扫地机器人：恢复出厂设置不等于擦除证明

部分扫地机器人有两种重置方式。机身上的专用按键只清除Wi-Fi连接，以便机器人快速接入新的网络。完整的数据清除则需要通过App或使用说明书中注明的组合按键完成。设备到达收货环节时，仅凭设备本身无法判断前任用户选择的是哪一种方式。

而设备上残留的数据并不少。德国联邦信息安全办公室（BSI）在其消费者指南（德语）中指出，扫地机器人可能使用摄像头进行物体识别，会对地面区域进行建图，并对由此产生的数据进行部分存储，存储位置也包括制造商的云端。此外，设备上还保存着其所连接Wi-Fi网络的登录凭据。

关于智能手机、平板电脑和笔记本电脑的IMEI核查、数据擦除与证书如何配合，我们已在7月的文章《电子产品退货的合规处理》中作过介绍。而扫地机器人、智能家居设备及其他联网电子产品通常没有专用的数据擦除工具，只有重置功能，所有的期望都寄托在它身上。

设备、账户、云端：数据存放的三个位置

讨论联网设备的数据删除时，必须区分三个层面。

设备上存放着其运行所需的数据。安全研究员Dennis Giese在2019年DEF CON大会的演讲中列举了二手智能家居设备中残留的数据：Wi-Fi登录凭据、周边接入点、云端通信日志文件以及地图。

制造商App中的账户将设备与某个人关联。只要这一绑定仍然存在，即使机器人早已摆在德国海利根豪斯的维修工作台上，在数字层面上它仍属于前任用户。

云端保存着设备上传的地图、记录和设置。仅持有设备的一方无法获取这些数据，只有账户持有人或制造商才能删除。

因此，服务商只能处理并证明第一个层面。对于账户和云端，服务商可以记录设备入库时是否仍可识别出绑定关系，并就此提醒委托方。

恢复出厂设置能做到什么

恢复出厂设置是最直接的一步，对许多设备来说也是制造商提供的唯一方式。BSI的《IT基础保护纲要》（IT-Grundschutz-Kompendium）明确要求对物联网设备执行这一操作，但紧接着规定，之后必须更改设备中保存的所有登录凭据。可见，BSI在这里并不单纯依赖重置。

原因可以从Giese对二手设备的研究中看出。他发现这些设备处于三种状态：完全未重置、仅重置了Wi-Fi、已完全清除。即便是第三种状态也不能保证数据安全。在一台已被前任用户恢复出厂设置的扫地机器人上，Giese从读取出的闪存中仍发现了日志文件、密钥、地图和Wi-Fi登录凭据的片段。再执行三次重置后，残留数据依然可以读取。在另一款机型上，重置会格式化数据分区，但不会覆写。

相比之下，对于新款智能手机，BSI认为恢复出厂设置已经足够，因为加密和访问保护会发挥作用。对于较旧的智能手机，恢复出厂设置可能足够，但并不一定。关键在于设备的设计：如果用户数据经过加密，且重置会销毁密钥，那么重置就是有效的；如果重置只是将文件标记为已删除，则无效。从外部无法分辨两者的区别。

美国指南NIST SP 800-88对制造商重置的定位与此一致。它属于三个等级中最低的“Clear”级，而且前提是通过常规用户界面已无法调取任何数据。“Clear”能够防止通过用户所用的同一界面进行简单恢复，但无法防范有人拆焊存储芯片并直接读取。

NIST SP 800-88 Rev. 2带来的变化

2025年9月，NIST发布了该指南的第2版修订，取代2014年的版本。对制造商、零售商和翻新企业而言，有四项变化值得关注：

• 按介质类型列出擦除方法的表格已被删除。具体技术方面，NIST转而参照IEEE 2883等其他标准。指南本身只继续阐述加密擦除。
• 重点转向组织层面的数据擦除管理体系，包括制度、职责分工、培训、工具维护和记录义务。
• 新增了验证（Verification）与确认（Validation）的区分。验证检查操作是否无误完成；确认则判断结果对于数据的敏感程度是否足够。
• 无需多次覆写。对现代存储介质而言，多次覆写几乎不能增加保护，反而会缩短闪存的使用寿命。

因此，一份只写着“符合NIST 800-88”的证书，如果没有注明使用何种工具达到了哪个等级，其参考价值十分有限。

维修前先确定擦除范围

是否需要擦除，取决于设备之后的去向。客户取回维修好的扫地机器人时，可能希望保留自己的地图。如果设备被换新或作为B级品转售，前任用户的数据就必须清除。这一点应在第一台设备上工作台之前写入委托合同。BSI也建议消费者在送修前备份自己的数据。

在约定中，建议至少明确以下事项：

• 哪些设备类别需要擦除，哪些保持原状？
• 哪类设备适用哪种方法？
• 无法开机、因而根本无法重置的设备如何处理？可选方案包括拆除并销毁存储器，或作为有记录的例外情况处理。
• 由谁负责解除设备与用户账户的绑定？

对于数据保护负责人来说，还涉及举证问题。欧盟《通用数据保护条例》（GDPR）要求对个人数据采取适当的安全保障（第5条第1款(f)项及第32条），并要求数据控制者能够证明其合规性（第5条第2款）。BSI的IT基础保护要求在委托外部服务商时，擦除流程须“足够安全且可追溯”。贵公司具体适用哪些义务，例如是否需要签订数据处理协议（DPA），请与您的数据保护顾问确认。本文不构成法律意见。

在PST，擦除范围会在任务开始前与委托方确定并形成书面记录。

数据擦除记录应包含哪些内容

数据擦除记录是每台设备对应的一条数据记录。最低限度的信息项参照NIST SP 800-88 Rev. 2中的清单。对于联网设备，还需补充账户绑定和例外情况。

一条“已恢复出厂设置”的记录，只对应其中的一行。

如果您将带有存储器的退货或维修设备交给服务商处理，退货规模越大，越值得在首次委托前共同核对这张表格。我们乐意与您探讨各类设备的擦除范围和记录方式，最便捷的方式是通过我们的联系页面。PST在逆向物流流程中承担哪些工作，请参阅退货管理页面。