OAIC宣布调查HeyCyan智能眼镜App

2026年10月7日，澳大利亚信息专员办公室（Office of the Australian Information Commissioner，OAIC）宣布对深圳市青橙未来科技有限公司启动正式调查。该公司开发的HeyCyan是多款低价智能眼镜使用的手机配套App，包括澳大利亚Kmart销售的Anko智能眼镜，以及通过Big W Marketplace、Amazon等渠道销售的部分产品。

深圳青橙未回应OAIC此前提出的初步问询。OAIC表示，未获回应，加上第三方技术分析及该公司隐私政策引发的担忧，促使其启动正式调查。启动正式调查后，OAIC可以发出强制信息收集通知，调查设备如何记录信息、哪些主体能够访问相关信息，以及信息存储在哪里。目前，OAIC尚未认定深圳青橙或HeyCyan违反澳大利亚《1988年隐私法》（Privacy Act 1988）。

OAIC此次调查的对象是配套软件提供方。智能眼镜记录的照片、视频和声音可能只保存在设备或手机中，也可能经由App传输至企业后台或第三方服务。不同的处理方式将影响哪些企业收集或持有个人信息，以及澳大利亚隐私原则（Australian Privacy Principles，APPs）如何适用。

HeyCyan的产品功能与OAIC调查范围

OAIC自2026年初开始关注智能眼镜。2026年8月，澳大利亚总检察长要求隐私专员审查此类设备的隐私影响。OAIC随后向Meta、Google、Kmart、BDI Technology和深圳青橙等硬件、软件及销售环节的主体开展初步问询，要求有关企业说明设备的记录方式、数据访问权限和存储地点。

调查公告显示，用户将HeyCyan与智能眼镜连接后，可以使用音乐播放、接听电话和语音助手等功能。部分功能涉及通过HeyCyan处理眼镜获取的信息。HeyCyan在Google Play的产品页面还列有照片和视频导入、语音控制、通话、消息及音乐服务连接等功能；HeyCyan隐私政策还列有语音翻译、AI问答、图像理解和实时会话等功能。

根据这些功能，相关数据处理大致可以分为三种情况：

处理方式	产品活动	需要核实的事实
设备或手机本地处理	影像和录音保存在眼镜中，或者导入佩戴者手机	配套软件提供方能否访问或控制记录；有关信息是否始终由个人为私人事务持有
App处理	App导入媒体文件、绑定账号、配置设备、检查固件或接收诊断信息	App是否接收或缓存媒体内容；是否形成账号、设备和使用记录；有关记录由哪个主体控制
后台及第三方服务处理	语音识别、翻译、图像理解、AI问答或实时会话	内容发送至哪些后台、云服务或SDK；各方的处理目的、保存期限、访问权限和处理地点

APP 3指南对“收集”作了较宽的解释。实体为纳入记录而取得个人信息，即使只持有数毫秒，也可能构成收集；实体作为路由器或交换中心处理信息时，也需要结合实际处理方式判断。两家实体还可能同时收集同一份个人信息。因此，软件提供方的核查范围应当包括本地文件、临时传输、后台记录和第三方服务。内容是否长期保存在软件提供方的服务器中，只是其中一项事实。

软件提供方、硬件企业与零售商的责任

OAIC在本次监管博客中指出，Privacy Act 1988适用于个人信息处理主体，并不因为企业销售或制造一件具有摄像功能的硬件，就对其当然适用。零售商如果只销售设备，硬件制造商如果不收集或持有设备产生的个人信息，可能不承担与软件提供方相同的APP义务。

配套软件提供方是否承担APP义务，取决于软件是否接收、持有或控制设备收集的信息。符合这些条件时，提供方需要遵守相应的收集、使用、披露和安全要求。企业将存储或处理外包给云服务商，也不当然排除其“持有”个人信息。按照OAIC指南，企业对记录具有访问、修改或其他控制权时，即使没有直接占有数据，仍可能被视为持有该信息。根据合同约定的访问权和控制权，多个主体可能同时被视为收集或持有同一份个人信息。

零售商是否承担Privacy Act 1988项下的义务，仍取决于其是否收集或持有相关个人信息。隐私专员已经致函销售HeyCyan相关设备的零售商，要求其考虑是否适宜继续提供这些产品。OAIC同时指出，消费者和股东可能要求零售商对联网及监控设备开展隐私尽调；相关企业还可能面临声誉风险，在适用情况下，监管法也规定了辅助责任。对于贴牌产品，零售商应在硬件采购阶段一并审查配套App及其后台服务。

旁观者个人信息的收集与通知

智能眼镜的佩戴者会主动购买设备、安装App并接受使用条款。路人、儿童、同事和顾客没有使用相关产品，但其影像、声音和位置信息可能被设备记录，并由配套软件或第三方服务处理。因此，企业评估时需要分别考虑佩戴者和被记录者。

影像和录音是否属于个人信息，取决于其中的个人能否被合理识别。胸牌、校服、工作制服、同行关系、语音中说出的姓名以及精确位置，都可能使一段记录指向具体个人。持有账号信息、社交关系或历史位置的平台，也可能利用其他信息识别画面或录音中的人。OAIC在近期决定中说明，“合理可识别”不限于获知个人的法定姓名；如果信息可以区分或单独挑出某个人，并以影响其权利或利益的方式加以处理，也可能达到识别门槛。

对于普通个人信息，Privacy Act 1988没有把同意规定为所有收集活动的前提。APP 3要求组织收集的信息对其职能或活动具有合理必要性，并通过合法、公平的方式收集。OAIC在2026年更新的指南中进一步说明，合理必要性包含比例要求，企业应采取数据最小化措施。

生物识别信息适用更高标准。智能眼镜如果提取面部特征并用于自动识别或验证，相关处理可能涉及需要同意的敏感信息。OAIC同时明确表示，目前尚未发现澳大利亚市场上的智能眼镜使用面部识别功能。设备记录人脸图像与软件生成或使用生物识别模板，属于不同的数据处理活动。

APP 5还要求收集个人信息的APP实体采取合理措施，告知个人收集事实、目的、通常披露对象和可能的境外披露。佩戴者可以通过App界面接收有关说明，但旁观者通常不会与App发生交互。设备指示灯可以提示正在记录，无法单独说明后台处理主体、处理目的和境外披露。OAIC在监管博客中没有提出统一的通知方式，并指出具体义务需要结合收集场景判断。

佩戴者接受使用条款，会在佩戴者与产品提供方之间形成相应安排。该安排不包含旁观者作出的授权。对于旁观者信息，软件提供方仍需评估收集是否合理必要、方式是否公平，以及应采取哪些通知措施。

HeyCyan的应用商店标签与隐私政策

截至2026年10月8日，HeyCyan在Google Play“数据安全”栏目中显示“未收集数据”，同时显示该App可能与第三方共享应用信息和性能数据。Google注明，这些内容由开发者提供。

Google Play链接的HeyCyan隐私政策列出了账号信息、录音和转写文本、位置、IP地址、设备信息、使用记录及故障日志等信息。政策还说明，部分AI、语音翻译和实时会话功能涉及Microsoft、AWS、Alibaba Cloud和Agora；不同功能分别涉及本地处理、临时处理或持续存储。HeyCyan称，其后台不会持续保存部分AI请求及响应内容。

应用商店标签和隐私政策采用不同的内容结构，仅凭文字无法判断App实际收集了哪些信息，也不能据此认定违法。企业需要通过产品配置、网络流量、后台日志和供应商合同说明以下事项：

• Google Play所称的“未收集”适用于哪些版本、功能和数据类别；
• 媒体文件、语音内容、位置和设备信息中，哪些只在本地处理，哪些会经过HeyCyan后台；
• Microsoft、Agora及其他服务商分别接收哪些信息，并承担什么处理角色；
• 临时处理是否生成安全、运行或诊断日志，以及相关日志的保存期限；
• 账号删除、设备解绑和本地文件删除分别影响哪些数据。

上述材料还应与App内通知和零售页面保持一致。隐私政策反映企业对外公布的处理方式；网络流量、后台配置和合同文件用于核实产品的实际运行情况。企业可以通过比对这些材料，检查隐私披露是否完整、准确。

智能眼镜产品的合规核查

智能眼镜的不同功能可能采用不同的数据路径。照片导入、语音助手、翻译、实时会话、固件更新和故障诊断应分别核查，具体包括：

1. 记录每项功能处理的内容、账号、设备、位置和日志信息；
2. 区分佩戴者和旁观者涉及的个人信息，并判断有关个人能否被识别；
3. 确定App提供方、硬件品牌、云服务商、AI供应商和零售商对数据的访问权、控制权及合同角色；
4. 核对本地处理、传输、缓存、持续存储、人工访问和删除方式是否与应用商店标签、App内通知和隐私政策一致。

完成上述核查后，企业可以据此判断APP 1关于内部制度和透明管理、APP 3关于收集、APP 5关于通知以及APP 11关于信息安全的具体要求。安全措施应覆盖访问控制、日志范围、SDK权限、保存期限、删除机制和安全更新周期。

澳大利亚政府于2026年8月31日公布第二阶段隐私法改革的咨询文件和立法草案，拟引入“公平且合理”测试、强化同意标准并加强对精确位置数据的保护。这些措施尚未生效。如果改革按现有方案通过，智能眼镜企业还需要根据处理范围、用户选择、个人合理预期和潜在损害，评估个人信息处理是否公平合理。

OAIC对HeyCyan的调查仍在进行。对于提供或销售类似产品的企业，现阶段可以先按照OAIC提出的三个问题整理材料：设备如何记录信息、哪些主体能够访问、信息存储在哪里。在此基础上，再判断各主体是否收集或持有个人信息，以及现行APP义务如何适用。

参考文献

OAIC调查公告见：https://www.oaic.gov.au/news/media-centre/oaic-opens-investigation-into-maker-of-heycyan-smart-glasses-phone-app；OAIC《Smart glasses under the microscope》见：https://www.oaic.gov.au/news/blog/smart-glasses-under-the-microscope；OAIC《Surveillance wearables – are we through the looking glass(es)?》见：https://www.oaic.gov.au/news/blog/surveillance-wearables-are-we-through-the-looking-glasses；OAIC关于APP 3、APP 5和APP 11的指南见：https://www.oaic.gov.au/privacy/australian-privacy-principles/australian-privacy-principles-guidelines/chapter-3-app-3-collection-of-solicited-personal-information、https://www.oaic.gov.au/privacy/australian-privacy-principles/australian-privacy-principles-guidelines/chapter-5-app-5-notification-of-the-collection-of-personal-information、https://www.oaic.gov.au/privacy/australian-privacy-principles/australian-privacy-principles-guidelines/chapter-11-app-11-security-of-personal-information；澳大利亚政府第二阶段隐私改革说明见：https://ministers.ag.gov.au/media-centre/modernising-australias-privacy-laws-digital-age-31-08-2026；HeyCyan的Google Play页面及其链接的隐私政策见：https://play.google.com/store/apps/details?id=com.glasssutdio.wear、https://www.qlifesnap.com/heycyan.html。