凯恩庄园智能门钟私隐澄清

这篇是一篇澄清，发表的原因是准确比宣传重要。在一个视频节目里面，4:17 时提到凯恩庄园（Manor Hill）大门的智能门钟——那个门钟正是由 Oolaa 供应的产品。节目里面，主持人提出智能门钟会不会侵犯私隐的问题。对这个产品类别来说，这是一个合理的问题。但应用在我们的产品上面，就基于一个误解，我们想清楚地更正记录。

澄清

我们的智能门钟没有录影功能。让我们讲得精确些：产品不会录影、不会储存片段、不会拍摄街道、大门或者邻居。同样重要，它的拍摄功能不会自动启动。除非有访客按下门钟，否则拍摄功能根本不会启动。

这个区别是根本性的。一部持续监视的镜头，与一部回应一次刻意按压的镜头，是两种私隐概况不同的产品——就算由外面看，大门上面的硬件看来相似。我们的产品按设计属于第二类：它存在的目的，是让住户在访客表明来意那一刻回应大门外的访客，没有其他目的。

为什么我们这样设计

门钟的工作很狭窄：告诉住户有人在大门、并让他们回应。超出那份工作的每一种能力都值得审视，而持续录影过不了这一关。录影制造没有人要求过的片段，拍摄从未同意被拍的人——路人、邻居、送货员——然后将片段储存起来，连同储存带来的所有风险。一个按压才启动的设计没有什么可以泄漏，因为访客之间，它根本什么都没有拍。

这里有一个怎样判断智能家居产品的教训。「有没有镜头」是错的问题。适合的问题是：它何时拍摄、它保留什么、由谁决定？答得好这些问题的产品，可以被人欢迎在家庭大门。答不到的，就不应该——无论它其他功能多好。

问任何智能门钟的问题

如果你为家或者屋邨订定或者购买智能门钟，凯恩庄园的讨论给到一张短清单。第一：它是持续录影，还是只在按压或者呼叫时启动？第二：它到底有没有录影功能——如果有，片段存在哪里、存多久？第三：开箱时、任何人更改设定之前，预设会发生什么事？预设行为才是任何装置真正的私隐政策。供应商应该能够以浅显语言、公开地答出全部三条，不用躲在设定菜单或者固件更新后面——正如我们这里尝试做的那样。

我们供应凯恩庄园大门的门钟，我们为它的设计负责：没有录影功能、没有自动启动、镜头只在访客按下门钟时运作。如果节目的讨论促使更多住户对门口的每件智能装置——包括我们的——问更尖锐的问题，它就为这个类别做了一件好事。在我们来说，这样的澄清是产品的一部分：一个不能以浅显文字解释清楚镜头何时开着的供应商，它的设计未算完成。

私隐设计，实践

澄清背后的原则，在产品设计里面有个名：数据最小化。装置应该撷取它工作所需的最少资讯、保留它工作容许的最短时间、预设不做任何主人没有要求过的东西。以这个原则判断，这里的设计选择不是限制，而是产品按意图运作：启动同访客的刻意动作挂钩、完全没有录影、没有什么储存来被人日后入侵、传唤或者无意间发现。任何屋邨的住户评估自己大门的装置，都可以用同一个测试——而这样设计的供应商，应该乐意被人公开、白纸黑字地衡量，正如我们现在正在做的那样。