你坐在咖啡馆里，对面的人戴着一副眼镜。镜框边上也许有一颗小白灯，也许没有；就算亮着，你也可能以为那是阳光的反光。你不知道刚才那段对话是被录下来了，还是被送去云端让 AI “看了一眼”。
即使你想追究，也不知道该找谁。戴眼镜的人？眼镜厂商？还是背后那个 AI 服务？
2026 年 10 月 13 日，欧洲数据保护委员会（EDPB）通过了一份关于智能眼镜的声明（下文“第 X 段”均指该声明的段落编号）。官方把它定位为“初步指引”，篇幅不长，大半在讲指示灯、提示音和手机提醒。如果只看这些，很容易读成一份产品设计建议清单。
但它最重要的内容并不在这里。仔细读第 20 到 30 段，EDPB 其实承认了一件很少被明说的事：在现有技术条件下，路人的数据权利基本无法行使。 这份声明真正有约束力的推论也由此而来：既然路人管不了，厂商就不能拿路人的数据去做额外的事。
Table of contents
Open Table of contents
你豁免了，厂商没有
先看责任划分。只把照片发给家人朋友、在私人场合用眼镜做翻译，属于 GDPR 的“家庭活动豁免”，佩戴者不受 GDPR 约束；发到公开社交账号，或者在工作、公务、政治活动中使用，佩戴者就成了控制者，要承担告知等全部义务（第 13—14 段）。
这部分没什么新意，2019 年的视频设备指南就是这个思路。值得注意的是紧接着的第 16—17 段：佩戴者的豁免，不会延伸到为这项活动提供手段的厂商和服务商。 声明举的例子很具体：AI 服务商为了回答用户“我面前是什么”，分析了一帧画面，画面里有别人，那么这个服务商就可能是控制者。
换句话说，你对着街景问 AI 一个问题，在法律上是你的私事；但处理这帧画面的公司做的不是。第 18 段还补了一句：这些公司不能指望用户替它们履行告知义务。
这一点很重要，因为智能眼镜和普通相机的最大区别就在这里。相机拍下的照片留在你手里，而智能眼镜拍到的画面，很可能在你按下快门之前就已经流向了第三方。
指示灯解决不了问题，EDPB 自己也知道
声明用了最多篇幅讨论“现场告知”：LED 灯要在各种光线下都看得见，亮的时间要够长，灯被遮住时应该无法录制；可以加提示音；手机端的邻近提醒可以有，但不能是唯一手段，也不能让佩戴者因此被追踪（第 24 段）。
这些建议都合理，但声明自己也没对它们抱太大希望：
- 第 22 段直接说，现有的指示灯“让许多非用户不知道自己的数据正在被处理”。
- 脚注 19 提到，白色 LED 很容易被误认为反光，视障人士则根本看不到。
- 第 24 段列完所有手段后加了一句括注：这些措施“未必能解决所有相关的透明度问题”。
现实比声明说得更直白。Meta 的第二代 Ray-Ban 眼镜在 LED 被胶布遮住时会拒绝拍摄，这正是 EDPB 建议的做法。但 2025 年 10 月，404 Media 报道了一项 60 美元的改装服务：直接改电路，让灯永远不亮，而拍摄功能完全不受影响。
所以，指示灯能挡住的只是“没想过要偷拍的人”。对真正想偷拍的人，它几乎没有作用。
更根本的问题是，就算灯亮了、路人也看到了，他知道的也只是“这个人可能在拍”。他不知道画面会不会上传，不知道处理方是谁，更不知道这些画面以后会被拿去做什么。脚注 26 说得很清楚：满足了透明度要求，并不等于数据主体就能合理预期这项处理，尤其是 AI 训练这类后续用途。
路人无法同意，也无法反对
把第 20、23、29、30 段连起来读，可以得到一条完整的推理：
- 透明度是行使数据权利的前提（第 20 段）。
- 但厂商和 AI 服务商与路人没有任何关系，也联系不上他们，传统的隐私声明对路人没用（第 23 段）。
- 所以，厂商很难取得路人自由、具体、知情的同意；事后补的同意也无效，因为合法依据必须在处理之前就存在（第 29 段）。
- 如果改用“合法利益”作为依据，则需要足够的缓解措施，而且还要保证所有数据主体随时可以反对，声明说这在很多情况下“可能很难做到”（第 30 段）。
这几段话的分量，比任何一条指示灯建议都重。它等于在说：对于被眼镜拍到的路人，GDPR 赋予的知情权、反对权、删除权，在现实中几乎没有行使渠道。路人看不到隐私政策，不知道控制者是谁，也无从联系对方。
声明没有就此下结论说这种处理违法，而是给出了一个更实际的结论：既然路人管不了，处理范围就必须收窄。
声明真正的硬话：别拿路人的画面做额外用途
第 30 段的后半句，可以说是整份声明最有分量的一句：超出用户明确请求的商业用途，或者 AI 训练，路人不会预期到，尤其是在他们根本不知道自己被拍的情况下，因此很难用合法利益来论证。
结合第 33 段的建议，可以拼出 EDPB 心目中的默认设计：
- 能在设备端完成的处理，就在设备端完成，包括在分享前模糊或匿名化旁人的面孔。
- 以实时辅助为主的设备，默认不持久保存录到的音频和画面。
- 在敏感场所做地理围栏限制；给社交媒体分享加一点“隐私摩擦”。
- 佩戴者也不能拿“我担心自己的人身安全”这种笼统理由，为持续录制别人开脱。
拿这个标准对照现实产品，差距很明显。2025 年 4 月，Meta 调整了 Ray-Ban 眼镜的隐私政策：只要开着 “Hey Meta”，带摄像头的 Meta AI 就默认启用；语音录音默认上传保存，最长一年，用于改进产品，并取消了关闭存储的选项。Meta 表示照片和视频默认留在本地，只有发给 Meta AI 或云服务时才会被处理。但问题恰恰在这里：智能眼镜的核心卖点就是“发给 AI 看”。
还有声明第 7 段一笔带过、却可能最危险的场景：人脸识别。2024 年，两名哈佛学生把 Ray-Ban 眼镜接上公开的人脸搜索引擎和大模型，在地铁里实时查出陌生人的姓名、住址和亲属，做成了演示项目 I-XRAY。他们没有破解任何东西，用的全是现成的产品和服务。EDPB 说这类组合“对公共空间中的权利与自由构成高风险”，但没有给出更具体的立场。这个问题，有待下一份指引正面回答。
这份声明能改变什么
坦白说，有限。它不是法规，也不是处罚决定，只是一份“初步”声明。家庭活动豁免依然让绝大多数个人使用落在 GDPR 之外，而偷拍者也不会因为一份声明就把改装过的眼镜扔掉。
但它确实把一个此前模糊的问题说清楚了：智能眼镜的隐私风险，主要不在佩戴者按下快门的那一刻，而在画面离开眼镜之后。 佩戴者能否遵守礼貌，靠的是社会规范和刑法（第 34 段也提醒了这一点）；画面上传、保存、被训练、被识别，这部分的责任明确落在厂商身上，而路人对此毫无还手之力。
所以，评价一副智能眼镜是否“尊重隐私”，不必先看灯亮不亮，而要看三个问题：
- 画面默认会不会离开设备？
- 离开之后会保存多久？
- 会不会被拿去做用户没有要求的事情，比如训练模型？
这三个问题，路人没法替自己问。EDPB 这份声明的价值，就在于它明确了应该由谁来回答。
本文只讨论欧盟数据保护框架。各国的刑法、民法、劳动法和地方规则可能另有限制，比如德国汉堡已有人提议禁止在公共交通和泳池使用智能眼镜（见声明脚注 6）。
参考资料
- EDPB：Statement 1/2026 on smart glasses 发布页，2026 年 10 月 13 日
- EDPB：声明全文 PDF
- EDPB：官方新闻稿
- 404 Media：How to disable the Meta Ray-Ban LED light，2025 年 10 月
- TechCrunch：If you own Ray-Ban Meta glasses, you should double-check your privacy settings，2025 年 4 月 30 日
- 404 Media：Someone put facial recognition tech onto Meta’s smart glasses to instantly dox strangers，2024 年 10 月
声明：本文由 AI 辅助生成，并经人工审核整理。