Souriez, vous êtes filmés à votre insu
Ne pas interdire les lunettes connectées mais en encadrer très fermement les usages : c’est en substance la déclaration adoptée par le Comité européen de la protection des données. Le régulateur veut imposer davantage de transparence à ces appareils qui se fondent dans le décor, mais rappelle aussi que leurs porteurs engagent leur responsabilité.
Le Comité européen de la protection des données (EDPB) a adopté une déclaration sur les lunettes connectées de type Meta Ray-Ban. Ces appareils font couler beaucoup d’encre en raison des menaces qu’ils font peser sur la vie privée et de leur utilisation malveillante (les fameuses « pervert glasses »). Le régulateur liste un certain nombre de recommandations pour les constructeurs, mais aussi pour les utilisateurs qui doivent prendre leur responsabilité.
Lorsque l’usage dépasse le cadre strictement personnel, ils peuvent eux-mêmes être soumis aux obligations du RGPD. Ce qui signifie informer clairement et explicitement les personnes alentour lors de l’utilisation de leurs montures, en particulier quand elles enregistrent de la vidéo et du son.
« Les utilisateurs de lunettes connectées devraient toujours veiller à respecter la vie privée et la dignité des autres personnes, et à ne pas entreprendre avec leurs lunettes connectées d’actions susceptibles de leur porter préjudice. Informer explicitement les autres personnes de l’utilisation de lunettes connectées est pertinent à cet égard. »
C’est d’autant plus nécessaire dans « certains contextes », comme dans des établissements de santé, des vestiaires, des piscines, des plages, des toilettes, ou encore là où se trouvent des mineurs. L’EDPB relève aussi que l’utilisation de lunettes connectées sur le lieu de travail peut « soulever des préoccupations concernant la surveillance des employés et la confidentialité des informations de l’organisation, y compris les secrets d’affaires et la propriété intellectuelle. »
Des voyants pas si visibles
Tout traitement de données personnelles entrant dans le champ du RGPD doit reposer sur une base légale valable. Le consentement en fait partie, en particulier quand le droit à l’image est en jeu (l’usage strictement personnel reste, lui, en principe hors du champ du RGPD). Recueillir ce consentement est plus facile à dire qu’à faire, surtout avec des appareils qui savent se fondre dans le décor. C’est pourquoi l’EDPB insiste aussi sur la responsabilité des constructeurs et des fournisseurs de services associés et ce, dès la conception de leurs produits.
« [Les fabricants] devraient envisager de combiner un large éventail de mécanismes de transparence lors de la conception et du développement de lunettes connectées, y compris des mesures qui assurent par défaut une transparence immédiate, au moment même où le traitement a lieu, ainsi que la fourniture des informations requises par le RGPD. »
Concrètement, le Comité évoque des indicateurs visuels et sonores. On connait la diode LED des lunettes Meta qui s’active lors de l’enregistrement vidéo, cela pourrait être un signal audio au moment d’une prise de photo ou des notifications de proximité sur les smartphones. Mais attention : « il est nécessaire de s’assurer [que ces mesures techniques] soient efficaces, impossibles ou difficiles à contourner, et mises à jour chaque fois que nécessaire. »
L’EDPB relève aussi le peu d’efficacité de la loupiote, qui peut être « difficile, voire impossible » à percevoir pour les personnes malvoyantes. Elle peut aussi être confondue avec un reflet ou un éclat de soleil.
Une simple LED ne suffit pas pour la transparence
Alors que les technologies de plus en plus miniaturisées permettent de créer des lunettes connectées ressemblant comme deux gouttes d’eau à des montures classiques, le Comité européen plaide pour l’inverse. « D’autres éléments dans la conception des lunettes pourraient être envisagés afin d’aider les non-utilisateurs à distinguer les lunettes connectées des lunettes ordinaires », explique-t-il.
Parmi les autres mesures que les constructeurs devraient mettre en œuvre, l’EDPB suggère une limitation de l’enregistrement en continu, la réduction des durées de conservation, le floutage ou l’anonymisation des personnes alentour, le traitement direct sur l’appareil quand c’est possible, la désactivation par défaut du stockage persistant quand il n’est pas nécessaire, voire des restrictions géographiques dans les lieux sensibles.
Enfin, l’EDPB appelle au développement de standards communs à l’industrie et à des campagnes de sensibilisation, afin que le grand public puisse identifier ces appareils et « comprendre quel type de traitement de données peut avoir lieu dans différentes situations. »
L’EDPB est un organisme indépendant créé en 2018 qui regroupe les autorités nationales de protection des données des pays de l’Espace économique européen. Il veille à l’application cohérente du RGPD dans les pays de l’EEE. Ses recommandations n’ont pas force de loi, mais elles orientent l’interprétation du règlement par les autorités de protection des données et peuvent aussi éclairer la Commission européenne. La problématique des lunettes connectées a provoqué pas mal de remous en Europe ces derniers mois, d’une interdiction temporaire en Norvège à une campagne de publicité négative très agressive au Royaume-Uni.
Connexion
