兼顧私隱的影像監測

私隱是第一個問題，不是最後一個

在睡房走廊裝上鏡頭，第一個問題不會是準確度，而是誰可以看到、記錄了什麼，以及誰擁有這些影像。把這些當成事後補充的護理服務提供者，最終只會得到一套同事悄悄繞過、家屬暗暗不滿的系統。

兼顧私隱的影像監測，就是針對這個問題的設計答案。它不是一句市場推廣口號，而是一組具體技術選擇的描述：系統運算什麼、儲存什麼，以及在哪裡運行。

鏡頭監測的三個層次

有三樣東西經常被歸入同一個標籤之下，把它們分開來看會更清楚。

• 全程錄影：連續影像保留一段時間，人物可被辨識。最有利於調查，但在睡房裡最難說得過去。
• 事件片段：在偵測到移動或事件時擷取的短片，雖限制了保留量，但仍然儲存了可辨識的影像。
• 在裝置上偵測：模型在本地運行，產生的是訊號，例如身體隨時間變化的位置，而不是一連串影像。院舍保留答案，捨棄原始影格。

兼顧私隱的系統實際上儲存什麼

在以邊緣運算為先的設計中，院舍內一部小型裝置運行模型，把每個影格轉換成身體的稀疏表示，通常是一組關節位置而非影像，然後判斷所見的是否像跌倒，若像便發出警報。原始影格毋須離開裝置。

兩個設計選擇發揮了大部分作用。第一是在邊緣而非雲端服務進行處理；第二是偵測骨架姿態而非人臉身分，系統無須辨認任何人是誰，也能知道有人跌倒了。關於這個做法的一段簡短技術說明，與我們其餘的平台筆記一併放在我們的常見問題之中。

以淺白方式說明監管背景

在香港，《個人資料（私隱）條例》規管個人資料的收集、使用和保留，並適用於護理場所的鏡頭系統。實際上這意味著要問：收集什麼資料、為了什麼目的、保留多久、誰可以查閱，以及住戶或家屬如何提出關注。

這是一個設計與管治的問題，並非供應商可以替你解決。兼顧私隱的架構會令答案更簡短，但院舍仍然要把它們寫下來，並且能夠解釋清楚。

應該告訴住戶和家屬什麼

先解釋目的，才談技術。只要把監測定位為安全措施並誠實解說，住戶和家屬一般都會接受；他們反感的是要自己去發現。一份簡短淺白的通知，說明系統為何存在、儲存什麼、保留多久、誰可以看到，對建立信任的作用勝過任何宣傳小冊子。

• 為什麼：縮短跌倒後得到協助的時間。
• 儲存什麼：在邊緣設計下，是警報和衍生訊號，而非連續影像。
• 多久：明確說明保留期限，而不是含糊帶過。
• 誰可以查閱：列明職位角色，而不是籠統說「同事」。
• 如何提出疑問：提供指定聯絡人，以及上報途徑。

家屬會問的問題

有三條問題一再出現，值得直接回答。

• 「你們可以在鏡頭看到我媽媽嗎？」在裝置上進行骨架偵測，院舍保留的是一個警報，而不是她的影像。
• 「還有誰看到這些？」只有你列明的職位角色，在你控制的網絡上，除非設計會把資料傳離院舍，而這正是首先要核實的一點。
• 「萬一你們被入侵呢？」以邊緣運算為先的處理完全去除了雲端副本，也就一併移除了一整類風險。

這應該如何影響採購

把私隱的答案放進標書正文，而不是放在附錄。要求以圖表說明資料流向、用一句話說明保留期限，並以書面說明處理者的角色。這也是最快速比較兩套在規格表上看來一模一樣的系統的方法。

至於更宏觀的選擇，我們關於如何選擇跌倒偵測系統的筆記涵蓋鏡頭、雷達與穿戴式方案，而實務防跌清單則涵蓋技術做不到的所有事情。我們自家的產品系列把感應與風險預測平台 Steadicore 與認知及體能訓練方面 Sanospark 分開，令私隱決定可以只做一次，並套用於兩者。

衍生訊號究竟是什麼

中間地帶值得說清楚，因為關於私隱的說法往往會坍縮成兩個都屬錯誤的極端。大多數邊緣系統不儲存影像，但也並非不留痕跡。它們會保留一份簡短的數值紀錄：一個信心值、一個區域識別碼、一個時間戳。

這份紀錄正是令警報在翌日早上仍可被檢視的原因，而只要它能連繫到某個人，它同樣屬於個人資料。正確的做法不是隱藏這份紀錄，而是說明它、把它保持簡短，並以對待它所取代的影像那份同樣的謹慎來處理它。