Le Comité européen de la protection des données a adopté la déclaration 1/2026 sur les lunettes intelligentes, sa première prise de position formelle sur des dispositifs qui ressemblent à des lunettes ordinaires, mais qui embarquent des caméras, des microphones et une connexion Internet. La déclaration a été adoptée lors de la dernière séance plénière du Comité à Bruxelles, le 13 octobre, en même temps qu'un rapport intitulé « Le regard connecté. Enregistrement vidéo, surveillance et administration de la preuve à l'ère des lunettes intelligentes », produit dans le cadre du programme Support Pool of Experts (SPE) du CEPD. L'annonce est disponible sur le site Web du CEPD.

Le CEPD présente ce texte comme une déclaration initiale. Il formule des orientations préliminaires à l'intention de trois catégories d'intervenants, les utilisateurs, les fabricants et les fournisseurs de services, et vise à sensibiliser aux risques plutôt qu'à trancher toutes les questions juridiques. Des orientations plus détaillées pourraient suivre, mais le Comité n'a pas précisé de calendrier, de sorte que quiconque attend une liste de contrôle devra se contenter des principes pour l'instant.

Le Comité formule sa position sans détour. Les lunettes intelligentes se répandent et sont de plus en plus utilisées, et bien que le CEPD reconnaisse qu'elles créent des possibilités en matière de communication, d'assistance et d'innovation, il estime qu'elles soulèvent des questions importantes pour la protection des données à caractère personnel ainsi que pour les droits et libertés des personnes.

La présidente du CEPD, Anu Talus, a résumé le problème central en ces termes : « Ces appareils ressemblent à des lunettes ordinaires, mais ils intègrent des caméras et des microphones et sont connectés à Internet. Cela soulève de sérieuses préoccupations en matière de vie privée, car des personnes peuvent être enregistrées à leur insu. » Elle a ajouté que les risques s'accentuent dans des environnements sensibles, notamment les hôpitaux, les écoles et les milieux de travail, et lorsque des enregistrements se retrouvent sur des réseaux sociaux. Les enfants, a-t-elle précisé, sont particulièrement exposés, aussi bien lorsqu'ils portent eux-mêmes les lunettes que lorsqu'ils sont filmés par quelqu'un d'autre qui les porte.

La section de la déclaration la plus utile pour les praticiens est celle qui porte sur la responsabilité partagée. La position du CEPD est que la responsabilité d'un utilisateur à l'égard du traitement des données à caractère personnel en vertu du RGPD dépend de la façon dont les lunettes sont réellement utilisées. L'exemple que donne le Comité est le partage d'une photo ou d'une vidéo sur un compte de médias sociaux public. Autrement dit, le même dispositif peut se situer à des endroits très différents du spectre du RGPD selon que les images restent privées ou sont publiées. Le résumé publié n'énumère pas tous les scénarios possibles, de sorte que c'est dans la déclaration complète et dans le rapport SPE qu'il faut chercher les détails.

Ce que l'annonce ne contient pas mérite également d'être souligné. Le matériel publié ne fait mention d'aucune amende, d'aucun délai d'exécution et d'aucun fabricant en particulier. Le Comité n'a annoncé aucune action coordonnée contre un produit précis. Il s'agit d'une déclaration de principes et d'un rapport de recherche, et non d'une décision d'exécution.

Le titre du rapport SPE donne une idée de sa portée : enregistrement vidéo, surveillance et utilisation des enregistrements comme éléments de preuve. Ce dernier aspect a des implications qui dépassent les équipes chargées de la protection de la vie privée. Si des images captées par une paire de lunettes peuvent constituer une preuve, alors la question de savoir qui les a enregistrées, à quel moment et selon quels contrôles devient une question d'imputabilité, et l'imputabilité est autant un problème d'identité qu'une question juridique.

Pour les équipes chargées de l'identité et de la sécurité, la question concrète est de savoir si votre environnement est seulement capable de détecter qu'une caméra vient de franchir la porte. Les lecteurs de badges ne font pas la distinction entre des lunettes et un équipement d'enregistrement, et la plupart des politiques d'accueil des visiteurs non plus. Vérifiez si vos politiques d'utilisation acceptable et d'apportez votre propre appareil mentionnent les appareils portables, si les restrictions d'enregistrement dans les zones sensibles (unités cliniques, centres de données, bureaux des ressources humaines) sont consignées par écrit et appliquées plutôt que simplement supposées, et si des lunettes intelligentes jumelées à des téléphones ou à des comptes d'entreprise apparaissent dans votre inventaire d'appareils et dans vos journaux d'accès conditionnel. L'aspect encourageant : la majeure partie de ce travail consiste à mettre à jour des politiques et à effectuer une requête d'inventaire, non pas à acquérir un nouveau produit. L'aspect moins réjouissant : si vous n'y avez jamais réfléchi, quelqu'un dans votre immeuble l'a déjà fait, et il les porte probablement en ce moment.