店家要拍肩背當案例，先對個人資料保護法第19條

服務進行到一半，對方拿出手機，說拍一張肩背或體態的前後照，等等可以放進網站、限動或店內螢幕當案例。很容易把這件事聽成兩種已經寫過的問題：一種是沒有告知的針孔，一種是預約表要你填病歷。案例照兩種都不是。個人資料保護法把蒐集、處理、利用分開寫；第 6 條點名的病歷、醫療、健康檢查，又和第 19 條的其他個人資料不是同一句。

病歷、醫療、基因、性生活、健康檢查、犯罪前科，見預約表先對第6條。沒有告知、疑似拍攝設備，見要打 110 還是先自己查。還沒決定要不要進這家店，見第一次找台灣按摩／舒壓資訊怎麼開始。店家文案裡的效果用詞，見店家廣告不是療效。

先講答案

全國法規資料庫於 2026-09-23 顯示的個人資料保護法第 2 條、第 8 條、第 19 條、第 20 條，頁首都寫：本法規部分或全部條文尚未生效，最後生效日期未定，並列兩項。第一項是一百十二年五月三十一日增訂之第 1-1 條條文，施行日期由行政院定之。第二項是一百十四年十一月十一日修正第 1-1、12、18、21、22～26、41、47～49、52、53、55 條條文，增訂第 1-2、20-1、21-1～21-5、51-1、53-1 條條文及第三章之一章名、第一節節名、第二節節名，刪除第 27 條條文，施行日期由行政院定之。

這兩項的條次列舉沒有出現第 2 條、第 8 條、第 19 條、第 20 條。增訂清單裡有第 20-1 條。本文只使用當頁第 2 條、第 8 條、第 19 條、第 20 條的文字，不打開第 20-1 條的內容，也不把頁首的尚未生效說明讀成這四條今天不能用，更不把沒被點名讀成永遠不會再修。

法規類別寫的是行政、個人資料保護委員會籌備處、通用目。

第 19 條第一項的開頭是：非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一。同意是其中一款，不是唯一一款。第 20 條再規定利用應在特定目的必要範圍內，並對行銷另寫停止與拒絕方式。

第2條沒有把照片寫進定義

第 2 條第一款：

個人資料：指自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。

清單裡有特徵，也有其他得以直接或間接方式識別該個人之資料。清單裡沒有照片、影像、肩背、案例這幾個詞。一張照得見臉的照片、一張只拍到背部的照片，會不會落入特徵或識別字句，條文沒有按身體部位再分款。本文不把每一張肩背照都認定成個人資料，也不把看得到五官的照片自動排除在定義之外。

第 2 條第三款把蒐集定義為以任何方式取得個人資料。第四款的處理包含記錄、儲存、編輯、複製、輸出等為建立或利用個人資料檔案所為的動作。第五款把利用定義為將蒐集之個人資料為處理以外之使用。拍照、存進相簿、貼到網站，若資料本身是個人資料，會分別落到這些定義，而不是全部都叫蒐集。是不是個人資料，仍要先回到第一款。

第 2 條第八款：非公務機關指前款以外之自然人、法人或其他團體。前款的公務機關是依法行使公權力之中央或地方機關或行政法人。民間按摩場所不是該款的公務機關時，蒐集與處理改看第 19 條，而不是第 15 條。本文沒有把個別店家的組織型態查完，所以不宣告每一家都已經是非公務機關；對不上第八款時，不要硬套第 19 條。

病歷、醫療、基因、性生活、健康檢查、犯罪前科出現在第 2 條的清單，也是第 6 條點名的類別。第 19 條第一項寫除第六條第一項所規定資料外。案例照如果其實是病歷、醫療或健康檢查資料，要回到第 6 條那一篇，不要用第 19 條的八款把第 6 條蓋過去。本文不判斷某一張肩背照是不是健康檢查。

第19條的八款，同意只是第五款

第 19 條第一項：

非公務機關對個人資料之蒐集或處理，除第六條第一項所規定資料外，應有特定目的，並符合下列情形之一者： 一、法律明文規定。 二、與當事人有契約或類似契約之關係，且已採取適當之安全措施。 三、當事人自行公開或其他已合法公開之個人資料。 四、學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。 五、經當事人同意。 六、為增進公共利益所必要。 七、個人資料取自於一般可得之來源。但當事人對該資料之禁止處理或利用，顯有更值得保護之重大利益者，不在此限。 八、對當事人權益無侵害。

第五款的用字是經當事人同意。這一款沒有寫書面。本文不把口頭、勾選或簽名互相換算。第二款把契約或類似契約，和適當安全措施寫在同一款。只說有來消費，沒有把第二款的後半句也滿足。條文沒有寫按摩服務契約一定符合或一定不符合這一款。

第二項寫：蒐集或處理者知悉或經當事人通知依前項第七款但書規定禁止對該資料之處理或利用時，應主動或依當事人之請求，刪除、停止處理或利用該個人資料。這項對著的是第七款但書，不是對著第五款的同意。

向當事人蒐集、而且是依第 19 條為之時，第 8 條要求明確告知：機關或事業名稱、蒐集目的、個人資料類別、利用之期間地區對象及方式、當事人依第 3 條得行使之權利及方式，以及得自由選擇提供時不提供對權益之影響。同條第二項列有免告知情形，包括法律規定、法定職務或義務所必要、妨害職務、妨害公共利益、當事人明知應告知之內容，以及非基於營利之目的且對當事人顯無不利之影響。免告知是例外清單，不是現場口頭說過就算已經告知的同義詞。本文沒有另開第 3 條的頁面來重寫當事人權利的全文；權利種類見既有的第 6 條那篇所引的第 3 條，本篇不把那一條再抄一遍。

貼到網站是第20條的利用，而且行銷另有兩句

第 20 條第一項：

非公務機關對個人資料之利用，除第六條第一項所規定資料外，應於蒐集之特定目的必要範圍內為之。但有下列情形之一者，得為特定目的外之利用： 一、法律明文規定。 二、為增進公共利益所必要。 三、為免除當事人之生命、身體、自由或財產上之危險。 四、為防止他人權益之重大危害。 五、公務機關或學術研究機構基於公共利益為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。 六、經當事人同意。 七、有利於當事人權益。

拍的時候如果說的是服務紀錄，之後改貼到招募新客人的版面，就要先看這句的特定目的必要範圍內與但書，而不是只看拍攝當下有沒有點頭。但書第六款仍是經當事人同意。條文沒有寫案例照的目的名稱。

第 20 條第二項：非公務機關依前項規定利用個人資料行銷者，當事人表示拒絕接受行銷時，應即停止利用其個人資料行銷。第三項：非公務機關於首次行銷時，應提供當事人表示拒絕接受行銷之方式，並支付所需費用。

行銷兩個字在這兩項裡。店家把影像拿去招攬客人是否屬於這裡的行銷，條文沒有另下按摩業的例子。本文不把每一則限動都認定成行銷，也不把明顯在招攬客人的貼文自動排除。當事人表示拒絕時，第二項寫的效果是應即停止利用其個人資料行銷，不是由本站宣告照片必須在幾小時內從網路上消失。

判斷順序

1. 先分這張影像是不是在處理第 6 條點名的病歷、醫療、基因、性生活、健康檢查或犯罪前科。是的話離開本篇，改看第 6 條專文。不確定時，不要用第 19 條第五款把第 6 條蓋掉。
2. 若不是那些類別，再問它是否落入第 2 條第一款。定義清單沒有照片這個詞。識別不了特定人的影像，不要先宣稱第 19 條已經適用。
3. 對得上個人資料、而且蒐集或處理者是非公務機關時，第 19 條要求特定目的，加上八款之一。同意只是第五款。向當事人蒐集時，另看第 8 條的告知事項與免告知情形。
4. 之後拿去使用，改看第 20 條的目的範圍與但書。用在行銷時，第二項、第三項有拒絕接受與首次行銷應提供拒絕方式的文字。
5. 停下來改走別篇的情況：現場是沒有告知的疑似鏡頭，見針孔那篇，不要把第 19 條的同意款當成竊錄的答覆。你要處理的是廣告療效用詞，見廣告分流那篇，影像能不能蒐集是另一條法律。

這是本站建議，不是官方原文

官方條文沒有寫按摩案例照要不要拍、要不要打馬賽克、網站要在幾天內刪除。本站建議只有三句：拍攝前先問目的、會不會貼到對外版面、拒絕之後對方還會不會拍；不願意就直接說不拍；已經被貼出而你要拒絕行銷時，用第 20 條第二項的「表示拒絕接受行銷」，不要只在心裡假設對方會自己下架。這三句不是第 19 條或第 20 條的原文。

常見問題

沒有簽名就一定違法嗎？ 第 19 條第五款寫的是經當事人同意，沒有在這一款寫上書面。同條還有其他七款。少了簽名，不等於八款全部不成立，也不等於第五款已經成立。

只拍背部、不拍臉，就不是個人資料嗎？ 第 2 條沒有按臉或背部分款。要看是否得以直接或間接識別該個人，包含條文裡的特徵與其他識別字句。本文不就單張照片作認定。

和針孔是同一條法律嗎？ 不是。針孔那篇的依據是刑法與警政署報案頁。本篇是個人資料的蒐集、處理與利用。兩件事可以同時存在，窗口與條號不要互換。

頁首的尚未生效清單不要讀錯條

2026-09-23 打開的第 2、8、19、20 條頁面，尚未生效說明點名的是第 1-1 條、第 12 條、第 18 條、第 21 條至第 26 條等，以及增訂的第 20-1 條等。第 20 條本身不在修正清單。第 20-1 條在增訂清單，施行日期由行政院定之。本文不引用第 20-1 條的內容。

本文不是醫療建議，也不是個案法律意見，也不是療效保證。不認定個別照片是否屬於個人資料，也不認定個別店家是否違反法律。