撰文、编辑 / Kaamel Labs
2026年10月13日，欧洲数据保护委员会（EDPB）正式发布《智能眼镜声明》，就智能眼镜场景下的GDPR适用性提供初步指导。声明厘清了用户、设备厂商及配套服务商的数据责任边界：用户需对自身拍摄及使用行为负责；厂商与AI服务商作为数据处理的关键方，须承担相应的数据保护义务。即便用户在纯粹个人或家庭活动中使用设备可享受豁免，提供相关服务的企业仍须严格履行合规责任。
同期，EDPB发布了由社会学者Yann Bruna撰写的研究报告《连接的目光：智能眼镜时代的视频记录、监视与证据管理》。该报告基于对7名用户和15名非用户的访谈，深入探讨了智能眼镜的实际应用及公众对录制行为的认知，为理解《声明》提供了具体的场景参考。
用户责任界定
依据GDPR第2条第2款(c)项，自然人在纯粹个人或家庭活动中处理个人数据可豁免适用GDPR。声明明确列举了适用豁免的典型场景，如仅向亲友分享影像或在私人场景下使用翻译功能。
若将影像发布至公开社交账号，或用于公务、职业及政治活动，则不适用家庭活动豁免。在此类情形下，用户作为控制者，需自行决定拍摄内容、目的及发布对象，并承担包括确立合法处理依据、告知被拍摄者及保障其数据权利在内的各项义务。
报告揭示了若干职业用途案例：配送员为应对投诉拍摄配送过程，公交司机为取证拍摄损坏车辆的行为。尽管设备由个人购买且初衷为自我保护，但这些行为本质上属于职业活动，不能归入家庭活动豁免范畴。
职场中的责任归属取决于拍摄安排主体。若企业统一规定拍摄内容、用途及保存期限，企业应承担控制者责任；若员工私自录制并用于个人目的，则由员工自行承担相应责任。例如，员工秘密录制战略会议的行为与企业安排的工作记录存在本质区别。
值得注意的是，即使属于家庭活动，录音和拍摄行为仍需遵守当地关于隐私、肖像权、劳动关系及特定场所管理的法律法规。
厂商与AI服务商责任
家庭活动豁免仅针对用户私人行为，不免除服务商的GDPR合规义务。GDPR序言第18段明确规定，为个人或家庭活动提供数据处理手段的控制者和处理者，仍受GDPR约束。
智能眼镜涉及多方数据处理：用户启动拍摄后，配套应用负责接收保存影像，AI服务负责分析画面或声音。判定责任时，需明确各方在处理目的和方式上的决定权。
声明指出，若AI服务商独立或共同决定处理目的和方式（如分析摄像头画面以回答用户关于环境的问题），其身份可能构成独立控制者或共同控制者。
报告提及一例：用户通过智能眼镜调用Meta功能读取血液检查报告。虽然用户行为属私人活动，但服务商对健康数据的分析、保存和使用仍须按其实际角色履行GDPR义务。
法律身份认定应基于实际处理行为，而非合同条款。若服务商仅按指示处理数据，其为处理者；若自行决定将数据用于自身目的，则为控制者。单纯销售设备与运营影像存储、AI分析服务的责任截然不同，厂商需结合具体功能审慎判断。
作为控制者的厂商和服务商，必须直接履行GDPR义务。仅在用户协议中要求佩戴者提醒第三人或确保拍摄合法，不足以免除服务商对第三人数据处理的告知等法定义务。
对第三人的数据保护义务
被记录的第三人通常未注册配套应用，甚至不知晓眼镜具备摄录功能。仅向注册用户展示隐私政策，无法有效完成对被拍摄者的告知义务。
研究表明，部分用户误以为指示灯亮起即代表第三人默许，但不熟悉设备的人可能无法识别灯光含义。有效的提示机制应让第三人明确知晓眼镜正在录制或进行AI处理，并能获取数据处理者身份、目的等关键信息。
声明建议采用灯光、声音等多模态提示，确保在不同光照条件下易于辨认，且提示持续时间充足。当指示灯被遮挡时，设备应禁止录制。厂商和控制者需提供法定信息，并确保技术提示有效、防绕过及可更新。
除告知外，处理第三人数据还需具备合法依据。佩戴者接受服务条款不能替代第三人同意。鉴于厂商或服务商难以直接联系第三人，获取有效同意极具挑战；事后补取同意亦不能作为此前收集数据的合法依据。
若以“合法利益”为依据，控制者须证明处理必要性并权衡个人权利。声明强调，将数据用于超出用户请求的商业目的或AI训练，极难通过利益平衡测试。第三人既不知情，更无预期其影像会被用于模型训练。控制者还必须保障第三人行使反对权的渠道。
后续用途需符合目的限制原则。控制者应评估新用途与原收集目的的兼容性，特别是考虑到第三人与控制者无直接关系的背景。用户的一次实时辅助请求，不能成为服务商持续保存数据或用于训练的法律依据。
上述要求需融入产品设计。对于主要提供实时辅助的眼镜，声明建议默认不保存采集的音视频数据；确需保存时，应由用户主动开启并采取保护措施。在可行情况下，应先对第三人身份信息进行模糊或遮挡处理，再进行分享或二次使用。拍摄提示、保存设置及用途管控，应由决定这些功能的主体负责落实。
参考文献
EDPB智能眼镜新闻稿见：https://www.edpb.europa.eu/news/edpb-publishes-statement-on-the-data-protection-challenges-of-smart-glasses_en；《智能眼镜声明》见：https://www.edpb.europa.eu/system/files/2026-10/20261310_edpb_statement_smart-glasses_en.pdf；GDPR原文见：https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016R0679；EDPB《控制者与处理者概念指南07/2020》2.1版见：https://www.edpb.europa.eu/system/files/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf；EDPB《通过视频设备处理个人数据指南3/2019》见：https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_en_0.pdf；SPE专家研究报告见：https://www.edpb.europa.eu/documents/support-pool-of-experts/the-connected-gaze-video-recording-surveillance-and-administering_en。
Kaamel 简介
Kaamel 始终站在隐私保护前沿，致力于通过技术手段帮助企业识别和解决隐私合规风险。
创新的 Kaamel AI 检测引擎 依托主流法规和监管判例，助力企业快速、全面地识别隐私合规风险。Kaamel 提供全方位的隐私合规解决方案，帮助出海企业有效应对监管要求和用户需求，降低隐私风险与合规隐患，在国际市场建立坚实的隐私信任体系。
