Smart glass e GDPR: quando chi indossa Ray-Ban Meta può avere responsabilità

Gli occhiali intelligenti hanno un problema che gli smartphone riescono almeno in parte a rendere evidente: quando qualcuno punta un telefono verso di noi, di solito capiamo che potrebbe scattare una foto o registrare un video. Con un paio di Ray-Ban Meta, invece, fotocamera e microfoni si trovano all’interno di una montatura che, a qualche metro di distanza, può sembrare del tutto normale. È proprio questa discrezione a trasformare una funzione comoda in una questione giuridica molto più complessa.

Meta ed EssilorLuxottica lavorano sugli occhiali con fotocamera da diversi anni. I Ray-Ban Stories arrivarono nel 2021; nel 2023 la collaborazione fece un salto notevole con i Ray-Ban Meta, dotati di fotocamera da 12 MP, sistema audio open-ear, 5 microfoni, memoria interna e funzioni integrate con Meta AI. Nel frattempo il prodotto si è evoluto ulteriormente e le funzioni basate sull’intelligenza artificiale possono usare ciò che la persona vede e sente per riconoscere oggetti, tradurre conversazioni o rispondere a domande.

Una delle domande ricorrenti, soprattutto alla luce delle disposizioni contenute nel GDPR, è la seguente: chi risponde del trattamento dei dati delle persone che finiscono davanti alla fotocamera? Secondo un’approfondita analisi appena pubblicata dall’Autorità per la protezione dei dati di Amburgo, HmbBfDI, in numerose situazioni può assumere un ruolo giuridicamente rilevante anche chi indossa gli occhiali.

Smart glass incompatibili con l’esenzione domestica prevista dal GDPR?

Per capire il problema bisogna partire dall’articolo 2, paragrafo 2, lettera c del GDPR. Il regolamento non si applica al trattamento di dati personali effettuato da una persona fisica nell’esercizio di attività a carattere esclusivamente personale o domestico. È la cosiddetta household exemption, o esenzione domestica.

Fotografare i propri figli durante una festa familiare oppure registrare un video privato durante una cena tra amici non trasforma automaticamente una persona in un titolare del trattamento con tutti gli obblighi previsti per un’azienda. L’esenzione, però, non copre indiscriminatamente qualunque ripresa realizzata da un privato.

La Corte di giustizia dell’Unione europea aveva chiarito il principio già nel 2014 con la sentenza Ryneš, causa C-212/13. Il caso riguardava una telecamera installata da un cittadino sulla propria abitazione per ragioni di sicurezza: poiché l’inquadratura comprendeva anche parte dello spazio pubblico, la Corte stabilì che il trattamento non poteva considerarsi puramente personale o domestico.

Le successive linee guida 3/2019 dell’EDPB sulla videosorveglianza hanno mantenuto un’interpretazione restrittiva dell’eccezione.

A differenza della videocamera di casa, gli smart glass seguono continuamente lo sguardo dell’utilizzatore: una passeggiata, un viaggio in metropolitana, una visita in un negozio o una giornata in ufficio possono portare davanti all’obiettivo decine o centinaia di persone estranee alla cerchia privata del proprietario del dispositivo indossabile.

Chi indossa gli occhiali può diventare titolare del trattamento

Il rapporto elaborato dall’Autorità per la protezione dei dati tedesca riguarda in particolare i Ray-Ban Meta Wayfarer di prima generazione e combina analisi forense dell’hardware, studio dei flussi di dati e interpretazione del GDPR. Il documento non è una sentenza e non introduce automaticamente un divieto europeo: rappresenta però la valutazione di un’Autorità di controllo.

Il rapporto di Amburgo arriva a una conclusione importante: quando l’utente registra persone estranee al proprio ambito personale, non può dare per scontata l’esenzione domestica. Potrebbe invece diventare titolare del trattamento ai sensi dell’articolo 4, punto 7 del GDPR, perché decide almeno alcuni elementi essenziali dell’operazione: attivazione della fotocamera, che cosa riprendere e per quale finalità utilizzare il materiale.

Se entra in gioco il GDPR bisogna trovare una base giuridica, rispettare i principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione, oltre a considerare i diritti delle persone riprese.

La presenza di persone estranee nell’inquadratura non fa automaticamente scattare il GDPR. Le stesse linee guida dell’EDPB considerano coperto dall’esenzione domestica, per esempio, il turista che registra video durante le vacanze con smartphone o videocamera e li utilizza soltanto in ambito personale. Il problema cambia quando le modalità di acquisizione, la finalità o gli utilizzi successivi assumono caratteristiche più vicine a un monitoraggio delle persone oppure quando i dati escono dalla sfera strettamente privata.

Gli smart glass rendono queste differenze molto più sfumate: fotocamera e microfoni accompagnano continuamente l’utilizzatore e alcune funzioni possono coinvolgere servizi remoti e sistemi di intelligenza artificiale.

Il LED non basta a ottenere un consenso informato

Meta ha previsto una spia luminosa esterna che segnala alcune attività della fotocamera. È una soluzione pensata proprio per rendere riconoscibile la registrazione, ma l’autorità di Amburgo considera il meccanismo insufficiente per garantire la trasparenza richiesta dal GDPR.

Una piccola luce bianca sulla montatura non dice chi sia il titolare del trattamento, perché stia registrando, dove finiranno i dati, per quanto tempo resteranno conservati o quali diritti possa esercitare la persona inquadrata. E potrebbe persino non essere notata.

Le verifiche tecniche del HmbBfDI hanno evidenziato ulteriori limiti: la visibilità della spia LED dipende dall’angolo di osservazione e diminuisce notevolmente all’aperto o sotto forte illuminazione.

Ancora più rilevante è la differenza tra registrazione tradizionale e alcune elaborazioni AI. La stessa documentazione Ray-Ban spiega che il LED principale segnala fotografie, video e livestream destinati alla galleria, mentre alcune funzioni basate sulla fotocamera e su Meta AI possono operare senza accenderlo sui modelli più recenti.

Meta ha modificato nel tempo le protezioni contro la manomissione della spia. Nel 2026 l’azienda ha distribuito aggiornamenti obbligatori destinati a impedire o interrompere le registrazioni quando il sistema rileva l’occultamento dell’indicatore. È un miglioramento tecnico significativo, ma non risolve il nodo giuridico di fondo: vedere una luce di segnalazione non equivale ad aver ricevuto un’informativa trasparente.

Cosa rivela lo studio della configurazione hardware e software degli smart glass Meta

L’indagine di Amburgo non si è limitata alla parte legale. I tecnici hanno aperto fisicamente un Ray-Ban Meta Wayfarer e analizzato i componenti interni, compresa la memoria flash da 32 GB. Hanno inoltre osservato il comportamento dell’app associata e i flussi generati durante l’uso.

Gran parte delle comunicazioni risultava cifrata. È una buona caratteristica sotto il profilo della sicurezza, ma ha reso impossibile agli investigatori stabilire con precisione il contenuto di ogni trasferimento. In particolare, il rapporto segnala che non è stato possibile chiarire definitivamente in quale fase alcune informazioni visive vengano mascherate rispetto all’invio ai server Meta.

L’Autorità ha trovato nell’app anche strutture di database i cui nomi richiamano funzioni di riconoscimento facciale. Le relative tabelle analizzate risultavano vuote: il rapporto afferma che non sono emerse prove di un utilizzo attivo di quella funzione, pur rilevando la presenza di strutture software potenzialmente compatibili con sviluppi successivi (di recente è stato “intercettato” un brevetto depositato che descrive proprio questa funzionalità).

Un’immagine contenente un volto è un dato personale quando consente di identificare una persona, ma non diventa automaticamente un dato biometrico appartenente alle categorie particolari dell’articolo 9. Per arrivare a quella qualificazione servono specifiche elaborazioni tecniche delle caratteristiche fisiche finalizzate all’identificazione univoca.

Il vero problema arriva quando entra in gioco Meta AI

La parte più interessante dell’analisi riguarda forse le funzioni intelligenti. Gli occhiali possono inviare informazioni visive e vocali ai servizi Meta per rispondere a richieste come riconoscere un oggetto, leggere un cartello, descrivere ciò che si trova davanti all’utente o effettuare traduzioni.

A quel punto non abbiamo più soltanto una fotografia archiviata localmente. I dati possono entrare in un’infrastruttura remota e subire elaborazioni ulteriori. HmbBfDI dedica particolare attenzione alla possibilità che informazioni raccolte dagli smart glasse contribuiscano anche all’addestramento dei modelli AI.

Secondo l’Autorità, quando l’utilizzatore consente che dati di terzi vengano destinati a questo scopo, la sua posizione può diventare ancora più problematica. Il rapporto arriva a esaminare una possibile corresponsabilità tra utilizzatore e Meta ai sensi dell’articolo 26 del GDPR per le operazioni legate all’addestramento, poiché il comportamento dell’utente contribuisce a determinare l’ingresso di quei dati nel trattamento.

Non esiste un divieto europeo per i Ray-Ban Meta

L’Autorità di Amburgo non ha stabilito che possedere o indossare i Ray-Ban Meta sia illegale (sebbene nelle scorse settimane si parlasse addirittura di un possibile divieto in Germania): neppure gli utilizzi della fotocamera rappresentano automaticamente una violazione del GDPR.

Il documento dice qualcosa di più sottile e, per certi versi, più importante: molte modalità di utilizzo quotidiano possono uscire dalla sfera puramente personale e domestica. Da quel momento l’utilizzatore non dovrebbe più ragionare come se avesse in mano una normale macchina fotografica usata esclusivamente in famiglia.

Esistono scenari del tutto innocui: fotografare un oggetto, utilizzare funzioni vocali senza acquisire dati di terzi, registrare persone che hanno ricevuto informazioni adeguate oppure operare in ambienti e con modalità che consentano di predisporre correttamente base giuridica e trasparenza. Il problema nasce dalla combinazione di registrazione poco visibile, persone estranee, spazi pubblici, audio e trasferimento dei dati a servizi remoti.

Importante: l’immagine di copertina è un’elaborazione creativa frutto di un modello generativo (AI).