選舉觀察員的自保¶

選舉觀察員經常要在敏感時間、敏感地點記錄與回報資訊，數位安全與人身安全同樣重要。

本頁面向兩種角色，準備強度差很多。在台灣本地擔任投開票所觀察員的志工，是戴證件、合法公開的身分，多數時間不需要強匿名，重點在「拍到投票人的臉會不會違法」、「能不能用手機回報票數」這類現場分寸。外派到他國執行國際觀察任務的成員，才需要評估護照風險、跨境通訊監控與設備出入境。讀的時候先確認自己屬於哪一種，本地志工可以跳過跨境那幾節。

香港讀者：本頁框架不適用香港現行選制

以下內容以「有意義的競爭性選舉可供觀察」為前提。香港自 2021 年選制改革後設「候選人資格審查委員會」，其認定候選人是否「愛國」的意見來自國安委員會，且不受司法覆核，直選議席也大幅壓縮，反對派實質被排除在選舉之外。「獨立觀察選舉公正性」的角色因此在香港現制下欠缺可對應的對象。此外，以公民社會身分在香港進行任何獨立選舉觀察或監督，本身可能被視為「境外干預」（目前沒有公開的具體起訴案例，這是從相關罪名適用範圍的推論）。還是想關注香港選制的話，可以改為閱讀 Freedom House、國際選舉觀察組織的既有報告，而非親自進行觀察。本頁的操作指引請當成他國觀察任務的參考，不要直接套用到香港本地。

查證來源（2026-07）：2021 Hong Kong electoral changes - Wikipedia。

要先理解風險為什麼存在，可以回頭看威脅模型如何建立與 Metadata 是什麼。

為什麼個別觀察員會成為目標¶

觀察員受到的攻擊愈來愈常落在個人身上，而不只是機構。GNDEM 與 NDI 在 2024 年關於全球無黨派公民觀察員權利的報告，記錄了限制性法規、政治化的認證程序，以及升高的暴力與騷擾，是觀察員面對的主要障礙¹。

這些壓力最終都落到個人：認證名單就是一份姓名清冊，投開票所觀察員是房間裡一張看得見的臉，任務報告有署名。

數位風險的邏輯跟記者保護消息來源一樣，最重的代價經常落在你資料裡的人身上，而不在你自己。一份現場事件紀錄可能寫著某位選務人員的名字，是他讓你記錄到違規情形。一份草稿的論據可能來自選務體系內部的消息來源。裝置被扣押而暴露了其中任何一人，都可能在計票早已認證之後，讓那個人失去工作甚至更糟。

要反覆問的是站上每個場景都會回到的那個問題：如果對手取得了我的裝置、雲端或通訊紀錄，誰會被燒到？

任務前：把裝置準備好¶

最有效的一步，是決定哪些東西根本不該出現在你帶出門的裝置上。

把工作與個人分開¶

威脅模型撐得起的話，帶一台專用的觀察裝置。第二支手機或一台乾淨的筆電，只裝任務需要的東西，裝置被搜查或扣押時，你的個人帳號、照片與聯絡人不會一起被拿走。高風險的跨境任務值得付這個成本
從乾淨的裝置開始，而不是每次出發前清理日常手機。一支恢復原廠設定的 Android，用一個不綁真實信箱的新帳號，只裝地圖、翻譯、回報用的 App 與任務聯絡方式，比努力回想「還有什麼要刪」可靠得多。這個模式跟前往不友善司法管轄區的做法相同，出差與研討會的數位準備有更完整的說明
全碟加密預設開啟。現代 iOS 與 Android 只要設了鎖定密碼就會靜態加密，筆電則要開 FileVault、LUKS 或 BitLocker。加密只保護關機或鎖定中的裝置，所以裝置離開你手上時處於什麼狀態，比功能有沒有開更重要

事先安排好回報通道¶

在出發前就約定好怎麼回報，不要到了現場才決定：

一條事先約定的安全通道，連到任務團隊與同行觀察員。Signal 是個人最常見的預設選擇，內容端到端加密，可以逐一對話設定訊息自動消失。它的限制在下面說明，帳號綁在手機號碼上
網路中斷或被限速時的備援。選舉日是刻意中斷網路的常見時機，約好第二條通道與回報頻率，讓「沒有消息」本身變成一個有意義的訊號而不是模稜兩可的狀態
不帶內容的定時回報。一句「已到達，一切正常」的定時回報，讓任務團隊能察覺某位觀察員失聯，又不必每次都把敏感細節送上網路

把裝置上不需要的東西清掉¶

登出任務不需要的帳號，移除會顯示你的政治立場或組織關係的 App
清除瀏覽紀錄與舊的下載檔
檢視相簿與雲端相片庫。舊照片可能標出你的位置、指出你的聯絡人，或洩漏先前的任務
高風險任務出發前先暫停自動雲端備份，這樣裝置被扣押時不會連同雲端裡的一切副本一起交出去。回來後再恢復

現場：安全地記錄¶

現場紀錄是核心產出，而它承載了全篇最尖銳的一組張力：讓紀錄「作為證據可信」的 metadata，正好也是「讓人曝險」的那些 metadata。

metadata 的取捨要逐項決定¶

一張帶時間戳記與 GPS 座標的照片，是「某個違規在特定時間地點發生過」的有力證據。同一組 EXIF 資料，在被扣押的裝置上，可以定位你以及畫面裡任何可辨識的人。

這件事沒有通用的正確答案，只有逐項要做的決定：

保留 metadata：紀錄的價值在於可驗證，而畫面中的人不會因此受害。例如空的票匭、張貼出來的開票結果、沒有可辨識面孔的排隊人潮
去除或避免 metadata：紀錄可能指認出會因此陷入危險的人。例如選務人員、面露恐懼的投票人、在不友善環境中的同行觀察員。拍攝時就讓臉孔與可辨識細節不入鏡，影像離開裝置前先清除 EXIF

為什麼這件事重要，見 Metadata 是什麼。記者保護消息來源的原則直接適用：在證明不帶 metadata 之前，把每個檔案都當成帶著 metadata。

現場記錄的實務¶

拍文件與環境，不拍臉，除非那張臉本身就是違規事實，而且當事人同意或那是公職人員執行職務。各地對拍攝投票人的法規差異很大而且可能相當嚴格，舉起相機之前先弄清楚
保留一份離線、可驗證的備份。只存在對手申請得到的雲端裡的紀錄很脆弱，本機的加密副本在網路允許時再同步給任務團隊，扣押與斷網兩種情況都撐得住
用結構化的工具記票數與事件。任務發的表單或共用的加密文件，能讓紀錄格式一致，也減少零散筆記散落在各個 App。任務團隊有自己的系統就用它，臨時自己想辦法的話，加密共用文件也比聊天室裡的明文筆記好
不要把身分寫進紀錄裡。名字不是關鍵資訊時，用角色代稱（「主任管理員」、「第 4 站觀察員」），跟記者對消息來源用代號是同一套紀律

與任務團隊、同行觀察員的通訊¶

回報通道本身就是敏感的。誰在什麼時候跟誰講話，這種 metadata 即使在內容加密的情況下，仍然能描繪出整個觀察協作圈。

群組成員名單本身就是資料。一個任務的 Signal 群組，會把整份名冊暴露給任何一個進得了某位成員裝置的人。環境不友善時，切成較小的分隔群組，可以限制一支被攻破的手機能暴露多少
多數安全通訊軟體綁在手機號碼上。Signal 對伺服器隱藏訊息內容，但帳號註冊在一個號碼底下。在東亞與東南亞多數採用實名制門號的司法管轄區，那個號碼在文件上就是你的法律身分。Signal 的使用者名稱可以對新聯絡人隱藏號碼，但帳號仍然建立在已登記的 SIM 上。SimpleX 這類工具完全不用手機號碼當識別，同行觀察員彼此不想交換號碼時會有差別
在操作性的對話開啟訊息自動消失，之後被扣押時能還原的東西比較少
把要公開的報告與私下的後台對話分開。你打算發布的發現要保存下來而且可被引用，關於誰對誰說了什麼的工作對話，在安全許可的前提下愈早清掉愈好

裝置被搜查或扣押時¶

在事情發生之前就要規劃好，因為被搜查的當下不是開始思考的時機。

預期會被搜查時把裝置關機。在檢查哨、過境之前、看起來可能被留置的時候。關機的加密裝置遠比「已鎖定但仍在執行」的裝置難以萃取，後者的加密金鑰可能還在記憶體裡
風險時刻用 PIN 或密語，不要用生物辨識。臉孔或指紋可以被強制，或單純被拿去貼上解鎖，而密碼要從你的記憶裡取出困難得多。過境或高風險移動前先關掉生物辨識解鎖
知道自己的法律處境，也知道任務團隊的。能不能合法拒絕解鎖、拒絕之後會觸發什麼，因司法管轄區而異，也因你在當地的公民身分而異。同一個邊境，本國公民與外國人面對的後果不同。任務的安全簡報應該針對特定國家告訴你這些，沒有的話出發前要問
先排好緊急聯絡順序。事先就知道被留置時要聯繫誰、依什麼順序：任務的安全聯絡窗口、外派觀察員的本國使領館、指定的法律聯絡人、國際求助管道。Access Now Digital Security Helpline 是 24 小時多語的數位安全緊急管道，可以當作後盾
被扣押過的裝置，取回後就當成已經失守。不要再讓它接觸敏感帳號。把那次扣押當成裝置上所有資料都已經揭露，並依此為資料裡的人採取行動

起底、騷擾與恐嚇¶

針對觀察員的騷擾是現在的常態，線上與線下都有，而且經常以打擊個人的可信度來打擊他做出的發現。無論來自黨派帳號、協同操作的帳號群或親政府媒體，應對模式跟站上其他場景相似：

爭議性任務之前先縮小公開的攻擊面。收緊隱私設定，從公開個人檔案移除住家地址與家人細節，並且查一下搜尋自己的名字現在會出現什麼
記錄，不要刪除。被威脅或被起底時，在東西消失之前先擷取截圖、原始訊息文字與時間戳記。那份紀錄是你日後的證據，任務團隊也可能需要。大量刪除自己的貼文經常被解讀成心虛，也會移除你之後可能想要的上下文
名譽攻擊透過任務團隊回應。針對個別觀察員的協同攻擊，通常最好在機構層級回應，由任務團隊與 GNDEM 這類組織發表聲援聲明，而不是由個人獨自在網路上反覆辯駁
含個人細節的威脅要當成安全事件，不只是網路上的困擾。一則帶著你住家地址或家人姓名的訊息，已經從騷擾越界成恐嚇，要升級給任務團隊，必要時交給當地警方或國際求助管道

跨境觀察任務¶

國際任務多了一層本地觀察員很少面對的處境：你是外國人、名字在案，進入一個可能視你的存在為不受歡迎的司法管轄區。

認證的書面軌跡無可避免，而且具識別性。你的姓名、護照、所屬組織與行程日期，依定義就會被記錄下來，認證程序本身就要求這些。接受這份書面軌跡存在，並假設接待國當局握有它。不要再額外在裝置上攜帶那些單靠認證資料揭露不了的敏感材料
海關的裝置搜查是例行風險，不是例外。帶著一台已經為檢查做好準備的裝置入境：乾淨、事先備份並精簡過、不需要的都已登出。出差與研討會的數位準備與上面的裝置準備那節都直接適用
身為外國人，你的法律保護較弱。拒絕裝置搜查的結果可能單純就是被拒絕入境。當地律師的可及性、使領館支援、任務在當地的安全計畫，對你比對本地觀察員更重要，出發前先確認這些存在
跨境的資料調取要求在這個區域是真實存在的。一條對某個政府安全的通道，不會因為換一個政府來要求就自動安全。橫跨多個司法管轄區的任務，要把旅程本身當成威脅模型裡的一個階段，就像記者跨境去見消息來源那樣

亞洲區域的部分，ANFREL 是長期組織與訓練亞洲各國國際觀察任務的聯盟，也是取得區域特定條件與簡報的自然聯絡點。

當觀察行為本身引來敵意¶

某些環境把獨立觀察本身視為威脅。這種情況下，上面的建議要再收緊：

分隔切得更細。更小的群組、更少人知道完整名冊、資料更不集中
每台裝置持有的東西降到最低。如果任何一次扣押都可能暴露整個協作圈，那就不該有任何一台裝置具備那個能力
不只規劃行動，也規劃應變。事先約定某位觀察員被留置時會發生什麼、其他人停止做哪些事、什麼要清除、要聯絡誰。那份計畫本身就是產出，臨場才隨機應變正是協作圈瓦解的方式

到這裡，個人的自我保護已經接上任務團隊的集體安全計畫，兩者必須一起設計。設計是組織的工作，下面的資源是它的依據所在。

在地脈絡¶

台灣的選舉觀察員多來自中央選舉委員會公告的觀察名單，或由公民團體、國際觀察團派遣。在地脈絡的特別之處：

投開票所觀察員：依公職人員選舉罷免法相關規定，由各政黨、候選人推派或公民團體申請。多數時間不需要強匿名，但要避免讓選務人員、個別投票人的身分透過相片或紀錄連到外部公開
跨境觀察任務：台灣公民赴他國執行觀察工作時要評估護照風險、跨國通訊監控、目的地對 LGBTQ+ 或記者身分的法律敏感度
東亞區域觀察的特殊性：到日本、韓國、東南亞國家觀察選舉時，跟當地公民組織、選務機關、媒體的往來，都應預先評估通訊管道
實名制門號：台灣的門號綁定真實身分，這代表以 Signal 為主的通訊，帳號在文件上就對應到你本人。本地任務多數情況不成問題，跨境任務則要納入考量

國際標準的參考：

OSCE/ODIHR Election Observation Handbooks：歐安組織的選舉觀察員標準作業手冊
Carter Center Election Standards：卡特中心的國際觀察標準與工具集
ANFREL：亞洲自由選舉聯盟，區域任務的組織與訓練