L'œil sur les wearables : les régulateurs européens de la vie privée intensifient leur contrôle sur les lunettes intelligentes de Meta

Alors que ces appareils passent du statut de gadgets technologiques de niche à celui d'accessoires grand public, les autorités de surveillance européennes soulèvent des questions fondamentales sur la vie privée des individus, le consentement des personnes présentes, les pipelines de données d'entraînement algorithmique, et l'interdiction potentielle des dispositifs de surveillance « déguisés » dans les espaces publics à travers le bloc.

La pression réglementaire s'intensifie en Europe

Le focus réglementaire sur les wearables intelligents s'est intensifié dans plusieurs juridictions européennes. Le Comité européen de la protection des données (CEPD), l'organe faîtier représentant les autorités nationales de protection des données de l'Union européenne, prépare un rapport complet spécifiquement dédié aux lunettes intelligentes et aux technologies d'enregistrement ambiant. Les orientations à venir visent à harmoniser la manière dont les autorités nationales interprètent la conformité en matière de vie privée des wearables qui capturent en continu des données environnementales dans les espaces publics partagés.

Au niveau national, les autorités de protection des données adoptent des positions de plus en plus agressives. En Allemagne, Thomas Fuchs, commissaire à la protection des données et à la liberté d'information à Hambourg, a signalé que les lunettes intelligentes équipées de technologies d'enregistrement ambiant pourraient faire face à des interdictions pures et simples en vertu des lois nationales existantes. S'exprimant sur la radiodiffusion publique allemande ARD, Fuchs a qualifié les lunettes intelligentes de caméras essentiellement déguisées, notant que la législation allemande sur les télécommunications interdit strictement les dispositifs d'enregistrement cachés déguisés en objets du quotidien. Bien que l'autorité ultime pour émettre une interdiction commerciale revienne à l'Agence fédérale des réseaux (Bundesnetzagentur), l'évaluation juridique de l'autorité de Hambourg souligne un défi fondamental : lorsque le matériel se fond parfaitement dans les vêtements de tous les jours, distinguer les lunettes de vue normales des équipements de surveillance continue devient extrêmement difficile pour le grand public.

Simultanément, le régulateur français de la protection des données, la Commission nationale de l'informatique et des libertés (CNIL), a fait écho à de sérieuses préoccupations concernant les capacités de traitement ambiant des wearables intelligents. La CNIL a averti que les lunettes intelligentes ne peuvent pas être traitées comme de simples outils technologiques passifs, soulignant les risques profonds pour la vie privée posés par leur capacité à capturer, traiter et analyser des données personnelles en temps réel, souvent sans la connaissance ou le consentement explicite des personnes présentes.

Le dilemme des personnes présentes et les limites des indicateurs visuels

Le point de friction fondamental entre les lunettes intelligentes et la loi européenne sur la vie privée se concentre sur le concept de sensibilisation et de consentement des personnes présentes. En vertu du Règlement général sur la protection des données (RGPD) de l'Union européenne, le traitement des données personnelles d'un individu—ce qui inclut explicitement son image faciale, l'enregistrement de sa voix et sa localisation physique—nécessite une base juridique claire, la transparence et, dans la plupart des contextes publics, un consentement explicite ou clairement implicite.

Pour répondre à ces exigences, Meta a intégré une petite diode électroluminescente (LED) blanche dans la monture de ses lunettes intelligentes. Conçue pour clignoter ou rester allumée en continu lorsque la caméra intégrée enregistre activement une vidéo ou prend des photos, la LED est destinée à informer les personnes à proximité qu'elles sont filmées.

Cependant, les gardiens européens de la vie privée restent profondément sceptiques quant à la capacité d'une petite LED à satisfaire aux obligations de transparence du RGPD. Les régulateurs soutiennent que dans les environnements extérieurs lumineux, les environnements urbains bondés ou les lieux intérieurs faiblement éclairés, une petite lumière clignotante est facilement manquée ou mal interprétée par le public. De plus, l'Autorité de protection des données de Hambourg et d'autres régulateurs régionaux examinent la facilité avec laquelle ces protections matérielles peuvent être contournées ou altérées par des acteurs malveillants—par exemple en collant du ruban adhésif ou en peignant la LED sans désactiver la fonctionnalité d'enregistrement de base de la caméra.

Bien que Meta ait récemment mis en avant des mises à jour logicielles qui désactivent automatiquement la caméra si le système détecte que la lumière d'enregistrement est obstruée ou altérée, les défenseurs de la vie privée soutiennent que la conception fondamentale impose un fardeau injuste de vigilance aux personnes innocentes présentes.

Capture cachée, abus et risques de harcèlement sexiste

Au-delà de la conformité théorique à la vie privée, des rapports réels d'abus ont galvanisé les groupes de la société civile et les législateurs européens. Des enquêtes et des reportages médiatiques à travers l'Europe ont mis en évidence des cas où des lunettes intelligentes ont été utilisées pour filmer des individus de manière cachée sans leur connaissance ni autorisation.

La technologie a suscité une condamnation particulière de la part des défenseurs des droits numériques et des législateurs en ce qui concerne ses impacts sexistes. Des rapports indiquent que le facteur de forme discret des lunettes intelligentes a été exploité par des individus pour enregistrer des femmes dans les espaces publics, les restaurants et les transports en commun sans consentement. Les images capturées ont ensuite été téléchargées sur des plateformes vidéo en ligne et des réseaux sociaux sans que les sujets en aient connaissance, les exposant à une exposition non consentie et à du harcèlement en ligne.

Lors des débats au Parlement européen sur la sécurité numérique et la violence en ligne fondée sur le genre, les législateurs ont souligné comment les choix de conception matérielle peuvent faciliter le harcèlement de rue et la surveillance non consentie. Les parlementaires européens ont fait valoir que lorsque la technologie permet aux utilisateurs d'enregistrer discrètement les autres sous couvert de porter des lunettes de vue ou de soleil ordinaires, cela sape la sécurité fondamentale dans les espaces publics, transformant les environnements quotidiens en espaces d'observation perpétuelle et non consentie.

Pipelines de données, annotateurs tiers et controverses de délocalisation

Le contrôle réglementaire s'étend bien au-delà de l'objectif de la caméra physique, atteignant profondément les pipelines mondiaux de données qui alimentent les modèles d'intelligence artificielle de Meta. Les lunettes intelligentes ne sont pas de simples caméras hors ligne ; ce sont des appareils de périphérie connectés conçus pour diffuser de l'audio, des images et de la télémétrie vers des serveurs cloud pour alimenter les assistants vocaux et les systèmes d'IA multimodaux.

Des enquêtes journalistiques des médias suédois Svenska Dagbladet et Göteborgs-Posten ont révélé que des contenus visuels et audio bruts capturés par des lunettes intelligentes—y compris des moments très intimes et non consentis enregistrés à l'intérieur de domiciles privés—avaient été transmis à des sous-traitants offshore tiers pour examen manuel et annotation des données. Plus précisément, les rapports ont détaillé comment des annotateurs humains employés par le partenaire d'externalisation Sama au Kenya examinaient et étiquetaient des images non expurgées, y compris des images de personnes se changeant ou se livrant à des activités privées alors qu'un utilisateur avait laissé l'appareil posé sur une table.

En vertu du RGPD, le transfert des données personnelles des résidents de l'UE vers un pays tiers nécessite des garanties juridiques strictes, telles que le consentement explicite, l'anonymisation stricte des données et des décisions d'adéquation vérifiées ou des clauses contractuelles types. Bien que Meta ait déclaré que les données des utilisateurs subissent un filtrage et un floutage automatisés avant l'examen humain, des rapports de travailleurs offshore ont indiqué que les algorithmes de floutage automatisés échouaient fréquemment à masquer les visages, les objets personnels sensibles ou les environnements privés.

Cette révélation a incité une coalition de députés européens (députés au Parlement européen) issus de plusieurs groupes politiques—notamment les Socialistes et Démocrates (S&D), les Verts/ALE, La Gauche et Renew Europe—à soumettre des questions écrites formelles à la Commission européenne. Les législateurs ont demandé comment les données brutes des citoyens européens pouvaient se retrouver dans des pays tiers sans mécanismes de consentement robustes et ont exigé des évaluations claires sur la question de savoir si un tel traitement viole les réglementations européennes sur l'exportation des données.

Application du RGPD : le rôle de la Commission de protection des données irlandaise

En tant que principale autorité de surveillance européenne pour Meta—en raison du siège européen du géant technologique situé à Dublin—la Commission de protection des données irlandaise (DPC) occupe le siège réglementaire central pour déterminer l'avenir des wearables de Meta en Europe.

Bien que les autorités nationales en Allemagne et en France puissent émettre des avertissements, sensibiliser le public ou appliquer les lois nationales sur les télécommunications, l'application structurelle du RGPD contre Meta doit passer par le mécanisme de « guichet unique » du RGPD, dirigé par la DPC irlandaise en consultation avec les autres autorités de surveillance européennes.

La DPC irlandaise a confirmé qu'elle était en dialogue continu avec Meta concernant les wearables intelligents, évaluant les modifications techniques mises en œuvre par l'entreprise. Cependant, les défenseurs de la vie privée et les législateurs européens ont exprimé leur frustration quant au rythme des mesures d'application formelles. Les critiques soutiennent que malgré des années de dialogue, les problèmes systémiques concernant la sensibilisation des personnes présentes, les paramètres par défaut de collecte de données et le traitement de l'IA par des tiers restent insuffisamment résolus, laissant les citoyens européens exposés à une surveillance ambiante non vérifiée.

La voie à suivre : harmonisation ou interdictions de marché ?