Z2.05.2Bystander consent gap设计研究
被动进入空间的人未做出同意
别名: 旁观者隐私 · third-party consent · 同意结构断裂
概念解释
智能空间的采集对象不只有购买者：被动进入者——访客、快递员、被请进门的客人——也被同一套传感器覆盖。他们进入空间的理由与采集无关（社交、送件），对采集没有做出过任何同意。同意结构在这里断裂：做出决策的是买设备的人，承担采集的是没参与决策的人。这个缺口有时叫旁观者隐私（bystander privacy）问题。
它不是边角案例：一个正常社交生活的人，一周内进入过的带传感空间远多于自己拥有的——被动进入是被采集的常态路径，自家设备上的「我已同意」覆盖不了这条路径。
机制
传统知情同意模型的隐含假设是数据主体 = 决策者：谁被采集，谁做决定。共享空间把两者拆开——主人决策、客人承担。缺口之所以无法用「退出权」补救：客人拒绝进入的代价是社交性的（不去朋友家、让快递放门口、不进这家店），高到实际上不可行使；「进入即同意」因此是强加的，不是选择的。
结构里还有两级更弱的主体：儿童既无退出能力也无同意能力，其被采集完全由监护人代决定；不知情者（不知道家里有设备、不知道设备在录）连「进入」这一步的知情都没有。主人因此处在受托人位置——替所有进入者做隐私决定，而这层责任几乎没有产品把它显性化。
怎么研究
- 旁观者隐私研究：对语音助手、家庭摄像头的公开讨论与用户研究反复记录了对「第三人被录制」的担忧——设备主人自己同意了，却替客人承担了不可见的义务（智能家居隐私调查如 Zeng、Mare 与 Roesner 2017 亦覆盖对访客数据处境的讨论）。
- 规范落差分析：比较「产品合规」（告知了购买者）与「场景内知情」（进入者知晓）两层的落差，是这类研究常用的框架。
边界
- 被动进入不等于零权利，也不等于否决权。 客人对「朋友家有安防摄像头」的社会预期不同于「隐藏录音」——社会规范划出了中间地带，边界随文化移动；产品只能锚定保守一侧。
- 责任的落点在受托人。 客人无法直接操作主人的设备，任何改进只能通过主人的选择实现——设计要作用在购买与安装时刻，而不是指望客人自护。
怎么落地
- 面向客人的采集默认降级：检测到非注册者在场时暂停录像、语音不留存、个性化关闭——把「替客人保守」做成默认而非选项。
- 在购买与安装时刻显性化受托责任：「此设备也会采集进入该空间的其他人」，并让访客模式成为安装流程的一步而非设置深处的开关。
- 无法避免的对客采集（安防）提供进入前可见告知——门口标识级别的外显，依赖物理指示的存在。
- 验证办法：请一位不知情的客人进入空间，事后问「你知道这个房间在采集什么吗」——答不出，就是告知层缺失的直接证据。