对智能眼镜的监管新规正在酝酿中
MJCM出海合规
欧盟、澳大利亚、新加坡在三周内先后对智能眼镜出手或表态，监管的重心正从"隐私政策"挪到"产品设计"和"数据流"。本文分析三个趋势及企业的应对策略。
今年以来，法国的社交媒体上多了一类视频：街上的女性被拍了下来，却并不知情；视频在 TikTok 上扩散。
9月22日，巴黎检察院证实已开设多起调查，称这是社交媒体上"上升的趋势"。网络犯罪部门，已经测试过这类眼镜，想弄清它可能被用来犯什么罪。
Meta 表示，眼镜拍摄时会亮灯。热线的法律专家回应："指示灯亮起，并不代表你同意被拍摄，更不代表你同意自己的影像之后被展示给成千上万的人。"
10月13日，欧盟数据保护委员会（EDPB）通过《智能眼镜声明》，自称"初步思考"，不是新法。它抓住的关键是：被录下来的人通常不是用户。用户可以读隐私政策、点同意，旁观者不在这套体系里，制造商也联系不上他们。所以声明说，制造商和关联应用、AI服务的提供者，"不应依赖用户的行为"来履行自己的义务。
它建议组合使用多种提示：指示灯要在各种光线下看得见，被遮住时应无法录制，且难以关闭；再配声音提示、手机邻近通知和外观区分。
这不是多余的，据BBC今年1月的调查，网上有视频教人遮挡或关闭指示灯。声明还认为，向旁观者取得有效同意"很难"，把旁观者的画面用于AI训练，"正当利益"则"尤其难以证明"。
9月22日，澳大利亚广播公司（ABC）公布一项测试：两家安全公司用六天，测了两副60至110澳元的低价眼镜，发现十多个缺陷。仅凭蓝牙就能控制陌生人的眼镜，邮箱和出生日期可被查到；用户数据多发往中国，语音和图片先送到深圳的服务器，而隐私政策只提到新加坡。测试并没有确定这些数据的实际用途。
监管者更早就动了。8月12日，澳大利亚信息专员办公室（OAIC）向包括 Meta、谷歌、Kmart 在内的厂商和经销商，以及这些眼镜所用 HeyCyan 应用的开发方深圳青城，发出初步询问，重点关注：设备怎么录制，谁能访问，存在哪里。10月7日，OAIC 对青城启动正式调查，公告写明的起因，是对方没有回应。专员说："在青城未回应初步询问的情况下，我无法确认它是否按《隐私法》的要求保护了澳大利亚人的个人数据。"她还敦促零售商考虑是否继续供应。
需要说明：Meta、谷歌、Kmart 只收到询问，不是调查对象；被调查的是应用开发方，不是眼镜品牌；调查没有结论。青城对ABC称已修复漏洞，两家安全公司则称，截至10月2日，许多修复尚未生效。
起因是9月下旬网上流传的一段视频：一名男子被指戴着智能眼镜，走在两名身穿校服的女生身后。警方表示还在调查中，没有结论。
10月6日，数码发展与信息部在议会答复中说，政府将"审视监管框架"。更值得企业留意的是4月8日的另一份答复：在新加坡提供这类产品的机构须符合《个人数据保护法》；数据转给海外承包商的，仍要对保护水平负责。
三地所处的阶段不同：欧盟刚发出初步声明，澳大利亚已经进入调查，新加坡还在表态和审视。但连起来看，有一条清楚的线, 新产品新功能如何解答合规的问题。
监管者问企业的，几乎是同一组问题：怎么录，数据谁能碰，存在哪，旁观者（可能被偷拍对象）怎么知道，权利如何保护。这些问题，隐私政策回答不了，需要量身定制一组新的合规配方。
1. 录制提示等功能，会从"最佳实践"变成"基本设计要求"。 EDPB 强调提示要难以关闭，并呼吁行业统一标准。信号：EDPB 是否发布进一步指引？对企业：提示的设计、测试和被绕过后的应对，现在就要留记录。
2. 学会应对监管。 OAIC 这次升级的起因，是没有回应。信号：调查结果里，"没有回应"占多大分量，会导致什么后果。对企业而言：如何应对监管机构，是一门必修课。
3. 供应链责任。 被调查的是应用开发方，零售商被劝重新考虑，EDPB 也把应用和AI服务商列为可能的控制者；美国针对 Meta 的 Bartone 案，3月提起，围绕"隐私宣传与人工审核披露不清"展开。信号：OAIC 是否对零售商和进口商采取进一步行动。对企业：合同里要写清责任、数据范围和通报义务。
以下是我们根据上述来源整理的建议，不是监管机构的正式要求。具体到产品怎么设计，下一篇再展开，这里只讲管理层现在该排的先后。
设备怎么录制：什么条件下开始和停止，有没有持续录制？谁能访问录下的内容：员工、云服务商、承包商、人工审核、AI服务商？数据存在哪：设备、应用、云端各在哪个国家，保留多久？如果要翻好几个部门的文件才能理清，说明材料还没准备好。建议做成一页材料，由产品、法务和安全共同确认，每季度更新。
盘点配套应用、云、AI服务商和海外承包商各是谁，各自责任边界是否明确记录；对照隐私政策和其他证据，看是否对得上；有多少潜在风险；若发生用户滥用眼镜功能，产品方采取了什么缓解措施，能否免责。
收到监管询问，谁接收，几天内答复，材料是否备好；零售商和进口商出问题时，怎么通报。建议做一次演练：假如明天收到和 OAIC 一样的问题，多久能交出材料？
下一篇，我们会把 EDPB 这份声明逐条翻译成产品需求：每一条建议，对应产品要做什么，并附一份完整的《智能眼镜合规自查表》。欢迎关注，也欢迎留言说说你最想聊的功能或风险环节。
