Le 13 octobre 2026, le Comité européen de la protection des données a adopté sa déclaration 1/2026 consacrée aux lunettes connectées. Le CEPD la présente comme une première orientation, destinée aux utilisateurs, aux fabricants et aux fournisseurs de services. Elle arrive deux semaines après un rapport du Support Pool of Experts, « The connected gaze », commandé sur proposition de la CNIL. Ce blog a présenté cet été les recommandations de la CNIL ; la déclaration européenne apporte une grille commune aux autorités de l’Union, et surtout une répartition des responsabilités que les hôpitaux, les écoles et les employeurs peuvent reprendre dans leurs règles internes.
La déclaration du CEPD sur les lunettes connectées en quelques lignes
Le texte part d’un constat simple : ces appareils ressemblent à des lunettes ordinaires et embarquent caméra, microphones, haut-parleurs et fonctions d’intelligence artificielle. Dès qu’ils captent l’image ou la voix d’une personne identifiable, le RGPD s’applique. Le CEPD cite les lieux où le risque est le plus élevé : établissements de soins, écoles et lieux accueillant des mineurs, vestiaires, piscines, toilettes. Il demande une attention particulière pour les enfants, moins à même de repérer ces appareils.
Le rapport du Support Pool of Experts, rédigé par une sociologue du numérique et qui n’engage pas le CEPD, apporte le regard du terrain. À partir de cas réels, il décrit des lunettes devenues outils de surveillance entre particuliers et de constitution de preuves, avec un déséquilibre net entre celui qui filme et celui qui est filmé.
Le porteur devient responsable de traitement hors du cadre privé
L’apport principal porte sur l’exemption domestique. Le CEPD rappelle qu’elle doit être interprétée strictement et appréciée au cas par cas. Envoyer une photo à un proche ou utiliser la traduction pour soi reste hors RGPD. En revanche, publier une vidéo sur un compte public de réseau social, ou porter les lunettes dans une activité officielle, professionnelle ou politique, fait du porteur un responsable de traitement, parfois conjoint, avec en premier lieu une obligation de transparence envers les personnes filmées.
Le CEPD ajoute que, même lorsque le RGPD ne s’applique pas, le droit pénal, le droit civil et le droit du travail restent applicables. Pour un établissement, la conséquence est directe. Un soignant, un enseignant ou un agent d’accueil qui utilise des lunettes connectées pendant son service n’agit pas à titre privé, et la responsabilité de ce traitement remonte le plus souvent vers l’organisme qui l’emploie. Si personne ne l’a autorisé ni encadré, l’organisme se retrouve responsable d’un traitement qu’il n’a jamais inscrit à son registre.
Fabricants et fournisseurs : pas de report sur l’utilisateur
Le fabricant, l’éditeur de l’application associée ou le fournisseur du service d’IA qui analyse les images peuvent être responsables de traitement, seuls ou conjointement. Le CEPD écarte une tentation commerciale : ces acteurs ne peuvent pas compter sur le comportement des porteurs pour remplir leurs propres obligations, y compris l’information des personnes filmées.
Sur la base légale, la déclaration est prudente. Le consentement des personnes filmées est difficile à recueillir, et un consentement obtenu après la captation n’est pas valable. L’intérêt légitime demande une mise en balance au cas par cas, et le CEPD le juge particulièrement difficile à démontrer pour une réutilisation commerciale ou pour l’entraînement de modèles d’IA que les passants ne peuvent pas anticiper. Toute réutilisation doit rester compatible avec la finalité initiale.
Les mesures attendues sont précises : limiter l’enregistrement continu, la diffusion en direct et la durée de conservation ; flouter les tiers avant tout partage ; traiter sur l’appareil quand c’est possible ; désactiver par défaut le stockage persistant des fonctions d’assistance ; prévoir un géorepérage dans les lieux sensibles ; ralentir le partage vers les réseaux sociaux par des étapes de confirmation.
Un signal d’enregistrement impossible à masquer
Le CEPD consacre un passage détaillé au signal d’enregistrement. Le voyant lumineux doit être visible dans des conditions d’éclairage variées, rester allumé assez longtemps pour être compris, et l’enregistrement doit devenir impossible si le voyant est couvert. Des signaux sonores, une activation vocale ou des notifications sur les smartphones à proximité peuvent compléter le dispositif, à condition que ces notifications ne servent pas à pister les porteurs. Le CEPD relève lui-même les limites du voyant : une LED blanche peut passer pour un reflet, et une personne malvoyante ne la verra pas.
Pour un établissement, la leçon est pratique. Un voyant sur la monture ne remplace ni une règle d’accès ni une signalétique. Dans une chambre d’hôpital ou une salle de classe, la personne filmée n’a souvent ni le temps ni la possibilité de repérer une petite lumière.
Hôpitaux, écoles, employeurs : ce que l’organisme doit faire
La déclaration du CEPD ne traite pas de l’analyse d’impact et ne dicte pas de règlement intérieur. Elle donne en revanche assez d’éléments pour qu’un organisme prenne position. Sur le terrain, auprès d’établissements de santé et de collectivités, je recommande de traiter le sujet en une seule fois plutôt qu’au premier incident.
- Écrire une règle. Le règlement intérieur, ou la charte pour les visiteurs et les familles, précise si les appareils capables de filmer sont admis, dans quelles zones et à quelles conditions. Pour les salariés, toute restriction doit être justifiée par la nature des tâches et proportionnée au but recherché.
- Cartographier les zones sensibles : salles de soins et d’examen, chambres, vestiaires, salles de classe, lieux d’accueil de mineurs. La déclaration les cite expressément.
- Afficher la règle à l’entrée et former l’accueil à la faire respecter, avec une conduite à tenir quand une personne refuse d’ôter ses lunettes.
- Encadrer l’usage professionnel s’il est envisagé (maintenance, assistance à distance, formation) : inscription au registre, analyse du rôle du fournisseur, contrat de sous-traitance au titre de l’article 28 si le fournisseur agit pour l’organisme, vérification des transferts hors Union. Dès que des données de santé ou des mineurs peuvent être filmés, une AIPD me paraît s’imposer.
- Prévoir la procédure d’incident : qui reçoit la plainte d’une personne filmée, comment conserver les éléments, quand orienter vers un dépôt de plainte, et comment qualifier une éventuelle violation de données au sens de l’article 33.
- Sensibiliser le personnel, qui sera le premier interlocuteur des personnes filmées comme des porteurs.
Le CEPD annonce qu’il poursuivra ses travaux sur ces appareils et appelle à des normes communes au secteur. Les organismes n’ont pas besoin d’attendre ces normes pour fixer leurs propres règles. Le texte complet est disponible sur le site du CEPD, avec le communiqué de présentation et la déclaration au format PDF.
Les DPO du réseau DPO FRANCE accompagnent les établissements de santé, les collectivités et les employeurs dans la rédaction de ces règles et dans l’analyse des usages professionnels d’objets connectés. DPO SUITE permet de tenir au même endroit le registre, les AIPD, les contrats avec les fournisseurs et la trace des incidents liés à ces appareils.
