L'EDPB publie son premier guide sur la confidentialité des lunettes intelligentes

Le Comité européen de protection des données (EDPB) a franchi une étape significative en publiant le 13 octobre 2026 une déclaration spécifique sur les lunettes intelligentes. Ce document n'est pas une directive contraignante, mais un guide préliminaire visant à clarifier l'application du RGPD aux dispositifs combinant caméras, microphones et connectivité internet dans un format aussi courant que des lunettes de soleil.

La pertinence de cette annonce réside dans le fait que c'est la première fois que l'organisme de supervision européen aborde en détail les risques de confidentialité associés à ce type de wearables. La présidente de l'EDPB, Anu Talus, a averti que ces dispositifs peuvent filmer des personnes sans leur connaissance, un risque amplifié dans les environnements sensibles comme les hôpitaux, les écoles ou les lieux de travail.

Pour éviter les ambiguïtés, l'EDPB définit les lunettes intelligentes comme des dispositifs portables qui ressemblent souvent à des lunettes ordinaires ou de soleil, mais qui incorporent des capacités de calcul et des fonctions telles que caméras, haut-parleurs, microphones et systèmes d'intelligence artificielle pour la traduction ou l'identification d'objets. Ils peuvent se connecter au cloud ou à des applications mobiles pour étendre leurs fonctionnalités.

Le document établit que lorsque ces lunettes capturent, collectent ou stockent des informations relatives à une personne identifiée ou identifiable, elles traitent des données personnelles. Par conséquent, le traitement est soumis aux règles du RGPD, sauf s'il s'agit d'activités purement domestiques ou personnelles, comme filmer des membres de la famille dans un contexte privé.

L'un des points les plus critiques de la déclaration est la distinction entre le moment où un utilisateur est considéré comme responsable du traitement et le moment où il ne l'est pas. L'EDPB souligne que la responsabilité dépend de la manière dont le dispositif est utilisé. Si un utilisateur partage une photo ou une vidéo sur un réseau social public, ou utilise les lunettes pour des activités professionnelles ou politiques, il assume le rôle de responsable des données.

En revanche, si l'enregistrement est limité à un cercle intime ou utilisé pour la traduction personnelle dans un contexte privé, l'exemption domestique du RGPD s'applique. Cette distinction est vitale pour que les utilisateurs comprennent que leur comportement lors du partage de contenu détermine leur niveau d'obligation légale et de protection envers les tiers.

L'EDPB met l'accent sur les environnements sensibles, où la vulnérabilité des sujets de données est plus grande. Dans les hôpitaux, les centres éducatifs ou les espaces de travail, la présence de caméras cachées dans les lunettes peut compromettre la confidentialité des patients, des élèves ou des employés. Le document avertit que les risques sont encore plus grands lorsque les enregistrements sont partagés sur les réseaux sociaux, exposant les personnes à une surveillance non consentie.

De plus, la vulnérabilité particulière des mineurs est mise en évidence, tant lorsqu'ils utilisent ces dispositifs que lorsqu'ils sont filmés par d'autres. La capacité des lunettes à diffuser en direct ou à stocker des vidéos dans le cloud sans signalisation claire de l'enregistrement pose des défis significatifs pour la protection de l'enfance à l'ère numérique.

Bien que la déclaration s'adresse également aux utilisateurs, elle a un impact direct sur les fabricants et fournisseurs de services. L'EDPB exhorte l'industrie à intégrer la confidentialité dès la conception (privacy by design), en veillant à ce que les fonctions d'enregistrement soient visibles et que les utilisateurs tiers soient clairement informés. La transparence dans l'utilisation de l'IA pour le traitement des données en temps réel est une exigence implicite dans ce nouveau guide.

Cette motion s'aligne sur les tendances de 2026, où l'intelligence artificielle et le traitement des données à la périphérie (edge computing) redéfinissent les modèles économiques de la publicité et du suivi. La pression réglementaire ne se concentre pas uniquement sur le logiciel, mais s'étend au matériel grand public qui agit comme vecteur de collecte massive de données.

Cette déclaration s'inscrit dans une série d'actions de l'EDPB au cours de 2026, incluant des consultations publiques sur l'anonymisation et le web scraping dans le contexte de l'IA générative. L'organisme travaille à la mise à jour de ses lignes directrices face à l'évolution technologique rapide, cherchant à maintenir l'équilibre entre l'innovation et la protection des droits fondamentaux.

Pour les organisations, la recommandation est claire : auditer l'utilisation des dispositifs portables dans leurs politiques de sécurité et de confidentialité. L'absence de preuve d'une annonce de produit spécifique d'une marque n'empêche pas que la réglementation s'applique à toute la catégorie. La surveillance passive par le matériel grand public est désormais un risque juridique tangible qui doit être géré activement par les entreprises.