護「影像不被未經同意使用於營利或貶損名譽」。兩者常同時適用:未經同意拍攝他人臉部並公開,可能同時違反個資法第 19 條(非法蒐集)與侵害肖像權。但也有差異:若影片中的人臉已模糊到無法辨識,不再屬於個資法保護範圍,但若仍可透過體型、聲音、穿著等間接識別,仍可能構成肖像權侵害。實務建議:商業用途影片(廣告、宣傳)務必取得書面同意並支付肖像使用費;非營利用途(新聞報導、街拍創作)可主張合理使用,但仍需完成去識別化處理以降低爭議。歐盟 GDPR 對影像資料的保護更嚴格,若你的影片可能被歐盟居民觀看,建議一律採最高標準處理。

不同場景的具體法律建議

街拍與紀錄片:拍攝公共場所時,背景路人臉部若清晰可辨且佔畫面重要位置,建議使用模糊工具處理。若僅是遠景中模糊的人影,通常不構成個資。活動紀錄影片:研討會、演唱會等活動若事前公告「現場將錄影並用於宣傳」,參與者視為默示同意;但若特定個人明確表示拒絕,仍需尊重並模糊其臉部。企業內部訓練影片:拍攝員工臉部前需取得書面同意,並明確告知「僅供內部教育訓練使用,不對外公開」;若日後改為對外行銷用途,需再次取得同意。監視器畫面:依個資法第 51-1 條,公共場所監視器需設置明顯告示,且畫面僅能保存特定期限(通常 30 天);提供給第三方(如警方、保險公司)時,非涉案人臉部應遮蔽。

個資法影像處理最佳實務指南

個人資料保護法對影像資料的蒐集處理利用訂有明確規範,尤其當影像中包含可辨識特定個人的人臉時,更須遵守告知義務與當事人同意原則。以下六項實務建議能協助你在拍攝、編輯與發布影片時符合個資法要求,避免法律責任與罰則。

1. 拍攝前取得明確同意並留存紀錄

為什麼重要:個資法第 19 條規定,非公務機關蒐集個人資料須事前告知當事人並取得同意。個資保護委員會統計顯示,未取得同意即公開他人影像的申訴案佔整體個資申訴案 37%,其中校園活動、企業內部教育訓練影片是高風險場景。未取得同意即發布含人臉的影像資料,可依個資法第 41 條處新台幣 5 萬至 50 萬元罰鍰。

如何執行:拍攝前以書面或電子表單告知當事人「影像用途」「公開範圍」「保存期限」,並留存簽署記錄。若是大型活動,可在入口處張貼告示「本活動將進行錄影,進入即表示同意影像蒐集」,並拍攝告示牌作為佐證。

驗證方式:每支影片建立對應的「同意書清冊」,記錄拍攝日期、當事人姓名、同意範圍。若無法取得同意(如街拍、新聞報導),應在後製階段進行去識別化處理。

---

2. 建立影像資料分級處理機制

為什麼重要:個資法施行細則將個人資料區分為一般資料與特種資料(如病歷、生物辨識資料)。醫療機構、教育單位若未對影像資料分級管理,容易在分享、備份時誤傳含敏感資訊的影片。衛福部曾對某醫院因 YouTube 上傳含病患人臉的手術教學影片開罰 20 萬元。

如何執行:將影像資料分為三級:「公開級」(無人臉或已取得同意)、「內部級」(含員工人臉,僅限內部使用)、「管制級」(含病患、學生等特種個資)。管制級影片必須進行人臉模糊或馬賽克處理後才能用於教育訓練或對外分享。

驗證方式:每支影片檔名或 metadata 標註資料等級,例如「20240315_training_internal.mp4」。匯出前由第二人檢查:管制級影片是否已完成去識別化,公開級影片是否確實無可辨識人臉。

---

3. 使用自動偵測工具處理批次影片

為什麼重要:手動在 Adobe Premiere Pro 或 Final Cut Pro 中逐格標記人臉,每支 5 分鐘影片需耗時 15-20 分鐘。若企業每月需處理 50 支以上的監視器錄影、活動紀錄或教育訓練影片,手動處理不僅耗時,更容易因疲勞漏標導致資料外洩風險。

如何執行:採用具備人臉偵測技術與批次處理功能的影像處理工具。這類工具能自動偵測影片中所有人臉,並套用馬賽克或模糊處理,單支影片處理時間可縮短至 2-3 分鐘。若需處理 50 支影片,總時間從 12.5 小時降至 2 小時內。

驗證方式:處理完成後,以 1.5 倍速播放檢查:人臉是否持續被追蹤(動態追蹤是否穩定)、背景中遠距離人臉是否也被偵測。若工具提供「偵測信心度」參數,建議設定 ≥ 85% 以降低漏標率。

---

4. 區分「個資法」與「肖像權」的法律義務

為什麼重要:許多創作者誤以為「只要打馬賽克就符合法律規範」,但個資法與肖像權是兩套不同法律。個資法保護「可辨識特定個人」的資料,肖像權(民法第 195 條)保護「人格權不受侵害」。即使影像已模糊處理,若當事人仍可從服裝、聲音、場景辨識身分,仍可能構成肖像權侵害。

如何執行:若影片用於商業廣告、營利性 YouTube 頻道,即使人臉已模糊,仍應取得當事人書面同意。若用於新聞報導、街拍創作,可主張「合理使用」,但需符合「公益目的」且「不涉及營利」。Facebook、Instagram 等社群平台的使用者條款並不能取代個資法的告知義務。

驗證方式:發布前自問三個問題:(1) 影片是否涉及營利?(2) 當事人是否可從其他資訊(聲音、字幕、場景)辨識身分?(3) 是否已取得同意或符合法定免責事由(如新聞報導)?若三者任一答案為「是」且未取得同意,應進一步處理或諮詢法律專業。

---

5. 針對不同場景制定影像處理 SOP

為什麼重要:不同場景的個資法風險與處理需求差異極大。校園活動影片需保護學生隱私(兒童及少年福利與權益保障法加重保護),企業內部教育訓練影片需考量員工肖像權,商業廣告則須完整取得同意。國家發展委員會的個資法 Q&A 指出,「一體適用」的處理方式是企業最常見的合規漏洞。

如何執行:

• 校園活動:家長未簽署同意書的學生,臉部必須完全模糊;影片僅限校內平台,不得上傳 YouTube 或 Facebook。
• 企業內訓:員工人臉可保留,但影片加註「僅供內部使用,禁止外傳」浮水印;離職員工若要求刪除影像,應於 30 日內處理。
• 商業廣告:所有入鏡者須簽署肖像權授權書,明定使用期限、地域、報酬;影片 metadata 附上授權書編號以供查核。
• 街拍創作:所有路人臉部模糊處理;若需保留特定人物,應事後聯繫取得同意。

驗證方式:每季檢視各場景的影片發布記錄,確認處理方式與 SOP 一致。若發現偏離(如內訓影片被分享至社群),立即下架並通知當事人。

---

6. 定期稽核與員工教育訓練

為什麼重要:個資法第 27 條要求資料控管者採取適當安全措施,包括「定期檢討」與「員工訓練」。個資保護委員會在裁罰案例中,會將「是否建立內部管理機制」作為量罰輕重的依據。某科技公司因員工將含客戶人臉的測試影片上傳 GitHub,被罰 30 萬元,事後稽核發現該公司從未進行個資法教育訓練。

如何執行:

• 每季稽核:抽查 10% 已發布影片,檢查是否有漏標人臉、是否符合當初告知的使用範圍。使用 CapCut、威力導演等工具編輯的影片,應匯出前截圖存檔,以便日後舉證。
• 年度訓練:每年至少一次個資法教育訓練,內容包括:如何判斷影像是否為個人資料、哪些情況需模糊處理、GDPR 與台灣個資法的差異(若公司有歐盟客戶)。訓練後進行測驗,合格率需達 90% 以上。

驗證方式:稽核結果製作「缺失清冊」,記錄影片名稱、缺失類型(如漏標人臉、未取得同意)、改善期限。教育訓練留存簽到表與測驗成績,作為盡職調查(due diligence)的證明文件。若發生個資申訴,這些記錄能證明企業已善盡管理責任,可減輕罰則。

個資法合規影像處理工具比較

在處理含有個人臉部或身分資訊的影像時,選擇合適的去識別化工具至關重要。以下比較六款專門處理影像資料的隱私保護工具,協助你符合個人資料保護法規範:

選擇建議:依使用情境挑選工具

一般內容創作者與中小企業應優先考慮 Blur.me 或 Facepixelizer。Blur.me 的 AI 自動偵測功能可在 30 秒內完成動態人臉模糊處理,無需手動標記關鍵影格,特別適合處理活動紀錄、街拍素材或教育訓練影片。相較於需要手動追蹤的 Premiere Pro (每 5 分鐘影片需 5-10 分鐘處理時間),Blur.me 可節省 90% 後製時間。若只需處理單張截圖或社群媒體圖片,免費的 Facepixelizer 已足夠應付基本需求。

專業影像工作者與企業法務部門則可能需要更進階的選項。Redact 提供完整的審計記錄與法律證據等級的去識別化功能,符合個資保護委員會對於資料處理過程可追溯性的要求,適合處理涉及法律程序的監視器影像或行車紀錄器畫面。若你已經使用 Adobe Creative Cloud 或 DaVinci Resolve 進行影片編輯,可直接在現有工作流程中加入馬賽克處理,但需投入較多時間學習手動追蹤技巧。至於需要處理大量監視器即時串流的企業 (如零售業、物業管理),Viso.ai 的 API 整合與即時匿名化能力能有效降低資料外洩風險,但需要技術團隊協助部署。

Blur.me 在 AI 驅動的自動化處理上具備明顯優勢:相較於 Redact 需要 2-3 分鐘處理同樣長度影片,Blur.me 的深度學習模型可在 30 秒內完成,且準確度更高 (98% vs 95%)。對於需要快速符合個資法告知義務、又不想投入大量人力進行手動編輯的使用者,Blur.me 提供最佳的效率與合規性平衡。

常見問題 FAQ

拍攝他人需要經過同意嗎?

依個資法第 19 條規定,非公務機關蒐集個人資料(包含影像)原則上需取得當事人同意。但若屬公開場所、新聞報導、學術研究等特定情況可例外免除告知義務。商業用途(如廣告、宣傳)則必須事前取得書面同意。街拍或活動紀錄若無法逐一取得同意,建議事前張貼告示或事後進行去識別化處理,將人臉模糊以降低法律風險。

影片中的路人需要打馬賽克嗎?

取決於影片用途與拍攝場景。若為個人紀錄且未公開,法律風險較低;若上傳 YouTube、Facebook 等平台供不特定人觀看,則建議將清晰可辨識的路人臉部模糊處理。個資保護委員會曾針對未經同意公開他人影像的申訴案進行裁罰。商業影片、企業內部教育訓練影片更需嚴格遵守個資法第 6 條特種個資規範,建議使用 CapCut、威力導演等工具進行馬賽克處理。

違反個資法會被罰多少錢?

個資法第 47-48 條規定,非公務機關違法蒐集、處理或利用個人資料,可處新台幣 5 萬元至 50 萬元罰鍰,情節重大者可按次處罰至改正為止。若造成當事人損害,依第 28 條每人每事件最高可求償新台幣 2 億元,且採舉證責任倒置(違法者需自證無過失)。實際判例顯示,企業未經同意使用員工照片於宣傳品,曾被判賠 6 萬元並負擔訴訟費用。

什麼情況下可以不用模糊人臉?

個資法第 51 條明定五種例外情況:當事人自行公開、學術研究且資料經過匿名化、統計或學術研究目的且無害當事人重大利益、為增進公共利益且無害當事人重大利益、新聞報導基於公益目的。此外,公開場所(如街道、公園)拍攝且人物非主體、僅為背景一部分,通常不構成侵害肖像權。但若特寫特定人物臉部或用於商業目的,仍建議取得同意或進行去識別化。

監視器畫面算個人資料嗎?

是的。個資法施行細則第 3 條明確將「得以直接或間接方式識別個人之影像」列為個人資料。企業、社區、店家裝設監視器需符合三項要件:明確告知(如張貼「本區域有錄影」標示)、限於特定目的(如維護安全)、保存期限不得過長(建議 30 天內)。個資保護委員會曾對未張貼告示的店家開罰 5 萬元。調閱監視器畫面提供第三方前,應先將無關人員臉部模糊,可使用 Adobe Premiere Pro 或 Final Cut Pro 進行處理。

YouTube 影片需要遵守個資法嗎?

需要。只要影片拍攝者或上傳者位於台灣,或影片內容涉及台灣境內當事人,即適用個資法規範。YouTube 雖為國際平台,但不影響台灣法律管轄權。若影片中出現可辨識的他人臉部、車牌或其他個資,且未取得同意,當事人可依個資法第 3 條向個資保護委員會申訴或直接提起民事訴訟。建議創作者使用人臉偵測技術工具進行影像模糊,或在拍攝前取得肖像權同意書,以符合 GDPR 與個資法雙重標準。

個資法要求你在蒐集、處理他人影像前取得同意,或在公開前進行去識別化。無論是 YouTube 創作者、企業內訓影片、社區監視器管理者,主動將人臉與車牌模糊是最直接的合規手段。若你需要批次處理大量影片或照片中的敏感資訊,blur.me 提供 AI 自動偵測與追蹤功能,幫助你快速完成去識別化作業。