Lunettes connectées, caméras partout : que dit vraiment le RGPD sur notre vie privée ?

Introduction : L'effacement du capteur et l'illusion de l'invisibilité

Le 13 octobre 2026, le Comité européen de la protection des données (CEPD / EDPB) a adopté sa Déclaration officielle sur les lunettes connectées (Statement on smart glasses). Il s'agit d'orientations préliminaires majeures, non d'obligations nouvelles autonomes. Elles s'inscrivent au cœur d'une interrogation démocratique devenue obsédante : sommes-nous observés, filmés et analysés à chaque instant dans l'espace public ?

Pendant des décennies, la vidéosurveillance reposait sur des dispositifs fixes, massifs, signalés par des panonceaux légaux et cantonnés aux façades des immeubles, aux gares ou aux carrefours urbains. Les caméras de surveillance des entreprises et des collectivités, les dashcams automobiles, les sonnettes vidéo connectées (smart doorbells), les smartphones et les action cams ont déjà densifié notre environnement quotidien. Mais l'arrivée sur le marché grand public de lunettes connectées indiscernables de montures optiques ordinaires opère une rupture anthropologique et juridique.

Équipées de micro-caméras grand-angle, de réseaux de microphones directionnels, de puces de transmission sans fil et d'agents d'intelligence artificielle multimodale intégrés en temps réel, ces lunettes déplacent le capteur au niveau même du regard humain.

Face à ce paysage saturé de capteurs, le Règlement Général sur la Protection des Données (RGPD) n'est ni démuni ni obsolète. Cet article décrypte la réalité doctrinale des règles applicables, la portée exacte de la déclaration du CEPD du 13 octobre 2026, les fausses croyances entourant l'exception domestique, et la responsabilité conjointe qui lie les porteurs, les constructeurs et les géants de l'intelligence artificielle.

En 30 secondes — Les repères cardinaux :
1. La voix et le regard sont des données personnelles : Tout individu identifiable par son visage, sa silhouette, son timbre vocal ou ses propos captés à son insu bénéficie de la protection intégrale du RGPD (Art. 4.1).
2. L'exception domestique est d'interprétation stricte : Porter des lunettes dans la rue ou lors d'une réunion publique ne relève pas de la sphère purement personnelle (CJUE Ryneš C-212/13). Toute mise en ligne ou usage professionnel fait de l'utilisateur un responsable de traitement.
3. Une simple LED ne suffit pas : Le CEPD exige une combinaison robuste de signaux visuels inaltérables, d'alertes sonores, de notifications de proximité et d'un design physiquement différencié des montures classiques.
4. Les fabricants ne peuvent pas se défausser : Concevoir un équipement qui incite ou facilite la captation clandestine viole l'obligation de protection des données dès la conception et par défaut (Art. 25).
5. Nature juridique exacte : La déclaration du 13 octobre 2026 est une déclaration officielle d'orientations préliminaires du CEPD, distincte du rapport externe d'expert The connected gaze (SPE) publié le même jour.

---

1. Un paysage saturé de caméras : de la caméra fixe à la monture ubiquitaire

Pour mesurer l'enjeu juridique, il convient de replacer les lunettes connectées dans la trajectoire historique des technologies de captation optique :

`` Évolution de la captation visuelle dans l'espace public : [Caméras fixes CCTVs] ──► [Smartphones & Dashcams] ──► [Lunettes connectées & IA] • Emplacement statique • Geste de visée ostensible • Dissimulation dans le regard • Panonceau réglementaire • Téléphone brandi à la main • Captation passive et permanente • Périmètre circonscrit • Temporalité délimitée • Traitement multimodal par IA ``

Si les caméras urbaines et les smartphones imposent une posture corporelle visible (bras levé, appareil pointé), les lunettes connectées inaugurent le paradigme du « regard instrumenté » (the connected gaze). Le tiers croisé sur un trottoir, le serveur dans un restaurant, l'usager dans une rame de métro ou l'enfant jouant dans un parc ne peuvent plus discerner si la personne qui les regarde leur porte simplement attention ou si elle enregistre, transcrit et soumet leur image à une analyse biométrique ou textuelle hébergée dans le cloud.

---

2. Les principes intangibles du RGPD face à la captation visuelle

Le RGPD (Règlement UE 2016/679) s'applique dès lors qu'il existe un traitement de données à caractère personnel. Or, une photographie, un enregistrement vidéo ou un flux audio constituent des données personnelles dès lors qu'ils permettent d'identifier, directement ou indirectement, une personne physique (Article 4.1) :

• L'exigence d'une base juridique (Article 6) : Aucun enregistrement ne peut s'opérer sans fondement légal préalable.
• La transparence et l'information préalable (Articles 12, 13 et 14) : Toute personne dont l'image ou la voix est captée doit savoir qui traite la donnée, pourquoi, pendant combien de temps et comment exercer ses droits.
• La minimisation des données (Article 5.1.c) : Ne capter et ne conserver que ce qui est strictement nécessaire à la finalité légitime poursuivie.
• La limitation de la conservation (Article 5.1.e) : L'enregistrement continu sans purge automatisée viole directement le principe de proportionnalité temporelle.
• La protection dès la conception et par défaut (Article 25) : Les dispositifs matériels et logiciels doivent intégrer nativement des barrières techniques empêchant la surveillance clandestine.

---

3. L'illusion de l'« exemption domestique » (Article 2.2.c)

L'argument le plus couramment brandi par les utilisateurs de smart glasses consiste à invoquer l'exception dite domestique ou personnelle prévue à l'article 2.2(c) du RGPD, aux termes duquel le règlement ne s'applique pas aux traitements effectués par une personne physique au cours d'activités « strictement personnelles ou domestiques ».

Cette croyance repose sur une méconnaissance profonde de la jurisprudence constante de la Cour de Justice de l'Union européenne :

L'arrêt de principe CJUE František Ryneš (C-212/13, 2014)

Dans son arrêt historique du 11 décembre 2014, la Cour de Justice a jugé qu'une caméra installée sous l'avant-toit d'une maison d'habitation pour protéger le domicile familial, mais qui filme ne serait-ce qu'une portion de la voie publique et l'entrée des voisins, sort immédiatement et intégralement du champ de l'exception domestique. Dès lors que l'appareil s'oriente, même partiellement, vers un espace partagé accessible à autrui, le droit de l'Union s'applique de plein fouet.

L'arrêt CJUE Bodil Lindqvist (C-101/01, 2003)

Dès 2003, la Cour avait posé que la diffusion de données personnelles sur Internet ou sur un compte public accessible à un cercle indéterminé de personnes ne constitue jamais une activité purement domestique.

L'application directe aux lunettes connectées

Le CEPD réaffirme dans sa déclaration du 13 octobre 2026 cette ligne d'interprétation stricte :

• Usage privé résiduel : L'utilisateur qui utilise ses lunettes pour afficher des indications de navigation GPS sur ses verres sans rien enregistrer, ou qui dicte une note personnelle conservée localement dans sa mémoire fermée, relève de la sphère personnelle.
• Bascule immédiate vers le RGPD : Dès lors que l'utilisateur filme des passants dans la rue, diffuse en streaming live (live stream), publie le contenu sur les réseaux sociaux, ou utilise ses lunettes dans un cadre professionnel, commercial, associatif ou politique, l'exception domestique est écartée. L'utilisateur endosse la qualité de responsable de traitement avec toutes les charges légales afférentes.

---

4. Ce que dit concrètement la Déclaration du CEPD du 13 octobre 2026

Le Comité européen de la protection des données a posé des balises doctrinales précises pour encadrer le déploiement de ces équipements. Il convient de lire cette déclaration avec rigueur : elle formule des orientations préliminaires, sans créer de nouvelles obligations autonomes en dehors des articles existants du RGPD.

1. Captation discrète et contextes ultrasensibles

Le CEPD alerte sur le risque de captation subreptice. Les risques d'atteinte disproportionnée aux droits et libertés sont démultipliés dans les contextes suivants :

• Les établissements scolaires, crèches et aires de jeux ;
• Les établissements de santé, hôpitaux, cabinets médicaux et pharmacies ;
• Les lieux de travail (risques d'évaluation clandestine ou de surveillance des salariés) ;
• Les vestiaires, toilettes publiques, plages, saunas ou tout espace lié à l'intimité corporelle ;
• Les rassemblements politiques, religieux ou manifestations syndicales.

Le CEPD rappelle que les législations nationales répressives (notamment relatives à l'atteinte à l'intimité de la vie privée, au voyeurisme et à la captation non consentie) et les règles sectorielles demeurent pleinement applicables, aux côtés du RGPD.

2. Qui est responsable du traitement ?

Le CEPD refuse catégoriquement l'idée selon laquelle seul l'acheteur des lunettes porterait le fardeau de la conformité :

• L'utilisateur : Il n'est pas responsable s'il reste dans les limites de l'usage purement privé. Dès qu'il franchit ce seuil (diffusion publique, usage professionnel), il devient responsable de traitement.
• Les fabricants de matériel et de systèmes d'exploitation : Ils déterminent les moyens essentiels (choix des capteurs, présence ou absence de LED, cryptage, ergonomie de partage). Ils sont soumis à l'obligation de Privacy by Design (Art. 25).
• Les fournisseurs de services cloud et d'IA : Lorsque les lunettes envoient le flux audio ou vidéo vers des serveurs distants pour transcription, reconnaissance visuelle ou entraînement de modèles de fondation, ces fournisseurs agissent comme responsables de traitement distincts ou conjoints (Art. 26). Ils ne peuvent en aucun cas contractuellement se défausser de leurs devoirs sur l'acheteur final.

3. La transparence en temps réel : pourquoi une LED ne suffit pas

L'un des apports majeurs de la déclaration réside dans le rejet d'une simple diode électroluminescente (LED) comme gage suffisant de transparence :

« Un simple voyant lumineux est aisément masqué par un adhésif, invisible en plein soleil, méconnu du grand public et incapable de délivrer les mentions d'information obligatoires prévues aux articles 13 et 14 du RGPD. »

Le CEPD recommande une combinaison cumulée de mesures :

• Indicateurs visuels inviolables : LED à forte intensité, intégrée dans le circuit optique pour interdire l'enregistrement en cas d'obstruction physique ou de désactivation logicielle ;
• Signaux sonores ou alertes vocales perceptibles : Émission d'un son distinct au déclenchement et à la fin de l'enregistrement ;
• Notifications de proximité respectueuses de la vie privée : Diffusion par ondes courtes (Bluetooth Low Energy / Wi-Fi direct) d'un signal normalisé indiquant aux smartphones environnants qu'une captation optique est active dans le périmètre immédiat ;
• Design distinctif : Conception physique des montures empêchant qu'elles soient confondues avec des lunettes de vue conventionnelles.

4. Base juridique et minimisation des données

Sur quelle base légale un porteur de lunettes peut-il filmer dans l'espace public ?

• Le consentement (Art. 6.1.a) : En pratique, recueillir le consentement préalable, libre, spécifique, éclairé et univoque de tous les passants traversant le champ de vision est matériellement impossible.
• L'intérêt légitime (Art. 6.1.f) : Il exige un test de mise en balance rigoureux (LIA). L'intérêt personnel de l'utilisateur à documenter sa journée ou à créer du contenu ne saurait, en règle générale, prévaloir sur le droit fondamental à la vie privée des passants filmés à leur insu, sauf garanties techniques draconiennes.

Parmi ces garanties indispensables, le CEPD préconise :

• Le floutage automatique et irréversible des visages et des plaques dès la capture au niveau matériel (edge processing) ;
• Le traitement local sur l'appareil sans transmission cloud systématique ;
• L'interdiction d'enregistrements continus en continu (continuous recording) au profit de séquences courtes volontaires ;
• L'introduction de « frictions d'ergonomie » avant tout partage sur les réseaux sociaux.

---

5. Tableau comparatif : Caméras traditionnelles vs Lunettes connectées

---

6. Synthèse des Sources Officielles & Références Doctrinales

---

Conclusion : L'espace public ne peut devenir un laboratoire de captation permanente

La déclaration du CEPD du 13 octobre 2026 rappelle une vérité juridique cardinale : l'innovation technologique ne suspend pas l'état de droit. Si les lunettes connectées promettent des usages d'assistance remarquables pour les personnes malvoyantes, les traducteurs instantanés ou les techniciens industriels, leur banalisation dans l'espace public ne peut s'effectuer au prix d'une surveillance rampante de la société.

Pour les constructeurs, la messe est dite : le temps où l'on pouvait commercialiser des caméras espionnes déguisées en montures rétro en rejetant toute la responsabilité légale sur les épaules du consommateur est révolu. Le respect du principe de Privacy by Design — via le chiffrement local, le floutage automatique des tiers, des signaux d'enregistrement audibles et visuels inviolables — constitue la seule condition de viabilité de ces technologies en Europe.

Quant aux citoyens et utilisateurs, la règle d'or demeure limpide : porter un capteur sur son visage transforme chaque regard vers autrui en un acte juridique engageant.

---

À propos de l'Auteur :
« Lexi est l'assistant documentaire et la voix doctrinale de RGPD.click. Ni technophobe, ni naïf face aux mirages industriels, Lexi décortique les textes européens et nationaux avec la rigueur du droit positif et l'exigence des libertés fondamentales. »