欧盟强制新车安装驾驶员监测摄像头：安全与隐私的边界在哪里？

一项悄然生效的强制性规定

欧盟一项名为「通用安全法规」（General Safety Regulation，GSR）的立法已全面生效。这项法规的全称为EU 2019/2144，于2019年正式通过，2022年7月起分阶段对新车型强制实施，2024年7月起扩展至所有新注册车辆，是欧盟「道路安全战略行动计划」的核心组成部分，旨在推进到2050年实现欧盟道路交通零死亡的「Vision Zero」目标。

值得注意的是，「Vision Zero」并非欧盟首创，而是起源于1997年的瑞典，最初由瑞典议会通过，核心理念是将交通死亡和重伤视为「不可接受」而非「不可避免」的系统性问题。其哲学基础在于：人类会犯错，因此交通系统的设计必须容纳人为失误而不导致死亡。这一理念的传播影响力已远超欧洲本身——美国纽约市于2014年率先采纳，随后旧金山、洛杉矶、波士顿等数十座城市相继跟进；亚洲的日本「第11次交通安全基本计划」和新加坡的道路安全目标也与Vision Zero高度契合。Vision Zero的全球传播揭示了一个深层政策趋势：交通安全正从个体责任（「驾驶员应更小心」）转向系统责任（「系统设计必须容错」），这一哲学转变直接为ADAS强制化立法提供了政治合法性。欧盟在2021年发布的「道路安全战略行动计划2021-2030」中，将Vision Zero分解为阶段性目标：到2030年将道路死亡和重伤人数减少50%，最终在2050年实现零死亡。GSR正是这一战略在车辆技术层面的核心执行工具，与道路基础设施改善、执法强化并列为三大支柱之一。

根据这项法规，所有在欧盟境内销售的新车都必须配备一系列高级驾驶辅助系统（ADAS），其中最受关注的一项，是驾驶员疲劳与注意力监测系统（Driver Drowsiness and Attention Warning，简称 DDAW）。

ADAS并非单一技术，而是一个涵盖感知、决策、执行的多层级技术体系。根据美国汽车工程师学会（SAE）的J3016自动化分级标准，自动化程度被划分为L0至L5六个等级：L0为无自动化，L1为单一功能辅助（如自适应巡航），L2为多功能协同辅助（如特斯拉Autopilot），L3为条件自动化（驾驶员可短暂脱手但需随时接管），L4为高度自动化（特定场景无需人类干预），L5为完全自动化。GSR强制要求的各项功能在这一体系中各有定位：智能速度辅助（ISA）属于速度控制辅助，紧急自动制动（AEB）属于碰撞规避，车道保持辅助（LKA）属于横向控制，而驾驶员监测系统（DMS）则属于「驾驶员状态感知」这一特殊类别——它不直接干预车辆控制，而是监测人这一驾驶链条中最不确定的环节。

尤为值得关注的是，DMS在整个自动化体系中扮演着独特的「元层级」角色：随着自动化等级提升，驾驶员的接管质量反而变得更为关键。L3级车辆需要驾驶员在数秒内完成从「监督」到「主控」的状态切换，而DMS正是确保这一切换可靠发生的技术保障。这也解释了为何包括奔驰Drive Pilot在内的L3系统，其合法上路的前提条件之一就是配备驾驶员注意力监测。

这意味着，欧盟市场的每一辆新车都需要通过传感器持续监测驾驶员状态。对于更进阶的「先进驾驶员分心警告系统」（ADDW），车企通常会在方向盘柱或仪表盘上安装一颗对准驾驶员面部的摄像头，实时判断驾驶员是否在注视路面、是否出现犯困或分心迹象。

这一话题在 Hacker News 上引发了广泛讨论，核心争议并不在于交通安全本身，而在于：当一个摄像头持续对准你的脸时，隐私边界该如何划定？

法规初衷：用技术手段降低事故伤亡

欧盟推动这项立法的出发点明确——减少因疲劳驾驶和分心驾驶造成的交通事故。欧洲每年仍有约2万人死于交通事故，其中疲劳驾驶和分心驾驶被认为是主要诱因之一，占重大事故的20%-30%。据欧盟委员会估算，这套安全系统组合有望在未来十余年内挽救超过 2.5 万人的生命，并避免约 14 万起重伤事故。

除驾驶员监测外，GSR 还要求新车标配智能速度辅助（ISA）、紧急制动系统、车道保持辅助、倒车摄像头及「黑匣子」事件数据记录器等功能。从产品演进的角度看，这是汽车从「机械工具」向「移动智能终端」转变的重要节点。

驾驶员监测的技术原理背后涉及多项精密的计算机视觉技术，其工程实现远比表面看起来复杂。系统通常采用近红外摄像头（NIR），之所以选择NIR而非普通RGB摄像头，有几个关键原因：NIR波段（700-1000纳米）对可见光变化不敏感，无论隧道、夜间还是强逆光环境均能稳定成像；NIR光源对人眼几乎不可见，不会干扰驾驶；NIR对皮肤穿透性更好，更易捕捉眼部细节。在硬件层面，车规级NIR摄像头通常需满足AEC-Q100车规认证，工作温度范围覆盖-40°C至+85°C；在算法层面，早期系统依赖手工设计的HOG（方向梯度直方图）特征，而当前主流方案已迁移至卷积神经网络（CNN）乃至轻量化的MobileNet、EfficientNet等端侧推理模型，以满足车规芯片的算力约束。

系统通过追踪68至486个面部特征点，重点分析眼睛开合度、头部俯仰与偏转角度、注视方向向量及微睡眠（microsleep）特征。关键指标之一是PERCLOS（眼睛闭合时间占比）——这一指标由美国联邦公路管理局（FHWA）于1990年代提出，已被大量驾驶模拟实验验证为疲劳驾驶的可靠预测指标。值得注意的是，PERCLOS在技术实现上并非简单的眼睛开合判断，还需结合驾驶场景滤波（如隧道进出导致的短暂适应期）和个体基线校准（不同人的自然眨眼频率差异显著），以降低误报率——这也是为何高质量DMS系统通常在驾驶开始的数分钟内处于「学习模式」。当PERCLOS超过80%达数秒时，系统判定驾驶员处于高度疲劳状态，随即触发声音或视觉警告。

隐私争议核心：数据究竟去了哪里？

真正引发担忧的，是摄像头背后的数据流向问题。围绕这一议题，讨论集中在以下几个关键疑问。

数据是否只在本地处理？

多数支持者指出，受欧盟 GDPR（通用数据保护条例）约束，当前主流驾驶员监测系统的图像数据都是在车内本地实时处理的，不会上传云端，也不会长期存储原始视频——系统只输出「注意力状态」等判断结果。

值得注意的是，GDPR（2018年正式生效）将面部图像明确归类为「生物特征数据」（第9条特殊类别数据），原则上需要获得用户明确同意方可处理。然而，GDPR与GSR之间存在一个尚未解决的法律优先级冲突，其背后折射出欧盟监管体系「单一市场」与「权利保护」两大目标之间的结构性张力。从法律位阶看，两者均为欧盟条例（Regulation），效力等同，均直接适用于成员国，无需转化为国内法，这使得传统的「特别法优于一般法」原则难以直接套用。

欧盟法律学者提出的一种解读是援引GDPR第6条第1款c项（「履行法律义务所必需」）作为处理生物特征数据的法律基础，但这一解读颇具争议，因为GDPR第9条对特殊类别数据设有更严格的豁免条件列举，「法律义务」并不在其中。另一方向是援引第9条第2款g项（「实质性公共利益」），但需要成员国立法明确授权。强制安装DMS的车辆驾驶员既未主动同意，也难以拒绝——这在法律上构成「强迫同意」的悖论。这一法律灰色地带的存在，还可能造成各欧盟成员国数据保护机构（DPA）监管立场分歧，进而形成单一市场内的执法碎片化。欧盟数据保护委员会（EDPB）尚未就DMS场景发布专项指南，这一欧盟两项法规之间的优先级冲突，至今没有明确的司法解释。

反对声音同样有据可依：GSR 只规定了「必须监测」，却未强制要求「数据必须本地处理且不得留存」。是否上传、是否存储、如何使用，最终取决于各家车企的具体实现。 在数据变现愈发普遍的当下，这一空白留下了巨大的隐患空间。

谁有权访问这些数据？

讨论中反复出现的另一个担忧是：面部数据会不会在事故调查、保险理赔乃至执法场景中被调取？GSR 同时强制安装的事件数据记录器（EDR）——即汽车「黑匣子」——其设计灵感来源于航空飞行记录仪。标准EDR记录碰撞前至少3秒及碰撞后的车速、制动状态、安全带使用情况等关键参数；美国NHTSA自2012年起强制要求新车安装EDR，在美国已有数百起刑事和民事案件中采用EDR数据作为证据，最著名的包括多起超速驾驶致人死亡的刑事诉讼。欧洲法律界亦开始讨论 DMS 数据的可采性问题，核心争议在于：驾驶员在事故发生时的「注意力状态」记录，是否可在无法律授权的情况下被调取，以及这类数据是否受到反自证其罪原则的保护——这一问题在不同欧盟成员国的法律框架下可能有截然不同的答案。一旦摄像头数据与 EDR 行车数据打通，事故重建的维度将从「车辆行为」扩展至「驾驶员行为」，个人在车内的行为将变得高度可追溯，在法律责任认定与刑事调查中具有深远影响。

有评论者一针见血地指出：即便当下数据仅在本地处理，硬件的存在本身就意味着「能力已经就位」——未来只需一次软件更新，就可能彻底改变数据的处理方式。

汽车行业的深层矛盾：安全、便利与隐私的三角博弈

欧盟的这项规定，折射出现代汽车行业一个持续升温的结构性矛盾。

近年来，从特斯拉的车内摄像头到各大品牌的联网服务，汽车正在收集越来越多的用户数据。Mozilla 基金会2023年发布的《Privacy Not Included》报告对25个主流汽车品牌进行了迄今最系统的第三方隐私评估，研究团队通过分析各品牌隐私政策、数据共享条款和用户协议，得出触目惊心的结论：所有品牌均未达到基本隐私保护标准，84%的品牌会与第三方（包括数据经纪商）共享用户数据，76%声称可将数据出售给执法机构，现代汽车、日产等品牌更被点名收集高度敏感的个人信息——涵盖位置轨迹、驾驶行为、车内对话乃至连接手机的联系人数据。Mozilla 基金会将现代汽车评为「有史以来隐私保护最差的产品类别」。

麦肯锡预测的6500至7500亿美元汽车数据货币化市场背后，是一条高度成熟的产业链：整车厂（OEM）处于数据采集的源头，通过车载联网模块（TCU）持续上传行驶数据；Tier 1供应商（如博世、大陆、电装）在硬件层面深度嵌入数据采集能力；数据经纪商（如LexisNexis Risk Solutions、Verisk）专门从事汽车驾驶行为数据的聚合与出售，其客户涵盖保险公司、对冲基金乃至政府机构。保险行业对驾驶行为数据的需求尤为强烈——Progressive、Allstate等保险巨头的「按使用量付费（UBI）」保险产品，本质上是将驾驶数据转化为精算变量，而DMS数据（驾驶员注意力状态）与EDR数据（车辆行为参数）的结合，将使保险公司能够构建比任何现有工具都更精细的风险画像。这一商业逻辑解释了为何「本地处理、不留存」的技术承诺，在OEM与保险行业的利益同盟面前显得如此脆弱，也是消费者不得不审视的现实问题。

在这一背景下，强制安装面部摄像头的规定虽出于善意，却进一步扩大了车内传感器的覆盖范围。技术层面「本地处理」的承诺，与法规层面「缺乏明确约束」的现实之间，存在一道不容忽视的鸿沟。

善意规定下的隐私盲区：消费者该关注什么？

客观而言，驾驶员监测系统在减少疲劳驾驶事故方面确有价值，这一点基本形成共识。争议的焦点从来不是「要不要提升安全」，而是**「在提升安全的同时，如何守住隐私底线」**。

对于消费者，以下几点值得重点关注：

• 所购车辆的监测系统是否明确承诺数据仅本地处理、不留存；
• 车企隐私政策中是否清晰界定了数据的访问权限与使用范围；
• 是否提供关闭该功能或查看数据记录的选项。

当摄像头成为新车标配，隐私保护就不能仅靠车企自觉。欧盟在推动安全立法的同时，更应尽快补上数据治理的配套细则——明确GSR与GDPR之间的法律优先级，规定生物特征数据的处理边界，并授权欧盟数据保护委员会（EDPB）就DMS场景发布具有约束力的专项指南——否则，一个本为「守护生命」而设的摄像头，可能在不知不觉中成为「监视日常」的窗口。

核心要点