noyb 在法、義、荷、奧四國對 Scale AI 提 5 件 GDPR 申訴：AI 標註平台 Outlier 被指在工作者裝置放 TikTok、LinkedIn、Facebook 等追蹤器，還要反覆用 Persona 錄臉、傳證件

趨勢新聞2026 年 10 月 29 日

網路上常見「在家幫 AI 打分數、寫題目賺美元」的兼職招募，Outlier 是這類平台之一，由美國公司 Scale AI 經營，noyb 說它有超過 90 萬名接案工作者。歐洲隱私權團體 noyb 10 月 27 日在法國、義大利、荷蘭、奧地利向當地個資主管機關提出 5 件申訴，指 Outlier 在工作者做題時，讓 TikTok、LinkedIn、Facebook 等公司的追蹤器把 IP 位址、聯絡資料等送出去；還要求工作者透過 Persona 這家驗證公司錄臉部影片、上傳證件，而且不只驗一次。這些是指控，四國機關還沒有認定。Scale AI 10 月 28 日向路透社否認指控。本站的讀法：台灣人接這類 AI 標註案，也可能被要求交出臉部影像和證件，平台上的操作也可能被追蹤，接案前值得先看清楚；Outlier 有沒有在台灣招人，本站沒有查證，noyb 文件也沒提到台灣。

noyb 指控的三件事

第一件是追蹤器，也就是網頁裡看不見、會把你的動作回報給別家公司的小程式。奧地利一位申訴人錄下瀏覽器與平台的完整往來紀錄（HAR 檔），申訴書列出 16 家第三方追蹤器，包括 TikTok、LinkedIn、Facebook、Snapchat、Google Analytics、Twitter Analytics 與 Fullstory。noyb 說它們「每隔幾秒」就把 IP 位址、聯絡資料、識別碼與所在頁面送出去，可拿去做精準廣告。申訴書舉例：Forethought 的追蹤器帶著申訴人的姓名和電子郵件；Fullstory 則能錄下滑鼠移動、點擊與按鍵。noyb 律師 Lisa Steinfeld Leiser 的說法是：「LinkedIn 或 Facebook 為什麼要知道你在做哪些任務？」（本站譯）

第二件是臉部與證件驗證。申訴書寫，申訴人註冊時要上傳證件、開鏡頭錄一段自己的影片，之後平台不定期要她再驗。Outlier 隱私政策自己寫，這些影像可用來產生「有關你臉部的資訊與量測值」，在某些地方的法律下可能算「生物特徵」或「敏感」資料（本站譯自申訴書引述）。noyb 說 Scale AI 的理由是防冒用、核對技能，noyb 認為遠超過必要。

noyb 也質疑 Persona 的資安紀錄，新聞稿說 2025 年 10 月約 7 萬張存在 Persona 的證件照被駭客取得。但它附的 NBC News 報導講的是 Discord 用戶證件照外洩，內文沒有點名 Persona；Discord 官方說明把那次事件歸到客服外包商 5CA，稱約 7 萬名用戶的證件照可能外洩。noyb 附的引證，不足以支持那次外洩與 Persona 有關。

第三件是查閱權。奧地利申訴人 2026 年 2 月 10 日寫信要求 Outlier 交代存了她哪些資料，4 月 13 日再追問，到提申訴時都沒有回音。GDPR 原則上要求一個月內回覆，請求複雜或數量多時最多再延兩個月，但要在一個月內通知當事人並說明理由。

noyb 要四國機關做什麼

GDPR 是歐盟《一般資料保護規則》，境外公司向歐盟境內的人提供服務，或監測他們在歐盟境內的行為，相關個資處理也可能受它規範。noyb 主張 Scale AI 沒經同意就在裝置上放追蹤器（違反各國落實歐盟 ePrivacy 指令的國內法，例如奧地利電信法第 165 條第 3 項）、違反「只蒐集必要資料」的資料最小化原則、處理生物特徵時沒選好委外廠商，以及不回應查閱請求。Scale AI 在歐盟沒有主要營業據點，申訴人各自向所在國機關申訴：法國 CNIL、義大利 Garante、荷蘭 Autoriteit Persoonsgegevens、奧地利資料保護局（DSB，兩件）。

noyb 請機關全面調查、命令 Scale AI 回覆查閱請求，並建議開罰。依 GDPR 第 83 條第 5 項，違反資料處理原則或當事人權利，罰款上限是 2,000 萬歐元或前一會計年度全球營業額的 4%，取較高者；2,000 萬歐元約新台幣 7.2 億元（以臺灣銀行 10 月 29 日 00:22 掛牌即期買賣中間價約 36.1 元換算）。這是上限，會不會罰要等調查。noyb 新聞稿沒有附 Scale AI 的回應。據路透社報導，Scale AI 10 月 28 日以電子郵件聲明說指控「無根據且不準確」（本站譯），並說相關做法事先告知工作者、要經工作者同意，這些工具是為了核對身分與營運安全；公司也否認出售工作者個資或拿去訓練客戶的模型。雙方說法都還要等機關調查。

換到台灣，個資法怎麼看

台灣《個人資料保護法》第 2 條把「特徵、指紋」列為個人資料，臉部影像與證件照都在範圍內。差別在保護等級：GDPR 把用來辨識身分的生物特徵列為特別類別，台灣個資法第 6 條的特種個資只列病歷、醫療、基因、性生活、健康檢查與犯罪前科，沒有單獨列出生物特徵。第 51 條第 2 項寫，在台灣境外蒐集台灣人個資，也適用本法；條文沒有說明對境外公司要怎麼執行。查閱權方面，第 3 條規定查詢、閱覽自己個資的權利不能預先拋棄或用契約限制，第 13 條要求公司 15 日內決定准駁，必要時最多再延 15 日，並以書面通知原因。

本站的讀法：台灣個資法沒有像 ePrivacy 指令那樣，專門規範在使用者裝置上存取資訊的條文；不過追蹤器若蒐集到能識別個人的資料，仍要符合個資法的告知與必要範圍等要求。接這類案子之前，可以先看平台隱私政策寫了哪些公司拿得到你的臉部影像與證件、存多久；想知道平台存了什麼，可以寫信要求查閱並留下寄件紀錄。追蹤器的證據來自申訴人自己錄下的紀錄，其他國家、其他帳號是否一樣，文件沒有交代。