澳洲:OAIC对智能眼镜的软件提供商深圳青橙展开调查

澳洲：OAIC对智能眼镜的软件提供商深圳青橙展开调查

澳大利亚信息专员办公室OAIC正加大对智能眼镜的审查力度，其中包括对智能眼镜应用 HeyCyan 的提供商——深圳青橙（Shenzhen Qingcheng）展开的调查。

自2026年8月以来，澳大利亚OAIC已与5家提供智能眼镜硬件或软件的实体开展了初步调查，以更好地了解隐私法的适用方式与范围，并明确这些收集个人信息的实体是如何对其进行保护的。正如信息专员此前在文章中所写，现有的隐私法律可能只是开发和使用这些工具的公司需要考量的众多因素中的一部分，尽管它非常重要。然而，如果能明确《隐私法》下的合规义务何时适用以及适用对象是谁，OAIC 将能更好地为澳大利亚公众及受监管的群体提供协助。

OAIC的初步调查问询主要针对以下实体：

• Kmart 与 BDI Technology：这两家零售商仅销售智能眼镜，并不开发或运营设备底层的软件。

• 深圳青橙（Shenzhen Qingcheng）：一家软件提供商，为 Kmart、BDI Technology、亚马逊（Amazon）等渠道销售的众多低价智能眼镜提供底层软件（包括 HeyCyan App）。

• Meta：一家科技公司，不仅制造并销售智能眼镜，还提供在设备上运行的底层软件。

• Google：一家科技公司，计划制造并销售智能眼镜，并提供在设备上运行的底层软件。

2026年10月7日，OAIC宣布已对HeyCyan App 的提供商深圳青橙启动正式调查。该实体未能回应我们的初步问询，加之第三方对其技术本身及隐私政策的分析引发了诸多担忧，这促使 OAIC 启动其全面职权来审查该问题，包括发出强制信息收集通知。

与此同时，信息专员也想就通过初步问询所获取和分析的信息分享一些思考。尽管目前OAIC尚未决定对深圳青橙以外的其他实体启动调查，但这不应被解读为对这些受审实体合规与否的任何结论性声明，而应视为OAIC对隐私法是否适用（以及在何种情况下可能不适用）的反思。

隐私法适用于对个人信息的处理

澳大利亚公众越来越清楚地认识到，隐私法的约束对象并非个人，而是企业和联邦政府机构。不过，也有必要澄清一点：并非所有企业都受该法管辖——只有那些掌握（收集/持有）个人信息的企业才在适用范围内。单纯提供设备或硬件本身，并不会使你受到该法的监管，即使该设备确实会收集个人信息。承担《隐私法》合规责任的，将是实际持有这些所收集个人信息的实体。

因此，销售智能眼镜的零售商（例如在电子商务网站上销售）或制造这些眼镜的公司，如果并未通过相关设备收集任何个人信息，就可能不承担任何隐私法所规定的义务。相反，在隐私法层面，为设备提供实际运行软件的实体，才可能是收集并持有这些信息的责任主体。然而，正如下文所述，出于履行经济、社会和公司治理（ESG）期望的考量，公众和股东很可能会要求零售商对其所售产品的隐私风险进行尽职调查。

智能眼镜收集的图像、录音或其他数据，不一定都属于《隐私法》所管辖的“个人信息”

澳大利亚政府近期宣布了对隐私法进行部分根本性改革的计划，其中包括拓宽“个人信息”的定义。目前，个人信息的定义是“关于一个可被合理识别的个人的信息”。而“下一阶段”的改革将对此进行修改，将“与可被合理识别的个人相关的信息”也纳入个人信息的范畴。

毫无疑问，“关于（about）”和“与……相关（relates to）”都会涵盖个人的图像或其声音录音。但是，就个人信息定义的第二部分而言，该个人是否属于“可被合理识别”的范畴呢？

信息专员近期就Monash IVF（莫纳什试管婴儿）和 Medmate Australia 的案件作出了决定。在决定中我明确指出，“可被合理识别”不仅仅指个人的法定身份显而易见的情况；它还包括这样一种情境：即这些信息使得某个实体能够“单独挑出（single out）”或“区分”出某个人，且这种区分方式会影响该个人的权利或利益。

就智能眼镜而言，信息专员认为这很可能取决于受监管实体的具体场景及其技术能力，以此来判断他们收集的信息在何种情况下构成个人信息。如果某些实体已经掌握了大量可识别个人的信息，那么当他们通过智能眼镜收集图像或其他数据时，他们很可能具备合理识别个人的能力。此外，如果录音中包含姓名牌、制服或其他可识别特征，或者收集了地理位置数据，又或者通过其他方式公布了个人身份，这些情况很可能导致收集到个人信息。但这并非适用于所有情况。

在大多数情况下，实体收集您的个人信息无需征得您的同意

在现行版本的隐私法中，除了某些特定情况外，收集个人信息并不强制要求必须获得同意。在大多数情况下，实体收集您的个人信息需要达到的基本标准是：该收集行为对其职能和活动必须是“合理必要的”。这意味着，实体应尽可能减少个人信息的收集，且其收集行为必须与目的成比例——如果他们仅凭较少的个人信息就能履行这些职能和活动，就应当这么做。

只有在实体收集“敏感信息”时，才必须获得同意；而在当前语境下，最具相关性的是生物识别信息。任何包含人脸识别功能的智能眼镜都可能在收集生物识别信息，对于此类信息的收集，相关实体（即设备所用软件的提供商）必须获得个人的同意。需要澄清的是，我们目前尚未在澳大利亚市场上现有的智能眼镜设备中发现使用了人脸识别功能。

实体需要采取合理步骤，通知相关人员其信息已被收集

从《隐私法》的角度来看，智能眼镜最让人不适的特征之一，在于其收集个人信息时具有“环境化、隐蔽甚至秘密”的性质。直觉上，这感觉像是侵犯了我们的隐私，毕竟隐私的核心应当是赋予我们对个人信息的真正选择权和控制权。

然而，我们中的许多人其实早已随身携带着能够拍摄、录音或以其他方式收集他人个人信息的日常设备。智能手机、运动相机（GoPro）、行车记录仪或智能门铃，都已经在公共空间里悄悄拍下了他人。应该很少有人会主张，隐私法会禁止人们仅仅因为给孩子录像，而意外拍到了操场上的其他家长甚至孩子（这与发布录像不同，后者可能会受到其他法律框架的约束）。同样，也很难辩称，像苹果这样的照片存储应用或云盘服务提供商，需要对每一个在公共空间被拍摄并将其图像存储在苹果服务器上的个人承担《隐私法》下的义务。

《隐私法》规定，实体应采取“合理步骤”，在合理的情况下就某些事项通知个人。这是一项受条件严格限制的义务，因为它取决于收集行为的具体情境。我们无法断言智能眼镜的软件提供商究竟应该通知谁以及通知哪些具体内容，但很难不将其与照片存储应用进行类比。

智能眼镜同样需要保障安全

鉴于智能眼镜往往在受影响个人毫不知情的情况下，大规模收集个人信息（有时甚至是敏感个人信息），提供这些设备的实体肩负着更大的责任，必须确保个人信息免遭滥用、干扰、丢失，以及未经授权的访问或泄露。由于个人甚至不知道自己的信息已被收集，因此无法采取自我保护措施，在这种情况下，由安全实践不善导致的数据泄露、网络安全事件及其他安全风险，其造成的危害可能会更加严重。

个人将难以评估监控和联网设备的隐私风险，并期望零售商履行尽职调查

即便企业并不直接对其所售设备的使用（或滥用）方式承担责任，公众也有正当理由期望负责任的企业对其销售的产品进行尽职调查，并避免采取任何可能鼓励非法使用其产品的行为。

未能做到这一点的企业，至少可能会面临声誉受损的风险。此外，适用于《隐私法》的监管权力立法中也规定了“协助及教唆责任”。因此，在启动此次调查的同时，信息专员已致函澳大利亚零售商委员会，要求其敦促各成员在提供联网设备和监控设备销售时，务必审慎考虑这些产品的隐私风险。

展望《隐私法》的改革

除了上述基于初步调查的思考外，我们还有机会探讨政府拟议的《隐私法》修改将如何进一步强化隐私法对监控类可穿戴设备（包括智能眼镜）的适用性。这些改革可能会从以下几个方面提高实体利用智能眼镜收集个人信息所需跨越的门槛：

最重大的改变将是把“对实体的职能和活动合理必要”的测试标准，替换为“公平合理测试（fair and reasonable test）”。新标准要求实体综合考量一系列因素，包括个人在收集其个人信息时是否拥有真正的选择权，以及在涉及儿童时是否符合儿童的最大利益。

拟议的改革还包括将“精确地理位置追踪数据”归类为敏感个人信息，并要求必须获得个人的同意。这也将为那些通过智能眼镜收集精确地理位置数据的实体设定更高的合规门槛。同时，相关改革还将强化对“同意”的定义，要求同意必须是自愿、知情、当前、具体且明确的。

大型数字平台引入“删除权”后，如果个人认为其信息是通过智能眼镜被大型数字平台收集的，将能够主动采取措施。不过，这项权利不太可能影响到那些为低成本产品提供软件的较小软件提供商的收集行为。

文章配图由 AI 生成