[個資與隱私法 10] 兒童與未成年人個資特別保護
兒童與未成年人的個資，因其脆弱性需要特別保護。
個 資 與 隱 私 法 · 第 十 篇 · 未 成 年 保 護
兒童與未成年人
個資的特別保護
從父母分享孩子照片、學校教育平台，到兒童 YouTuber 與遊戲帳號：當代兒童的數位足跡從出生就開始累積，他們的個資保護卻常被低估。
劉博文律師 · 和鼎律師事務所主持律師
本文導讀
本文涵蓋：未成年個資的法律地位、家長同意、社群媒體與兒童網紅、教育場域實務，以及 AI 對兒童個資的特殊風險。
第 壹 章
未成年個資的法律地位
從民法行為能力到個資特別保護
先講結論：我國個資法沒有專門保護兒童的條文，未成年人的個資問題，實務上要搭配民法的行為能力規定與《兒童及少年福利與權益保障法》（以下簡稱兒少權法）一起看。
「行為能力」是指能不能自己有效地做出法律行為，例如簽約、同意。民法依年齡分成三段：未滿 7 歲無行為能力，7 歲以上未滿 18 歲為限制行為能力，18 歲成年（民法第 12 條、第 13 條）。
個資法本身沒有規定未成年人的同意要怎麼做，實務上多參照這套行為能力規定，由法定代理人（通常是父母）代為或同意。
7歲
限制行為能力起點
民法第 13 條：滿 7 歲以上的未成年人，為限制行為能力人
18歲
完全行為能力
民法第 12 條：滿 18 歲為成年（112 年 1 月 1 日起由 20 歲下修）
13歲
GDPR 最低同意年齡
GDPR 第 8 條：原則 16 歲，會員國可降到最低 13 歲；未達年齡須經家長同意
AGE I
未滿 7 歲：無行為能力
需要本人同意的個資處理，由法定代理人代為決定。網路服務宜設家長驗證機制。
AGE II
7 歲以上未滿 18 歲：限制行為能力
網路註冊、開設帳號等，原則上應得法定代理人允許；日常生活所必需的小事例外（民法第 77 條）。
AGE III
滿 18 歲：成年
可以自己決定是否同意個資的蒐集與利用，並受個資法一般保護。
特例
兒童特殊處境
兒少權法禁止媒體揭露特定處境兒少（如受虐、司法案件當事人）的身分資訊（第 69 條）；兒童 YouTuber、遊戲與社群使用也各有注意事項。
CHART 01
兒童個資：台灣與國際規範對照
| 規範重點 | 依據 | |
|---|---|---|
| 台灣 | 個資法無兒童專條；未成年人同意參照民法行為能力；特定處境兒少的身分資訊不得由媒體揭露 | 個資法；民法第 12、13、77 條；兒少權法第 69 條 |
| 歐盟 | 線上服務以同意為依據處理兒童個資，未滿 16 歲（會員國可降至 13 歲）須經家長同意；線上平台不得對已知未成年人投放以側寫為基礎的廣告 | GDPR 第 8 條；數位服務法（DSA）第 28 條 |
| 美國 | 以兒童為對象或明知使用者未滿 13 歲的網站與服務，蒐集個資前須取得可驗證的家長同意 | 兒童線上隱私保護法（COPPA） |
表中年齡門檻各自適用於該國法律，不能直接套用到台灣。
第 貳 章
五大常見場景
從家庭分享到 AI 服務
先講結論：同樣是兒童個資，誰蒐集、為了什麼目的，適用的規定就不同；學校、平台、遊戲公司、AI 業者各有不同的界線。
五大未成年個資場景 · 法律與實務對照
| 場景 | 法律要件 | 實務注意 |
|---|---|---|
| 父母分享子女照片 | 父母行使法定代理權 | 長期累積形成「數位足跡」,子女成年後可能難以撤回 |
| 學校教育平台 | 公立學校在法定職務必要範圍內蒐集（個資法第 15 條），私立學校依第 19 條；利用限於教育目的，目的外利用須有法定事由，例如經家長同意 | 不得挪作商業或行銷用途；提供給第三方前，先確認有無法定事由或家長同意 |
| 兒童 YouTuber | 父母以法定代理人身分決定，並應以子女最佳利益為考量；若由經紀或廠商僱用，另涉勞動法規 | 收益歸屬、形象權、長期心理影響皆需考量 |
| 遊戲帳號註冊 | 未成年人註冊原則上應得法定代理人允許（民法第 77 條） | 消費限制、廣告管制、成癮防範 |
| AI 服務使用 | 先看服務條款的年齡限制，部分服務限成年人使用，部分要求未成年人須經家長同意 | 建議不要把兒童個資用於 AI 訓練 |
「兒童的數位足跡始於他們無法選擇的時刻。當代社會對兒童個資的保護,本質是對未來自主權的承諾。」
本文觀點
第 參 章
家長與業者的雙重責任
保護不是限制，而是給予未來自主
先講結論：家長是孩子個資的第一道防線，業者則要把兒童保護設計進產品。以下清單中，屬於法律義務的會註明依據，其餘是本所建議的做法。
家長
責任與謹慎
- —評估每筆分享的長期影響
- —設定隱私權限（僅家人可見）
- —不揭露具體位置 / 學校 / 路線
- —尊重子女成長後的撤回意願
- —為子女建立數位足跡保護觀念
業者
格外謹慎義務
- —兒童相關服務需家長驗證機制
- —不對兒童投放依行為追蹤的個人化廣告（建議作法，參考美國 COPPA 與歐盟 DSA）
- —不將兒童個資用於 AI 訓練（建議作法）
- —提供家長監督與管理工具
- —違反個資法須負損害賠償責任，並可能受行政罰（個資法第 29 條、第 47 條以下）
第 肆 章
結語 · 下一篇:Cookie 與追蹤
附 記
兒童個資保護是家庭與企業最容易忽略的領域。本所建議：家長謹慎評估每一筆分享，業者建立兒童專屬的合規架構，學校把資料的利用範圍與家長同意的時機講清楚。如有需要請聯絡諮詢。
常見問題
Q. 我可以在 IG 分享孩子的照片嗎？
A. 法律上原則可以，父母對未成年子女有保護及教養的權利義務（民法第 1084 條），但建議謹慎。長期影響有三：第一，數位足跡累積，孩子成年後很難撤回；第二，潛在風險，照片可能被拿去訓練 AI、合成，或洩漏行蹤；第三，子女自主權，孩子將來可能不希望某些照片公開。建議：限制可見範圍、不揭露具體位置、避免清晰正面臉部、尊重孩子長大後的撤回意願。
Q. 學校未經我同意給課輔班我的孩子資料，合法嗎？
A. 原則上可能違法。學校蒐集學生個資的目的是教育，提供給校外課輔班屬於目的外利用，除非有法定例外事由，例如經家長（法定代理人）同意，否則不得為之（公立學校依個資法第 16 條、私立學校依第 20 條）。建議：第一，書面要求學校說明資料流向；第二，要求停止利用並刪除（第 11 條）；第三，向學校的教育主管機關反映；有損害時，可依第 28 條或第 29 條請求賠償。
Q. 孩子未成年，可以開設 AI 服務帳號嗎？
A. 要看服務條款。主流 AI 服務的年齡規定不一，有的限成年人使用，有的允許未成年人在家長同意下使用。實務建議：第一，確認該服務的年齡規定；第二，若允許未成年人使用，由家長同意並陪同設定；第三，留意孩子輸入的內容，特別是個資；第四，優先選擇有兒童保護機制的服務。
Q. 兒童 YouTuber 的個資與形象權怎麼處理？
A. 涉及多重議題：第一，個資，由家長代為決定，但應以子女最佳利益為考量；第二，肖像與形象，影像長期流通，成年後很難撤回；第三，勞動與工時，若由經紀公司或廠商僱用，另涉勞動法規；第四，心理影響，過早曝光可能影響成長。建議：以信託等方式管理收益、限制拍攝時間、定期了解孩子的意願，必要時諮詢律師。
Q. AI 業者用兒童資料訓練模型，有什麼責任？
A. 風險很高。我國個資法沒有把兒童個資列為特種個資（第 6 條），但兒童較無能力理解與拒絕，業者應格外謹慎：第一，取得法定代理人同意，並具體說明用途；第二，強化保護措施，例如去識別化、加密、限制存取；第三，避免行銷使用，不對兒童投放依行為追蹤的廣告；第四，違法的責任，包括民事賠償（第 29 條）與行政罰。服務歐美市場時，還要遵守 GDPR、COPPA 等更嚴格的兒童規範。建議業者採保守立場，排除兒童資料。
個資與隱私法系列(規劃中,陸續上線)
- [個資與隱私法 1] 個資法總論:從個資法第 19 條到 GDPR 的當代隱私挑戰
- [個資與隱私法 2] 蒐集、處理、利用三段式架構與當事人同意
- [個資與隱私法 3] 當事人權利:查詢、更正、停止處理、刪除
- [個資與隱私法 4] 跨境傳輸的法律地圖
- [個資與隱私法 5] 資料保護長(DPO)制度與企業治理
- [個資與隱私法 6] GDPR 域外效力與台灣企業合規
- [個資與隱私法 7] 資料外洩的緊急處理 SOP
- [個資與隱私法 8] 員工個資與雇主監控的邊界
- [個資與隱私法 9] 醫療、金融、教育的特別個資規範
- [個資與隱私法 10] 兒童與未成年人個資特別保護(本文)
- [個資與隱私法 11] 數位足跡、Cookie、追蹤的法律邊界
- [個資與隱私法 12] 個資保護委員會與監理動態
