摄像头带来被拍摄者的隐私问题
别名: 旁观者隐私 · 附带拍摄 · 向外摄像头
概念解释
头显要看清房间，前面就有摄像头。旁边聊天的人、桌上的文件、身后的白板，都会进画面——他们不是用户，却成了被拍摄者。旁观者隐私（bystander privacy）处理的是这条不对称：佩戴者为了跟踪和透视打开了相机，被摄入的人没有选择，也往往不知道自己已经在帧里。
问题出在「相机朝着公共或半公共的人」，不是出在佩戴者自己的账号设置。
机制
SLAM 与视频透视需要持续的向外图像。持续和「正在录像」在旁人眼里是同一件事：都是镜头对着自己。手机拍照有一个举起来的动作，头显没有这个动作，拍摄从一种可观察的行为变成了设备的默认状态。帧里会出现人脸、工牌、屏幕内容、谈话的背景，这些一旦离开设备——存盘、上传、被应用读取——伤害才从「被看见」变成「被带走」。
WebXR 把位姿与空间数据列为敏感信息，主要护的是佩戴者；被摄入的第三方在同一份画面里，保护并不会自动覆盖过去。Meta 的透视相机接口把图像归为设备用户数据、要运行时权限，那是应用与佩戴者之间的关系，同样不自动等于旁边那个人同意。
怎么研究
Denning、Dehlawi 与 Kohno 在咖啡馆用样机访谈旁观者：许多人根本没注意到设备，注意到的人把「可能在拍我」列为与既有摄像方式不同的首要理由。后续工作用场景（是否出现人脸、是否离开设备）和数据去向（仅本地跟踪 / 存盘 / 上传）做条件，收集被摄入者的不适与「是否认为自己在被拍」的判断。
自变量：相机是否实际上在出帧、数据是否离开设备、场景里是否有可识别的人。 因变量：旁观者是否判断自己被拍摄、不适评分、是否选择离开。
样机若明显不像在工作，会低估「正在拍」的判断；功能完整的透视头显才是这个叶该测的对象。
边界
独自在家、镜头朝向无人的墙，被拍摄者不存在，这条约束休眠。相机被物理盖住、只靠 IMU 短时外推时，没有新的画面生成。已经布满监控的场所，头显多出来的那一路仍然更近、更可能带上人脸特写，不能用「这里本来就有摄像头」一笔勾销，但原有监控密度会改变反应强度。把「要不要一盏指示灯」或「要不要一份统一知情同意」写成方案，已经超出「摄像头造成被拍摄者隐私问题」这一层现象。
怎么落地
- 默认把向外图像留在设备内做跟踪，不把透视帧写成可分享、可训练、可上传的素材。
- 应用若需要出帧或存盘，在佩戴者一侧把「会拍到旁边的人」说清楚；拒绝不应锁死与拍摄无关的功能。
- 验收时列一张数据去向表：每一路相机帧是本地、缓存还是出设备。有一路去向说不清，就按会拍到旁观者来处理。
- 验证：在有人的房间里打开透视，问那个没戴设备的人「你觉得自己现在在不在画面里」。再对照实际：帧里有没有他的脸、这帧有没有离开设备。判断和事实之间的缺口，就是这条隐私问题的现场形态。