Smart glasses, l'EDPB chiarisce chi è titolare dei dati
Il 13 ottobre 2026 l'EDPB ha adottato il suo primo statement sugli smart glasses — ma il messaggio centrale non è un divieto, è una mappa di responsabilità: a seconda di come li usi, il titolare del trattamento può essere l'utente, il produttore del dispositivo o il provider dell'app collegata. E nessuno dei tre può scaricare i propri obblighi sugli altri due.
Cosa è successo
Durante la sua ultima plenaria, l'European Data Protection Board ha adottato uno statement sugli smart glasses e pubblicato, in parallelo, il report «The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses», commissionato nell'ambito del programma Support Pool of Experts (SPE) su proposta della CNIL francese. Il comunicato EDPB del 13 ottobre definisce il testo un «initial statement»: una guida preliminare rivolta a utenti, produttori e fornitori di servizi, non un atto vincolante o linee guida formali. L'obiettivo dichiarato è alzare la consapevolezza sui rischi di dispositivi che sembrano occhiali normali ma incorporano fotocamere, microfoni e software — in alcuni casi funzionalità IA per traduzione o riconoscimento di oggetti — e possono registrare senza che le persone intorno se ne accorgano.
Responsabilità condivisa, non condivisa a caso
Quando l'utente diventa titolare
L'EDPB circoscrive con precisione i casi in cui chi indossa gli smart glasses diventa titolare del trattamento ai sensi del GDPR: se condivide una foto o un video su un account social pubblico, o se usa il dispositivo nell'ambito di attività ufficiali, professionali o politiche. In questi scenari, l'utente assume tutti gli obblighi previsti dal GDPR, trasparenza inclusa.
Quando resta nell'esenzione domestica
Fuori da quei casi, vale l'esenzione per attività personali o domestiche: condividere una foto o un video solo con familiari o amici, oppure usare il dispositivo per una traduzione personale in un contesto privato, non fa scattare il GDPR. L'EDPB precisa però che questa esenzione va interpretata in modo restrittivo e valutata caso per caso — e che, anche quando il GDPR non si applica, restano in gioco eventuali profili di diritto penale, civile o del lavoro.
Produttori e provider: titolari che non possono delegare
Il passaggio più netto dello statement riguarda chi sta a monte dell'utente. Produttore del dispositivo e provider dell'app o del servizio collegato — incluse le funzionalità IA, ad esempio quando analizzano le immagini della fotocamera per rispondere a una domanda sull'ambiente circostante — possono essere titolari autonomi o contitolari, quando determinano da soli o insieme finalità e mezzi del trattamento. In questi casi, secondo il comunicato EDPB del 13 ottobre, non possono trasferire i propri obblighi agli utenti: devono rispettare la normativa sulla protezione dei dati in prima persona, trasparenza compresa, anche verso le persone riprese che non hanno alcun rapporto diretto con loro. Qualunque nuovo trattamento dei dati raccolti deve inoltre restare compatibile con lo scopo originario della raccolta.
Il vero nodo: la trasparenza verso chi non usa il dispositivo
La parte più operativa dello statement riguarda i bystander — le persone riprese che non indossano gli smart glasses e spesso non sanno di essere registrate, da chi, e per quale scopo. L'EDPB osserva che le informative tradizionali, pensate per gli utenti, non bastano a raggiungere chi si trova semplicemente nel campo di ripresa, soprattutto quando il titolare è il produttore o il provider e non ha alcun contatto con quelle persone.
Per colmare il gap, l'EDPB elenca una combinazione di misure possibili: LED luminosi, segnali audio o attivazione vocale, notifiche privacy-friendly sullo smartphone, design del dispositivo che lo renda distinguibile da occhiali normali — segnali che, secondo il comunicato EDPB del 13 ottobre, devono essere affidabili, difficili da ignorare e sempre aggiornati. È un punto che vale la pena leggere con precisione: la Chair EDPB Anu Talus lo formula come raccomandazione («smart glasses shouldmake their recording obvious»), non come obbligo normativo già in vigore. Per chi progetta questi dispositivi o le app collegate, è comunque il segnale più concreto di dove si sposterà l'attenzione regolatoria: conviene trattarlo fin da ora come requisito di design, non aspettare che diventi hard law per adeguarsi.
Il report SPE non è la posizione EDPB
Lo statement è accompagnato dal report «The connected gaze», realizzato da un esperto esterno di sociologia digitale e basato su interviste reali a utenti e non-utenti di smart glasses. È materiale utile per capire percezioni e squilibri di potere tra chi registra e chi viene registrato, ma l'EDPB lo dichiara esplicitamente nella nota agli editori: il documento non è stato prodotto dall'EDPB, è opera di un contraente esterno nell'ambito del programma SPE, e le opinioni espresse non riflettono necessariamente la posizione ufficiale del Board. Per chi scrive o riferisce su questo tema, è una distinzione da mantenere: il report è un contributo di ricerca, lo statement è la posizione dell'EDPB.
Cosa verificare da subito
- Mappa, per ogni prodotto o funzionalità IA collegata a smart glasses, quale dei tre ruoli (utente, produttore, provider) agisce da titolare in quello specifico scenario d'uso.
- Non presumere che il consenso o la responsabilità dell'utente coprano anche gli obblighi di produttore e provider: lo statement lo esclude esplicitamente.
- Valuta già oggi un indicatore di registrazione visibile, udibile o una notifica di prossimità, anche se resta una raccomandazione e non un obbligo vigente.
- Tieni distinti, nella propria documentazione di compliance, ciò che è obbligo GDPR consolidato da ciò che è raccomandazione EDPB non ancora normata.
Conclusione
Lo statement del 13 ottobre non vieta nulla e non introduce un nuovo obbligo di legge: è una guida preliminare che anticipa con chiarezza dove si concentrerà la vigilanza — responsabilità condivisa ma non scaricabile, trasparenza verso chi non ha scelto di essere ripreso. Chi sviluppa wearable o servizi IA collegati farebbe bene a mappare oggi i propri ruoli di titolarità, prima che la raccomandazione di oggi diventi l'enforcement di domani.