Z6.04.1Bystander privacy设计研究
访客未同意即被传感器覆盖
别名: 旁观者隐私 · 非用户暴露 · secondary users
概念解释
智能家庭感知的是空间，不是「用户」：谁走进这个空间——访客、亲戚、上门维修工、门口的快递员——都进入了传感场，从未同意，也未必知情。这里的结构错位是：同意的单位是账号持有人（主人），暴露的单位是空间里的每一个人。访客是没有账号关系的数据主体，却在持续产生数据：脸进了摄像头、声音进了录音、手机触发了在场日志。这类问题统称旁观者隐私（bystander privacy）。
机制
同意框架假设数据主体与服务之间有账户关系，可以呈现条款、取得授权；环境感知把这个前提拆掉了——由房主对空间做的一次配置，覆盖了仅仅在场的其他人。
单次暴露都不大（一段录像、几条在场记录），但暴露在访客侧累积：这次来这家、下周去那家，每户人家的一点传感，拼成一个从未选择任何一项的人的行为轨迹。
访客还缺少退出选项：拒绝被感知的方式是不赴约——社交代价高到不构成选项。「主人同意了」因此覆盖不了访客：同意人与受影响人不是同一个。这是同意的代位失效，不是流程没走完；把告知做得更醒目也补不上这个结构洞。
怎么研究
- 旁观者隐私研究（泛写）：对智能家庭访客的调查显示，访客普遍低估自己被采集的程度——不知道摄像头覆盖范围、不知道麦克风常开；多数人从未向主人提出过关闭请求，提出请求的社交成本被反复引用。
- 关联隐私研究（interdependent privacy，泛写）：一个人的隐私暴露由别人的设备选择决定——家人买音箱、室友装摄像头、朋友戴带摄像头的眼镜；研究者把这类「非用户的暴露」列为传感生态的系统性问题。
- 变量：访客的知晓率与高估/低估偏差、提出关闭请求的比例与体验到的社交成本、单次访问产生的数据类型清单。
边界
- 严重度随采集内容与保留时长伸缩：在场触发亮灯约等于零暴露；身份可识别的视频加云存档是另一端。把「屋里有传感器」和「我被监控了」混为一谈会让讨论失焦——清单要按数据类型分级。
- 访客的资格分频次与深度：一次性串门、每周来的家教、过夜的住客，暴露量与主张的正当性都不同——一次性访客的合理期待是「不留下可识别的记录」，常住访客则接近成员。
- 主人的家也是主人的隐私领域：访客的主张真实但有边界——门口装安防摄像头正当；不对称问题出在对社交生活本身的内部环境感知（客厅常录、对话常存），不在安防。
怎么落地
- 把非用户当成一类干系人建模：数据清单里区分「主人数据」与「在场者数据」，两类数据的控制入口与救济路径分开设计，而不是都挂在账号体系下。
- 提供无账号的数据主体通道：访客的面部可被自动模糊、访客片段到期清除；删除请求不要求注册账号——凭描述或一次性口令即可发起。
- 验证办法：做一次模拟来访的审计——列出一个从未装过 app 的人在一次普通来访中产生的全部数据类型；逐项检查：这一项有主人侧的关闭控制吗？有访客侧的救济途径吗？两项全无的项，就是结构错位本身。