未来隐私论坛（The Future of Privacy Forum）于2021年4月出具一份报告《AR+VR-新兴的沉浸式数字世界对隐私和自主权方面的思考》，如今来看仍是非常重要的全面理解技术、使用场景以及合规要点的报告，故笔者分为几篇陆续推送给大家编译内容。今天推送第四部分：综合治理-技术和政策的综合治理解决方案将在减轻风险的同时实现效益最大化。
回顾简介部分，请见《【XR第二弹】未来隐私论坛关于AR和VR在隐私和自主权方面的报告（首篇）》
回顾技术理解，请见《XR技术理解：AR和VR关于隐私和自主权报告（第一部分）》
回顾应用场景，请见《XR应用场景：AR和VR关于隐私和自主权报告（第二部分）》
回顾风险分析，请见《XR当前和未来风险：AR和VR关于隐私和自主权报告（第三部分）》
第四部分：综合治理-技术和政策的综合治理解决方案将在减轻风险的同时实现效益最大化
混合现实为常识性规则的应用打开了一扇大门，这些规则非常有效地调解了公司与消费者、公民与国家之间的紧张关系。混合现实不一定是一个乌托邦式的愿景，可能是我们能够恢复法律平衡的方法。
—Joshua Fairfield, Mixed Reality: How the Laws of Virtual Worlds Govern Everyday Life
为了让XR成为一个在今天互联网和手机使用规模基础上的革命性通信平台，XR利益相关者必须对技术、法律和政策如何以有益 和保护隐私的方式塑造这些服务提出一个积极的 愿景。未来的挑战在多个层面上都是巨大的。由于XR仍然是一项新兴技术，也是一个改变游戏规则的用户界面，制定不必要的严格隐私保护规则可能会扼杀有益的新服务的探索和发展。建立在数据收集限制原则的现有框架可能会因XR的数据需求而受挫。为了解决本文和其他地方所指出的问题，有必要采取一些政策干预和技术缓解措施的综合治理路径。
法律法规也将在指导XR的隐私期望方面发挥着作用。平台和开发者已经需要遵守有关健康、生物识 别、通信和教育的现有部门法中的隐私法律规定。他们必须努力应对新的隐私法，这些法律规定了对数据使用的充分披露，并要求由消费者做出选择。法院也将发挥作用，未来涉及XR和侵权索赔的诉讼可能是不可避免的。通用的隐私和数据保护法可能会确立XR的基线隐私合规义务，但广泛使用的虚拟空间将牵涉到无数不同的法律领域。哪些隐私合规规则应适用于XR仍不清晰，但统一应用通行的隐私规则对于保障这些新兴技术的信任是必要的。
XR和CCPA、CPRA
自2020年1月生效以来，《加州消费者隐私法》(CCPA) 一直是数据驱动的XR公司的合规重点。与其他行业一样，提供HMDs的VR公司正在提供针对加州的披露信息、提供访问权和退出权的门户网站，或者依靠没有具体提及沉浸式数据处理的通用隐私政策。随着XR技术的发展，平台和开发人员将需要认真考虑遵守CCPA、加州隐私权利法(CPRA)(2023年1月生效)或欧盟通用数据保护条例等其他框架的实质性权利。
> 访问权：CCPA和CPRA规定，消费者有权要求查阅收集到的关于个人的个人信息。公司对访问请求的回应深度和广度普遍不同。访问权还带来了以下问题：可能需要开发和生成关于用户的各种日志或技术信息，以及如何安全和负责任地验证访问请求是由有权提出请求的个人所提出的。
> 可移植性权利：CCPA的数据可移植性要求与访问权有关，如果信息是以电子方式提供的，法律要求以可移植和可随时使用的格式提供。CPRA扩大了这些权利，让消费者有权要求企业在技术上可行的情况下传输其个人信息。这对XR平台产生的大量遥测数据意味着什么尚不清楚，但我们可以想象，某些类型的眼球追踪、传感器信息和虚拟形象的组成部分可能会被证明是对开源的、支持行业的数据传输项目的未来数据模型有用的。
> 删除权：CCPA和CPRA还赋予个人要求企业删除其个人信息的权利，但有各种例外情况。大多数（如果不是全部）XR平台为用户提供了删除其账户的机制，并在此过程中删除与这些账户相关的任何信息，但特别是VR和AR，可能需要考虑更精细的删除选项或功能。
> 选择退出的权利：CCPA赋予消费者选择不出售个人信息的权利。这项权利与欧盟法律规定的反对数据处理的权利并不完全一致，但这两种制度都反映了立法者对不受限制的数据共享和披露的担忧。一些XR平台提供了一些选项，以限制和约束由HMDs、移动AR应用和其他传感器产生的个人信息和数据是如何被转移给第三方的。CPRA扩大了这些权利，让消费者有权在用于对消费者的个人偏好、行为、位置、运动和其他类别进行决策时，选择退出自动决策技术。CPRA还规定，消费者有权将敏感个人信息的使用限制在提供商品或执行一般消费者要求的商品或服务的合理预期所需范围内。敏感的个人信息包括以下类别：生物统计学、地理位置、遗传学、种族、宗教、工会会员资格，以及其他类别。
> 纠正权：CPRA赋予消费者要求企业纠正其不准确的个人信息的权利。与删除权一样，考虑到XR技术运作所需的大量追踪数据，企业可以考虑更细化的纠正方案。
无论是CCPA、CPRA，还是GDPR等更全面的法律制度，都没有描述XR中的最佳隐私水平应该是什么样子。相反，利益相关者和政策制定者应探 索技术和政策选择，以形成围绕XR的社会规范和公众对该技术的信任。
A.技术解决方案包括提供开关、本地处理和存储、自动模糊周边的人的脸等
保障用户隐私和限制XR数据使用的技术控制可能是可以部署的最有效的隐私保护措施，但有关于目前HMDs和其他XR设备的最佳实践还未达成共识。在这种情况下，实施技术控制尤其具有挑战性，因为XR设备需要不断收集和处理敏感数 据以提供核心服务。经常讨论的尖端隐私增强技术 (PET)类型可能不容易在XR中部署，需要进一步研究。
此前，未来隐私论坛提出了一系列针对“持续在听（always listening）”的技术，像基于网络的音箱、电视和移动设备的技术缓解措施。这些建议要求考虑数据处理和存储是在本地进行还是在云端进行，开发硬件开/关功能，并提供视觉 (或潜在的音频) 提示以表明记录和数据传输。
这些建议在XR领域下是相关的，但不是决定性的。VR头戴式设备的隐私保护可以借鉴游戏机的最佳做法，而"永远在线"的AR技术可以受益于促进手机隐私的策略。XR的某些方面将迫使开发者重新思考传统的数据最小化策略。例如，在谷歌眼镜中，谷歌规定默认的记录时间只有10秒，并在眼镜上设计明显的标识，以帮助非使用者和周边的人意识到该设备正在使用中。虽然这类提示还不友好，但是对于随着越来越多的可穿戴设备可以持续采集和感知周围的换件和周边的人。像可穿戴隐形眼镜这样的技术进步，也提出了是否可以对传感器进行提示的根本问题。
基于硬件的开/关被认为是一种重要的隐私保护措施，以确保智能音箱可以便捷地被禁用。在XR可穿戴设备中也可以提供类似的功能，但这并不能解决这些技术影响非用户的周边的人的问题。一个解决方案是通过地理围栏来控制AR和VR功能。虽然地理围栏经常被视为广告商或其他企业提供定向内容给用户的方式，但同样的技术可以用来禁用在某些敏感场所如医务室、礼拜场所或法院等注释或物体识别功能。另一种选择是让XR设备可以充分标识，让周边的人对数据正在被收集有感知，并最终让他们对是否参与XR体验表达自己的偏好。
本地处理和存储已成为具有隐私保护意识的用户的很有潜力的卖点，但云计算对于提供驱动更深入的XR应用所需的原始数据处理能力和图形处理能力也是至关重要的，一些 VR HMDs目前被限定于昂贵的个人电脑或游戏机上，但5G网络和其他高速、低延迟的宽带网络可以允许基于云的渲染和展示内容。依赖于用户附近的计算资源的边缘计算将提供隐私友好型解决方案，很多AR可穿戴设备可以利用移动智能设备的连接能力。然而，作为一个政策问题，平台可能最终决定，一些敏感的XR信息，如原始的眼球追踪数据或传感器图像流，只能在有限的情况下存储或传输。
展望未来，XR公司可以考虑以更保护隐私或更有隐蔽性的方式处理其数据流，包括对敏感信息进行端到端加密。谷歌街景所面临的一些隐私问题可以证明这一点。2007年推出的"街景"是谷歌为绘制世界地图和创建每条街道的互动全景图所做的一项持续性投入。早期的街景摄制揭示了可识别的个人处于潜在的尴尬场景--挖鼻孔、穿比基尼晒日光浴、进入成人书店。谷歌的应对方式是开发了自动模糊人脸和车牌的工具，并为个人提供了更进一步要求模糊房屋和身体的选项。街景还捕获了网络SSID ，该公司让用户通过在其网络名称中添加"_nomap "来选择不参与这种绘制。类似的技术可能也适用于AR数据流的处理。但是这些技术都不能解决XR带来的所有隐私问题，平台和开发者需要更加透明地表达其对于将如何在XR中保护用户的隐私的想法和尝试。
图 01 限制标注
B. 政策解决方案包括数据的透明度、建立隐私承诺、平台责任和虚拟形象创建中的公平
政策解决方案可以补充技术保障措施，并为建立治理XR技术的规则提供更直接的路径。利益相关者、行业团体和技术标准机构正在就XR的各个方面进行努力，创建各类的隐私建议和最佳做法。这些尝试虽然很新但有希望。例如，XR协会已经认可XR环境需要尊重、安全和包容。它的《XR入门》第二版强调了新兴的最佳做法，可供开发者和平台用来建立基础的XR规范，以建立健康的数字社区和赋能用户。最近，Cyber-XR联盟将关注多样性和包容性的数字组织聚集在一起，解决XR和空间技术发展中的道德和安全问题。隐私考虑并不是这些项目的唯一重点。XR的利益相关者应适时建立清晰的、具有前瞻性的隐私框架，来指导沉浸式技术的发展并建立公众对XR体验的信任。公司可能更有能力制定这样的框架和原则，因为内部开发人员对自己的数据实践和技术能力有最好的了解。
1. 提供透明度和建立隐私承诺对于促进消费者了解和信任是很有必要的
XR对于公司表达和沟通数据做法的通知，尤其是如位置绘制和眼球追踪技术的敏感功能的告知，既是挑战，又是新机会。
遗憾的是，XR隐私政策披露的内容与当前XR技术及其配备的传感器的能力之间的差距是混乱和不清晰的。学术和安全研究、营销材料和传统的隐私披露对当前HMDs和AR移动应用的能力呈现出不同的印象。作为第一步，XR公司应与外部利益相关者合作，更清楚地传达他们在XR数据方面的意图。应该向用户单独解释关于位置绘制和眼球追踪及其他生物识别数据的实践。数据是否以及如何被自动记录和共享也应单独披露。
企业可以更进一步对XR的使用以及沉浸式技术如何进一步发展的愿景作出承诺。Mozilla已经推广了沉浸式社区的道德原则，试图在隐私和安全考虑与包容性设计和用户安全之间取得平衡。这些尝试集中在开发者和平台应谨慎处理的领域，而不是构建固定的指导意见 。前Mozilla研究员Diane Hosfelt走得更远，她不仅回应了XR利益相关者之间的透明度和问责制的问题，而且暗示要建立 "消除沉浸式技术中可能出现的信息和权力的不对称"的机制。Hosfelt女士呼吁制定政策和工具，帮助用户报告和阻止骚扰，赋能用户定义他们的沉浸式体验，并普遍减少对追踪和XR指纹的依赖。近期的其他努力包括Facebook现实实验室为开发产 品(包括XR技术) 制定的负责任的创新原则，该原则包括：1.不要让用户感到意外；2.提供重要的控制；3.考虑到每个人；4.以人为本。
企业隐私和道德原则对保护隐私的XR也有借鉴意义，但需要更进一步努力将这些原则落地实施。至少，部署沉浸式技术的公司应该做到如下方面：
> 应当对敏感的XR数据类型，包括用户提供的位置数据和任何生物识别数据，制定清晰的收集、使用和共享政策。
> 限制第三方对XR数据的访问，并制定程序以应对执法或行政部门对用户信息访问的要求。
> 探索技术方法，自动汇总或假名化XR数据。
> 建立负责任的反馈闭环，使外部投诉、外部专家和非专家群体的意见能在内部得到倾听和思考。
> 通过默认隐私保护设置和易于访问的用户控制赋能用户
> 在通过XR技术进行研究之前，应事先征得用户同意。
在XR隐私峰会上提出的另一个想法是为XR应用采 取某种形式的机构审查委员会(institutional review board，简称IRB) 模式。同样，公司可以承诺成立一个不太正式的独立道德审查委员会，以考虑围绕数据收集、使用、共享和其他道德问题。这种独立审查一直是涉及新型数据处理的伦理和隐私争论中反复出现的想法。例如， Ryan Calo呼吁建立"消费者主体审查委员会（Consumer Subject Review Boards）" ，以解决企业数据研究中的伦理问题，学者和行业利益相关者一直在讨论技术伦理委员会的价值，该委员会是否可以为数据和机器学习应用的收集、共享和使用提供指导。一些XR平台已经开发了人工智能的伦理方法，承诺对XR应用进行某种伦理审查，可能有助于提出潜在的伤害并确定缓解措施。审查委员会还可以确定XR数据是否可用于事先获得用户同意的研究。
2. 平台责任对于保障公司遵守强有力的开发者条款和社区准则是有必要的
虽然隐私问题会在整个XR生态系统中出现，但主 要平台是最有能力保证消费者得到保护。消费者通常通过主要平台获得XR硬件和软件。一些XR技术是在主要平台生态系统之外开发的，但这些应用主要是由发烧友使用，而不是大部分XR消费 者。苹果和谷歌有成熟的要求来管理他们的移动应用商店上的应用并记录，而Facebook和Twitter强制执行他们的平台规则。这些平台治理模式也可以在设定预期和推动与XR开发者和 用户社区的对话方面发挥重要作用。
Magic Leap的技术要求清单（Technical Requirements Checklist，TRC）包含了XR技术里首要关切的隐私和安全要求。例如，Magic Leap要求有用户生成的内容的应 用程序具有报告和应对不良内容的机制；其开发者条款也禁止识别非用户，并要求有控制用户的个人信息如何显示给其他用户或以其他方式在应用程序体验之外公开显示的功能选项。设备上录制的音频和视频必须告知其他用户。
TRC还涉及更传统的数据保护和隐私治理控制，如Fair Information Practices。虽然数据最小化在持续的XR环 境中如何运作是一个未决的问题，但有几个条款鼓励应用程序限制收集、存储或传输的信息量。更重要的是，HMD设备数据被禁止加入到与应用程序功能无关的数据集上。
但是很有争议地说，任何数据集都可能与应用程序的目的有关，所以TRC禁止(1) 任何使用设备信息来创建基于可识别或假名化数据的用户画像，以及(2) 使用任何类型的技术对用户的设备进行指纹识别或进行跨设备或跨应用程序追踪。
这类强有力的保护措施和全面的开发者指南可以 为开发者定下基调，并使有隐私保护意识的用户产生信任。然而，随着XR平台的扩大，有效监管开发者和应用程序将变得更加困难。现状是将大量的责任和权力放在平台上，但自动应用筛选是 一个不完整的解决方案。
反馈系统将变得异常重要。XR平台和开发者应优 先考虑包容性，并提供响应的反馈机制，而平台有为开发者提供培训的基本责任。
3. 虚拟形象创作中的公平代表性将赋能消费者并增加包容性
开发XR体验的公司提供的虚拟形象和虚拟形象生成工具应强调多样化、高度可定制化和包容性，并根据广泛的社区反馈，适合代表XR和非XR社区的广泛性。当采用自己选择的虚拟形象时，XR用对于感受虚拟世界时会更有丰富度和真实感，因为使用户能够按照自己的意愿表现自己。在XR和非XR数字空间中采用虚拟化身的消费者要求有更多可定制的虚拟形象，以反映更广泛的性别认同、种族、性偏好、宗教、残障、年龄和其他属性。
例如，Cyberpunk 2077， 一款流行的视频游戏--因其角色创建工具为其虚拟化身提供了多样化的人类代表而受到赞扬。然而， 批评者认为，该游戏在性别代表方面受到限制，只允许声音低沉的虚拟形象识别为男性，而声音较高的虚拟形象识别为女性。这种限制不仅影响了性别定型观念，而且禁止一些玩家在游戏中以符合他们自己身份和偏好的方式表现自己，从而使游戏体验不那么吸引人。此外，高度可定制的虚拟形象可以作为一种试验场，让用户在一个更加匿名的虚拟空间中展示新的身份，例如与出生时分配的性别不同，可以在现实世界中操作之前先尝试感受。
在XR中扩大虚拟形象的多样性只会变得更加重要，因为虚拟形象会变得越来越逼真，并更准确地映射到个人的身体属性和动作，从而在用户中产生更大的存在感。为了提供公平和包容的头像，公司不仅必须提供符合其当前用户人口统计学的头像定制，还必须纳入来自更大社区关于他们希望看到哪些功能和属性被整合到头像中。更具包容性的头像不仅能满足现有XR社区的偏好，还能鼓励非XR用户当其认为在XR社区具有代表性，并更容易地接纳并采用XR。
总结
沉浸式XR体验和技术的出现有望成为交流、知识和娱乐的新平台。广泛采用XR的潜在好处是相当大的。虽然技术挑战、成本和公众接受度是XR利益相关者最关心的问题，但对个人隐私、安全和自主权的风险也必须认真对待。XR技术正在迅速改进，但看好塑造虚拟现实的公司与对有关自己和周围环境的敏感信息如何被用于他们意想不到的方式或可能造成伤害持怀疑态度的用户群体之间是存在着脱节的。利益相关者必须确定技术、政策和法律解决方案，以建立信任并解决这些问题。如果不这样做，社会效益将受到阻碍，因为消费者对 采用XR仍然犹豫不决。公司应当部署技术和政策的综合治理方案，既遵守法律规定，又赢得消费者的广泛信任和使用。