Lunettes connectées : le CEPD fixe les règles RGPD (13/10/2026)
Le 13 octobre 2026, le Comité européen de la protection des données a adopté sa première déclaration sur les lunettes connectées. Voici ce qu'elle change pour une PME qui équipe ses équipes d'une caméra, et pour celle qui confie ces images à une IA.
En bref
Le 13 octobre 2026, le Comité européen de la protection des données (CEPD) a adopté sa déclaration 1/2026 sur les lunettes connectées, publiée le lendemain[1]. C'est la première position européenne qui traite les lunettes à caméra comme une catégorie d'appareils à haut risque pour la vie privée des personnes filmées. Le texte n'est pas contraignant, mais il fixe la grille que les autorités de France, de Belgique, des Pays-Bas et du Luxembourg appliqueront.
Ce que dit la déclaration en trois points
Trois exigences concrètes ressortent. D'abord, l'enregistrement doit être visible en permanence : un simple voyant ne suffit pas, il faut plusieurs signaux impossibles à désactiver, et la caméra doit se couper si l'indicateur est masqué[1]. Ensuite, la responsabilité repose sur le fabricant et le fournisseur de l'application, pas sur la personne qui porte les lunettes[1]. Enfin, le consentement rétroactif est nul : on ne peut pas filmer d'abord et demander l'autorisation ensuite[1].
Pourquoi votre PME est concernée
Vous n'avez pas besoin de vendre des lunettes pour être touché. Une PME qui équipe ses techniciens, installateurs, préparateurs de commandes ou agents de terrain de lunettes à caméra — assistance à distance, contrôle qualité, inventaire — devient responsable du traitement de ces images. Le CEPD est explicite : l'entreprise ne peut pas se défausser sur « c'est le salarié qui a filmé »[1]. Filmer un client ou un passant sans transparence en temps réel, c'est s'exposer à une plainte et à un contrôle, comme la CNIL l'a rappelé en levant l'injonction contre France Travail sur la sécurité des données.
L'IA, le point qui va compter
La déclaration vise aussi l'entraînement des modèles. Réutiliser des images de personnes filmées sans lien avec l'entreprise pour entraîner une IA exige une analyse d'intérêt légitime, et un consentement obtenu après coup ne vaut rien[1]. Le rapport technique publié en septembre par l'autorité de Hambourg sur les lunettes Ray-Ban Meta conclut dans le même sens : filmer au-delà du cercle proche du porteur n'est « en général » pas permis[2]. Les PME déjà engagées dans l'IA mesurent ce flou : notre analyse de l'enquête européenne sur l'IA en PME le chiffre.
Quatre pays, une même ligne
La déclaration du CEPD sert de référence commune, mais chaque pays l'applique par son autorité : la CNIL en France, l'APD en Belgique, l'Autoriteit Persoonsgegevens aux Pays-Bas et la CNPD au Luxembourg. Concrètement, une PME qui déploie des lunettes à caméra doit pouvoir répondre à l'autorité de son pays avec les mêmes éléments — transparence, base légale, analyse d'impact — qu'elle opère à Bruxelles ou ailleurs. Pour nos clients bruxellois, nous vérifions ces points avant tout déploiement, comme pour la prise de rendez-vous B2B à Bruxelles.
À faire cette semaine
- Recensez tout appareil à caméra porté par vos équipes (lunettes, badges, casques).
- Vérifiez que l'enregistrement est signalé de façon visible et continue.
- Interdisez la réutilisation des images pour entraîner une IA sans analyse écrite.
- Formez les équipes : filmer un client ou un passant n'est jamais anodin.
- Documentez la base légale (contrat, intérêt légitime) de chaque usage.
Chez CyberNovaLabs.io
Une caméra qui filme mal est un risque juridique, pas un gadget. Nous aidons les PME des quatre pays à mettre en ordre leurs outils, de la cybersécurité et de la conformité à l'IA en entreprise. Prenez rendez-vous pour un état des lieux.
Sources
- EDPB — Statement 1/2026 on smart glasses (publiée le 14/10/2026)
- HmbBfDI (Hambourg) — Prüfbericht Ray-Ban Meta AI Glasses (10/09/2026)
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Failles critiques PHP : votre site web est concerné (21/10/2026)
Deux vulnérabilités critiques dans PHP, le moteur sous la plupart des sites de PME, permettent une exécution de code à distance sans authentification. Les correctifs sont sortis le 21 octobre 2026. Ce qu'il faut vérifier cette semaine, et ce qui ne sera jamais corrigé.
Lire l'article →22 octobre 2026 · 9 min de lectureNIS2 Pays-Bas : éditeurs de logiciels et prestataires IT, concernés ?
Éditer un logiciel ne figure pas dans la loi néerlandaise. Gérer l'infrastructure d'un client, héberger, surveiller : si. Voici comment trancher votre cas en dix minutes, avec les dates néerlandaises, l'autorité compétente et la règle d'établissement principal qui décide qui vous contrôle.
Lire l'article →20 octobre 2026 · 8 min de lectureProspecter aux Pays-Bas : les règles de la prise de rendez-vous B2B
L'article 11.7 de la loi télécom néerlandaise trie vos cibles par forme juridique. Appeler une BV est permis, appeler un indépendant exige un consentement : 76,0 % des entreprises néerlandaises sont des personnes physiques.
Lire l'article →20 octobre 2026 · 9 min de lectureNIS2 Luxembourg : hôtellerie et tourisme sont-ils concernés ?
L'hébergement et la restauration ne figurent dans aucune annexe de la loi luxembourgeoise NIS2. Trois obligations vous rattrapent pourtant, et l'une d'elles décide déjà de vos contrats d'entreprise.
Lire l'article →19 octobre 2026 · 8 min de lectureNIS2 Belgique : votre boutique en ligne est-elle concernée ?
Un webshop belge qui vend ses propres produits n'est presque jamais concerné par NIS2. Une place de marché, elle, est une entité importante — et devait s'enregistrer auprès du CCB dès le 18 décembre 2024, trois mois avant tout le monde. Ce qui s'applique vraiment, ce qui ne s'applique pas, et ce que vos clients vous demanderont quand même.
Lire l'article →18 octobre 2026 · 7 min de lecturePrise de rendez-vous B2B : cabinets comptables et fiduciaires
Deux demandes se cachent derrière « je veux des rendez-vous avec des comptables » : vendre aux cabinets, ou être un cabinet qui cherche des clients. La première bute sur un calendrier fixé par la loi. La seconde bute sur un code de déontologie qui encadre le démarchage et la reprise du dossier d'un confrère. Les deux sont traitées ici.
Lire l'article →