EDPB发布智能眼镜声明，划分用户、厂商与AI服务商的责任

2026年10月13日，欧洲数据保护委员会（European Data Protection Board，EDPB）通过《智能眼镜声明》（Statement on Smart glasses），就智能眼镜适用GDPR提出初步指导。

声明明确了用户、设备厂商和配套服务商的责任：用户要对自己决定的拍摄和使用行为负责；厂商与AI服务商决定如何收集、分析和使用个人数据，也要承担相应责任。用户在纯粹个人或家庭活动中使用眼镜，可以适用家庭活动豁免，但提供相关服务的企业仍须履行自身的数据保护义务。

EDPB的新闻稿还同时介绍了其专家支持计划（Support Pool of Experts，SPE）委托开展的研究《连接的目光：智能眼镜时代的视频记录、监视与证据管理》（The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses）。报告由社会学者Yann Bruna撰写，通过对7名用户和15名非用户的访谈，讨论智能眼镜的实际用途及人们对录制行为的看法。报告中的案例为理解声明提供了具体场景，其观点不代表EDPB的正式立场。

一、用户责任

GDPR第2条第2款(c)项规定，自然人在纯粹个人或家庭活动中处理个人数据，不适用GDPR。声明列举了两类例子：只向亲友分享照片或视频，以及在私人场景下使用翻译功能。

向公开社交账号的不特定受众发布影像，或者将眼镜用于公务、职业、政治活动，则不适用家庭活动豁免。在上述不适用家庭活动豁免的情形下，用户自行决定拍摄什么、用于什么目的、向谁发布时，需要承担控制者的义务，包括具备合法的处理依据、告知被拍摄者，并保障其数据保护权利。

报告记录了一些职业用途。一名配送员告诉研究者，他会拍摄配送过程，以便在客户投诉时证明自己完成了配送，避免平台评分下降；一名公交司机则在与雇主协商后使用眼镜，拍下可能损坏公交车后视镜的车辆。设备由个人购买、拍摄为了保护自己，都不能据此将这些职业用途归入家庭活动。

在工作中使用眼镜，还需要看拍摄由谁安排。企业要求员工记录维修过程，统一决定拍摄内容、用途和保存时间，企业应对这些处理承担控制者责任，员工按其授权操作。员工自行录制、另作个人用途，则需要根据员工自己的决定判断责任。专家报告中，一名受访者提到同事秘密录制战略会议；这种使用与企业安排的工作记录有明显区别。

即使属于家庭活动，录音和拍摄也仍须遵守当地有关隐私、肖像、劳动关系及特定场所的规定。

二、厂商和AI服务商责任

家庭活动豁免适用于用户的私人活动，不免除服务商的GDPR义务。GDPR序言第18段专门说明，为个人或家庭活动提供数据处理手段的控制者和处理者，仍受GDPR约束。

智能眼镜的使用往往涉及多方处理数据。用户启动拍摄后，配套应用可能接收和保存影像，AI服务可能分析画面或声音。判断厂商和服务商的责任，需要分别查明它们决定了哪些用途和处理方式。

声明举例指出，AI服务商分析摄像头中包含他人的画面，以回答用户关于周围环境的问题，如果由其独立或共同决定处理目的和方式，就可以成为独立控制者或共同控制者。

专家报告中还有一段经历：一名受访者的朋友用智能眼镜调用Meta的功能，帮助读取他的血液检查报告。他当时觉得有用，事后才想到自己的健康数据去了哪里。用户请朋友帮忙读取检查报告，可以属于私人活动；服务商如何分析、保存和使用报告中的个人数据，则仍须按照其实际承担的角色履行GDPR义务。

法律身份要与实际处理一致。服务商仅按控制者的指示处理数据，可以属于处理者；自行决定将数据用于自身目的，则要对该项处理承担控制者责任。合同写成“技术服务”或“受托处理”，不能改变其实际作出的决定。厂商的身份也要结合具体功能判断，单纯销售设备与运营影像保存、AI分析服务，涉及的责任不同。

对成为控制者的厂商和服务商，声明特别强调：它们必须履行自己的GDPR义务。仅在用户协议中要求佩戴者提醒第三人、确保拍摄合法，并不足以完成服务商对第三人数据处理的告知等义务。

三、对第三人的数据保护义务

被记录的第三人没有注册配套应用，也未必知道眼镜带有摄像头和麦克风。仅向注册用户展示应用内的隐私政策，不能完成对被拍摄者的告知。

专家报告发现，一些受访用户认为，指示灯亮起后第三人没有反对，就意味着默许拍摄。但他们也承认，不熟悉设备的人可能根本不知道灯光是什么意思。提示应让被拍摄者知道眼镜正在录制或进行AI处理，并能进一步了解谁在处理数据、用于什么目的。

声明建议结合灯光、声音等提示，让第三人及时察觉录制或AI处理。视觉指示应在不同光照下都容易辨认，亮起时间应足够长，遮挡指示灯时不应仍能录制。厂商和控制者还需要提供控制者身份、用途及权利行使等法定信息，并确保技术提示有效、难以绕过，必要时更新。

告知之外，处理第三人的数据还须具备合法依据。佩戴者接受服务条款，不能代替第三人同意。声明指出，厂商或服务商往往与第三人没有联系，取得有效同意存在困难；拍摄完成后补取同意，也不能作为此前收集数据的依据。

采用合法利益作为依据时，控制者须证明处理的必要性，并权衡个人的权利和合理预期。声明特别指出，将数据用于超出用户所请求服务的商业目的或AI训练，尤其难以证明利益平衡成立。第三人连最初的收集都不知道，更难预期自己的影像或声音会被用于训练模型。控制者还须确保其能够行使反对权。

后续用途也要符合目的限制要求。声明要求控制者评估新用途与原收集目的是否兼容，特别考虑第三人与控制者没有关系的收集背景。用户请求一次实时辅助，并不能直接为服务商持续保存或训练使用提供依据。

这些要求需要落实到产品设置中。对于主要提供实时辅助的眼镜，声明建议默认不保存采集的音频、图像或视频；功能确有需要，或用户主动开启并采取适当保护措施时，可以保存。在可行时，先在设备上对第三人的身份信息采取模糊、遮挡等保护措施，再分享或另作使用。拍摄提示、保存设置和后续用途，应由决定这些功能和处理活动的主体负责落实。

参考文献

EDPB智能眼镜新闻稿见：https://www.edpb.europa.eu/news/edpb-publishes-statement-on-the-data-protection-challenges-of-smart-glasses_en；《智能眼镜声明》见：https://www.edpb.europa.eu/system/files/2026-10/20261310_edpb_statement_smart-glasses_en.pdf；GDPR原文见：https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016R0679；EDPB《控制者与处理者概念指南07/2020》2.1版见：https://www.edpb.europa.eu/system/files/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf；EDPB《通过视频设备处理个人数据指南3/2019》见：https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_en_0.pdf；SPE专家研究报告见：https://www.edpb.europa.eu/documents/support-pool-of-experts/the-connected-gaze-video-recording-surveillance-and-administering_en。