V2.07.3Gaze privacy设计研究
视线共享需显式开启，默认采集即构成监控
别名: 视线隐私 · 眼动监控 · 选择性视线共享
概念解释
视线隐私（gaze privacy）要求眼动或视线位置只在知情、明确开启的协作情境中采集和共享。视线轨迹是连续的行为数据，可暴露阅读对象、停留、回避和浏览顺序；默认开启会让参与者在不行动时也被观察，因此超出普通在场提示，构成监控能力。
机制
眼动数据的协作价值通常局限于短暂共同指点，采集却可产生高频、可回放、可与身份和内容关联的记录。用途从即时协调扩展到兴趣或绩效推断时，数据权力发生变化。显式开启、会话限定和端侧即时处理可缩小二次用途；仅在条款中笼统告知不能提供情境内控制。
怎么研究
可用情境场景和可用性测试检查参与者是否理解采集时机、接收者、精度与留存，并观察其是否能无惩罚拒绝。系统审计需验证关闭后传感器、网络事件和服务器日志均停止或降级。接受率不应单独当作伦理证明，尤其在上下级关系中。
边界
显式同意也不能授权无限用途；研究、无障碍控制和安全场景各有不同必要性与治理。粗略视口同样可能敏感，不能因精度较低就自动默认采集。共享视线关闭后，核心功能应有指针、选区或口头描述替代。
怎么落地
- 在需要视线的具体会话中单独开启，并持续显示采集、接收者和留存状态。
- 默认即时处理并丢弃原始轨迹，只传任务所需的粗粒度线索。
- 将协作共享与分析、研究、考核授权分开，禁止默认为后者复用。
- 实测关闭后的传感器与网络流量，并验证拒绝者仍可完成核心任务。