En bref
- La déclaration européenne du 13 octobre 2026 applique les règles existantes du RGPD sans créer d’interdiction générale des lunettes connectées.
- Le CEPD recommande de combiner voyant, signal sonore, notification de proximité et design distinctif pour rendre la captation compréhensible.
- Fabricants, fournisseurs de services et utilisateurs peuvent être responsables selon les finalités et les moyens qu’ils déterminent réellement.
Un premier cadre européen pour un objet encore discret
Le 13 octobre 2026, le Comité européen de la protection des données (CEPD/EDPB) a adopté une déclaration sur les lunettes connectées. La CNIL en a publié une traduction automatique et un résumé. Le texte européen, long de huit pages et qualifié d’« initial statement », ne crée pas une réglementation nouvelle et ne prononce aucune interdiction générale. Il applique le RGPD à un objet qui combine une apparence banale avec des capacités de captation et d’analyse difficiles à percevoir pour les personnes alentour.
Pour le CEPD, ces dispositifs ressemblent souvent à des lunettes ordinaires mais peuvent intégrer caméra, microphone, applications et IA, se connecter à Internet ou à un téléphone et recevoir des commandes vocales ou gestuelles. Les usages cités vont de la musique, des appels et de la navigation à la vidéo, au direct, à la traduction, à l’assistance au handicap et au travail mains libres. La CNIL avait ouvert le dossier en mai puis porté le sujet au G7. Son enquête en ligne auprès de 2 128 adultes représentatifs par quotas montrait une adoption faible — 9 % disaient les avoir essayées et 1 % en posséder — mais une forte inquiétude : 67 % y voyaient un problème pour la vie privée, 81 % un risque de filmer sans consentement supérieur au smartphone, 86 % seraient dérangés sans information et 91 % voulaient être avertis.
Une caméra au niveau du regard change la perception
Lorsqu’une paire capte, collecte, enregistre, adapte, conserve ou traite une information sur une personne identifiable, le RGPD peut s’appliquer. Selon le modèle et la fonction activée, cela peut concerner l’image, la vidéo, la voix, des conversations d’arrière-plan, une diffusion en direct, une traduction ou une analyse de l’environnement par une IA. D’autres documents officiels cités dans le dossier ajoutent localisation, GPS, capteurs inertiels et inférences sensibles. Il faut toutefois éviter une généralisation : toutes les lunettes ne possèdent pas toutes ces fonctions, ne filment pas en continu et n’envoient pas nécessairement les flux vers un serveur.
La rupture avec le smartphone tient moins à la caméra elle-même qu’à la disparition de la gestuelle visible : les lunettes suivent le regard et peuvent passer pour une monture classique. Des passants peuvent donc ignorer qu’ils sont enregistrés, qui traite leurs données et à quelle fin. Les microphones peuvent aussi capter des conversations auxquelles le porteur ne participe pas. Le CEPD considère que la reconnaissance faciale ou vocale associée à ces appareils pose un risque élevé dans l’espace public. Il cite des effets sur la vie privée, la sécurité, la liberté d’expression et de circulation, jusqu’à l’autocensure de personnes qui se savent potentiellement observées. La vigilance doit être renforcée dans les établissements de santé, écoles, lieux fréquentés par des mineurs, vestiaires, piscines, plages, toilettes, domiciles et lieux de travail, où s’ajoutent confidentialité, secrets d’affaires et surveillance des salariés.
La responsabilité ne repose pas seulement sur le porteur
Le responsable du traitement dépend de celui qui décide des finalités et des moyens : utilisateur, fabricant, fournisseur d’application ou de service IA, parfois conjointement. Un usage strictement personnel ou familial peut relever de l’exemption domestique, mais celle-ci est étroite. Une publication sur un compte social public ou un usage professionnel, officiel, politique ou commercial peut transformer l’utilisateur en responsable du traitement. Fabricants et prestataires restent responsables de leurs propres opérations et ne peuvent transférer leurs obligations au porteur. Chaque traitement couvert doit avoir une base juridique. Le consentement doit être libre, spécifique, éclairé, univoque et obtenu avant la collecte ; le demander après l’enregistrement ne suffit pas. L’intérêt légitime exige nécessité, mise en balance et droit d’opposition effectif, ce que le CEPD juge particulièrement difficile pour une réutilisation commerciale ou l’entraînement d’une IA que les passants n’attendent pas.
Un avis de confidentialité remis à l’acheteur ne renseigne pas les personnes filmées. Le CEPD demande donc une transparence immédiate et combinée : LED visible dans diverses conditions, signal sonore ou commande vocale audible, notification de proximité respectueuse de la vie privée et design distinctif. Ces mécanismes doivent être fiables et difficiles à contourner ; l’appareil ne devrait pas enregistrer si le voyant est masqué. Une notification sur smartphone ne peut être l’unique canal, car elle exclurait les personnes sans application et pourrait elle-même servir au suivi. Le comité recommande aussi de limiter enregistrement continu, direct et conservation, de flouter ou éviter l’identité des passants, de privilégier le calcul local, de désactiver le stockage persistant par défaut quand il est inutile, de prévoir un géorepérage dans des lieux sensibles et d’introduire des frictions avant le partage social. Protection dès la conception, sécurité, sous-traitance, transferts internationaux, droits des personnes, données sensibles, enfants et éventuelle application d’ePrivacy demeurent à traiter.
Une étude utile, mais impossible à généraliser
Le point politique du texte est le déplacement de la charge : la politesse du porteur ne suffit pas. Le fabricant et les services associés doivent rendre la captation perceptible et réduire structurellement les données collectées et partagées. Cette orientation rejoint le rapport sociologique « The connected gaze », commandé par le CEPD après une proposition de la CNIL. Sur 22 entretiens — 7 usagers et 15 non-usagers — il observe des usages de surveillance interpersonnelle, de captation préventive et d’administration de la preuve, ainsi qu’un déséquilibre entre l’« observateur » outillé et l’« observé ».
Ce rapport de 49 pages est celui d’un prestataire externe, le sociologue Yann Bruna : il ne reflète pas nécessairement la position officielle du CEPD, qui dit ne pas en garantir l’exactitude. Son petit corpus qualitatif, dont les usagers ont surtout été recrutés dans des groupes spécialisés sur les réseaux sociaux, ne permet aucune généralisation statistique. Le sondage CNIL mesure pour sa part des opinions déclarées en France, pas les pratiques réelles ni l’ensemble de l’Union. Enfin, la déclaration reste préliminaire, renvoie largement à l’analyse au cas par cas et annonce des travaux futurs. Elle ne vise aucun fabricant, n’annonce ni contrôle ni sanction et n’établit pas que chaque modèle réalise tous les traitements évoqués. En France, l’article 9 du Code civil protège la vie privée et l’article 226-1 du Code pénal réprime certaines captations privées sans consentement ; ces textes ne doivent pas être transformés en interdiction automatique de toute image dans la rue.
Ce qui reste à confirmer
La déclaration est préliminaire et annonce des analyses ultérieures ; elle ne tranche pas exhaustivement toutes les fonctions, bases légales ou situations nationales. La base légale, la qualification de responsable ou de coresponsable et l’application de l’exemption domestique exigent une analyse au cas par cas des finalités, moyens, destinataires, contexte et droit national. Ni la déclaration ni les sources examinées n’établissent que toutes les lunettes enregistrent en continu, transmettent systématiquement les données au fabricant, utilisent la reconnaissance faciale ou conservent les flux ; ces caractéristiques varient selon les modèles et services.