图1：某品牌智烤箱隐私条款展示界面[2] 

与一般网页端、APP端产品可直接向用户展示隐私政策不同，智能家居设备在向用户告知时存在以下典型难点：①从内容上来看，智能家居产品涉及的技术功能较为复杂，所收集的个人数据种类繁杂，导致用户理解起来相对困难[3]；②从形式上来看，部分智能家居设备没有屏幕且不具备语音交互等功能，只能通过纸质说明书等方式对用户进行告知[4]。部分设备为向用户提供完整高效的服务，可能会被集成到其他设备当中，无法实现单独告知。此外，整体来说，目前国内大部分智能家居隐私政策透明度较低，普遍缺失某些重要条款[5]，若不及时整改，出海时必将面临较大的合规风险。

考虑到上述难点，为保障用户知情权的实现，充分满足透明性的要求，企业可参考以下途径完善产品隐私政策：①内容上：全面完整地梳理产品功能，充分说明各功能所对应收集处理的个人数据、收集目的、是否涉及共享、可能存在的风险等；适当地对技术术语等较难理解的词汇进行阐释，方便用户理解。②形式上：可与APP连接、有展示屏幕或具备语音交互等功能的智能家居产品，可以以屏幕显示、语音提示等方式呈现；不具备上述特点的，一方面可在产品官网上以显著方式提示用户阅读隐私政策，或在产品介绍、说明文件中附上隐私政策，另一方面在产品上可以添加链接至隐私政策的二维码，并提示用户阅读隐私政策。 

根据GDPR项下的合法性原则，所有数据处理活动均需具备适当的法律基础。根据GDPR第6条，法律基础主要包括数据主体同意、履行合同所必要、履行法律义务所必要、保护自然人利益、维护社会公共利益及正当利益。

图2：某智能家居产品隐私政策中对法律基础的说明[6]

对于智能家居产品所进行的数据处理活动而言，与其他产品或服务一致，均需根据数据处理活动的具体情况判断所依据的法律基础。通常来说，企业进行数据处理活动所依据的法律基础主要为用户同意、履行合同所必要及正当利益。

针对适用用户同意为法律基础的数据处理活动（例如可对睡眠状况、心率等健康状况进行监控的智能床、使用指纹或人脸进行解锁的智能门锁以及精准营销等），需注意GDPR项下的同意应为用户主动作出的、针对具体行为的、建立在用户充分知情基础上的、可随时以简便的方式撤回的明确意思表示，企业应当以满足上述要求的方式征得用户同意；针对适用履行合同所必要为法律基础的数据处理活动（例如能够自动控制温度的热水器等一般类型的家电产品），企业应当注意完善产品使用条款或其他面向用户的合同文本，涵盖实现产品基本功能所需收集的数据的相关描述，确保该等收集没有超出基于合同提供服务最小必要的范围，不超出用户的合理期待；针对适用正当利益为法律基础的数据处理活动，企业需及时进行利益平衡测试，确保已采取了适当的组织和技术措施，保证实现企业的商业利益不会减损用户的基本权利和自由。 

相较于一般的互联网产品，智能家居产品所进行的数据处理活动为实现上述目的所面临的挑战主要包括：物联网（Internet of Things，IoT）本身需要多个数据库之间的匹配与比对，智能互联就代表着无限潜在活动的可能链接，因此需要判断所发展出的新功能是一项全新的功能还是已有功能的合理扩展[7]。以智能运动手表为例，用户同意设备基于监测其健康状况的目的收集其心率、运动轨迹等数据，但企业若将该等数据进行自动化决策分析进而向其发送定向广告则明显超出了用户同意所涵盖的处理范围。

为判断可能存在的风险，保证智能家居产品所进行的数据处理活动充分符合目的限制原则及数据最小化原则的要求，企业应当进行风险评估，基于评估结果确定数据最小化的实现方式，并应嵌入在系统开发的全生命周期中[8]。 

根据智能家居行业研究报告显示，随着智能家居平台之间整合力度的不断加强，有近一半的设备能够同时接入两个或以上的智能互联平台。同时，语音助手服务资源也将不断整合，更多的家居设备将搭载语音助手[9]。

图3：通过Google home控制其他第三方设备方式的简要说明[10]

部分智能家居企业在开拓海外市场时，会选择在Google home、Amazon Alexa等受众较广的智能家居平台上进行开发，以云对云的技术控制方案来实现对设备的语音控制。在此过程中即涉及到三方主体（用户、智能家居厂商及智能家居语音平台）之间的数据交互，部分仅提供硬件及后台运维开发的厂商甚至会涉及到四方或以上主体之间的数据交互，因此，要充分明确各方之间，尤其是厂商及平台之间关于数据处理活动的权责义务。

在实践过程中，企业一方面要选择个人数据保护合规能力及安全技术水平较高的平台进行开发，严格遵循各项开发协议及要求，推动相关主体之间数据处理协议的签署。另一方面则是要不断提高研发能力和设备的安全水平，避免出现合作平台暗中截留数据进行其他目的处理的情况[11]。 

由于智能家居是以住宅为平台，利用综合布线技术、网络通信技术、安全防范技术、自动控制技术及音视频技术将家居生活有关的设施集成，构建高效的住宅设施与家庭日程事务的管理系统，各项设备或平台之间通过蓝牙、网关等进行互联，存在较大的信息安全风险。

智能家居产品所面临的信息安全风险主要来源于三方面：首先，来源于外部攻击，例如攻击者破坏、数据和身份窃取、设备劫持等[12]；其次，来源于设备或平台本身，例如设备本身在上线前未进行充分的安全性测试，存在明显的安全漏洞或者后台数据库未进行安全加固，导致数据泄露等；最后，来源于用户自身，部分用户对于复杂的安全技术缺乏充分的认识，导致未意识到可能存在的安全隐患[13]。

图4：某智能家居品牌在官网上提示用户保障设备安全的方法[14]

由于国内部分智能家居厂前身为传统家电制造商，在信息安全方面的经验和能力相对较为薄弱。基于上述风险及企业面临的实际情况，企业可从以下几个要点入手，不断提高安全风险控制水平：在高层重视、资源投入及人员投入等方面加强信息安全能力建设及安全事件应急处理能力提升，并在相对成熟时申请ISO 27001等信息安全认证；从产品设计及开发阶段即融入安全考虑，对产品进行充分的安全检测；通过产品说明、官网公告、所互联的APP等方式向用户提示安全风险，告知其基本的安全措施等。 

根据GDPR第五章，个人数据跨境传输既包括物理上跨越国境发生转移的情形（指个人数据在地理位置上、空间上发生的物理转移，既包括通过网络发生的转移，也包括通过物理载体将个人数据从一个国家/地区带到另一国家/地区的转移），还包括个人数据被远程访问的情形。在进行个人数据跨境传输时，首先需明确传输双方的基本信息及所在法域，其次是要明确进行数据传输的目的和合法依据，确保具备适当的传输安全保障机制。

基于上述规定，国内智能家居企业在面向海外用户提供产品及服务时，无论是将数据直接回传在至境内，还是在当地架设服务器或租用云服务器后境内人员进行远程访问，基本都会涉及个人数据的跨境传输。

针对不同的数据跨境方式，企业应当视实际情况采取不同的合规措施：对于从产品终端或当地服务器直接将个人数据回传至境内的情形，一方面要在隐私政策中充分告知其相关信息并在必要时征得个人数据主体的同意，另一方面可以结合业务的实际需要适度控制回传数据的规模和频率，同时可以采取技术措施对数据进行加密或脱敏、匿名化处理等；对于远程访问的情形，除在隐私政策中进行说明、必要时征得个人数据主体同意等以外，涉及租用第三方服务器的，还应当与该等第三方签署数据传输协议，同时限制访问人员范围及权限等，避免发生数据安全事件。

根据GDPR，数据主体享有知情权、访问权、更正权、删除权、可携带权、反对权及限制处理权，数据控制者或处理者应该具备相应的机制支持数据主体行使其权利，并在规定时间内对其权利请求进行响应。

由于智能家居产品本身的特点，在支持个人数据主体行使权利时面临着以下困难：首先，如“关键词一 知情”所述，部分智能家居设备没有屏幕且不具备语音交互等功能，用户没有易于操作的方式行使其权利；此外，由于智能家居产品可能涉及到对非用户的个人数据的收集和处理，此类主体行权尚存在一定困难[15]。

为充分保证数据主体权利的实现，对于有屏幕或互联APP的产品，企业应当设置相应的功能供用户行使其权利；对于其他类产品，应当在隐私政策中进行充分的说明，提供邮箱、电话、邮寄等方式以便用户行权。在企业内部，应当建立起完整的数据主体权利请求响应机制或流程并提高相应的技术能力，对用户的权利请求进行及时、高效的响应。 

根据GDPR第25条，设计的隐私保护（Privacy by Design）是指在决定数据处理的目的及方式时，即应考虑采取适当的组织和技术措施，并在处理中整合必要的安全保障措施，以实现对数据处理基本原则的遵守以及对数据主体基本权利和自由的保障；默认的隐私保护（Privacy by Default）则是应当采取适当的组织和技术措施以保障在默认情况下只有为特定目的所必要的个人数据被处理，二者统称为设计和默认的隐私保护（Privacy by Design and Default，PbD）。根据GDPR 的要求，在数据处理活动全流程中均应贯穿PbD 的各项要求，全面履行数据保护基本原则，在产品开发初始阶段即应充分考虑各项合规要求。

图5：PbD 核心理念[16] 

新技术的应用引发了智能家居产品一系列个人数据保护问题，却也是解决这些问题的关键[17]。越来越多的智能家居厂商开始考虑并着手将产品设计之初便融入PbD的要求，以减少产品的隐私漏洞及后续添加升级时的高昂成本。企业在考虑将PbD要求融入产品设计及数据处理的全生命周期时，可以参考以下良好实践：在全流程中，重点关注数据假名化及数据最小化的技术实现，同时采取其他组织和技术措施，例如加密传输、加密存储、权限控制、培训提升员工意识及技术能力等。（更多对关于PbD要求实现的措施推荐，可参考我们此前发布的《他山之石： EDPB<关于GDPR第25条设计和默认的数据保护指南>解读（上）》、《他山之石： EDPB<关于GDPR第25条设计和默认的数据保护指南>解读（下）》）