Lunettes connectées : filmer pour soi échappe au RGPD, publier ou travailler y fait entrer le porteur

Filmer vos enfants avec des lunettes connectées, pour montrer la vidéo à votre sœur, reste une affaire privée. Le règlement général sur la protection des données (RGPD) ne s’applique pas à ce cercle familial. Publier la même vidéo sur un compte public change tout. Porter les lunettes au travail aussi. Dans ces deux cas, le porteur devient responsable de traitement, tenu d’informer les personnes filmées. C’est la lecture du Comité européen de la protection des données (CEPD), dans une déclaration adoptée le 13 octobre 2026. Le Comité réunit les autorités nationales, dont la Commission nationale de l’informatique et des libertés (CNIL).

Le fabricant, lui, reste soumis au RGPD quel que soit l’usage du porteur. Dès que l’assistant d’intelligence artificielle (IA) analyse une image où figurent des passants, son fournisseur répond de ce traitement. Sortir du RGPD ne fait pas sortir du droit pour autant. La vie privée de la personne filmée reste protégée par le Code civil et, dans un lieu privé, par le Code pénal.

Une lecture commune des autorités européennes adoptée le 13 octobre 2026, qui ne crée aucune règle nouvelle

La déclaration n’invente aucun droit propre aux lunettes. Elle leur applique un critère que le RGPD contient déjà : l’exemption des activités strictement personnelles ou domestiques, prévue à l’article 2, paragraphe 2, point c). Ce critère ne regarde pas l’appareil. Il regarde à qui l’image est montrée, et en quelle qualité on agit.

Le point de départ tient en une ligne (point 3). Dès que les lunettes captent, enregistrent ou traitent une information sur une personne identifiable, ce sont des données personnelles, et le RGPD s’applique. Tout le reste du texte décide qui en porte les obligations.

Le champ est large (point 2). Il couvre les appareils qui ressemblent souvent à des lunettes ordinaires ou de soleil et embarquent caméras, micros, haut-parleurs et logiciels. Les systèmes d’IA de traduction ou d’identification d’objets en font partie. Ces lunettes se connectent à internet, à un téléphone ou à des applications, et se commandent à la voix ou par un bracelet qui détecte les gestes. Aucun fabricant ni aucun produit n’est nommé.

Le texte ne fixe ni calendrier, ni interdiction, ni amende. Le CEPD le présente lui-même comme des réflexions préliminaires (point 1). Il juge que d’autres orientations pourraient être utiles et annonce qu’il poursuivra ses travaux, y compris sur les autres dispositifs vidéo qui posent des questions juridiques voisines (points 35 et 36). Adopté et publié le 13 octobre 2026, il n’a pas de date d’entrée en application : il commente un règlement déjà en vigueur. Son poids vient de ses auteurs. Ce sont les autorités qui appliqueront le RGPD, dossier par dossier, avec les sanctions prévues par le RGPD et aucune autre.

Le calendrier explique l’arrivée du texte maintenant. La CNIL avait lancé une alerte le 11 mai 2026, cinq mois plus tôt. Son sondage en ligne, mené du 22 au 29 janvier 2026 auprès de 2 128 personnes représentatives des 18 ans et plus, montrait que 67 % d’entre elles voient dans ces lunettes un risque pour la vie privée : deux sur trois. En juin, la CNIL, qui préside en 2026 la table ronde des autorités de protection des données du G7, a publié un compendium de leurs approches. Les antécédents remontent plus loin : l’avis 8/2014 du groupe de l’article 29 (G29), puis un rapport technique de 2019.

Ce rapport de 2019 vient d’une autre institution, que le français abrège aussi en CEPD : le Contrôleur européen de la protection des données. Il n’est pas l’auteur de la déclaration. Le rapport sociologique « Le regard connecté », publié le 1^er octobre 2026, n’engage pas davantage le Comité. Commandé par le Comité sur proposition de la CNIL et rédigé par le sociologue Yann Bruna (université Paris-Nanterre), il ne reflète pas nécessairement sa position. Il décrit des usages de surveillance entre particuliers et de constitution de preuves, et une maîtrise inégale de l’outil qui crée des rapports de pouvoir entre porteurs et personnes filmées.

Cet article s’appuie sur le texte anglais de la déclaration, que la CNIL a présenté en français le jour même. Les passages cités sont traduits de l’anglais.

Filmer ses enfants au parc et l’envoyer à sa sœur : le porteur reste hors du RGPD, pas hors du droit

C’est le cas que la déclaration place hors du RGPD. Le point 13 donne deux exemples d’activité strictement personnelle :

• partager une photo ou une vidéo avec un membre de sa famille ou un ami seulement ;
• utiliser la traduction pour soi, dans un cadre privé.

La condition est commune : aucun contexte professionnel ou commercial.

L’exemption s’interprète strictement, et au cas par cas (point 14). La formule a un contenu précis, fixé par la Cour de justice de l’Union européenne (CJUE). Dans l’arrêt Ryneš du 11 décembre 2014 (C-212/13), un particulier avait fixé sur sa maison une caméra qui filmait aussi la voie publique. Pour la Cour, cela suffisait à sortir de l’activité exclusivement personnelle ou domestique (points 29, 31 et 33 de l’arrêt). Pour les lunettes, la déclaration fait porter le critère sur le cercle de diffusion et la qualité du porteur.

La sécurité personnelle n’ouvre pas de passe-droit. Selon la déclaration, « un utilisateur ne devrait pas justifier l’enregistrement continu ou indiscriminé d’autres personnes uniquement par une préoccupation générale ou hypothétique pour sa sécurité personnelle » (point 33). La caméra de M. Ryneš avait été posée après des agressions. La Cour ne l’a pas fait entrer dans l’exemption pour autant. Elle a seulement admis que les intérêts légitimes du particulier soient pris en compte au titre des autres dispositions du droit de la protection des données (point 34 de l’arrêt).

Hors du RGPD ne veut pas dire hors du droit. La déclaration le rappelle : le porteur qui enregistre une voix ou une image peut relever d’autres lois, notamment pénales (point 15). En France, deux articles jouent :

• l’article 9 du Code civil protège la vie privée de chacun, dans les lieux privés comme dans les lieux publics ;
• l’article 226-1 du Code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de fixer, d’enregistrer ou de transmettre sans son consentement l’image d’une personne se trouvant dans un lieu privé.

Pour l’image, le second ne vise pas la rue ni le parc. Le premier, si. Selon les circonstances, le droit du travail national ou des règles sectorielles peuvent aussi interdire certains usages (point 34 de la déclaration). L’exemption domestique décharge le porteur des obligations du RGPD : base légale, information, réponse aux demandes. Elle ne le décharge ni de sa responsabilité civile ni de sa responsabilité pénale.

Publier la vidéo sur un compte public fait du porteur un responsable de traitement

La même vidéo change de statut dès qu’elle est postée sur un compte public de réseau social. Elle devient accessible à un nombre indéfini de personnes, et l’exemption ne s’applique plus (point 14). Le porteur devient responsable, ou coresponsable, de traitement. Il doit alors respecter toutes les obligations du RGPD, à commencer par la transparence.

La Cour de justice a déjà tranché ce cas, sans lunettes. Dans l’arrêt Buivids du 14 février 2019 (C-345/17), un particulier avait filmé dans un commissariat. Il avait ensuite publié la vidéo sur une plateforme de partage, sans restriction d’accès. Accessible à un nombre illimité de personnes, elle sortait de l’exemption domestique. Une vidéo tournée avec des lunettes et postée en public se trouve exactement dans cette situation. Le G29 l’écrivait dès 2014 : l’exemption ne s’applique généralement pas aux enregistrements publiés en ligne. La ligne a donc été tracée plusieurs fois, et pas par le seul CEPD.

Devenir responsable de traitement a un contenu concret. Le porteur qui publie doit :

• disposer d’une base légale pour diffuser l’image d’un tiers ;
• informer les personnes filmées ;
• répondre à leurs demandes.

La base légale, en pratique, c’est le consentement. La déclaration le juge probablement le plus approprié lorsque le droit national protège le droit à l’image (point 28), ce qui est le cas en France. Pour un particulier, tout cela se ramène au geste que la CNIL recommandait dès mai 2026 : obtenir l’accord des personnes avant de mettre en ligne.

Reste la vidéo à visée d’information, tournée pour témoigner d’une scène. La déclaration n’en traite pas. L’arrêt Buivids admet qu’une publication puisse relever des fins journalistiques, même quand son auteur n’est pas journaliste. Il renvoie l’appréciation au juge national, au cas par cas. Il n’y a donc ni exclusion automatique, ni couverture garantie.

En réunion, en mission ou en campagne électorale, l’exemption tombe d’emblée

Le cercle de diffusion n’est pas le seul critère. Les lunettes utilisées dans une activité officielle, professionnelle, politique ou plus largement non personnelle sortent de l’exemption, même si aucune image n’est publiée (point 14). Le porteur est responsable de traitement dès la première image. Ses obligations sont celles de quiconque publie : base légale, information, réponse aux demandes.

Au travail, deux intérêts s’ajoutent à ceux des passants (point 10). Les collègues, d’abord, que l’enregistrement peut placer sous surveillance. L’entreprise, ensuite, dont les secrets d’affaires et la propriété intellectuelle passent devant l’objectif. Une réunion filmée expose les deux à la fois.

La déclaration dresse aussi la liste des lieux où l’enregistrement peut être inapproprié, voire interdit par le droit national ou des règles locales (point 10) :

• les établissements de santé ;
• les écoles et les lieux fréquentés par des mineurs ;
• les vestiaires, les piscines et les plages ;
• les toilettes.

Des établissements ont déjà pris les devants. Le compendium du G7 relève que des salles d’examen et des salles d’audience ont restreint l’usage des lunettes. La déclaration cite en notes une initiative à Hambourg, qui vise à proposer leur interdiction dans les transports publics et les piscines. Elle cite aussi une proposition de loi californienne, SB 1130, sur les appareils d’enregistrement portables. Leur état d’avancement n’est pas précisé, et la déclaration ne fait état d’aucune interdiction générale des lunettes dans l’Union. Pour un salarié ou un visiteur, la règle à consulter d’abord est donc celle du lieu : un règlement intérieur peut fermer la porte aux lunettes.

L’assistant IA qui décrit la scène engage le fabricant envers chaque passant

Les responsabilités s’empilent, elles ne se transfèrent pas. C’est le passage qui protège le plus directement la personne filmée. Même quand le porteur filme ses enfants hors RGPD, le règlement continue de s’appliquer à ceux qui fournissent les moyens du traitement (point 16, qui s’appuie sur le considérant 18 du RGPD). Sont visés le fabricant des lunettes et le fournisseur d’une application ou d’un service lié, y compris un système d’IA.

Le cas typique est l’assistant. Le porteur demande à ses lunettes ce qu’il a sous les yeux. Le fournisseur de l’IA analyse alors l’image de la caméra, où apparaissent d’autres personnes. Il détermine les finalités et les moyens de ce traitement. Cela fait de lui un responsable de traitement, seul ou conjointement avec le fabricant (point 17).

La conséquence pour le passant tient dans le point 18. Les fabricants et fournisseurs responsables de traitement « ne devraient pas compter sur les actions des utilisateurs pour remplir leurs propres obligations au titre du RGPD, comme la transparence envers les autres personnes dont les données pourraient être traitées ». Des conditions d’utilisation qui demanderaient au porteur de prévenir son entourage ne devraient donc pas suffire à décharger le fabricant. La protection du passant ne dépend pas de la bonne volonté du porteur.

Le consentement, base légale la plus naturelle, fonctionne mal ici. Le fabricant n’a aucune relation avec les personnes filmées et ne peut pas les joindre. Un consentement libre, spécifique, éclairé et univoque est donc difficile à obtenir (point 29). Et un accord recueilli après l’enregistrement n’est pas valable.

Reste l’intérêt légitime, prévu à l’article 6, paragraphe 1, point f) du RGPD. Il exige une analyse au cas par cas et des mesures d’atténuation suffisantes (point 30). Les personnes doivent pouvoir s’y opposer à tout moment, en vertu de l’article 21, paragraphe 1. Le CEPD admet que ce droit peut s’avérer difficile à exercer face à des lunettes. D’où la pression vers des réglages protecteurs par défaut.

L’enjeu commercial se situe là. Le CEPD juge l’intérêt légitime particulièrement difficile à démontrer pour deux usages :

• les réutilisations commerciales qui dépassent le service demandé par l’utilisateur ;
• l’entraînement de systèmes d’IA.

Le passant ne s’y attend pas, et souvent ne sait même pas qu’il a été filmé. Toute réutilisation pour une finalité nouvelle passe aussi un test de compatibilité avec la finalité d’origine (articles 5, paragraphe 1, point b), et 6, paragraphe 4). Le contexte de collecte y pèse lourd quand les personnes n’ont aucune relation avec l’entreprise (point 19). La déclaration ne vise aucune entreprise : elle décrit des obligations, pas des manquements constatés.

Un voyant qui bloque l’enregistrement s’il est masqué, parmi les mesures que le CEPD invite les fabricants à envisager

Pour la personne filmée, le problème commence avant le droit : elle ne sait pas qu’elle est filmée. Le CEPD en fait un défi majeur (points 20 à 23). Le non-porteur ignore souvent qui filme, et pourquoi. La traduction et les fonctions d’IA peuvent, elles aussi, être particulièrement invisibles. Selon le texte, l’état actuel des voyants laisse beaucoup de passants dans l’ignorance, et une mention d’information classique ne semble, pour eux, ni suffisante ni adaptée.

Le CEPD invite fabricants et responsables de traitement à envisager de combiner plusieurs mesures (point 24) :

• un voyant lumineux visible dans de nombreuses conditions d’éclairage, allumé assez longtemps, et qui empêche l’enregistrement s’il est masqué ;
• un signal sonore, et des commandes vocales prononcées à voix haute ;
• une notification de proximité sur smartphone, jamais seule, que l’on peut refuser et qui ne permet pas de pister le porteur ;
• un design distinctif.

Le voyant seul ne suffit pas, et le texte dit pourquoi. Une diode électroluminescente (LED) blanche peut passer pour un reflet, et une personne malvoyante peut avoir du mal à la remarquer, voire ne pas la remarquer du tout (note 19). Ces mesures devraient être impossibles ou difficiles à désactiver (note 17). Toute mesure technique qui porte la transparence doit être efficace, difficile à contourner et tenue à jour. Le CEPD appelle à des normes communes au secteur et à des campagnes de sensibilisation (points 25 et 26).

Le point 33 ajoute des réglages qui réduisent ce que l’appareil garde :

• limiter l’enregistrement continu, le direct et la durée de conservation ;
• flouter les passants ou ne pas traiter leur identité, pseudonymiser ou anonymiser avant tout partage, de préférence sur l’appareil ;
• désactiver par défaut le stockage persistant sur les lunettes d’assistance en temps réel ;
• recourir au géorepérage dans les lieux sensibles ;
• ajouter des frictions qui ralentissent le partage sur les réseaux sociaux.

Ces réglages rejoignent le raisonnement juridique. Moins l’appareil conserve et identifie, plus l’intérêt légitime devient défendable face au passant. Le texte rappelle aussi, sans les détailler, d’autres obligations (point 32) : protection des données dès la conception et par défaut, sécurité, catégories particulières de données, sous-traitants, transferts hors de l’Union. Il y ajoute la protection des enfants, plus exposés au traitement dissimulé.

Un fabricant a déjà bougé dans ce sens. Selon The Next Web, Meta a annoncé le 27 août 2026 une mise à jour qui coupe la caméra si le voyant est masqué en cours d’enregistrement. Elle suit une première mise à jour qui désactivait la caméra quand la LED était percée. C’est une annonce de l’entreprise, rapportée par une seule source de presse, qui ne précise pas les modèles concernés. La déclaration, qui ne nomme aucun produit, ne valide ni ne met en cause cet appareil. Pour juger des lunettes croisées dans la rue ou en rayon, la grille du CEPD donne trois repères : un voyant visible en plein jour, qui coupe l’enregistrement s’il est masqué, doublé d’un autre signal.

La personne filmée s’appuie sur trois textes, selon le lieu et l’usage

Vous apparaissez sur la vidéo d’un inconnu. Ce que vous pouvez lui opposer dépend de deux choses : le lieu où vous vous trouviez, et ce qui est fait de l’image.

• L’article 9 du Code civil, partout. Il protège la vie privée dans les lieux privés comme publics, que le porteur soit soumis au RGPD ou non.
• L’article 226-1 du Code pénal, dans un lieu privé. Fixer, enregistrer ou transmettre sans consentement l’image d’une personne qui s’y trouve est puni d’un an d’emprisonnement et de 45 000 euros d’amende. Pour l’image, il ne couvre pas la voie publique.
• Le RGPD, dès que l’image entre dans son champ. Il vise le porteur qui publie ou qui travaille, et dans tous les cas le fabricant ou le fournisseur d’IA qui traite l’image.

Face à un responsable de traitement, vous disposez des droits sur vos données personnelles. Le droit d’opposition de l’article 21 vise précisément les traitements fondés sur l’intérêt légitime, la base qui reste au fabricant quand le consentement des passants est hors d’atteinte. La transparence vous est due directement : un fabricant responsable ne devrait pas compter sur le porteur pour vous informer (point 18). Un exemple de recours fondé sur le RGPD montre comment ces droits s’exercent en pratique.

Un quatrième texte peut s’ajouter, indépendant du RGPD. Dans certaines circonstances, les lunettes peuvent être regardées comme un équipement terminal au sens de la directive 2002/58/CE, dite ePrivacy (point 32, note 36). Le texte cite notamment le cas où leurs capteurs collectent et stockent localement des informations, et celui où ce qu’elles captent est envoyé par défaut vers un serveur distant. L’accès à l’équipement peut alors relever de l’article 5, paragraphe 3, de la directive. Le compendium du G7 rapportait en juin une lecture plus générale : des lunettes connectées à internet y sont considérées comme des équipements terminaux exigeant un consentement préalable. La déclaration européenne, plus récente, reste au conditionnel. La question n’est pas tranchée de façon générale.

Quatre situations, quatre réponses : tableau de synthèse

Le tableau se lit d’abord par sa troisième colonne. Quelle que soit la ligne, le fabricant et le fournisseur d’IA restent dans le RGPD : seul le porteur entre et sort selon l’usage. Avant de publier, la question utile est celle du cercle, un proche ou un compte ouvert à tous. Pour la personne filmée, le couple formé par le lieu et l’usage de l’image désigne le texte à ouvrir.

Questions fréquentes

Une vidéo prise avec des lunettes connectées et envoyée en message privé est-elle soumise au RGPD ?

Pas pour le porteur, si elle n’est partagée qu’avec un membre de la famille ou un ami, hors de tout contexte professionnel ou commercial. C’est l’exemption domestique, selon le point 13 de la déclaration du CEPD du 13 octobre 2026. Le fabricant et le fournisseur d’IA restent, eux, soumis au RGPD pour ce qu’ils traitent. Le porteur reste tenu par l’article 9 du Code civil et, si la personne filmée se trouvait dans un lieu privé, par l’article 226-1 du Code pénal.

Peut-on publier une vidéo de lunettes connectées où apparaissent des inconnus ?

La publication sur un compte public fait sortir de l’exemption domestique. Le porteur devient responsable de traitement : il lui faut une base légale et il doit informer les personnes filmées. La CNIL recommande d’obtenir leur consentement avant la mise en ligne. Une visée journalistique peut être reconnue par le juge au cas par cas, selon l’arrêt Buivids de 2019, sans que ce soit automatique.

Le fabricant peut-il entraîner son IA sur les images des passants ?

Le CEPD juge l’intérêt légitime particulièrement difficile à démontrer pour l’entraînement d’IA, que les passants n’attendraient pas. Le consentement est lui aussi difficile à obtenir pour un fabricant sans relation avec eux, et il n’est pas valable s’il est recueilli après l’enregistrement. La déclaration place donc la barre haut, sans poser d’interdiction en tant que telle.

La déclaration du CEPD sur les lunettes connectées est-elle obligatoire ?

Elle ne crée ni règle nouvelle, ni interdiction, ni amende : c’est une lecture du RGPD, que le CEPD qualifie de préliminaire. Le RGPD qu’elle interprète, lui, s’impose. Elle indique comment les autorités nationales, dont la CNIL, entendent l’appliquer, et d’autres orientations sont annoncées.

Que faire si l’on pense avoir été filmé à son insu par des lunettes connectées ?

Le texte applicable dépend du lieu et de l’usage de l’image. L’article 9 du Code civil protège la vie privée partout ; l’article 226-1 du Code pénal réprime la captation sans consentement de l’image d’une personne dans un lieu privé. Si l’image est publiée ou traitée par un fabricant, les droits du RGPD s’exercent auprès du responsable du traitement, et l’autorité de protection des données, en France la CNIL, en contrôle le respect.