Les lunettes connectées (« smart glasses ») offrent des usages innovants, qu’il s’agisse d’aider une personne à s’orienter, de traduire une conversation en temps réel, de favoriser l’autonomie des personnes à mobilité réduite (déficience visuelle ou auditive), de guider un technicien lors d’une intervention ou encore de faciliter une expertise médicale à distance. Elles doivent toutefois être utilisées dans le respect du droit à la vie privée et de la protection des données personnelles.
Les lunettes connectées, qu’est-ce que c’est ?
Les lunettes connectées sont équipées de caméras intégrées et présentent une apparence similaire à celle de lunettes classiques (verres classiques, solaires ou même correcteurs). Elles peuvent embarquer diverses technologies comme un microphone, des haut-parleurs, une connexion Bluetooth ou Wi-Fi, un assistant vocal et parfois même des fonctionnalités faisant appel à des systèmes d’intelligence artificielle (SIA).
Ces lunettes qui se connectent aux smartphones offrent dès lors de nombreuses fonctionnalités variables telles que la prise de photos ou vidéos, la navigation ou la recherche sur Internet, la traduction instantanée, la réponse à des appels téléphoniques ou l’envoi de messages. Grâce à l’intelligence artificielle, les lunettes connectées peuvent répondre aux questions de l’utilisateur via un agent conversationnel (« chatbot »), décrire son environnement (par ex. : « Peux-tu identifier ce bâtiment ? »), reconnaître des objets ou des textes (tels que des panneaux, menus, etc.), ou encore l’assister dans certaines tâches du quotidien (par ex. : « Quelle est la prochaine étape de mon itinéraire ? »). Pour fournir ces fonctionnalités, le SIA peut traiter des informations collectées au moyen des capteurs intégrés aux lunettes, notamment la caméra ou le microphone, afin d’analyser des éléments visuels ou sonores de l’environnement de l’utilisateur.
L’ensemble de ces fonctionnalités avancées implique néanmoins le traitement d’un grand nombre de données, dont des données à caractère personnel (art. 4 du Règlement général sur la protection des données personnelles (« RGPD »)). Selon les modèles et les usages, les lunettes connectées sont notamment susceptibles d'enregistrer la voix, de capter des images et des vidéos de l’environnement, y compris des personnes se trouvant à proximité, de traiter des données de localisation via le GPS ou le téléphone auquel elles sont connectées, ainsi que des informations relatives aux habitudes d'utilisation (lieux fréquentés, horaires d'utilisation, contenus consultés, etc.).
Certaines lunettes connectées pourraient, à l’avenir, intégrer des fonctionnalités de reconnaissance faciale et traiter ainsi des données biométriques. Concrètement, il suffirait de regarder une personne pour que les lunettes l’identifient et affichent, directement dans le champ de vision de l’utilisateur, des informations telles que son nom ou ses profils sur les réseaux sociaux. Si cette technologie n’est pas encore proposée sur les modèles destinés au grand public, elle soulève déjà d’importantes questions en matière de respect de la vie privée. Les données biométriques sont particulièrement sensibles. Le RGPD, parmi d’autres textes légaux encadrant l’usage de la reconnaissance faciale, leur accorde une protection renforcée, et leur traitement est en principe interdit (RGPD, art. 9).
Pourquoi les lunettes connectées suscitent-elles autant d’interrogations ?
L’utilisation des lunettes connectées soulève des questions importantes en matière de protection de la vie privée et des données à caractère personnel, notamment en ce qui concerne l’information et le consentement des personnes concernées.
Contrairement à un smartphone, les lunettes connectées peuvent être utilisées de manière plus discrète, ce qui rend leur utilisation moins perceptible par les personnes présentes à proximité. Celles-ci peuvent ainsi ne pas se rendre compte qu'elles sont filmées, photographiées ou enregistrées, ou ne pas savoir, le cas échéant, que les informations collectées seront analysées par un SIA. Cette faible visibilité complique dès lors l'information des personnes concernées et, plus largement, l'exercice effectif de leurs droits en matière de protection des données à caractère personnel.
Si certains modèles disposent d’un voyant lumineux indiquant qu’un enregistrement est en cours, ce signal peut toutefois être difficile à percevoir selon la luminosité et l’angle de vue. Par ailleurs, ce voyant ne permet pas toujours d'indiquer l'ensemble des fonctionnalités activées par les lunettes. Cette difficulté est d’autant plus importante que les personnes présentes dans l’environnement de l’utilisateur peuvent ne pas être conscientes de l’existence même des lunettes connectées. Dans tous les cas, la seule présence d’un voyant lumineux ne saurait suffire à garantir le respect du principe de transparence et des obligations d’information prévues aux articles 12 et 13 du RGPD. Les personnes susceptibles d’être filmées ou enregistrées devraient pouvoir être informées de manière claire quant à la collecte de leurs données et de l’usage qui peut en être fait.
Cette question est d’autant plus importante que les images, vidéos ou enregistrements sonores captés par ces dispositifs peuvent ensuite être conservés, diffusés, partagés ou modifiés sans le consentement des personnes concernées. Ils sont également susceptibles d’alimenter des outils d’intelligence artificielle capables de générer des contenus falsifiés, tels que les deepfakes.
Au-delà de la collecte initiale, une autre question essentielle concerne le parcours des données après leur capture. En effet, certaines informations collectées ne sont pas nécessairement traitées sur les lunettes elles-mêmes et peuvent être transmises sur un service de stockage en ligne (« cloud ») pour leur conservation, leur synchronisation ou encore l'analyse nécessaire et les réponses liées à certaines fonctionnalités. Cet aspect échappe souvent au regard de l’utilisateur et soulève des questions importantes : Où les données sont-elles conservées ? Qui peut y accéder ? Peuvent-elles être réutilisées à d’autres fins ?
Enfin, comme pour tout objet connecté, ces lunettes peuvent également être exposées à des risques de piratage, voire de vol. Ces situations peuvent compromettre la confidentialité des données collectées. La protection et la sécurité de ces dispositifs constituent également un enjeu essentiel pour éviter que des informations sensibles ne soient détournées.
Plus largement, la généralisation des lunettes connectées pourrait transformer notre rapport à l'espace public. Le développement de leurs capacités de captation et d’analyse pourrait favoriser la normalisation d’une surveillance quasi invisible et omniprésente, soulevant des questions majeures quant à l’équilibre entre innovation technologique et libertés individuelles. Ces enjeux relèvent toutefois d’une réflexion éthique et sociétale qui dépasse le seul cadre juridique de la protection de la vie privée et des données personnelles.
L’usage des lunettes connectées est-il encadré ?
À ce jour, la vente et la détention de lunettes connectées ne sont pas interdites de manière générale.
Toutefois, à l’instar d’un système de vidéosurveillance classique, l’utilisation de lunettes connectées est soumise au RGPD lorsqu’elles permettent de collecter et/ou traiter des données à caractère personnel, notamment en filmant ou en enregistrant des personnes identifiables.
Dans ce cas, les principes du RGPD doivent être respectés. Cela implique notamment de disposer d’une base de licéité pour le traitement (par exemple le consentement ou l’intérêt légitime), de respecter les principes de loyauté et de transparence, de limiter la collecte aux seules données nécessaires, de ne pas conserver les données plus longtemps que nécessaire et de mettre en œuvre des mesures de sécurité appropriées pour les protéger.
Le RGPD prévoit toutefois une exception et ne s’applique pas lorsque les lunettes connectées sont utilisées dans le cadre d’une activité strictement personnelle ou domestique (RGPD, art. 2). Ainsi, l’usage d’une caméra ou de lunettes connectées dans un contexte familial privé (par exemple à son domicile ou sur son propre terrain) ne relève pas, en principe, du champ d’application du RGPD.
Cette exception ne s'applique toutefois que tant que les images ou enregistrements restent confinés à la sphère strictement privée. Dès lors qu’ils sont diffusés publiquement, notamment sur les réseaux sociaux, ou que l’usage des lunettes connectées dépasse un cadre personnel – par exemple lorsqu’elles permettent de filmer des passants dans des espaces accessibles au public, des salariés ou des clients – le traitement de données est susceptible de relever du RGPD. Les obligations prévues par ce règlement deviennent alors pleinement applicables pour celui qui utilise des lunettes connectées. En pratique, un particulier qui souhaiterait, par exemple, enregistrer des images de la voie publique pourrait ainsi rencontrer de sérieuses difficultés à démontrer que son usage repose sur une base de licéité valable au sens du RGPD.
Indépendamment du RGPD, l’utilisateur doit aussi respecter les règles relatives à la protection de la vie privée et au droit à l’image, ainsi que les éventuelles règles internes applicables dans certains lieux. Ces dernières peuvent interdire ou encadrer l’utilisation de ces dispositifs, notamment dans les entreprises, les piscines ou plages publiques, les espaces de bien-être (« wellness areas »), les établissements de santé ou les établissements scolaires.
Dans un lieu public, comme dans un lieu privé, toute personne a le droit de contrôler l'utilisation de son image. Le droit à l’image constitue, à cet égard, une règle essentielle à prendre en compte lors de l’utilisation des lunettes connectées et ce d’autant plus que certains modèles de lunettes permettent aussi de diffuser des images en direct (« livestream ») sur les réseaux sociaux en seulement quelques manipulations. Or, la plupart des prises de vue ou diffusions d’images nécessitent en principe le consentement préalable de toute personne apparaissant dans le champ de vision de la caméra. Pour rappel, la jurisprudence différencie entre les photos ciblées et les photos non-ciblées. Les photos ciblées sont celles dans lesquelles une personne est le sujet principal, en y figurant seule, en y étant mise à l’avant-plan ou en y prenant une pose (même en groupe). Les photos non-ciblées reflètent l’ambiance générale sans avoir une ou plusieurs personnes en tant que sujet principal. Le consentement (même tacite) est nécessaire pour les photos ciblées. En général, le fait de prendre une pose, individuellement ou en groupe, peut être considéré comme un consentement tacite à la prise de vue. Pour les photos non-ciblées, il suffit en général d’informer les personnes concernées. Le respect du droit à l’image peut donc s’avérer particulièrement difficile à garantir dans le cadre de l’utilisation d’un système de captation tel que les lunettes connectées. En cas de non-respect, les personnes concernées sont loisibles d’introduire une action en dommages et intérêts et/ou une action en cessation devant les juridictions civiles si elles estiment que les photographies et enregistrements en question portent atteinte à leur droit à l’image. Ce droit appartient exclusivement aux personnes apparaissant effectivement sur les photographies ou vidéos.
La protection de la vie privée, quant à elle, est garantie par la Charte des droits fondamentaux de l’Union européenne (art. 7) et, au Luxembourg, par la Constitution (art. 20), ainsi que par la loi du 11 août 1982,[1] qui consacre le droit de chacun au respect de son intimité. Ainsi, l’utilisation de lunettes connectées pour capter ou enregistrer, sans son consentement, l’image ou la voix d’une personne se trouvant dans un lieu non accessible au public est susceptible de constituer une infraction pénale. Les auteurs de tels faits s’exposent à une peine d’emprisonnement de huit jours à un an et/ou à une amende de 251 à 5000 euros (loi du 11 août 1982, art. 2).
Nos recommandations pour les utilisateurs de lunettes connectées
Quelles que soient leurs fonctionnalités, les lunettes connectées doivent être utilisées avec prudence. Des réflexes simples permettent à la fois de protéger vos données personnelles et de respecter la vie privée des personnes qui vous entourent.
Ne captez pas l’image ou la voix d’une personne à son insu
Une attention particulière doit être portée au respect de la vie privée et aux différentes règles applicables lorsque vous envisagez d’enregistrer, de photographier ou de filmer des personnes identifiables. Le simple fait qu’un témoin lumineux soit activé sur vos lunettes ne garantit pas une information claire, effective et suffisante des personnes concernées.
Avant de capturer, de diffuser ou de partager l’image d’une personne identifiable, assurez-vous qu’elle en est informée et vérifiez que vous êtes autorisé à le faire. En cas de doute, privilégiez la prudence et évitez toute utilisation qui pourrait porter atteinte à la vie privée d’autrui.
Respectez les lieux où les prises de vue, les enregistrements et les diffusions sont interdits ou inappropriés.
Avant d’utiliser vos lunettes connectées, vérifiez si le lieu comporte une signalétique, un règlement ou des consignes relatives aux prises de vue, aux photographies ou aux enregistrements.
Respectez également les éventuelles règles fixées par le gestionnaire des lieux ou, sur votre lieu de travail, par votre employeur. L’utilisation de lunettes connectées dans un cadre professionnel doit en effet être compatible avec les règles internes applicables dans l’entreprise.
Dans tous les cas, faites preuve de discernement et de bon sens dans les lieux sensibles (écoles, hôpitaux, administrations, entreprises, tribunaux, vestiaires, toilettes, salles de sport, piscines, plages, espaces de bien-être (« wellness areas »), etc.).
Paramétrez les options de confidentialité de vos lunettes connectées (et, le cas échéant, de l’application associée).
Avant d'utiliser vos lunettes connectées, prenez connaissance des principales modalités de traitement de vos données personnelles et vérifiez les paramètres de confidentialité proposés par le fabricant. Portez une attention particulière aux fonctionnalités impliquant l'enregistrement de données, leur transfert vers le cloud ou le recours à l'intelligence artificielle.
N'activez que les fonctionnalités adaptées à vos besoins et, lorsque cela est possible, privilégiez les paramètres limitant la collecte, le partage et le transfert de vos données personnelles.
Effectuez régulièrement les mises à jour des lunettes connectées (et, le cas échéant, de l’application associée).
Les mises à jour permettent de bénéficier des derniers correctifs de sécurité et, le cas échéant, d'améliorations relatives à la protection des données et à la confidentialité.
Protégez également l’accès à vos lunettes et à l’application associée à l’aide d’un mot de passe robuste ou d’un autre moyen d’authentification (code PIN, biométrie, etc.) Pensez à déconnecter les anciens appareils, comme un téléphone que vous n’utilisez plus, afin d’éviter tout accès non autorisé à vos données.
En cas de perte ou de vol, modifiez rapidement le mot de passe de votre compte associé et utilisez, lorsque cette fonctionnalité existe, les outils permettant de sécuriser ou supprimer vos données à distance.
Veillez à ne pas conserver plus longtemps que nécessaire les photos, vidéos ou autres données enregistrées avec vos lunettes connectées
En supprimant les photos, vidéos et autres informations inutiles, vous limitez les risques liés à une conservation excessive de vos données personnelles.
Si vos contenus sont synchronisés avec un service en ligne, vérifier également leur suppression dans le compte associé.
Avant de vendre, donner ou recycler vos lunettes connectées, pensez à supprimer vos données personnelles et à réinitialiser l’appareil.
[1] Loi du 11 août 1982 concernant la protection de la vie privée (Mém. A86 du 12/10/1982).