Les lunettes intelligentes évoluent progressivement d’une curiosité technologique vers un véritable outil professionnel. Des caméras, microphones, écrans et systèmes d’intelligence artificielle peuvent désormais être intégrés dans des lunettes dont l’apparence se rapproche de plus en plus de celle de lunettes ordinaires.
Pour les entreprises de sécurité, cette technologie ouvre des possibilités intéressantes. Les agents de sécurité pourraient recevoir des informations opérationnelles directement dans leur champ de vision, contrôler des billets d’entrée, communiquer avec un poste de contrôle ou être avertis de la présence de personnes recherchées ou non autorisées à accéder à un événement.
Cependant, ce qui est techniquement possible n’est pas automatiquement juridiquement autorisé. En Allemagne, la loi sur la protection des données dans les télécommunications et les services numériques (TDDDG), le Règlement général sur la protection des données (RGPD) et la loi fédérale allemande sur la protection des données (BDSG) imposent des limites importantes. Les systèmes reposant sur l’intelligence artificielle peuvent en outre relever du règlement européen sur l’intelligence artificielle, l’AI Act.
De Google Glass aux lunettes dotées d’intelligence artificielle
Google Glass avait déjà démontré, il y a plus d’une décennie, les questions sociales et juridiques soulevées par une caméra placée directement devant les yeux de son utilisateur. Depuis, les caméras et les composants électroniques sont devenus considérablement plus petits et plus performants.
Les lunettes intelligentes modernes peuvent notamment :
- prendre des photos et enregistrer des vidéos ;
- transmettre des images à un poste de contrôle ;
- lire des codes QR et des billets ;
- reconnaître des objets à l’aide de l’intelligence artificielle ;
- afficher des informations directement dans le champ de vision ;
- permettre la communication avec d’autres agents de sécurité ;
- analyser des visages ;
- et, potentiellement, identifier automatiquement des personnes.
Les deux dernières fonctions modifient en particulier fondamentalement l’analyse juridique.
Il existe une différence considérable entre des lunettes qui affichent un plan du site à un agent de sécurité et un système qui analyse en permanence les visages de toutes les personnes présentes lors d’un événement.
§ 8 TDDDG : quand des lunettes équipées d’une caméra deviennent-elles problématiques ?
Le droit allemand contient une disposition particulièrement intéressante dans le § 8 TDDDG relatif à l’utilisation abusive des installations de télécommunication.
Sous certaines conditions, cette disposition interdit les installations de télécommunication qui dissimulent leur véritable nature ou sont intégrées dans des objets d’usage quotidien et qui, en raison de ces circonstances ou de leur fonctionnement, sont particulièrement adaptées et destinées à intercepter secrètement des paroles prononcées de manière non publique ou à enregistrer des images d’autres personnes à leur insu.
Le § 8, paragraphe 2, TDDDG est particulièrement pertinent pour les lunettes intelligentes. Une installation est notamment considérée comme destinée à une interception ou à un enregistrement dissimulé lorsque sa fonction correspondante n’est pas clairement reconnaissable par la personne concernée lors de l’utilisation normale de l’objet.
Pour des lunettes modernes équipées d’une caméra, la question n’est donc pas simplement :
La caméra est-elle visible quelque part sur l’appareil ?
La question déterminante peut plutôt être :
La personne concernée peut-elle clairement reconnaître qu’une fonction d’enregistrement existe ou est active ?
Cette question devient particulièrement problématique lorsque les lunettes ressemblent extérieurement à des lunettes de vue ou à des lunettes de soleil ordinaires.
Le § 8 TDDDG devrait donc être pris en compte dès le choix du matériel. Lorsque les conditions prévues par cette disposition sont remplies, celle-ci ne concerne pas uniquement l’utilisation abusive d’un dispositif d’enregistrement. Elle couvre notamment également la possession, la fabrication, la mise à disposition sur le marché et l’importation de tels appareils.
Une entreprise de sécurité privée ne bénéficie pas d’une exemption générale simplement parce que la technologie est utilisée à des fins de sécurité.
Une caméra visible constitue la meilleure conception
Si des lunettes intelligentes doivent être utilisées professionnellement par des agents de sécurité, elles ne devraient donc délibérément pas être conçues comme des caméras dissimulées.
Une conception appropriée pourrait notamment prévoir :
- une caméra clairement identifiable ;
- un indicateur d’enregistrement ou de transmission visible de l’extérieur ;
- un indicateur d’état protégé contre les manipulations ;
- une identification claire des lunettes comme équipement électronique de sécurité ;
- une information transparente des visiteurs de l’événement.
Toutefois, la simple présence d’une petite LED d’état ne constitue pas automatiquement une solution juridique universelle. La question n’est pas seulement de savoir si cet indicateur existe techniquement, mais également si la personne concernée peut réellement et clairement identifier la fonction correspondante.
L’évaluation définitive au regard du § 8 TDDDG dépend donc du modèle concret et de son fonctionnement.
Les lunettes intelligentes comme outil de l’agent de sécurité
Du point de vue de la protection des données, une architecture nettement moins problématique consisterait à utiliser les lunettes principalement comme un système numérique d’assistance.
Un agent de sécurité pourrait par exemple voir directement dans son champ de vision :
Contrôle d’accès
Billet → Code QR → Vérification → ACCÈS AUTORISÉ
Information opérationnelle
Poste de contrôle → Alerte → Localisation → Information affichée
Recherche d’une personne
Poste de contrôle → Photo de la personne → Affichage dans les lunettes → Identification humaine
La décision finale reste ainsi entre les mains de l’agent de sécurité.
Une telle architecture se distingue fondamentalement d’un système qui traite automatiquement les données biométriques de toutes les personnes participant à un événement.
La vidéosurveillance reste de la vidéosurveillance
Dès que la caméra intégrée aux lunettes capture des personnes et que les images sont traitées, transmises ou enregistrées, le droit relatif à la protection des données doit également être pris en considération.
Pour la vidéosurveillance des espaces accessibles au public en Allemagne, le § 4 BDSG est particulièrement pertinent. Sous certaines conditions, la vidéosurveillance peut notamment être autorisée pour exercer le droit de déterminer qui peut accéder ou demeurer dans un lieu ou pour protéger des intérêts légitimes poursuivis à des fins précisément définies.
L’organisateur d’un événement possède incontestablement un intérêt légitime à empêcher l’accès de personnes non autorisées et à garantir la sécurité de l’événement.
Cela ne signifie cependant pas que toute mesure de surveillance techniquement possible soit nécessaire ou proportionnée.
Les lunettes intelligentes présentent en outre une caractéristique particulière : leurs caméras sont mobiles. Contrairement à une caméra installée de manière fixe, elles se déplacent avec l’agent de sécurité et suivent généralement la direction de son regard.
Elles peuvent donc enregistrer des personnes et des zones qui n’auraient jamais été couvertes par une vidéosurveillance fixe conventionnelle.
Éviter autant que possible l’enregistrement permanent
Une mise en œuvre respectueuse de la vie privée devrait donc suivre le principe de minimisation des données.
Une architecture technique appropriée pourrait par exemple être organisée ainsi :
Caméra
↓
Traitement local
↓
Code QR / objet / événement détecté
↓
Affichage du résultat
↓
Suppression des données de la caméra
Plutôt que :
Caméra
↓
Flux vidéo permanent
↓
Cloud
↓
Stockage permanent
↓
Analyse par IA
↓
Profilage
Il n’est pas nécessaire d’enregistrer chaque image captée par une caméra simplement parce que cela est techniquement possible.
En particulier, l’enregistrement continu d’un service complet de huit ou douze heures serait beaucoup plus difficile à justifier qu’un traitement limité, clairement défini et lié à un objectif précis.
La limite déterminante : la reconnaissance faciale automatique
L’utilisation de lunettes intelligentes devient particulièrement sensible lorsque le système ne doit plus seulement filmer des personnes, mais également les identifier automatiquement.
Techniquement, un tel système pourrait fonctionner de la manière suivante :
Caméra
↓
Détection du visage
↓
Extraction des caractéristiques biométriques
↓
Gabarit biométrique
↓
Comparaison avec une liste de surveillance
↓
CORRESPONDANCE
↓
Alerte de l’agent de sécurité
Un organisateur pourrait par exemple disposer d’une liste de personnes faisant l’objet d’une interdiction d’accès valable.
À première vue, il peut sembler logique de permettre aux lunettes des agents de sécurité de rechercher automatiquement ces personnes.
Du point de vue de la protection des données, cela constitue cependant une atteinte beaucoup plus importante.
Le système n’analyse pas uniquement la personne recherchée
Pour identifier une personne déterminée au sein d’une foule, un système de reconnaissance faciale doit d’abord analyser de nombreuses autres personnes.
Lors d’un événement accueillant 2 000 visiteurs, le traitement ne peut donc pas simplement être décrit ainsi :
« Nous traitons les données de la seule personne faisant l’objet d’une interdiction d’accès. »
Le système peut au contraire capturer et analyser les visages d’un grand nombre de visiteurs afin de déterminer qu’ils ne sont pas la personne recherchée.
C’est précisément cette incidence étendue sur des personnes qui ne sont pas concernées par la recherche qui rend l’identification biométrique à distance particulièrement problématique.
Les autorités de protection des données soulignent également que les systèmes de reconnaissance faciale produisent des résultats fondés sur des probabilités. Une correspondance supposée ne signifie donc pas nécessairement que la bonne personne a été identifiée.
Pour un service de sécurité, cela entraîne également une conséquence pratique importante : une correspondance signalée par l’IA ne devrait jamais être considérée automatiquement comme une identification définitive.
Les données biométriques bénéficient d’une protection particulière
Lorsque les caractéristiques d’un visage sont traitées au moyen de procédés techniques spécifiques afin d’identifier de manière unique une personne physique, elles constituent des données biométriques au sens du RGPD.
Lorsque ces données biométriques sont traitées dans le but d’identifier une personne de manière unique, elles font partie des catégories particulières de données à caractère personnel régies par l’article 9 du RGPD.
Le traitement de telles données est en principe interdit, sauf lorsqu’une des exceptions expressément prévues par l’article 9, paragraphe 2, s’applique.
Un argument général tel que :
« Nous avons un intérêt légitime à garantir la sécurité de l’événement »
ne suffit donc pas automatiquement pour justifier une identification biométrique.
La reconnaissance faciale automatique représente juridiquement une tout autre dimension que la vidéosurveillance conventionnelle.
Un panneau d’information ne suffit pas
La transparence constitue un élément important d’une vidéosurveillance conforme au droit. Les visiteurs doivent être informés du traitement conformément aux exigences légales applicables.
Un panneau peut par exemple indiquer que certaines zones font l’objet d’une vidéosurveillance et identifier le responsable du traitement.
Toutefois, un tel panneau ne crée pas de base juridique.
Il en va de même pour la reconnaissance faciale.
Un panneau indiquant :
« Une reconnaissance faciale automatisée est utilisée lors de cet événement. »
ne rend pas licite un traitement biométrique qui serait autrement interdit.
La transparence et la licéité du traitement constituent deux exigences distinctes.
L’AI Act européen doit également être pris en compte
Outre le RGPD et le BDSG, l’identification biométrique utilisant l’intelligence artificielle doit désormais également être examinée au regard du règlement européen sur l’intelligence artificielle, l’AI Act.
L’AI Act contient des dispositions étendues relatives aux systèmes biométriques et à l’identification biométrique à distance. Ses règles particulièrement strictes concernant l’identification biométrique à distance en temps réel dans les espaces accessibles au public concernent notamment son utilisation à des fins répressives.
Une entreprise de sécurité privée ne peut cependant pas en déduire :
« Nous ne sommes pas la police, nous pouvons donc utiliser la reconnaissance faciale. »
Le RGPD, le BDSG et les autres exigences applicables de l’AI Act continuent à s’appliquer indépendamment.
Il convient également de noter que les autorités allemandes de protection des données imposent des exigences très élevées concernant l’existence d’une base juridique suffisamment précise, même lorsque la reconnaissance faciale automatisée est utilisée par des autorités publiques chargées de la sécurité.
Les entreprises de sécurité privée devraient donc faire preuve d’une prudence particulière.
Personne faisant l’objet d’une interdiction d’accès : quelle solution plus respectueuse de la vie privée ?
Supposons que l’organisateur informe le service de sécurité qu’une personne déterminée ne doit pas accéder au site en raison d’une interdiction d’accès valable.
Au lieu d’analyser biométriquement tous les visiteurs, le poste de contrôle pourrait transmettre aux agents de sécurité une photographie existante de cette personne.
Poste de contrôle
↓
Photo + informations opérationnelles pertinentes
↓
Lunettes intelligentes
↓
Affichage à l’agent de sécurité
↓
Comparaison effectuée par l’agent
↓
Vérification supplémentaire de l’identité si nécessaire
Les lunettes assistent ainsi l’être humain au lieu de remplacer l’identification humaine par une surveillance biométrique permanente.
Pour de nombreux cas d’utilisation pratiques, cette approche pourrait déjà apporter un avantage opérationnel considérable.
Fonctions utiles pour les entreprises de sécurité
Les lunettes intelligentes pourraient accomplir de nombreuses tâches dans les services de sécurité privée sans avoir recours à la reconnaissance faciale.
Contrôle d’accès
Les codes QR, billets ou autres justificatifs d’autorisation pourraient être contrôlés directement à l’aide des lunettes.
L’agent pourrait par exemple voir :
BILLET VALIDE
Zone : VIP
Accès : Nord
Gestion opérationnelle
Le poste de contrôle pourrait transmettre directement des informations aux agents :
ALERTE
Zone B – Entrée Ouest
Renfort nécessaire
Cela réduirait la nécessité pour les agents de manipuler un smartphone ou une radio chaque fois qu’une information leur est transmise.
Navigation
Lors de grands événements, sur des sites industriels ou dans de vastes installations, des plans et des lieux d’intervention pourraient être affichés directement dans le champ de vision.
Documentation
En cas d’incident concret, une documentation limitée dans le temps pourrait être techniquement envisageable lorsqu’une base juridique appropriée existe et que le concept de protection des données prévoit un tel traitement.
Reconnaissance d’objets
L’intelligence artificielle ne doit pas nécessairement identifier des personnes.
Il serait par exemple possible de détecter certains objets, des portes ouvertes, des zones interdites ou d’autres situations pertinentes pour la sécurité.
Chaque fonction d’IA doit toutefois être examinée séparément afin de déterminer quelles données sont réellement traitées.
L’enregistrement audio est particulièrement sensible
Le microphone intégré aux lunettes intelligentes ne doit pas être oublié.
L’enregistrement vidéo et l’enregistrement audio ne sont pas juridiquement équivalents.
En particulier, le § 201 du Code pénal allemand (StGB) protège les paroles prononcées de manière non publique. Les enregistrements audio secrets peuvent entraîner des conséquences pénales.
Une entreprise de sécurité devrait donc respecter un principe fondamental :
Aucun enregistrement audio permanent uniquement parce que le matériel dispose d’un microphone.
Un microphone destiné aux communications radio ou vocales devrait être séparé, sur les plans technique et organisationnel, de tout enregistrement des conversations des personnes présentes à proximité.
Intégrer la protection des données dès la conception
Un système professionnel devrait être développé conformément aux principes de protection des données dès la conception (Privacy by Design) et de protection des données par défaut (Privacy by Default).
Cela implique notamment :
- de privilégier le traitement local des données ;
- d’éviter les stockages inutiles ;
- de définir des durées de conservation et de suppression courtes ;
- de chiffrer les communications ;
- de mettre en place des rôles et droits d’accès clairement définis ;
- de journaliser les accès administratifs ;
- d’empêcher l’exportation incontrôlée des archives vidéo ;
- de séparer les différentes finalités de traitement ;
- de désactiver les fonctions tant qu’elles ne sont pas nécessaires ;
- d’éviter l’enregistrement audio permanent ;
- de signaler clairement les fonctions actives de la caméra ;
- de maintenir un contrôle humain sur les décisions pertinentes pour la sécurité.
La limitation des finalités est particulièrement importante.
Une caméra initialement introduite uniquement pour vérifier des billets ne devrait pas être utilisée ultérieurement pour surveiller des employés, analyser des comportements ou effectuer de la reconnaissance faciale sans une nouvelle évaluation juridique et relative à la protection des données.
Analyse d’impact relative à la protection des données
Les traitements présentant des risques particulièrement élevés doivent également être examinés au regard de l’article 35 du RGPD.
Les autorités allemandes de protection des données indiquent notamment que le traitement de données biométriques au moyen de logiciels de reconnaissance faciale – par exemple pour le contrôle d’accès ou pour l’observation et la surveillance de personnes – peut nécessiter la réalisation préalable d’une analyse d’impact relative à la protection des données (AIPD).
Une telle analyse ne devrait pas être considérée comme une simple formalité administrative.
Elle doit notamment examiner :
- Quelles données sont traitées ?
- Quelles personnes sont concernées ?
- Quel objectif précis est poursuivi ?
- Pourquoi le traitement est-il nécessaire ?
- Existe-t-il des alternatives moins intrusives ?
- Quels risques existent pour les personnes concernées ?
- Quelles mesures techniques et organisationnelles permettent de réduire ces risques ?
La question des alternatives moins intrusives est particulièrement importante pour les lunettes intelligentes.
Si un code QR permet par exemple de prendre la même décision en matière d’accès, il faudrait pouvoir justifier de manière convaincante pourquoi une reconnaissance faciale biométrique supplémentaire serait nécessaire.
Trois niveaux d’utilisation pratique
Pour les entreprises de sécurité privée, cette technologie peut être répartie de manière simplifiée en trois niveaux de risque.
Niveau 1 – Système d’assistance
Approprié comme point de départ
Lunettes intelligentes
├── Informations opérationnelles
├── Navigation
├── Vérification des codes QR / billets
├── Alertes
├── Communication
└── Affichage de photos de personnes recherchées / interdites d’accès
Aucune identification biométrique automatisée.
Niveau 2 – Vidéosurveillance mobile
Uniquement avec un concept spécifique de protection des données et d’utilisation
Lunettes intelligentes
├── Caméra
├── Transmission en direct
└── Enregistrement lié à un événement, si nécessaire
Il convient notamment d’examiner la base juridique, la limitation des finalités, la transparence, la nécessité, les durées de conservation, les droits d’accès et les procédures de suppression.
Niveau 3 – Identification biométrique à distance
Particulièrement sensible sur le plan juridique
Lunettes intelligentes
↓
Capture permanente des visages
↓
Analyse biométrique
↓
Comparaison avec une base de données
↓
Identification automatisée
Une entreprise de sécurité privée ne devrait pas considérer un tel système comme une simple extension de la vidéosurveillance conventionnelle ni le déployer sans une analyse juridique spécialisée.
La technologie doit assister les agents de sécurité – et non les remplacer
Les lunettes intelligentes pourraient devenir un outil professionnel important pour les services de sécurité privée.
Leur principal avantage pratique ne réside pas nécessairement dans la reconnaissance faciale permanente.
Des lunettes qui fournissent à un agent de sécurité les bonnes informations au bon moment pourraient déjà apporter des avantages considérables :
Agent de sécurité
↕
Lunettes intelligentes
↕
Communication chiffrée
↕
Poste de contrôle
↕
Système opérationnel et de contrôle d’accès
L’agent de sécurité reste responsable de l’évaluation de la situation et de la prise de décision.
Cette approche est non seulement plus favorable du point de vue de la protection des données, mais elle peut également être judicieuse sur le plan opérationnel. Un algorithme ne comprend pas automatiquement l’ensemble du contexte d’une situation de sécurité.
Conclusion
Les lunettes intelligentes pourraient modifier considérablement le travail des services de sécurité privée. Les informations, le contrôle d’accès, la navigation, la communication et certaines fonctions d’assistance utilisant l’intelligence artificielle peuvent être intégrés directement dans le champ de vision d’un agent.
Cependant, plus la technologie évolue de l’assistance vers la surveillance, plus les exigences juridiques deviennent importantes.
La reconnaissance faciale illustre particulièrement bien cette différence. Il existe une différence juridique considérable entre l’affichage de la photographie d’une personne recherchée et la comparaison biométrique permanente de toutes les personnes participant à un événement avec une base de données.
Une utilisation responsable devrait donc suivre un principe simple :
Autant d’assistance technologique que nécessaire – mais uniquement autant de surveillance des personnes que ce qui est réellement nécessaire et juridiquement autorisé.
Un système de lunettes intelligentes pérenne destiné aux services de sécurité privée devrait donc intégrer dès sa conception la protection des données, la sécurité informatique et la transparence.
La question déterminante n’est pas simplement :
Que peuvent faire les lunettes modernes équipées de caméras ?
Mais plutôt :
Comment pouvons-nous utiliser cette technologie pour améliorer la sécurité sans sacrifier inutilement la vie privée des personnes ?
Remarque : cet article fournit des informations générales sur des questions techniques et juridiques et ne constitue pas un conseil juridique.
Pour aller plus loin
- Ministère fédéral allemand de la Justice / Gesetze im Internet : § 8 TDDDG – utilisation abusive des installations de télécommunication
- Ministère fédéral allemand de la Justice / Gesetze im Internet : § 4 BDSG – vidéosurveillance des espaces accessibles au public
- Règlement général sur la protection des données : notamment les articles 4, 9 et 35 du RGPD
- Règlement (UE) 2024/1689 – règlement européen sur l’intelligence artificielle (AI Act)
- Commissaire fédéral allemand à la protection des données et à la liberté d’information (BfDI) : informations relatives à la vidéosurveillance et à la biométrie
- Conférence allemande des autorités de protection des données (DSK) : orientations relatives à la vidéosurveillance et publications concernant la reconnaissance faciale biométrique
Cet article a été élaboré et peaufiné en dialogue avec une IA. Le sujet et le contenu sont issus d’une création humaine.