Les CNIL d’Europe réclament des lunettes qui ne filment pas en douce

Quand des Ray-Ban Meta prennent une photo ou une vidéo, une diode blanche clignote sur la monture. Pour les autorités de protection des données des pays européens, ce signal ne suffit pas à prévenir les passants qu’ils sont filmés : leur comité commun, le Comité européen de la protection des données (CEPD), qui réunit la CNIL et ses homologues, a adopté le 13 octobre une déclaration sur les lunettes connectées qui dit ce qu’il attend des fabricants, des services d’intelligence artificielle (IA) qui y sont liés et des porteurs eux-mêmes.

« Ces appareils ressemblent à des lunettes ordinaires, mais ils intègrent des caméras et des micros et sont connectés à Internet. Cela soulève de sérieuses inquiétudes pour la vie privée, car des personnes peuvent être enregistrées à leur insu », résume la présidente du CEPD, Anu Talus, dans le communiqué.

Un texte qui recommande, sans rien interdire

La déclaration ne crée aucune règle. Le CEPD la présente lui-même comme une première étape, qui expose ses « réflexions préliminaires » et donne des « orientations préliminaires » aux utilisateurs, aux fabricants et aux fournisseurs de services. Elle n’interdit aucun modèle ni aucun usage, et ne fixe ni délai ni sanction.

Ce qu’elle fait : appliquer aux lunettes le texte qui, lui, est contraignant depuis 2018, le règlement général sur la protection des données (RGPD), dès qu’elles captent l’image ou la voix d’une personne identifiable. Les verbes disent la portée : les fabricants « devraient envisager » des signaux d’enregistrement, le CEPD « encourage » le floutage des passants. Le texte vaut par ses auteurs : les autorités qui l’ont adopté ensemble sont celles qui instruisent les plaintes et prononcent les sanctions dans chaque pays.

Le texte prolonge aussi une démarche française : le rapport d’experts qui l’accompagne a été commandé sur proposition de la CNIL. Le 11 mai 2026, la CNIL avait appelé à la vigilance et annoncé vouloir porter le sujet « au niveau du Comité européen de la protection des données ». Un sondage qu’elle publiait alors, mené du 22 au 29 janvier auprès de 2 128 adultes, montrait que 67 % des sondés voient dans ces lunettes « un risque d’atteinte à la vie privée ».

Le porteur, responsable dès qu’il publie

Première question pour qui porte ces lunettes : le RGPD me concerne-t-il ? Non, tant que l’usage reste « purement personnel ou domestique » : envoyer une vidéo à un proche, traduire une conversation dans un cadre privé. C’est l’« exemption domestique » prévue par le règlement.

Mais le CEPD rappelle, jurisprudence de la Cour de justice de l’Union à l’appui, que cette exception s’interprète strictement. Une vidéo publiée sur un compte public de réseau social, ou un usage professionnel, politique ou officiel, fait du porteur un « responsable de traitement », c’est-à-dire la personne qui répond juridiquement de l’usage des données, avec toutes les obligations du RGPD, à commencer par l’information des personnes filmées.

Le droit pénal s’applique de toute façon. En France, la CNIL rappelait en mai que l’article 226-1 du code pénal punit « d’un an d’emprisonnement et de 45 000 € d’amende » le fait de « porter atteinte à l’intimité de la vie privée d’autrui » en enregistrant ou en transmettant sans son consentement l’image d’une personne « se trouvant dans un lieu privé ». Le CEPD ajoute un avertissement : un porteur ne devrait pas justifier un enregistrement continu des autres par la seule crainte, « générale ou hypothétique », pour sa sécurité.

Le fabricant ne peut pas se décharger sur l’utilisateur

L’exemption domestique ne profite qu’au porteur. Le fabricant des lunettes et le fournisseur des applications et de l’assistant d’IA restent soumis au RGPD. Le texte vise un cas précis : l’assistant qui analyse une image de la caméra où apparaissent d’autres personnes, pour répondre à une question sur l’environnement du porteur. Son fournisseur est alors responsable de traitement et ne devrait pas « s’appuyer sur les actions des utilisateurs » pour informer les passants.

Reste à trouver sur quoi fonder ce traitement, ce que le RGPD appelle la base légale. Le consentement des passants ? Le CEPD le juge difficile à obtenir pour une entreprise qui n’a aucun lien avec eux, et rappelle qu’un accord recueilli après l’enregistrement n’est pas valable. L’« intérêt légitime », la base qui permet à une entreprise de traiter des données sans accord si elle ménage les droits des personnes, demanderait des garanties solides. Il serait « particulièrement difficile à démontrer » pour des usages commerciaux qui dépassent le service demandé par le porteur, ou pour l’entraînement de modèles d’IA, que les passants « ne s’attendraient pas » à subir.

Une diode, et ses limites

Sur le signal d’enregistrement, le diagnostic est sévère : l’état actuel des voyants « laisse de nombreux non-utilisateurs dans l’ignorance » du traitement de leurs données. Le CEPD propose de combiner plusieurs moyens :

• un voyant visible « dans de nombreuses conditions d’éclairage », allumé assez longtemps, y compris quand l’image est captée pour l’assistant d’IA, et qui empêche l’enregistrement s’il est masqué ;
• des signaux sonores, comme le déclic d’un appareil photo, ou des commandes à prononcer à voix haute ;
• des notifications sur les téléphones proches, par Bluetooth, à condition qu’elles ne soient jamais le seul moyen et qu’elles ne permettent pas de pister les porteurs ;
• un dessin de monture qui distingue ces lunettes de lunettes ordinaires.

Ces mesures doivent être « impossibles ou difficiles à contourner », écrit le CEPD, qui note qu’une diode blanche peut passer pour un reflet du soleil et échappe aux personnes malvoyantes.

Pour ses Ray-Ban, Meta décrit déjà une partie de ce dispositif. Sur sa page de confidentialité, l’entreprise indique que le voyant clignote brièvement pour une photo et pendant toute une vidéo, et que si les lunettes détectent qu’il est « couvert, endommagé ou détruit », elles désactivent la caméra. En juillet, elle précisait que ce voyant « n’a pas d’interrupteur » et qu’elle poursuit en justice ceux qui vendent des services pour le neutraliser. Les pages consultées décrivent ce signal pour les contenus enregistrés dans la galerie du porteur ; elles ne disent pas s’il s’allume quand l’assistant analyse une image sans l’enregistrer.

Le terrain raconte autre chose. Le CEPD publie avec sa déclaration une enquête du sociologue Yann Bruna (université Paris-Nanterre), qui n’engage pas le comité : 22 entretiens menés de mars à août 2026, avec 7 porteurs et 15 non-porteurs. Des porteurs y présentent la diode comme une preuve de bonne foi : si la personne filmée ne réagit pas, elle consent. Des non-porteurs la jugent invisible en plein soleil, facile à masquer d’un morceau d’adhésif, et muette sur la destination des images. Deux porteurs évoquent des accessoires vendus en ligne et la possibilité de supprimer le voyant « en modifiant quelques lignes de code ». Ces témoignages n’ont pas été vérifiés sur un appareil, et ne disent pas quels modèles ni quelles versions sont en cause.

L’enquête montre aussi des lunettes devenues outils de preuve : un chauffeur de bus photographie les plaques des voitures qui frôlent son rétroviseur, un livreur filme ses livraisons pour parer aux réclamations.

Hôpitaux, vestiaires, enfants

Le CEPD cite des lieux où l’usage est particulièrement délicat : établissements de santé, écoles et lieux fréquentés par des mineurs, vestiaires, piscines, plages, toilettes, et le lieu de travail, où l’enregistrement pose la question de la surveillance des salariés et du secret des affaires. Les enfants, « moins conscients » de la présence de ces lunettes, demandent une attention particulière.

Pour réduire les risques, le texte encourage, sans les imposer : le floutage des passants, de préférence sur l’appareil lui-même plutôt que sur des serveurs ; l’absence de stockage par défaut quand les lunettes servent d’abord d’assistant en temps réel ; des blocages par géorepérage (désactivation automatique dans certaines zones) dans les lieux sensibles ; des « frictions » qui ralentissent la mise en ligne sur les réseaux sociaux. Il rappelle aussi que la directive dite ePrivacy, qui encadre l’accès aux données stockées sur un appareil connecté, peut s’appliquer aux lunettes.

Ce qui peut encore venir

Le CEPD annonce d’autres travaux, en lien avec les appareils vidéo qui posent des questions voisines, comme les sonnettes vidéo ou les caméras embarquées. Certains établissements limitent déjà ces lunettes dans leurs locaux, note-t-il, et à Hambourg une initiative propose de les interdire dans les transports publics et les piscines. Aucune obligation nouvelle ne pèse donc sur les fabricants ; le texte dit en revanche comment les autorités qui reçoivent les plaintes lisent les obligations existantes. En attendant d’éventuelles lignes directrices plus détaillées, qui « pourraient être utiles » selon le CEPD, la CNIL conseille aux porteurs de prévenir les personnes autour d’eux, de couper la captation quand elle ne sert pas et d’éteindre leurs lunettes partout où l’on demande d’éteindre son téléphone.

Les citations de la déclaration, du communiqué du CEPD, des pages de Meta et du rapport de Yann Bruna, rédigés en anglais, ont été traduites par la rédaction.