Le régulateur néerlandais avertit que publier des vidéos de lunettes-caméras est généralement illégal sans base RGPD

L’Autorité néerlandaise de protection des données a publié un avertissement destiné aux consommateurs qui utilisent des lunettes-caméras ressemblant à des lunettes ordinaires. Selon elle, publier des personnes reconnaissables filmées avec ces appareils est presque toujours illégal, sauf si l’utilisateur dispose d’une base légale valable au titre du RGPD. L’avertissement, émis le 22 septembre, ne présente pas ces lunettes comme un simple accessoire nouveau, mais comme un outil capable de capter des données personnelles dans des situations du quotidien.

Ce qui change

Il ne s’agit pas d’une nouvelle loi, mais d’une clarification réglementaire à un moment où les lunettes-caméras commencent à toucher un public plus large. L’autorité indique que des millions de consommateurs adoptent des dispositifs qui ressemblent à des lunettes normales tout en pouvant enregistrer des images et de l’audio. Cette conception compte, car les personnes à proximité peuvent ne pas se rendre compte qu’elles sont enregistrées, ni que leur image ou leur voix pourra ensuite être traitée ou publiée.

Le point central du régulateur est que les images et l’audio de personnes reconnaissables constituent des données personnelles au sens du RGPD. Dès qu’une personne peut être identifiée à partir d’une vidéo, d’images ou d’un son, les règles encadrant les données personnelles peuvent s’appliquer. L’enregistrement, le traitement ou la publication ne relèvent donc pas seulement des usages sociaux ou de la politesse. Ils peuvent devenir une question juridique nécessitant une base au regard du droit de la protection des données.

L’avertissement distingue l’usage privé de la divulgation publique. Le RGPD contient une exception dite domestique, mais l’autorité la présente comme étroite. Elle ne s’applique généralement qu’à un usage strictement privé. Dès que les images sont publiées publiquement, partagées au-delà d’un cadre privé ou utilisées d’une manière qui affecte des personnes extérieures à cette sphère privée, l’exception peut ne plus s’appliquer. C’est pourquoi l’autorité insiste particulièrement sur la publication : l’enregistrement peut déjà créer des obligations, notamment la nécessité d’une base légale et, dans de nombreuses situations, un devoir d’information des personnes filmées. Publier des personnes reconnaissables qui ne s’attendaient pas à être filmées ajoute une étape et un effet supplémentaire sur la vie privée. Sans consentement ou autre base légale valable, l’autorité estime qu’une telle publication publique est généralement illégale.

Comment fonctionne le test juridique

Dans la présentation du régulateur, la première question consiste à déterminer si le contenu comprend des données personnelles. Avec des lunettes-caméras, cela peut inclure à la fois des images et de l’audio. Un visage reconnaissable, une voix ou un contexte environnant permettant d’identifier quelqu’un peuvent suffire à faire entrer le RGPD en jeu. Le fait que la caméra soit intégrée dans une monture de lunettes ne change pas cette qualification juridique.

La deuxième question est de savoir si la personne qui utilise les lunettes dispose d’une base licite. Le consentement est une base possible, mais l’autorité ne dit pas qu’il s’agit de la seule. Elle indique en revanche que l’enregistrement et la publication exigent une base légale, et qu’une publication publique est généralement illégale sans consentement ou autre base valable. L’implication pratique est que les utilisateurs ne peuvent pas supposer que la présence dans un lieu public ou semi-public autorise automatiquement la publication d’images identifiables.

La troisième question est celle de l’information des personnes filmées. L’autorité indique que, dans de nombreuses situations, il existe une obligation d’informer les personnes captées. Les lunettes-caméras compliquent ce point, car leur format peut rendre l’enregistrement moins visible qu’avec une caméra tenue à la main ou un téléphone. Si les personnes ne savent pas que de l’audio ou de la vidéo est capté, elles ne peuvent pas facilement comprendre comment leurs données pourraient être utilisées. L’exception domestique reste la principale limite pour les utilisateurs ordinaires, mais le régulateur l’aborde avec prudence. Un usage strictement privé peut sortir du champ du RGPD. Une publication publique, en règle générale, non. Cette distinction signifie qu’un clip conservé à des fins purement personnelles peut être traité différemment du même clip mis en ligne là où d’autres peuvent le regarder.

Ce que les chiffres prouvent, et ce qu’ils ne prouvent pas

L’avertissement de l’autorité fait référence à des millions de consommateurs adoptant des lunettes-caméras. Ce chiffre soutient l’analyse du régulateur selon laquelle le sujet ne se limite plus à un petit nombre de premiers utilisateurs. Une technologie qui ressemble à des lunettes ordinaires peut amplifier les risques pour la vie privée, car l’enregistrement peut se produire dans des espaces sociaux courants plutôt que dans des environnements de tournage clairement contrôlés.

Ce nombre ne prouve pas, à lui seul, à quelle fréquence des personnes sont filmées illégalement ni à quelle fréquence des images sont publiées sans base légale. Il n’établit pas non plus combien d’utilisateurs comprennent les obligations RGPD susceptibles de s’appliquer. L’avertissement doit donc être lu comme un signal réglementaire préventif, et non comme une mesure publiée des violations. La même prudence vaut pour la préoccupation relative aux indicateurs d’enregistrement dissimulés. L’Association néerlandaise des consommateurs a, séparément, demandé à Meta d’interdire les caches qui masquent les voyants d’enregistrement. Cette demande indique une préoccupation de défense des consommateurs concernant la visibilité et l’information. Elle n’établit pas, d’après les faits disponibles ici, dans quelle mesure ces caches sont utilisés ni si Meta a modifié ses règles en réponse.

Une autre limite importante concerne les assistants d’IA. L’autorité avertit que des assistants d’IA peuvent traiter de la vidéo ou de l’audio même lorsque l’appareil ne conserve pas d’enregistrement permanent. Ce point porte sur le traitement, et pas seulement sur le stockage. Si un appareil analyse un flux vidéo en direct ou une entrée audio pour fournir une assistance, des données personnelles peuvent tout de même être traitées, même si l’utilisateur ne peut pas ensuite relire un fichier sauvegardé.

Implications pratiques

Pour les utilisateurs, l’implication immédiate est que les lunettes-caméras ne doivent pas être traitées comme des lunettes ordinaires lorsque d’autres personnes sont reconnaissables. Une personne qui les porte peut avoir besoin d’une base légale avant d’enregistrer ou de publier, et peut devoir informer les personnes filmées. La mise en ligne de personnes qui ne se doutent de rien est le risque le plus clair décrit par le régulateur, en particulier lorsqu’il n’existe ni consentement ni autre base valable.

Pour les personnes qui gèrent des lieux sensibles, l’autorité formule une recommandation concrète. Les hôpitaux, les tribunaux et les lieux de culte sont invités à traiter les lunettes-caméras dans leurs règlements intérieurs. Ces exemples comptent, car ce sont des endroits où les personnes peuvent avoir des attentes renforcées en matière de vie privée, de confidentialité ou de dignité. Des règles internes peuvent rendre les restrictions d’enregistrement plus claires avant l’apparition de litiges.

Pour les plateformes et les écosystèmes d’appareils, l’avertissement souligne l’importance de signaux d’enregistrement visibles et de la compréhension par les utilisateurs. La demande distincte de l’Association néerlandaise des consommateurs adressée à Meta au sujet des caches masquant les voyants pointe une tension pratique : si un signal peut être dissimulé, les personnes à proximité peuvent avoir moins de chances de savoir qu’elles sont enregistrées. L’analyse RGPD du régulateur ne dépend pas uniquement des voyants, mais la visibilité affecte la capacité à informer les personnes.

La portée plus générale est que le régulateur néerlandais applique des principes existants de protection des données à un format conçu pour se fondre dans la vie quotidienne. Les lunettes-caméras peuvent paraître ordinaires, mais les images et les voix reconnaissables restent des données personnelles. La question juridique n’est donc pas de savoir si l’appareil paraît anodin à celui qui le porte, mais si l’enregistrement et toute publication disposent d’une base RGPD valable et respectent les personnes captées.