DCCOM数据合规与跨境研究
← 返回专业文章

澳大利亚调查HeyCyan智能眼镜应用

——中国人工智能设备与软件服务出海的隐私、模型与数据跨境合规 · 朱凯 · 2026-10-11
AI出海智能眼镜数据跨境个人信息保护监管调查
📌 本文首发于 律商联讯：https://mp.weixin.qq.com/s/geKjzeuhjiOh0FN3cOojDA

一、HeyCyan调查与智能眼镜市场的发展

2026年10月7日，澳大利亚信息专员办公室（Office of the Australian Information Commissioner，OAIC）宣布，正式调查HeyCyan智能眼镜手机应用程序（下称“HeyCyan应用”）的开发者。OAIC公告中的公司名称为Shenzhen Qingcheng Future Technology Co. Ltd；Google Play（谷歌应用商店）页面列出的中文名称为“深圳市青橙未来科技有限公司”（下称“青橙未来”）。OAIC此前自2026年8月12日起向多家智能眼镜相关企业发出初步问询，要求说明设备如何记录信息、谁能接触记录内容以及信息存放于何处。青橙未来没有回复该轮问询；OAIC同时提及第三方技术分析和隐私政策引发的疑虑，决定启动调查，以便进一步运用法定取证权。1

调查对象的身份，是这起事件最值得留意的地方。Kmart（澳大利亚零售商）销售Anko（其自有品牌）智能眼镜，Big W Marketplace（Big W线上交易平台）、Amazon（亚马逊）等渠道也销售其他低价产品；这些眼镜使用青橙未来提供的HeyCyan应用。青橙未来承担软件服务角色，并非上述眼镜的品牌方或零售商。OAIC在初步问询中既联系了零售商，也联系了青橙未来，随后对青橙未来启动正式调查。按OAIC公告，多款产品需连接这款应用程序才能使用音乐、通话和语音助手等部分功能，眼镜取得的信息也经该应用程序收集、处理。2由不同品牌销售、共用软件承接信息的产品链，就这样进入了监管视野。

这场调查发生在智能眼镜快速扩张之际。国际数据公司（International Data Corporation，IDC）统计，2026年第一季度全球智能眼镜出货约225万台，同比增长167%；2025年中国音频及音频拍摄眼镜出货172.6万台，同比增长122%。3市场增长伴随着产品功能的分流。雷鸟iO采用无摄像头设计，提供语音记录、会议笔记、翻译及“Lifelog”（生活记录）等功能；Meta Platforms, Inc.（Meta平台公司，以下简称“Meta”）推出新一代智能眼镜并扩展音频产品线，Rokid Style（乐奇Style款）智能眼镜则保留第一视角摄像头与视觉识别功能。4 5

路线不同，问题却在信息处理链上相遇：摄像头可能拍到未使用设备的人，麦克风可能收进交谈者的声音；转写、摘要和视觉分析还可能从原始记录中生成新的可识别信息。数据若进一步进入手机应用、云端或第三方人工智能（artificial intelligence，AI）服务，处理主体和数据去向也会随之增加。接下来需要逐项回答：每项功能收集了谁的信息，依据什么规则处理，是否交给AI服务，又在什么条件下跨境流动。HeyCyan事件将这些问题集中呈现在一个由多品牌硬件和共同软件连接的供应链中。

二、软件服务商何以成为澳大利亚调查对象

OAIC在公布初步问询结果时，专门区分了智能眼镜供应链中的几类企业：Kmart和BDI Technology（澳大利亚眼镜零售商）销售产品，但不开发、运营设备使用的底层软件；青橙未来向多个低价眼镜品牌提供底层软件，其中包括HeyCyan应用；Meta则同时提供设备与软件。6这个分类解释了为何本次正式调查落在中国的应用开发公司身上。眼镜录下的内容经应用程序进入后续处理流程，软件商因此可能比消费者熟悉的零售品牌更接近相关信息。零售商仍需关注其所售产品的隐私风险，但就眼镜记录的信息而言，首先要看哪家企业实际收集、持有和使用这些信息。

青橙未来设在中国，并不使澳大利亚隐私法止步于国境。澳大利亚《1988年隐私法》（Privacy Act 1988，以下简称《隐私法》）第5B条将法案适用于与澳大利亚存在法定连接的境外组织；对在澳大利亚以外设立的企业，关键条件是在澳大利亚开展业务。7围绕这一条件，澳大利亚联邦法院在Facebook Inc v Australian Information Commissioner（Facebook公司诉澳大利亚信息专员）案中审查了境外公司管理Cookie（网站识别文件）、登录接口与Graph API（社交图谱应用程序接口）的活动。相关服务器虽然位于美国和瑞典，这些软件功能却在澳大利亚用户设备及当地开发者的业务中发挥作用。法院指出，境外企业是否在澳经营，取决于其业务性质和在澳开展的活动，“there is no one size fits all answer”（不存在放之四海而皆准的答案）。8这一判理把观察点从服务器和办公室的位置，转向数字服务在当地怎样运行。

以此观察HeyCyan，值得查明的是澳大利亚用户如何使用应用程序、账户和语音助手由谁运营、眼镜记录怎样进入后台、软件商能否决定功能与数据用途，以及它与品牌方的服务安排。这些事实既关系到第5B条的地域连接，也关系到各项澳大利亚隐私原则应由谁履行。2022年修法删除了境外企业还须在澳大利亚收集或持有个人信息的附加条件，使“在澳经营”的具体判断更加重要。

比较法提供了另一种观察软件层责任的视角。欧盟法院在IAB Europe（欧洲互动广告局）案中指出，一个制定数据处理技术规则的组织，即使“does not itself have direct access”（自身并不直接接触个人数据），也可能因参与决定特定处理的目的和方式而承担共同控制者责任；其责任范围仍对应它实际参与决定的处理环节。9中国《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）也分别规定共同处理、委托处理以及向其他处理者提供信息的关系。10三套制度使用的概念不同，但都要求越过“开发商”“品牌方”这样的商业标签，查看合同、接口权限、处理目的和实际数据流。HeyCyan调查的实务启示正在这里：共用软件把多个品牌连接起来，也把软件服务商带到了监管责任的中心。

三、佩戴者之外的旁观者是否受到保护

智能眼镜由佩戴者操作，进入镜头或麦克风的人却可能毫不知情。街上的行人、柜台前的店员、会议中的发言者，都可能成为记录内容的一部分。带摄像头的设备会取得影像；无摄像头的设备也可能收录对话，再生成逐字稿、翻译和摘要。因此，判断一项眼镜功能涉及谁的个人信息，不能只看谁购买、注册或佩戴了设备，还要看记录与后续生成的内容指向了谁。

澳大利亚《隐私法》第6条将关于已识别或可合理识别个人的信息或意见纳入“个人信息”。11判断可识别性，要结合信息所处的场景：画面中可见的面容、工牌与位置，对话中出现的姓名、职位或具体经历，都可能使一个原本没有注册账户的人被识别。在Clearview AI（人脸识别服务商）案中，OAIC强调，即使处理者自己不知道姓名，只要信息可由其他人或机器合理地关联到特定个人，仍可能属于个人信息；其原文为“reasonably identifiable by another person (or machine)”（其他人或机器能够合理识别）。该案认定网上取得的面部图像属于个人信息，说明图像的公开来源并不排除对图中人的保护。12放到智能眼镜场景，路人短暂入镜、交谈者的声音或被转写的一句话，均应结合清晰度、上下文和其他可关联信息判断。

可识别的影像和声音，还需要进一步区分是否进入生物识别用途。《隐私法》第6条把拟用于自动化生物核验或身份识别的生物信息，以及生物特征模板，列入“敏感信息”。在7-Eleven Stores（7-Eleven连锁便利店）案中，顾客拍照参与门店问卷，系统又从照片生成面部特征值；OAIC指出，匹配工具能够使一人与服务器上的其他人“distinguished from other individuals”（区分开来），据此将用于自动识别的面部图像和特征值认定为敏感信息。13该案的关键事实是自动比对和识别目的。智能眼镜记录普通照片或声音时，首先应审查其可识别性；若进一步提取脸部或声纹特征用于身份比对，信息类别与相应义务才会发生变化。

《欧盟通用数据保护条例》（Regulation (EU) 2016/679, General Data Protection Regulation，GDPR）第4条同样以已识别或可识别的自然人为起点，其第9条对“为唯一识别自然人”而处理的生物特征数据设有特别保护；中国《个人信息保护法》第4条覆盖与已识别或可识别自然人有关的各种信息，第28条则将生物识别列入敏感个人信息。14 15三套规则的表述各异，但在眼镜应用中都需要区分原始记录、转写与翻译、摘要或标签，以及可能生成的身份识别特征。同一段会议录音既可能记录佩戴者的提问，也可能包含其他发言者的姓名、声音和观点；AI生成的摘要若保留“某某表示……”这样的关联，还会继续指向该发言者。

这一识别工作决定了后续义务的对象。若产品只围绕佩戴者的注册账户设计隐私说明，便难以解释偶然入镜者、被录音的交谈者及其信息如何进入应用程序和云端。澳大利亚隐私原则（Australian Privacy Principles，APP）第1、3、5项，GDPR第13—14条和中国《个人信息保护法》第17条，分别从透明度、收集与告知等角度提出要求。16下一步要按具体功能和场景检验：对佩戴者作出的授权与说明，能在多大范围内覆盖这些并未操作设备的人。

四、持续记录的合法性基础及现实困境

第三部分确认，智能眼镜处理的信息可能同时属于佩戴者和周围的人。问题随之变得尖锐：商业化智能眼镜若在街道、办公场所和餐厅等开放场景持续拍摄、录音，佩戴者点击应用程序里的“同意”，覆盖不了不断进入镜头和麦克风的其他人；旁观者也难以在被记录时得知处理主体、用途和去向。17北京金诚同达律师事务所高级合伙人朱凯律师认为，现阶段的用户协议、隐私政策和设备指示灯，尚不足以为这种常态化、无差别的实时记录提供一套可普遍复制的合规路径。18这是智能眼镜产品设计与现行个人信息保护规则之间的现实冲突。

APP第3.2项要求组织收集非敏感个人信息须为其职能或活动合理必要，第3.5项要求收集方式合法、公平；对用于自动生物识别的敏感信息，第3.3项通常还要求信息主体同意，且收集仍须合理必要，除非第3.4项规定的法定情形适用。收集后再把内容用于另一目的，还要单独检验APP第6项。《隐私法》虽未对所有普通影像和声音设定统一的同意前提，却也没有赋予产品全天候记录周围人的一般许可。即时翻译、长期保存整段谈话、拿会议录音改善模型、从路人影像提取身份特征，各自需要说明必要性和处理依据。

在7-Eleven Stores案中，顾客主动使用门店问卷设备，系统却在拍照后生成面部特征值，用来排除重复反馈。OAIC指出，企业“cannot infer consent simply because it has published a policy”（不能仅因公布隐私政策就推定取得同意）；其门店告示与网站政策没有讲清这一处理，顾客也未就敏感信息收集作出有效同意。监管者还认为，为提高问卷真实性而大规模收集人脸特征并非合理必要，较低侵入性的办法可达到相近目的，因此分别认定违反APP第3.3项和APP第5项。19连走进固定门店、主动触碰设备的顾客都未获得足够说明，流动场景中的眼镜旁观者更难从佩戴者的应用程序协议中得知自身信息如何被处理。

Bunnings（家居建材零售商）案的复审结果则展示了法定例外的严格事实条件。该案有具体、严重的门店暴力与盗窃事实，企业将人脸识别用于识别已知的重复违法者；行政复审庭据此认定APP第3.4项所指的例外成立，撤销了APP第3.3项违反认定。系统对未匹配者的信息仅作极短暂处理并迅速删除，也进入了复审庭的风险衡量。不过，复审庭明确认为短暂处理仍属于收集。一版门口告示仅称“video surveillance is utilised”（正在使用视频监控），后来的告示也只说监控“可能包括”人脸识别；两者均未充分说明实际处理及目的。复审庭因此维持APP第5.1项和APP第1项的违反认定。20这个受管理的门店场景尚且需要如此细致地证明例外、限制处理并履行告知，消费级眼镜在不固定的公共场所持续记录，显然不能直接沿用其安保理由。

欧盟与中国的处理路径应分别分析。GDPR第6条要求每项个人数据处理有相应基础，既可能是有效同意，也可能在满足必要性及利益衡量等条件时依据合法利益；第9条对为唯一识别个人而处理的生物特征数据另设限制。欧盟法院在Meta Platforms（Meta平台公司）案中将合法利益归纳为“three cumulative conditions”（三个须同时满足的条件），包括利益本身、处理必要性和与个人权利的衡量。21中国《个人信息保护法》第13条列举处理依据，第6条要求目的明确、最小必要，第17条规定告知；涉及生物识别等敏感个人信息，还须依第28—30条核查特定目的、充分必要性及单独同意等要求。22佩戴者与旁观者各自对应的信息和处理行为，需要分别找到依据；佩戴者同意应用程序协议，不能替其他人作出选择。

上述规则与案例指向一个尚未解决的产品问题：在周围人持续变化的场景中，如何让被记录者真正知道何时被拍、被录，其信息由谁处理，并有实际选择？限定使用地点与时段、由佩戴者主动开启、优先在设备端处理、减少上传和留存，都可能降低风险，却不能单独补足处理依据与告知。对于无法向非使用者说明收集必要性、又无法提供可行告知的持续记录功能，现阶段难以将其作为默认运行方式证明合规。未来或许需要技术提示、场景规则和法律制度共同形成新的折中安排；在那之前，旁观者保护仍是智能眼镜大规模应用的一道实质门槛。

五、AI服务链的模型调用与治理责任

智能眼镜接入AI，首先改变的是服务链。HeyCyan现行隐私政策描述了三条路径：语音问答、图像理解和摘要经HeyCyan后台调用微软提供的生成式AI服务；语音识别、翻译使用微软语音接口；实时对话则由应用接入声网（Agora），并可能连接其配置的AI或语音服务商。政策还称海外后台设在美国亚马逊云科技（Amazon Web Services，AWS），但微软、声网的处理位置取决于各自服务配置。23由此不能只问眼镜数据“上传到了哪里”，还要分别问：模型由谁开发，服务由谁提供，推理在哪个区域完成，究竟由哪个账户以何种许可调用。公开政策尚未给出具体模型名称、版本、部署区域和声网会话所接的模型。

这也说明，“AI治理”不宜直接用个人信息保护规则代替。语音转写、机器翻译、视觉识别、生成式问答与训练模型，是不同的技术和法律活动。即使不训练自有模型，第三方推理仍可能接收旁观者声音、图像和对话，并生成关于他们的转写、描述或摘要；若系统进一步识别个人身份、分析情绪或作出影响个人权益的判断，风险类别又会变化。HeyCyan需要按每项功能画出“设备／应用—后台—语音或模型服务—返回结果”的调用图，核对供应商合同、模型能力边界、输入输出留存和实际开关，而不能用一份笼统的“AI功能”说明覆盖全部场景。

澳大利亚目前没有针对一般商业AI应用的统一上线前模型备案或登记制度。澳大利亚国家AI中心的《AI采用指南》提出六项治理实践，包括明确职责、识别风险、核查供应链、测试和持续监测；该指南是自愿性指引，不能写成许可条件。HeyCyan所受的OAIC调查仍以《隐私法》为法定框架：AI接入若涉及澳大利亚人的个人信息，收集、用途、披露、安全和跨境规则照常发挥作用。24因而在澳大利亚，问题不是先取得一张通用“AI许可证”，而是企业能否说清每项功能的实际服务商及其处理安排，并证明现有法定义务得到落实。

欧盟的比较应转向《欧盟人工智能法案》（Regulation (EU) 2024/1689, Artificial Intelligence Act，下称《人工智能法案》）。该法按提供者、部署者、模型提供者等角色，以及被禁止、高风险和特定透明度场景分配义务。对通常的语音问答，首先可能涉及第50条的人机互动告知及生成内容标识；若产品加入远程生物识别等功能，则须进一步核查第5条禁止事项及附件三的高风险分类。第49条的欧盟数据库注册针对附件三所列的有关系统等特定情形，并非所有接入模型的眼镜应用程序都要注册；第53条关于通用目的AI模型的技术文档等义务，首先针对模型提供者，不能直接移作调用方的全部义务。2026年7月修订后的法案已于同年8月2日一般适用，但附件三高风险系统的主要要求延至2027年12月2日适用。25中国企业仅在澳大利亚提供服务，也不会因此自动落入欧盟法；只有进入欧盟市场、在欧盟部署，或符合“输出在欧盟使用”等地域连接点时，才继续判断具体义务。

中国采取另一套准入和运行规则。《生成式人工智能服务管理暂行办法》第2条以“向中华人民共和国境内公众提供”生成式内容服务为适用起点，第17条要求具有舆论属性或者社会动员能力的服务开展安全评估，并履行算法备案。《互联网信息服务算法推荐管理规定》第24条将这类备案的办理期限设为提供服务之日起十个工作日；《互联网信息服务深度合成管理规定》第19、20条另对符合条件的服务提供者、技术支持者及新功能安全评估作出要求。国家互联网信息办公室2026年公告还区分：生成式AI服务备案，以及直接调用已备案模型的应用或功能由地方网信办登记，并要求已上线应用公示所使用模型名称和编号。26备案、登记、安全评估各有适用条件和时间要求，不能概括为“在中国使用AI都须事前备案”。若HeyCyan仅面向澳大利亚公众提供该项功能，《生成式人工智能服务管理暂行办法》第2条的境内公众要件便需单独核对；如果同一应用程序也面向中国境内公众，则应逐项核查备案、登记及展示义务。

就现有材料而言，青橙未来调用的是微软提供的AI服务，微软是本案首先需要审查的直接供应商。公开政策没有说明底层模型由微软自行开发，还是微软服务中提供的其他模型；这一层技术选择不能反过来改变已披露的直接服务关系。微软的模型服务本身存在不同模型、订购条件和部署区域。因此，应先核查青橙未来的微软服务账户与合同：由哪个主体签约，是否允许将该功能嵌入面向澳大利亚消费者的眼镜应用程序，所选模型和应用程序接口（application programming interface，API）端点支持哪些账户及服务地区，推理在何处完成，是否限制转售或再分发。27只有实际模型清单或合同显示还存在独立的模型权利人或服务商时，才进一步审查其授权条件；声网实时会话所接入的AI服务也应单独核实。

第五部分的核心问题由此落到软件服务商的“可说明性”：青橙未来即使不开发基础模型，也在功能设计和供应商选择上决定哪些图像、声音进入何种AI服务。7-Eleven Stores案中，第三方“used an application programming interface”（使用应用程序接口，API）处理门店顾客照片并生成面部特征值，监管仍追问零售商自身对处理目的与收集方式的责任；智能眼镜的软件商同样需要掌握调用链，而不能在接入外部模型后让责任链断开。28模型准入、产品功能和供应商许可属于本节的AI治理问题；旁观者数据实际流向何地，以及因此触发的法定跨境传输义务，则在下一部分展开。

六、跨境处理中的服务器位置与远程访问

HeyCyan现行政策称海外后台设在美国AWS，部分语音、图像功能还会接入微软或声网。仅看服务器位置，容易漏掉更关键的一层：深圳的青橙未来是否能够登录后台，读取、调取或者进一步处理澳大利亚用户及旁观者的信息。OAIC在初步问询中，分别要求相关企业说明“谁能访问”记录信息、信息“存储在哪里”，正是把访问者和存储地作为两个问题调查。29若中国境内人员能够实际远程访问美国服务器上的信息，从澳大利亚视角看，数据虽未必落地中国，仍可能形成向中国开放个人信息的跨境路径。

澳大利亚法对此首先要辨明谁向谁开放了数据。OAIC《澳大利亚隐私原则指南》第8章明确以澳大利亚企业给予境外母公司访问澳洲客户数据库的权限为例，说明境外访问可以构成披露。因此，如果掌握眼镜数据的澳大利亚品牌方或零售商向独立的青橙未来开放后台访问权限，服务器即使设在美国，也应审查向中国境外接收者披露的APP第8项义务；接收者之后再让其他服务商处理，还涉及分包和再披露。30反过来，若某零售商只销售眼镜，并未收集或控制相关信息，不能仅凭销售关系认定其向青橙未来披露了数据。

另一种路径是青橙未来直接通过HeyCyan应用收集信息，再由自己的深圳员工访问本公司后台。此时青橙未来仍须就其在澳大利亚的个人信息处理承担适用的收集、告知、用途及安全义务；同一法律主体内部的境外访问，一般不属于APP第8项所说的向“另一境外接收者”披露。至于把信息交给独立的AWS服务主体、微软或声网，应再分别判断是否构成境外披露。这里的结论是APP第8项须落实到具体披露方、接收方和访问权限，不能把公司所在地、服务器所在地与披露行为混为一谈。

澳大利亚的跨境制度也并非欧盟式“一国获得充分性决定，便可自由传输”。APP第8.2项允许企业在有合理依据相信境外接收者受实质相当的法律或约束性机制保护、且个人有有效救济途径时，适用例外；2024年修法又允许通过法规指定国家或机制。但OAIC明确没有“实质相当国家”清单，现行《2025年隐私条例》（Privacy Regulations 2025）也未将美国或中国列为本案可直接援用的指定国家。通常商业智能眼镜数据出境没有统一的事前报送、审批或备案程序；真正需要在披露前完成的是接收方评估、合理保护措施和可执行的合同安排，并履行用途限制、隐私政策及收集告知。若收集的是用于唯一识别个人的生物特征等敏感信息，APP第3.3项对收集同意和必要性另有更高要求，APP第8项下的合理措施也应相应提高。31

欧盟的“充分性决定”只能在GDPR适用且构成第五章传输时使用，不能借给澳大利亚业务。欧盟目前没有对澳大利亚或中国作出GDPR第45条充分性决定；对美国则有一项范围有限的决定，仅覆盖列入欧盟—美国数据隐私框架（EU–US Data Privacy Framework）名单的美国机构，并非所有美国服务器或美国企业。若另有欧盟业务，欧洲数据保护委员会（European Data Protection Board，EDPB）要求先看输出方是否受GDPR约束、是否向另一控制者或处理者开放数据、接收者是否位于第三国；远程访问同样可能满足“提供数据”的条件。32不能适用充分性决定时，再考虑标准合同条款等适当保障，而非当然必须申请行政许可。

从中国法看，若深圳人员实际远程读取、标注或处理澳大利亚人的信息，该处理活动发生在中国境内，《个人信息保护法》第3条和第4条所列的一般处理规则需要考虑；美国服务器位置并不使境内处理消失。若境外收集的信息进入中国处理后又提供境外，再核查第38—40条的出境规则。2024年《促进和规范数据跨境流动规定》第4条对未引入境内个人信息或重要数据的境外来源信息回传，免除安全评估、标准合同和认证三种机制，但不免除适用的告知和安全义务。若OAIC要求企业提交存储于中国境内的个人信息，第41条有关外国司法或执法机构取证的限制，则是另一个需要单独处理的问题。33

七、调查后果与软件服务商的应对

HeyCyan目前仍处于调查阶段。OAIC依据《隐私法》第40条第2款启动依职权调查后，可以根据第44条发出书面通知，要求有关主体提交信息、文件或者到场回答问题。青橙未来此前没有回复初步问询，是此次启动正式调查的重要背景；接下来更具法律意义的，是其能否说明眼镜、应用程序、后台和外部服务之间的真实数据流，以及能否对正式取证要求作出有证据支持的答复。OAIC同时致函销售相关眼镜的零售商，请其考虑是否继续销售。34这会把调查影响传导至渠道合作；各方的法律责任仍要按各自参与的数据处理活动分别判断。

调查也可能止于查清事实和落实整改。7-Eleven Stores案提供了一个具体参照：2021年，该公司曾因顾客反馈设备采集人脸图像及特征而收到违反APP第3.3项、APP第5项的决定。此后，服务商在设备维护中意外重新开启人脸识别功能，54家门店约12个月内又取得45,874张人脸图像。针对这另一次事件，7-Eleven主动报告，要求服务商删除留存图像，设置覆盖单台设备配置的全局关闭开关，并每小时检查功能状态。OAIC在2024年认为企业已“adequately addressed the privacy deficiencies”（充分解决导致事件发生的隐私缺陷），遂结案而未采取进一步行动。35这个结果对HeyCyan的启示是：如果风险来自第三方软件或远程配置，纸面制度之外还需要可验证的关闭权限、删除证明和持续检测。

若调查证实违法处理，后果就可能直接指向产品功能和已经取得的数据。Clearview AI案决定第2段要求企业“must cease to collect”（必须停止收集）澳大利亚个人的相关图像和特征向量，并在90日内销毁已收集资料、书面确认。7-Eleven Stores案2021年决定第2段同样要求停止重复相关行为，销毁通过顾客反馈设备取得的人脸特征。两案涉及为识别个人而处理生物特征的具体事实，不能把任何普通拍摄都等同于人脸识别；但它们清楚表明，监管决定可以要求调整收集方式、停止特定功能并处理历史数据，而不只是修改隐私政策。Bunnings案复审又提醒企业，特定门店安全场景即便满足敏感信息收集的例外，隐私治理和收集告知仍可能分别违反APP第1项与APP第5项。36

现行澳大利亚法提供的是不同强度的工具。《隐私法》第52条允许OAIC在依职权调查后作出停止重复、限期采取措施、补救损害等决定；监管也可以接受企业作出的可执行承诺。如发现的是APP第1.3项或第1.4项所列隐私政策义务等第13K条特定事项，还可能进入合规通知或违规通知路径。更高一层是民事处罚：第13G条针对“严重”干预隐私，须由监管机关向法院申请，法院判断时可考虑信息敏感程度、受影响人数、行为持续性及治理缺陷等因素。对公司，该条规定的最高额为5000万澳元、可确定利益三倍，或利益不可确定时相关期间调整后营业额的30%，取其中最高者。37这是满足法定构成、经过法院程序后的处罚上限，不能从调查公告直接推算HeyCyan的罚款。

对青橙未来和合作品牌而言，眼下最有价值的工作是把供应链上的责任变成证据。应按产品型号及应用程序版本绘制“镜端—手机—云端—AI服务”数据图，区分佩戴者与旁观者，逐项记录拍摄、录音、转写、摘要、备份和训练是否发生；同时核查谁能远程访问美国服务器、访问何种数据、由谁决定保存期限。38品牌方与软件商的合同还须明确功能控制、分包、跨境访问、删除指令、审计和监管协助责任。对于无法向旁观者持续提供有效告知或缺乏适当处理依据的功能，应优先检验默认关闭、场景限制、端侧处理、显著采集提示和短期自动删除能否真正减少风险；既有配置、日志和沟通记录则应妥善保存，以便重建事实并回应监管。

HeyCyan事件最终要回答的，并非眼镜由谁贴牌销售，而是谁设计并控制信息进入应用程序、后台与AI服务的过程。软件服务商即使身处境外，只要其实际参与在澳业务和个人信息处理，也会成为独立审查的对象。智能眼镜未来仍有发展的空间；但在开放场景中持续记录旁观者的影像与声音，不能仅靠佩戴者的一次授权来完成合规。这也将个案中的调查问题，转化为中国AI设备与软件服务进入海外市场前必须解决的产品设计和供应链问题。

八、从HeyCyan走向中国AI设备与软件服务出海合规

从HeyCyan案延伸到其他产品，底层应用程序、云平台或模型服务商即使不生产终端设备，也可能因参与持续运营而进入当地监管视野。39能够与儿童对话的AI玩具、嵌入物流设备的识别与调度系统、向海外企业提供的独立软件，都可能由硬件、软件、数据和第三方模型共同完成一项服务。它们面对的风险并不相同，合规工作需要从目标市场、产品用途和企业在供应链中的实际角色入手。

首先应确定产品进入的是哪个市场，以什么形态和用途进入。面向儿童销售的玩具，除隐私与AI规则外，还要满足玩具安全和上市要求；参与仓储搬运、分拣或运输控制的工业设备，则应优先识别机械安全、人员伤害和控制系统失效风险；独立销售的软件产品与持续在线提供的软件服务，也可能落入不同的产品安全和网络安全规则。以欧盟为例，《玩具安全指令》（Directive 2009/48/EC on the safety of toys）、《机械指令》（Directive 2006/42/EC on machinery）和《网络韧性法》（Regulation (EU) 2024/2847, Cyber Resilience Act）各有适用范围及实施时间；澳大利亚《2025年网络安全（智能设备安全标准）规则》（Cyber Security (Security Standards for Smart Devices) Rules 2025）主要针对符合条件的消费级产品，不能直接套用于工业设备。40企业需要按产品类别逐一确认当地的准入、测试、符合性评估和上市后义务，再确定隐私与AI治理如何嵌入其中。

产品分类之后，还须把交易链与技术链放在一起看。企业可能是整机制造商，也可能只提供白标应用程序、嵌入式算法、远程运维或模型接口；当地还会有进口商、品牌方、分销商和实际使用企业。合同上的“技术支持”或“代加工”名称，无法代替对账户、功能开关、数据用途、模型调用和安全更新控制权的核查。同一企业在产品安全法下可能承担制造商义务，在隐私法下又可能是独立处理者或受托处理者，在AI规则下还可能是系统提供者或部署者。41HeyCyan被纳入调查，正是对这种多主体责任链的现实提醒。出海前应把各方实际决定什么、能够访问什么，以及由谁负责告知、更新、事故报告和监管答复，写进能够执行的合同与操作流程。

接下来应按具体用途评估风险。AI玩具要同时评估儿童接触的内容、语音及画像处理和实体产品安全；工业设备要追问算法是否参与安全控制、失效时能否人工接管，以及是否记录工人或客户信息；企业软件则要看它处理的是客户业务数据、员工数据，还是仅在本地运行。欧盟《人工智能法案》对高风险系统的判断也与预定用途、特定产品及安全部件的关系有关，不能因产品带有AI功能就直接认定为高风险。42风险识别之后，企业才能确定需要哪些影响评估、测试、人工监督和使用说明。

模型和数据供应链应单独核查。自研、采购或通过云平台调用模型，决定了企业能否说明模型来源、许可地区、输入输出留存、二次训练及故障处置；服务器所在地也不能回答谁可从境外远程访问数据。若当地个人信息进入其他法域，企业还需按实际提供或访问路径审查相应的跨境规则，并核对当地客户、云服务商和中国技术团队各自的责任。中国的算法、生成式AI备案或登记规则，也应按服务是否面向中国境内公众及具体功能判断，不能把“企业注册在中国”本身当成所有海外产品的统一备案触发条件。43

基于北京金诚同达律师事务所高级合伙人朱凯律师协助多个中国科技企业出海合规的经验，这些判断最终应落实为一套可供发布决策使用的材料：每个目标市场对应一份产品类别与适用规则表，每项关键功能对应一张责任与数据流图，并留存安全测试、供应商条款、跨境访问权限和事故处置记录。44玩具的儿童交互方式、工业设备的安全控制逻辑、软件的模型或云供应商一旦改变，就要重新检查原有结论。若某项功能的安全失效无法控制、关键数据流向不明，或当地要求的准入程序尚未完成，应先调整该功能或推迟在该市场上线。这样建立的发布与变更机制，才能把HeyCyan案揭示的“销售者与技术服务者分离”问题，转化为不同AI产品都能够使用的出海合规方法。

注释

  1. 澳大利亚信息专员办公室，OAIC opens investigation into maker of HeyCyan smart glasses phone app（《OAIC对HeyCyan智能眼镜应用开发者启动调查》），2026年10月7日；Google Play（谷歌应用商店），HeyCyan应用开发者页面。↩︎
  2. 澳大利亚信息专员办公室，Smart glasses under the microscope（《显微镜下的智能眼镜》），2026年10月7日；澳大利亚信息专员办公室，OAIC opens investigation into maker of HeyCyan smart glasses phone app（《OAIC对HeyCyan智能眼镜应用开发者启动调查》），2026年10月7日。↩︎
  3. 国际数据公司，Augmented and Virtual Reality Headsets Market Insights（《增强现实与虚拟现实头显市场洞察》），2026年第一季度统计；《2025年中国智能眼镜市场同比增长87.1%，行业从硬件铺陈走向价值验证》。↩︎
  4. 雷鸟创新，RayNeo iO AI Glasses | Smart Glasses with Invisible Display（《雷鸟iO人工智能眼镜：隐形显示智能眼镜》）产品页；Meta平台公司，Introducing Ray-Ban Meta Audio and More AI Glasses Styles（《推出Ray-Ban Meta Audio及更多人工智能眼镜款式》），2026年9月。↩︎
  5. Rokid，Rokid AI Glasses Style | Smart AI Glasses with AI Assistance（《Rokid Style人工智能眼镜：具备人工智能辅助功能的智能眼镜》）产品页。↩︎
  6. 澳大利亚信息专员办公室，Smart glasses under the microscope（《显微镜下的智能眼镜》），2026年10月7日；澳大利亚信息专员办公室，OAIC opens investigation into maker of HeyCyan smart glasses phone app（《OAIC对HeyCyan智能眼镜应用开发者启动调查》），2026年10月7日。↩︎
  7. 澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，第5B条。↩︎
  8. Facebook Inc v Australian Information Commissioner（《Facebook公司诉澳大利亚信息专员案》），[2022] FCAFC 9，第64—75段。该案审查境外送达时的初步案件基础，适用当时的《隐私法》第5B条。↩︎
  9. IAB Europe v Gegevensbeschermingsautoriteit（《IAB Europe诉比利时数据保护机构案》），C-604/22，欧盟法院判决第68—76段；欧盟Regulation (EU) 2016/679, General Data Protection Regulation（《通用数据保护条例》），第4、26、28条。↩︎
  10. 《中华人民共和国个人信息保护法》，第20—23条。↩︎
  11. 澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，第6条。↩︎
  12. 澳大利亚信息专员办公室，Commissioner initiated investigation into Clearview AI, Inc. (Privacy)（《依职权调查Clearview AI公司决定》），[2021] AICmr 54，第91—103段；澳大利亚信息专员办公室，Smart glasses under the microscope（《显微镜下的智能眼镜》），2026年10月7日。↩︎
  13. 澳大利亚信息专员办公室，Commissioner initiated investigation into 7-Eleven Stores Pty Ltd (Privacy)（《依职权调查7-Eleven Stores公司决定》），[2021] AICmr 50，第77—84段。↩︎
  14. 欧盟Regulation (EU) 2016/679, General Data Protection Regulation（《通用数据保护条例》），第4条第1、14项及第9条。↩︎
  15. 《中华人民共和国个人信息保护法》，第4、28条。↩︎
  16. 澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，附表1澳大利亚隐私原则第1、3、5项；欧盟Regulation (EU) 2016/679, General Data Protection Regulation（《通用数据保护条例》），第13—14条；《中华人民共和国个人信息保护法》，第17条。↩︎
  17. 澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，附表1澳大利亚隐私原则第3、5、6项及第16A条；澳大利亚信息专员办公室，Australian Privacy Principles Guidelines, Chapter 3: APP 3 Collection of solicited personal information（《澳大利亚隐私原则指南第3章：主动收集个人信息》）。↩︎
  18. 澳大利亚信息专员办公室，Smart glasses under the microscope（《显微镜下的智能眼镜》），2026年10月7日。↩︎
  19. 澳大利亚信息专员办公室，Commissioner initiated investigation into 7-Eleven Stores Pty Ltd (Privacy)（《依职权调查7-Eleven Stores公司决定》），[2021] AICmr 50，第85—107、115—125段。↩︎
  20. Bunnings Group Limited and Privacy Commissioner（《Bunnings集团有限公司与隐私专员案》），[2026] ARTA 130，第165—174、202—211、235—239段（第三方留存裁判副本）；澳大利亚信息专员办公室，OAIC statement on Administrative Review Tribunal’s Bunnings decision（《OAIC关于行政复审庭Bunnings案裁决的声明》），2026年2月4日。↩︎
  21. 欧盟Regulation (EU) 2016/679, General Data Protection Regulation（《通用数据保护条例》），第5—7、9条；Meta Platforms Inc. v Bundeskartellamt（《Meta平台公司诉德国联邦卡特尔局案》），C-252/21，欧盟法院判决第105—110段。↩︎
  22. 《中华人民共和国个人信息保护法》，第6、13、17、28—30条。↩︎
  23. 青橙未来，HeyCyan Privacy Policy（《HeyCyan隐私政策》），第3.6、3.8—3.10及第7节。↩︎
  24. 澳大利亚国家人工智能中心，Guidance for AI adoption: implementation guidance（《人工智能采用实施指南》）；澳大利亚政府，AI and Australian law（《人工智能与澳大利亚法律》）；澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本。↩︎
  25. 欧盟Regulation (EU) 2024/1689, Artificial Intelligence Act（《人工智能法案》），2026年7月27日合订本，第2、3、5、6、49、50、53、113条及附件三；欧盟委员会，AI Omnibus enters into force（《人工智能综合修正法案生效》），2026年7月27日。↩︎
  26. 《生成式人工智能服务管理暂行办法》第2、17条；《互联网信息服务算法推荐管理规定》第24条；《互联网信息服务深度合成管理规定》第19、20条；国家互联网信息办公室2026年1月9日生成式人工智能服务备案与登记公告。↩︎
  27. 微软，Data, privacy, and security for Foundry Models sold by Azure in Microsoft Foundry（《Microsoft Foundry中Azure直售模型的数据、隐私与安全》）、Region availability for Foundry Models sold by Azure（《Azure直售Foundry模型的区域可用性》）、Understanding deployment types in Microsoft Foundry Models（《Microsoft Foundry模型的部署类型》）及Microsoft Azure（《微软Azure产品条款》）。↩︎
  28. 澳大利亚信息专员办公室，Commissioner initiated investigation into 7-Eleven Stores Pty Ltd (Privacy)（《依职权调查7-Eleven Stores公司决定》），[2021] AICmr 50，第5—9、77—84段。↩︎
  29. 青橙未来，HeyCyan Privacy Policy（《HeyCyan隐私政策》），第3.6、3.8—3.10及第7节；澳大利亚信息专员办公室，OAIC opens investigation into maker of HeyCyan smart glasses phone app（《OAIC对HeyCyan智能眼镜应用开发者启动调查》），2026年10月7日。↩︎
  30. 澳大利亚信息专员办公室，Australian Privacy Principles Guidelines, Chapter 8: APP 8 Cross-border disclosure of personal information（《澳大利亚隐私原则指南第8章：跨境披露个人信息》），第8.5—8.15段；澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，附表1澳大利亚隐私原则第1、3、5、6、8、11项及第5B、16C条。↩︎
  31. 澳大利亚信息专员办公室，Australian Privacy Principles Guidelines, Chapter 8: APP 8 Cross-border disclosure of personal information（《澳大利亚隐私原则指南第8章：跨境披露个人信息》），第8.16—8.35段；澳大利亚信息专员办公室，Sending personal information overseas（《向海外发送个人信息》）；澳大利亚Privacy Regulations 2025（《2025年隐私条例》）；澳大利亚信息专员办公室，Australian Privacy Principles Guidelines, Chapter 3: APP 3 Collection of solicited personal information（《澳大利亚隐私原则指南第3章：主动收集个人信息》）。↩︎
  32. 欧盟委员会，Adequacy decisions（《充分性决定清单》）；Commission Implementing Decision (EU) 2023/1795（《欧盟委员会2023/1795号实施决定》），第1条；欧洲数据保护委员会，Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR（《关于GDPR第3条地域适用与第五章国际传输规则关系的指南05/2021》），终版。↩︎
  33. 《中华人民共和国个人信息保护法》，第3—4、38—41条；《促进和规范数据跨境流动规定》第4、10—11条。↩︎
  34. 澳大利亚信息专员办公室，OAIC opens investigation into maker of HeyCyan smart glasses phone app（《OAIC对HeyCyan智能眼镜应用开发者启动调查》），2026年10月7日；澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，第40、44条。↩︎
  35. 澳大利亚信息专员办公室，Commissioner initiated investigation into 7-Eleven Stores Pty Ltd (Privacy)（《依职权调查7-Eleven Stores公司决定》），[2021] AICmr 50，决定第1—2段；澳大利亚信息专员办公室，OAIC closes investigation into 7-Eleven Stores Pty Ltd following uplift of privacy practices（《7-Eleven Stores改善隐私实践后调查结案》），2024年9月27日。↩︎
  36. 澳大利亚信息专员办公室，Commissioner initiated investigation into Clearview AI, Inc. (Privacy)（《依职权调查Clearview AI公司决定》），[2021] AICmr 54，决定第2段；澳大利亚信息专员办公室，Commissioner initiated investigation into 7-Eleven Stores Pty Ltd (Privacy)（《依职权调查7-Eleven Stores公司决定》），[2021] AICmr 50，决定第2段；澳大利亚信息专员办公室，OAIC statement on Administrative Review Tribunal’s Bunnings decision（《OAIC关于行政复审庭Bunnings案裁决的声明》），2026年2月4日；Bunnings Group Limited and Privacy Commissioner（《Bunnings集团有限公司与隐私专员案》），[2026] ARTA 130，裁判主文（第三方留存副本）；澳大利亚信息专员办公室，Statement on Clearview AI（《关于Clearview AI的后续声明》）。↩︎
  37. 澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，第13G、13K、52、80U—80V及80UB—80UC条；澳大利亚信息专员办公室，Guide to privacy regulatory action（《隐私监管行动指南》），第4—5章。↩︎
  38. 澳大利亚信息专员办公室，OAIC opens investigation into maker of HeyCyan smart glasses phone app（《OAIC对HeyCyan智能眼镜应用开发者启动调查》），2026年10月7日；澳大利亚信息专员办公室，OAIC closes investigation into 7-Eleven Stores Pty Ltd following uplift of privacy practices（《7-Eleven Stores改善隐私实践后调查结案》），2024年9月27日。↩︎
  39. 澳大利亚信息专员办公室，Smart glasses under the microscope（《显微镜下的智能眼镜》），2026年10月7日；澳大利亚信息专员办公室，OAIC opens investigation into maker of HeyCyan smart glasses phone app（《OAIC对HeyCyan智能眼镜应用开发者启动调查》），2026年10月7日。↩︎
  40. 欧盟Directive 2009/48/EC on the safety of toys（《玩具安全指令》），2026年8月29日合订本；欧盟Directive 2006/42/EC on machinery（《机械指令》），2026年5月30日合订本；欧盟Regulation (EU) 2024/2847, Cyber Resilience Act（《网络韧性法》）；欧盟委员会，Toy Safety in the EU（《欧盟玩具安全》）、Machinery（《机械产品》）及Cyber Resilience Act（《网络韧性法》）专题说明；澳大利亚Cyber Security (Security Standards for Smart Devices) Rules 2025（《2025年网络安全（智能设备安全标准）规则》），F2025L00276；澳大利亚内政部，Security Standards for Smart Devices（《智能设备安全标准》）。↩︎
  41. 澳大利亚Privacy Act 1988（《1988年隐私法》），2026年6月4日第104号合订本，第5B、6、15条及附表1澳大利亚隐私原则第1、3、5、6、8、11项；欧盟Regulation (EU) 2016/679, General Data Protection Regulation（《通用数据保护条例》），第4、26、28条；欧盟Regulation (EU) 2024/1689, Artificial Intelligence Act（《人工智能法案》），2026年7月27日合订本，第3条。↩︎
  42. 欧盟Regulation (EU) 2024/1689, Artificial Intelligence Act（《人工智能法案》），2026年7月27日合订本，第6条及附件一、三；欧盟委员会，AI Omnibus enters into force（《人工智能综合修正法案生效》），2026年7月27日。↩︎
  43. 澳大利亚信息专员办公室，Australian Privacy Principles Guidelines, Chapter 8: APP 8 Cross-border disclosure of personal information（《澳大利亚隐私原则指南第8章：跨境披露个人信息》）；欧洲数据保护委员会，Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR（《关于GDPR第3条地域适用与第五章国际传输规则关系的指南05/2021》），终版；《生成式人工智能服务管理暂行办法》第2、17条；国家互联网信息办公室2026年1月9日生成式人工智能服务备案与登记公告。↩︎
  44. 澳大利亚信息专员办公室，Guide to undertaking privacy impact assessments（《隐私影响评估指南》）；欧盟委员会，Cyber Resilience Act（《网络韧性法》）专题说明。↩︎
版权声明：本文内容版权归作者所有，未经许可不得转载、摘编或以其他任何形式使用。如需引用或转载，请联系作者或本平台。