Lunettes connectées : pour l'EDPB, les fabricants ne peuvent pas reporter la transparence sur les utilisateurs
Le 13 octobre 2026, le Comité européen de la protection des données (EDPB) a adopté en séance plénière une déclaration sur les lunettes connectées. Le texte, présenté comme une première orientation, répartit les responsabilités entre utilisateurs, fabricants et fournisseurs de services, et désigne la transparence envers les personnes filmées comme l'un des principaux défis. Pour un DPO, le sujet touche directement l'entreprise : l'EDPB range le lieu de travail, aux côtés des hôpitaux et des écoles, parmi les environnements sensibles.
Ce que l'EDPB a publié
La déclaration, adoptée le 13 octobre 2026, est accompagnée d'un rapport intitulé « The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses ». Ce rapport a été commandé dans le cadre du programme Support Pool of Experts, sur proposition de la CNIL, et rédigé par un sociologue du numérique. L'EDPB précise qu'il n'engage que ses auteurs. Selon le communiqué, il montre que ces lunettes deviennent parfois des instruments de surveillance entre particuliers et de constitution de preuves, et qu'elles créent un déséquilibre entre ceux qui les portent et ceux qui sont filmés.
En France, la CNIL avait ouvert le sujet le 11 mai 2026 avec un plan d'action dédié aux lunettes connectées. L'EDPB, de son côté, annonce qu'il poursuivra ses travaux sur ces appareils.
Qui est responsable de traitement
L'EDPB raisonne par usage. L'utilisateur échappe au RGPD tant qu'il reste dans le cadre d'une activité strictement personnelle ou domestique, au sens de l'article 2, paragraphe 2, point c) : partager une vidéo avec un proche, traduire une conversation dans un cadre privé. Cette exemption s'interprète strictement, rappelle le texte en citant l'arrêt Ryneš de la CJUE (C-212/13). Dès que la vidéo est publiée sur un compte public, ou que les lunettes servent dans une activité professionnelle, officielle ou politique, l'utilisateur devient responsable de traitement, voire responsable conjoint.
Le fabricant et le fournisseur d'une application ou d'un service lié, IA comprise, restent soumis au RGPD même quand l'utilisateur, lui, en est exempté. Lorsqu'ils déterminent les finalités et les moyens, ils sont responsables de traitement, seuls ou conjointement, et ne peuvent pas s'appuyer sur le comportement de l'utilisateur pour remplir leurs propres obligations, notamment de transparence.
Transparence et base légale : les deux points durs
Sur la transparence (articles 12 et 13 du RGPD), l'EDPB constate que les indicateurs actuels laissent beaucoup de personnes ignorer qu'elles sont filmées, et qu'une mention d'information classique ne semble pas suffire pour des tiers sans lien avec le fabricant. Il recommande de combiner plusieurs mécanismes : un voyant lumineux visible dans la plupart des conditions d'éclairage, sans possibilité d'enregistrer quand il est masqué, des signaux sonores, une notification par smartphone qui ne doit jamais être le seul moyen, et un design qui distingue ces lunettes d'une monture ordinaire. Ces mesures doivent être efficaces, difficiles à contourner et tenues à jour.
Sur la base légale, le texte juge difficile d'obtenir un consentement valable de personnes qui n'ont aucune relation avec le fabricant, et rappelle qu'un consentement recueilli après l'enregistrement n'est pas valable. L'intérêt légitime de l'article 6, paragraphe 1, point f) serait « particulièrement difficile à démontrer », selon l'EDPB, pour une réutilisation commerciale ou pour l'entraînement de modèles d'IA.
Ce que ça change pour les organisations
- Recenser les usages professionnels : un salarié qui filme avec ses lunettes dans le cadre de son travail fait sortir le traitement de l'exemption domestique. L'EDPB cite le lieu de travail parmi les contextes sensibles, pour la surveillance des salariés comme pour la confidentialité des informations de l'entreprise.
- Encadrer la présence de ces appareils dans les locaux, comme pour la vidéosurveillance : charte informatique, règlement intérieur, zones où l'enregistrement est exclu.
- Pour un projet d'équipement d'équipes (maintenance, logistique, santé), documenter le traitement au registre et instruire une AIPD : enregistrement continu limité, durée de conservation courte, floutage des tiers, traitement sur l'appareil quand c'est possible.
- Questionner le fournisseur : réutilisation des images, entraînement de modèles d'IA, sous-traitants et transferts hors UE, que l'EDPB cite parmi les obligations à ne pas perdre de vue.
Ce que Leto en pense
Le texte ne crée aucune obligation nouvelle : il applique le RGPD existant à un appareil qui rend la collection presque invisible. Sa portée pratique tient à la répartition des rôles. Le fabricant ne peut pas reporter la transparence sur l'utilisateur, et l'entreprise qui équipe ses équipes ne peut pas se reposer sur le fabricant. Les mesures attendues relèvent de la protection des données dès la conception : stockage persistant désactivé par défaut quand l'appareil sert à l'assistance en temps réel, géorepérage dans les lieux sensibles, freins au partage. Pour un DPO, le bon réflexe est d'inscrire ce type d'appareil dans la revue des projets avant son déploiement, pas après le premier incident. Leto aide à tenir le registre et les AIPD de ces projets : voir une démo.
Sources
