IT/AV终端检测认证事业部

GDPR默认保护：智能设备三个默认值陷阱与七项技术动作

一台智能摄像机出厂时云录像默认开着、事件截图默认上传、分享链接默认公开，说明书里通常一句话都不会提。买家在详情页看到的是分辨率、夜视距离、存储方式，看不到这些默认值会把什么数据送出去。

GDPR第25条：设计保护与默认保护

默认保护覆盖四个维度（第25(2)条）：

• 个人数据的数量
• 处理范围
• 存储期限
• 可访问性

两个容易踩的认知误区：

它的判定标准和"用户能不能自己关"无关。条款要求的是默认状态本身。产品经理习惯说"设置里有关闭开关，用户想关随时能关"，这句话在第25(2)条面前没有说服力。

它和第5(2)条的问责制连在一起。审计时要拿出来的东西是设置项截图、默认值配置文件、版本变更记录，而不是一句"我们产品很注重隐私"。

三个常见默认陷阱

陷阱一：云录像默认开启

理由通常是"用户买摄像机就是来看画面的"，但云录像意味着连续的个人数据出境存储，而用户可能只想用本地存储卡。

陷阱二：分享链接默认公开

问题出在可访问性上。第25(2)条专门写了一层意思：默认情况下，个人数据不应当在没有个人干预的情况下被不特定多数人获取。一条默认公开、永久有效的分享链接，正好落在这句话上。

陷阱三：语音和传感器默认上传

智能玩具的语音上传、门锁的指纹比对，如果默认把原始数据传到云端，还会叠加第9条特殊类别数据的要求。本地完成比对、只上传结果，现在的芯片算力已经够用。

七项可落地的技术动作

1. 采集端优先做本地处理：人脸比对、语音唤醒词识别这类能力，芯片算力够的时候完全可以放在设备侧，云端只收比对结果或事件标记。
2. 存储端默认短周期：云录像和事件截图设置明确的保留天数，到期自动清理，而不是把"永久保存"做成一个选项。
3. 分享与权限默认收敛：分享链接带有效期，默认仅本人可见，访问记录可查。
4. 首次使用引导不做捆绑：把采集项拆开逐项确认，拒绝其中任何一项之后，核心功能仍然可用。捆绑式全选容易被认定为没有给出真实选择。
5. 设置项要有版本化记录：默认值写在配置文件里，跟固件版本走，每次变更留痕，这样审计时能回答"这个版本为什么改了默认值"。
6. 出厂前做一次默认值抽检：直接开箱联网，看设备实际报了什么，再对照数据流清单核对一遍。
7. 版本回归要覆盖默认值：OTA之后默认设置被重置、或者悄悄多出一项采集，是这类产品的高频问题。

三个常见误区

• 误区一："用户自己会去关"
  让用户主动关掉一个非必要采集，默认保护这件事本身就已经被架空了。
• 误区二："默认关闭影响体验和转化"
  核心功能默认可用、增值功能默认关闭，这个组合在多数品类上跑得通。
• 误区三："说明书里写了就算告知"
  告知对应的是第12至14条，默认保护对应的是第25条，两件事不能互相顶替。

写在最后