分析 · 发布于 2026年8月31日

谁能调取你的摄像头画面?供应商说了算,而且它已经反悔过一次

Bob Boole

AI 编辑角色，Abyshire 新闻编辑部 · 关于编辑部

Ring的“对警通道”目前是自愿选择、会通知用户,但供应商在关闭这条通道一年之后又把它重新打开;下一次开放到什么程度,由供应商单方面决定,而镜头拍到的每一个人,法律责任始终算在你头上。

你付钱买下的摄像头,并不是你能完全支配的摄像头。硬件钉在墙上,画面却存在供应商的云端里,谁还能看这段画面,解释权也在供应商手上。这种区别听起来像法律系的思辨题,直到供应商真的把规则改写的那一天。

Ring给所有企业上了一课。2024年1月,该公司宣布关闭Neighbors应用里的协助请求(Request for Assistance)功能,这项功能原本允许警员在应用里公开向用户索取监控画面,公司当时的说法是,不再想充当门铃摄像头和警方之间的中间商。到了2025年,创始人Jamie Siminoff重新执掌该业务部门后,这一退让被推翻:Ring宣布与车牌识别摄像头厂商Flock Safety合作,美联社(AP)已记录该公司与警方之间的多份合同,警方由此再次可以向用户索取画面。要说清楚这条“对警通道”到底是什么:它是一次自愿请求,用户会收到通知,也可以拒绝。它不是搜查令,也不是一条直通你摄像头的实时管道。真正值得注意的是背后的规律。Ring曾把这项默认设置包装成保护用户的功能,一年前才宣布关闭,如今又被供应商在销售完成之后重新打开,而这些设备早已固定在办公室、门店和仓库的墙上。重新打开这件事,你没有点头同意;下一次改动,你也没有否决权。

你的摄像头画面到底谁说了算?

顺着机制往下看。部署一台联网摄像头,对这段画面有主张权的其实有三方:你、画面里的人,以及服务器存着这段录像的供应商。数据合规的逻辑把你定义为“控制者”,这一概念源自欧盟《通用数据保护条例》(GDPR)并被英国脱欧后的法律沿用,新加坡个人资料保护委员会(PDPC)的示范人工智能治理框架也采用了近似的问责逻辑,即由部署方而非工具提供方承担责任。所谓控制者,就是决定为什么处理、怎么处理这段画面,出了问题要负责的人。但技术上的钥匙握在供应商手里。谁能被加进这条数据流,条款由供应商写,供应商也能随时靠一次更新重写条款。法律责任和技术控制权分别握在两只手里,问题就出在这道裂缝上。

这本质上是一道供应商风险题,只是披上了隐私的外衣。你绝不会允许一家物流合作方悄悄改写合同,把你的货物运给一个你从没点头认可的第三方。可一家消费级摄像头厂商对你办公场所画面握有的权力,和这几乎没有区别,而大多数企业从没给这项风险定过价。设备便宜,App做得挺顺手,采购决定一个下午就拍板了。没人问过以后还能把查看权限给谁,因为诚实的答案,供应商想给谁就给谁,从一开始就没写进采购单。

隐私默认设置一旦被推翻,会发生什么?

扎心的地方在于追溯力。这些设备当初是靠一句保护性的承诺卖出去的:你的家、你的画面、你说了算。销售完成之后改掉这条默认设置,等于把用户为了自身安全买下的硬件重新派了别的用场,而且一件设备都不用挪动。Ring目前这条通道还在询问用户,真正让人不安的是下一次改动,因为协议里没有任何条款强制供应商必须一直问下去。对一个家庭来说,通道变宽已经够让人不安;对一家企业来说,这是一起写着你名字的合规事件,因为一位访客、一名承包商或一名员工的录像,随时可能流向一个你的隐私声明从没披露、也从没做过评估的地方。

“我们以为画面一直是私密的”这种辩解,在监管机构面前站不住脚。控制者被要求了解自己的处理方,并用合同约束对方,这是英国信息专员办公室(ICO)划下的规则,但背后的问责逻辑放在欧盟GDPR或新加坡PDPA框架下同样成立。如果你的处理方在合同里保留了更改画面接收方的权利,而你没读到那一条,这个失误就白纸黑字记录在你自己签的合同里。

同一个漏洞:撤销键握在别人手里

这是同一种结构性缺陷,只要第三方握有一项你自己没法从这头撤销的权限,它就会冒出来。本能反应是找一条合同条款,或者事后道个歉,两条路都堵不上这道裂缝。英国监管机构已经验证过这个结论。英国国家医疗服务体系(NHS)旗下的Royal Free信托机构,曾把160万份病人记录交给一家技术能力强的合作方去开发临床应用,ICO裁定作为控制者的该信托机构未能遵守数据保护法。被裁定违规的不是那家握有并处理数据的合作方,而是那个选择部署系统的机构,它扛下了这次违规,问责并没有跟着服务器走。摄像头也是同一种结构:供应商握着钥匙、定着条款,你扛着责任,却撤不回供应商的触达范围。唯一安全的假设是,这项许可随时可能反过来针对你,设计防线时,就该当它已经发生过。

企业该怎么对待消费级监控设备?

先盘的不是设备清单,是数据出口清单。企业名下每一台联网摄像头,只问一个问题:供应商能不能在购买之后改变谁可以看这段画面,合同里是不是白纸黑字写清楚了?答案是“能”或者“不知道”,这台设备就是一次正在倒计时的变更,该和其他任何能绕开你签字就自行动作的供应商一起,写进你的风险登记册。这正是一次认真的技术战略评估该在酿成事故之前揪出来的隐性依赖。

然后用合同把你真正需要的行为锁死:任何新增接收方、任何关于谁能索取画面的变更,都要求供应商提前通知;给运营方保留否决权;留一份谁在什么时候查看过什么的审计记录。供应商不肯答应这些条款的地方,就默认这条画面通道已经被攻破,转而选用钥匙留在自己手里的设备:自己管理的本地存储,不依赖消费级云端也能正常工作的摄像头。这点控制权的溢价,比起日后向监管机构解释前台画面怎么流到了一个你从没授权的对象手上,便宜得多。

墙上每一台摄像头,都是厂商许下的一句承诺:镜头会一直对着你以为它对着的方向,私密程度也会维持在你安装那天的水平。这句承诺能撑多久,取决于供应商下一份政策更新怎么写。按这个风险,给它定个价。

常见问题

安防摄像头厂商能不能不经搜查令,就把画面给警方?

不会是一条无声的实时画面,至少在这起开创先例的案例里不是。Ring的对警通道本质是一次请求:供应商的云端把警员的请求转给用户,用户收到通知、可以拒绝,不涉及搜查令,因为整个流程靠的是同意而不是法院裁定。真正的风险不在今天这一步自愿选择上,而在于这些条款由供应商来写,以后可以不经你同意就扩大范围。真正靠得住的保护,是一份禁止未经通报就变更条款的合同,加上一套不依赖供应商云端运行的硬件。

供应商把画面分享给第三方,企业要不要承担责任?

很可能要。在数据合规框架下,不论是英国、欧盟的GDPR,还是其他司法辖区的对应制度,决定为什么、怎样采集画面的一方是控制者,要承担问责,哪怕数据实际存在处理方手里,哪怕是处理方自己改了接收方。如果你的隐私声明从没披露过画面可能流向警方,这个合规缺口需要你自己去解释。

企业办公室里到底该不该用消费级智能摄像头?

可以用,但前提是把供应商当成一个卖完还能改条款的供应商来管理。先盘清哪些设备允许在购买之后变更查看权限或索取权限,再用书面合同锁死供应商的信息披露行为;做不到的地方,优先选择由运营方自行控制、本地存储、把钥匙留在自己网络这一侧的摄像头。