Des lunettes qui filment, enregistrent le son et font tourner de l’IA sur ce qu’elles voient, souvent sans que les personnes croisées s’en aperçoivent : le Comité européen de la protection des données (CEPD) s’est penché sur la question dans un statement adopté le 13 octobre 2026. Sa réponse tient en une idée : la question de la responsabilité ne s’arrête pas à celui qui porte les lunettes.

Un texte préliminaire, mais une lecture déjà tranchée

Le statement n’est ni une ligne directrice ni un avis. Le CEPD parle lui-même de « réflexions préliminaires » et annonce qu’il poursuivra son travail, y compris sur d’autres dispositifs vidéo qui posent des questions juridiques voisines. Il ne crée aucune obligation nouvelle : il applique le RGPD, et dans certains cas la directive ePrivacy, à un objet que ces textes n’avaient pas en tête.

Le périmètre est large. Ils sont visés les appareils portés qui ressemblent souvent à des lunettes ordinaires et intègrent caméra, micros, haut-parleurs et logiciels, y compris des systèmes d’IA (traduction, identification d’objets), commandés à la voix ou par un bracelet qui détecte les gestes. Dès que l’appareil capte, enregistre, stocke ou traite une information relative à une personne identifiable, il traite des données personnelles.

Ce qui rend le sujet particulier tient moins à la caméra qu’à son invisibilité. Le CEPD souligne que ces lunettes permettent une collecte quasi imperceptible, parce qu’elles se distinguent mal de lunettes classiques ; de plus, leurs micros peuvent capter des conversations auxquelles le porteur ne participe pas, et leur association à la reconnaissance faciale ou vocale pose, on cite, des questions inédites et un risque élevé dans l’espace public. Il note aussi un effet social plus subtil : des personnes qui se savent peut-être filmées finissent par modifier leur comportement.

Le porteur : l’exemption domestique est une porte étroite

Première question : celle de la personne qui porte les lunettes. Elle échappe au RGPD tant qu’elle agit dans le cadre d’une activité strictement personnelle ou domestique, en dehors de tout contexte professionnel ou commercial (article 2, paragraphe 2, point c). Le CEPD donne deux exemples :

partager une photo ou une vidéo avec un proche ou un ami seulement,
ou utiliser la traduction en direct dans un cadre privé.

Mais il rappelle que cette exemption s’interprète strictement et au cas par cas, en renvoyant à la jurisprudence de la Cour de justice (arrêts Ryneš, Lindqvist et Buivids). Elle ne joue plus si la vidéo est diffusée à un nombre indéfini de personnes sur un compte public d'un réseau social, ni si les lunettes servent dans le cadre d’une activité officielle, professionnelle, politique ou plus généralement non personnelle. Le porteur peut alors être qualifié de responsable de traitement, ou de responsable conjoint, avec l’ensemble des obligations que cela suppose, la transparence en tête.

La bascule ne tient donc pas à l’appareil, ni même au geste d’enregistrer, mais à ce que l’on en fait. Une captation réalisée dans un cadre strictement privé peut ainsi donner lieu ensuite à un traitement qui sort de l’exemption domestique, par exemple lorsqu’elle est diffusée publiquement. Le CEPD ajoute que d’autres règles peuvent s’appliquer à celui qui enregistre voix et images, le droit pénal notamment, et que le non-respect de ces règles peut aussi remettre en cause la loyauté du traitement au sens de l’article 5 (paragraphe 1, point a).

Fabricants, applications, IA : ceux qui ne peuvent pas compter sur le porteur

L’autre moitié du texte est la plus structurante. Même quand le porteur reste dans le cadre domestique, le RGPD continue de s’appliquer à ceux qui fournissent les moyens du traitement, comme le rappelle le CEPD, en s’appuyant sur le considérant 18. Le fabricant des lunettes et le fournisseur d’une application ou d’un service associé, IA comprise, peuvent être responsables de traitement, seuls ou conjointement avec d’autres acteurs, dès lors qu’ils déterminent les finalités et les moyens. Le cas cité est parlant : le fournisseur de la fonction d’IA qui analyse l’image de la caméra pour répondre au porteur sur son environnement traite des données personnelles dès que d’autres personnes apparaissent dans le champ.

La phrase la plus utile du statement est sans doute celle-ci : ces responsables de traitement ne doivent pas s’en remettre aux actions des utilisateurs pour remplir leurs propres obligations, par exemple l’information des personnes dont les données sont capturées.

Un fabricant ne peut pas dire « c’est à l’utilisateur de prévenir les gens ».

Le CEPD ajoute que toute réutilisation pour une nouvelle finalité doit rester compatible avec la finalité initiale, en regardant de près le contexte de la collecte, surtout quand les personnes n’ont aucune relation avec le responsable de traitement.

Or l’information est le point faible. Les passants, que le texte appelle non-utilisateurs, ne savent pas qu’ils sont capturés, ni par qui, ni pour quoi, et les fonctions de traduction ou d’IA sont encore moins visibles. Une notice d’information classique ne suffit pas : l’éditeur n’a aucune relation avec ces personnes et ne peut pas les contacter. Le CEPD constate que les indicateurs actuels laissent beaucoup de non-utilisateurs dans l’ignorance, et invite à combiner plusieurs mécanismes, activés par défaut, difficiles voire impossibles à désactiver, et faciles à remarquer en pratique :

Indicateur lumineux : visible dans de nombreuses conditions d’éclairage, allumé assez longtemps, avec un enregistrement impossible quand il est masqué.
Indicateur sonore ou activation vocale obligatoire, comme le déclic d’un appareil photo.
Notification de proximité sur smartphone, par exemple via des identifiants Bluetooth, mais jamais comme unique moyen, et sans permettre de tracer les porteurs.
Design des lunettes, pour qu’on les distingue de lunettes ordinaires.

Le CEPD recommande aussi des standards sectoriels et des campagnes de sensibilisation.

Base légale : consentement difficile, intérêt légitime sous conditions

Tout traitement entrant dans le champ du RGPD doit reposer sur l’une des bases de l’article 6, et le CEPD prévient que sa validité exigera presque toujours une analyse au cas par cas : droit local applicable, traitement précis, contexte, réutilisations ultérieures. Si des catégories particulières de données sont en jeu, une exception de l’article 9 doit également s’appliquer.

Le consentement reste possible quand les conditions de l’article 7 sont réunies. Dans les pays dont la loi protège le droit à l’image, il sera même probablement la base la plus adaptée pour reproduire ou diffuser l’image de quelqu’un. Mais le fabricant ou le fournisseur d’un service associé se heurte à un mur : obtenir d’un passant, avec lequel il n’a aucune relation, un consentement libre, spécifique, éclairé et univoque paraît difficile. Un consentement recueilli après coup, une fois l’enregistrement fait, n’est pas valable, puisque la base légale doit exister avant et pendant le traitement.

Reste l’intérêt légitime, et le CEPD n’en fait pas une porte de sortie facile. Il faut vérifier trois conditions cumulatives (un intérêt légitime, un traitement nécessaire, des droits des personnes qui ne priment pas), à la lumière des attentes raisonnables des personnes concernées. Or le texte relie explicitement les deux sujets : l’insuffisance actuelle de la transparence pèse sur ces attentes, ce qui oblige à mettre en place des mesures atténuantes suffisantes pour atteindre un équilibre. Il précise même, en note, que respecter les obligations de transparence ne suffit pas à faire entrer un traitement dans les attentes raisonnables, notamment pour une réutilisation comme l’entraînement d’une IA.

C’est là que la démonstration devient la plus difficile : le CEPD juge qu’elle le serait particulièrement pour une réutilisation à des fins commerciales qui dépasse le service explicitement demandé par l’utilisateur, ou pour l’entraînement d’une IA, que les personnes filmées n’attendent pas, surtout si elles ignorent la collecte initiale. Et même si les conditions sont réunies, le responsable de traitement doit permettre à toutes les personnes de s’opposer à tout moment, ce que le texte juge délicat dans de nombreux cas.

Ces questions trouvent déjà un écho concret dans les controverses autour des lunettes IA de Meta, notamment sur la réutilisation et la revue humaine des contenus capturés.

Dans l’organisation : ce que le texte dit, et ce qu’il vous laisse trancher

Le CEPD ne consacre pas de développement au salarié qui porte des lunettes connectées, mais il pose trois repères. D’abord, un usage dans le cadre d’une activité professionnelle sort de l’exemption domestique. Ensuite, le lieu de travail est cité parmi les contextes sensibles, avec deux inquiétudes nommées : la surveillance des salariés et la confidentialité des informations de l’entité, secrets d’affaires et propriété intellectuelle compris. Enfin, l’enregistrement ou la captation sonore peut y être inapproprié, voire interdit par le droit national ou le règlement local, et certains établissements restreignent déjà ces appareils chez eux. S’y ajoutent les lieux où la captation est particulièrement délicate (établissements de santé, écoles et lieux où se trouvent des mineurs, vestiaires, piscines, toilettes), et une vigilance renforcée pour les enfants.

Ce que le texte ne dit pas, c’est qui répond de quoi lorsqu’un collaborateur porte les lunettes pendant son travail. L’usage professionnel sort de l’exemption domestique, mais cela ne fait pas automatiquement du salarié un responsable de traitement. Le statement parle de « l’utilisateur » en général, pour toute activité professionnelle, officielle ou politique, sans traiter le cas du salarié.

Les règles générales du RGPD continuent donc de s’appliquer. Selon les lignes directrices 07/2020 du CEPD sur les notions de responsable de traitement et de sous-traitant, lorsqu’un salarié traite des données dans le cadre des activités de son organisation et sous son autorité, c’est en principe l’organisation, et non le salarié à titre individuel, qui est responsable du traitement. La situation peut être différente si le collaborateur utilise les données pour ses propres finalités, en dehors du cadre qui lui a été donné.

Il faut ensuite qualifier séparément le rôle des autres acteurs. Le fabricant des lunettes, le fournisseur d’une application ou d’un service d’IA peuvent eux-mêmes être responsables de traitement, seuls ou conjointement avec d’autres acteurs, selon les finalités et les moyens qu’ils déterminent. La qualification se fait donc traitement par traitement : qui décide pourquoi les données sont capturées, comment elles sont utilisées et ce qu’elles deviennent ensuite ?

Le statement rappelle d’ailleurs les obligations qui entrent alors en jeu : protection des données dès la conception et par défaut, sécurité, catégories particulières de données, recours à des sous-traitants et sous-traitants ultérieurs, transferts hors de l’Union européenne, et dans certains cas directive ePrivacy, lorsque l’appareil est un équipement terminal dont les capteurs collectent ou envoient des informations.

Pour un DPO, la question n’est donc pas d’abord d’interdire ou d’autoriser. Cinq questions semblent plus utiles à poser :

Quels usages existent : enregistrement, diffusion en direct, traduction, assistant IA, chez les collaborateurs, les visiteurs et les prestataires.
Quelles données et quels lieux sont concernés : salles de réunion, sites sensibles, accueil, informations confidentielles, données de clients ou de patients.
Quels acteurs interviennent dans chaque traitement : collaborateur, organisation, fabricant, application, fournisseur d’IA, avec des flux de données qui partent parfois vers un tiers.
Qui détermine les finalités et les moyens, ce qui distingue un simple acteur du traitement d’un responsable de traitement, et quelles obligations en découlent pour chacun.
Comment rendre le traitement perceptible aux personnes concernées, sachant qu’aucun mécanisme ne règle seul la question de la transparence.

La première étape consiste donc à cartographier les usages et les acteurs : qui décide pourquoi les données sont capturées, qui les traite ensuite, pour quelles finalités et avec quels moyens ?