Chi risponde, secondo il GDPR, delle immagini di un passante ripreso da un paio di occhiali “smart glasses”, indistinguibili da quelli da sole, che però fanno analizzare le immagini da un assistente di AI sui server del fabbricante?
Il Comitato europeo per la protezione dei dati (EDPB) ha dato una prima risposta con la dichiarazione sugli smart glasses adottata il 13 ottobre 2026 (Statement of the EDPB on smart glasses). Chi indossa gli occhiali per un uso strettamente privato resta fuori dal GDPR; il fabbricante e il fornitore dei servizi collegati, IA compresa, possono invece essere titolari del trattamento e, in quella veste, non possono scaricare sugli utenti i propri obblighi, a partire dalla trasparenza verso le persone riprese.
In sostanza: l’onere di avvisare chi viene ripreso si sposta da chi porta gli occhiali a chi ha progettato gli stessi.
Indice degli argomenti
Smart glasses e GDPR: chi risponde delle riprese
Vediamo allora i punti principali di questo documento pubblicato dall’EDPB (una dichiarazione, strumento che il Comitato usa nella prassi per prendere posizione in tempi brevi su temi emergenti assunto però in plenaria dalle autorità di controllo di tutti gli Stati membro) anche a seguito del report The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses, redatto dal sociologo Yann Bruna (Università di Paris-Nanterre) nell’ambito del programma Support Pool of Experts, su proposta della CNIL.
L’esenzione domestica e i limiti per l’utente
L’esenzione per le attività a carattere esclusivamente personale o domestico (art. 2, par. 2, lett. c), GDPR) copre l’utente che condivide una foto solo con un familiare o un amico, o che usa la traduzione simultanea in un contesto privato (par. 13).
Il Comitato ricorda però che l’esenzione «deve essere interpretata in senso restrittivo» e valutata caso per caso (par. 14), richiamando la giurisprudenza della Corte di giustizia: CGUE, 11 dicembre 2014, C-212/13, Ryneš, sulla telecamera domestica che inquadra anche la pubblica via, e CGUE, 6 novembre 2003, C-101/01, Lindqvist e 14 febbraio 2019, C-345/17, Buivids, sulla pubblicazione online di dati accessibili a un numero indefinito di persone.
Basta quindi caricare il video su un profilo social pubblico, o usare gli occhiali in un’attività professionale, politica o comunque non personale, perché l’utente diventi titolare o contitolare, con tutti gli obblighi conseguenti, primo fra tutti quello di trasparenza (par. 14).
Fabbricanti e servizi di IA come titolari
Il passaggio decisivo viene subito dopo.
Il considerando 18 GDPR, nella sua seconda parte, precisa che il Regolamento si applica comunque ai titolari e ai responsabili che forniscono i mezzi per trattare dati personali nell’ambito di attività personali o domestiche. Su questa base il Comitato afferma che il fabbricante degli occhiali e il fornitore di applicazioni o servizi collegati, compresi i sistemi di IA, possono essere titolari autonomi o contitolari quando determinano finalità e mezzi del trattamento (parr. 16-17).
Indica anche il caso tipico: il fornitore della funzione di IA che analizza un’immagine ripresa dalla telecamera, nella quale compaiono altre persone, per descrivere all’utente ciò che lo circonda (par. 17). La conseguenza è poi espressa in modo chiaro: questi soggetti «non dovrebbero fare affidamento sulle azioni degli utenti» per adempiere ai propri obblighi, come la trasparenza nei confronti delle altre persone i cui dati possono essere trattati durante l’uso degli occhiali (par. 18).
Questo è uno dei passaggi cardine della dichiarazione.
Fino a oggi lo schema implicito del mercato era semplice: il fabbricante vende un oggetto, l’utente risponde dell’uso che ne fa. Il Comitato non abbandona questo schema, ma chiarisce che il fabbricante non può farsi scudo dell’esenzione domestica dell’acquirente per sottrarsi agli obblighi propri, a partire dalla trasparenza verso chi viene ripreso.
Lo stesso vale per i trattamenti ulteriori: se il fabbricante riutilizza per una finalità nuova i dati raccolti tramite gli occhiali, deve verificarne la compatibilità con la finalità originaria ai sensi dell’art. 5, par. 1, lett. b), e dell’art. 6, par. 4, GDPR, prestando particolare attenzione al contesto della raccolta, dal momento che le persone riprese non hanno alcun rapporto con lui (par. 19).
Organizzazioni e fornitori tra titolarità e responsabilità
Il ragionamento vale anche nella direzione opposta. Quando gli occhiali non sono usati da un privato ma da un’organizzazione (l’impresa che ne dota il proprio personale, l’azienda sanitaria che li adotta in reparto), titolare del trattamento delle riprese effettuate dagli operatori è l’organizzazione, e gli obblighi di trasparenza verso le persone riprese sono suoi. Non può quindi considerarli assolti grazie all’indicatore luminoso montato dal fabbricante sul dispositivo, che segnala la registrazione ma non sostituisce l’informazione dovuta dal titolare.
Le due posizioni possono anche coesistere. Quando il fornitore del servizio di IA elabora le immagini riprese dagli operatori dell’organizzazione e ne determina finalità e mezzi insieme a essa, i due soggetti sono contitolari ai sensi dell’art. 26 GDPR e devono definire con un accordo i rispettivi obblighi, compreso quello di informare le persone riprese. Se invece il fornitore tratta i dati soltanto per conto dell’organizzazione, assume il ruolo di responsabile del trattamento ai sensi dell’art. 28 GDPR.
La trasparenza degli occhiali smart diventa requisito di progetto
Sui principi di trasparenza la posizione è molto chiara: le informative tradizionali «non sembrano sufficienti né adeguate» per informare i non utenti (par. 23), soprattutto quando il titolare è il fabbricante o il fornitore del servizio di IA, che con quelle persone non ha alcun rapporto e non è in grado di contattarle.
Il Comitato chiede quindi a titolari e fabbricanti di combinare più meccanismi, attivi di default e in tempo reale (par. 24): quali ad esempio indicatori luminosi visibili in diverse condizioni di luce e accesi abbastanza a lungo da essere compresi; segnali acustici e comandi vocali pronunciati ad alta voce; notifiche di prossimità sullo smartphone dei presenti; elementi di design che rendano gli occhiali riconoscibili come tali.
In sostanza gli obblighi GDPR si trasformano in obblighi di progettazione di prodotto.
Consenso e legittimo interesse per i dati degli smart glasses
Ogni trattamento soggetto al GDPR richiede poi una base giuridica ai sensi dell’art. 6, par. 1, e, per le categorie particolari di dati, una delle deroghe dell’art. 9, par. 2 (par. 27 e nota 22).
Il consenso e il diritto all’immagine
Il consenso (art. 6, par. 1, lett. a), e art. 7 GDPR) è ammesso in astratto ed è anzi la base più appropriata dove la legge nazionale tutela il diritto all’immagine (par. 28).
Per l’Italia il richiamo va all’art. 10 c.c. e agli artt. 96 e 97 della L. 22 aprile 1941, n. 633: il ritratto non può essere esposto, riprodotto o messo in commercio senza il consenso della persona, salve le eccezioni dell’art. 97 (tra cui la riproduzione collegata a fatti o avvenimenti svoltisi in pubblico) e fermo il limite del pregiudizio all’onore, alla reputazione o al decoro.
Ovviamente per il fabbricante o il fornitore del servizio, che con i passanti non ha alcun rapporto, un consenso libero, specifico, informato e inequivocabile è però difficile da ottenere (par. 29).
Il legittimo interesse e le aspettative dei non utenti
Resta il legittimo interesse (art. 6, par. 1, lett. f), GDPR), con le tre condizioni cumulative richiamate dalle Linee guida EDPB 1/2024 (versione 1.0, 8 ottobre 2024). Qui la dichiarazione è prudente ma chiara. L’attuale insufficienza della trasparenza incide negativamente sulle ragionevoli aspettative dei non utenti e richiede misure di attenuazione sufficienti a riequilibrare gli interessi in gioco; il bilanciamento diventa poi particolarmente difficile da dimostrare per i trattamenti ulteriori a fini commerciali, che vanno oltre il servizio richiesto dall’utente, e per l’addestramento dell’IA, che i terzi non si aspetterebbero (par. 30, con rinvio al Parere EDPB 28/2024 del 18 dicembre 2024).
In ogni caso va garantito il diritto di opposizione dell’art. 21 GDPR (che per chi non sa nemmeno di essere stato ripreso resta in larga una affermazione teorica).
Il riconoscimento facciale e i dati biometrici
Il nodo più serio, che la dichiarazione tocca solo in nota, è il riconoscimento facciale. Se l’assistente confronta il volto di un passante con una banca dati per identificarlo, tratta dati biometrici intesi a identificare in modo univoco una persona fisica (art. 9, par. 1, GDPR) e ha bisogno di una deroga dell’art. 9, par. 2, che nei confronti di uno sconosciuto incrociato per strada è difficile immaginare diversa dal consenso esplicito.
Il tema non è di scuola: nel febbraio 2026 la stampa statunitense ha riferito, sulla base di fonti interne, che Meta stava valutando una funzione denominata «Name Tag» per identificare, tramite l’assistente IA, le persone inquadrate dagli occhiali.
Oltre il GDPR: ePrivacy, AI Act e sicurezza degli smart glasses
La dichiarazione ricorda poi (par. 32) che in determinate circostanze gli smart glasses sono apparecchiature terminali, alle quali si applica anche la direttiva 2002/58/CE (ePrivacy), richiamando le Linee guida EDPB 2/2023 sull’ambito di applicazione tecnico dell’art. 5, par. 3. Accade quando i sensori integrati raccolgono, memorizzano e trattano localmente immagini, video o suoni, oppure quando le informazioni sono rese disponibili di default a un server remoto.
Sul versante del Regolamento (UE) 2024/1689 (AI Act) il quadro va ricostruito con attenzione, anche alla luce del Regolamento (UE) 2026/1744 (Digital Omnibus sull’IA), pubblicato in GUUE il 24 luglio 2026.
L’esenzione personale e le pratiche vietate dall’AI Act
Il primo punto di rilievo è l’art. 2, par. 10, che esclude dall’ambito del Regolamento gli obblighi dei deployer persone fisiche che usano sistemi di IA nel corso di un’attività non professionale puramente personale. È il gemello dell’esenzione domestica del GDPR, con la stessa conseguenza: gli obblighi si concentrano sul provider e, quando gli occhiali sono usati per lavoro, sul deployer professionale.
Il secondo riguarda le pratiche vietate dall’art. 5, par. 1, già applicabili. Rilevano la lett. f), che vieta di inferire le emozioni di una persona nel luogo di lavoro e negli istituti di istruzione (salvo motivi medici o di sicurezza), e la lett. e), sulla creazione o sull’ampliamento di banche dati di riconoscimento facciale mediante scraping non mirato. Il divieto di identificazione biometrica remota «in tempo reale» della lett. h), invece, riguarda solo gli spazi accessibili al pubblico e le attività di contrasto: non copre il privato che usa occhiali dotati di riconoscimento facciale.
I sistemi biometrici ad alto rischio
Il terzo dato completa il secondo. Un sistema che identifica a distanza persone non coinvolte attivamente, confrontandone i dati biometrici con una banca dati, rientra tra i sistemi di identificazione biometrica remota ad alto rischio dell’allegato III, punto 1, lett. a). Dopo il Digital Omnibus, gli obblighi per i sistemi ad alto rischio dell’allegato III si applicano dal 2 dicembre 2027.
L’ultimo elemento riguarda la trasparenza: l’art. 50, par. 3, obbliga il deployer di un sistema di riconoscimento delle emozioni o di categorizzazione biometrica a informare le persone che vi sono esposte. L’art. 50, par. 1, impone invece di informare chi interagisce con un sistema di IA: ma il passante non interagisce con l’assistente degli occhiali, ne è soltanto l’oggetto.
RED e Cyber Resilience Act nella sicurezza dei prodotti
Il versante più trascurato è però quello della sicurezza dei prodotti. Dal 1° agosto 2025 (data fissata dal Regolamento delegato (UE) 2023/2444) si applica il Regolamento delegato (UE) 2022/30, che rende operativo, anche per le apparecchiature radio progettate per essere indossate, il requisito essenziale dell’art. 3, par. 3, lett. e), della direttiva 2014/53/UE (RED): l’apparecchiatura deve incorporare salvaguardie che proteggano i dati personali e la vita privata dell’utente e dell’abbonato. Dell’utente e dell’abbonato, appunto. Non dei terzi ripresi.
Poi abbiamo anche il Regolamento (UE) 2024/2847 (Cyber Resilience Act), applicabile dall’11 dicembre 2027 con una portata molto più ampia. Tra i requisiti essenziali dell’allegato I, parte I, punto 2, il CRA impone di proteggere la riservatezza dei dati trattati, personali o di altro tipo (lett. e), e di trattare solo dati adeguati, pertinenti e limitati a quanto necessario rispetto alla finalità prevista del prodotto (lett. g): un principio di minimizzazione fin dalla progettazione.
A parere di chi scrive la formula, che non distingue tra dati dell’utente e dati di terzi, consente di ricondurvi anche i dati dei passanti. Nemmeno il CRA, però, prevede un requisito di segnalazione verso chi si trova davanti agli occhiali: l’indicatore di registrazione che la dichiarazione considera indispensabile non è oggi imposto né dalla RED né dal CRA.
Le regole italiane per gli smart glasses tra lavoro e sanità
Il par. 34 della dichiarazione ricorda poi che alcuni usi possono essere vietati dal diritto penale, civile o del lavoro nazionale, e che la violazione di queste norme può mettere in discussione la liceità del trattamento ai sensi dell’art. 5, par. 1, lett. a), GDPR.
Il rinvio è generico ma si ritiene che nel diritto italiano abbia contenuti precisi.
Le riprese e i reati previsti dal diritto italiano
Sul piano penale, l’art. 615-bis c.p. punisce chi, mediante strumenti di ripresa visiva o sonora, si procura indebitamente notizie o immagini attinenti alla vita privata che si svolge nei luoghi indicati dall’art. 614 c.p., e chi le rivela o le diffonde.
L’art. 617-septies c.p. punisce chi, al fine di recare danno all’altrui reputazione o immagine, diffonde riprese di incontri privati o registrazioni di conversazioni compiute fraudolentemente in sua presenza o con la sua partecipazione; ma esclude la punibilità quando la diffusione deriva in via diretta e immediata dall’utilizzazione in un procedimento amministrativo o giudiziario o dall’esercizio del diritto di difesa o di cronaca.
Quest’ultima clausola incrocia uno dei risultati più interessanti del report SPE, cioè gli occhiali come strumento per precostituire la prova. Nel nostro ordinamento la registrazione di una conversazione effettuata da uno degli interlocutori all’insaputa dell’altro non è un’intercettazione e costituisce prova documentale ai sensi dell’art. 234 c.p.p. (Cass. pen., Sez. Un., n. 36747/2003, Torcasio). Utilizzabilità processuale e liceità del trattamento restano però piani distinti: che una registrazione possa entrare in un processo non dice nulla sulla sua conservazione, sulla sua pubblicazione o sul riuso da parte del fornitore del servizio.
L’uso degli smart glasses nel lavoro
Per quanto attiene poi ai profili di diritto del lavoro, la dichiarazione segnala sia il rischio di monitoraggio dei dipendenti sia quello per la riservatezza delle informazioni aziendali, segreti commerciali compresi (par. 10). Per il datore che dota il personale di smart glasses il riferimento in Italia è l’art. 4 della L. 20 maggio 1970, n. 300: gli strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori richiedono l’accordo sindacale o l’autorizzazione dell’Ispettorato, salvo che si tratti di strumenti utilizzati dal lavoratore per rendere la prestazione (comma 2).
A parere di chi scrive una telecamera montata all’altezza dello sguardo del lavoratore, che riprende colleghi e clienti, difficilmente può essere ricondotta al comma 2 senza un esame specifico dell’uso previsto; in ogni caso il comma 3 condiziona l’utilizzabilità delle informazioni all’adeguata informazione del lavoratore e al rispetto del Codice Privacy. A ciò si aggiunge il divieto di riconoscimento delle emozioni dell’art. 5, par. 1, lett. f), AI Act.
Il report SPE documenta anche il caso opposto: il lavoratore che si riprende da sé, come il fattorino che filma le consegne per difendersi dai reclami e proteggere il proprio rating sulla piattaforma. Secondo la logica del par. 14 l’uso in questo caso non è personale, e titolare diventa il lavoratore stesso. Ne deriva comunque l’assoluta necessità di una policy sull’uso in servizio di dispositivi indossabili di registrazione.
Gli smart glasses nelle strutture sanitarie
Le strutture sanitarie compaiono espressamente tra i contesti sensibili (par. 10), e la nota 6 ricorda che alcune strutture hanno già limitato l’uso degli occhiali nei propri locali. In sanità gli smart glasses hanno però due volti.
Il primo è quello del visitatore o del paziente che li indossa in reparto: a parere di chi scrive la struttura non è titolare di quelle riprese, ma può e deve governarle con il regolamento interno e la segnaletica, come già fa per smartphone e fotografie.
Il secondo è quello del professionista che li usa per il teleconsulto, la documentazione intraoperatoria o l’assistenza a distanza: qui la struttura è titolare, tratta dati relativi alla salute ai sensi dell’art. 9 GDPR, deve verificare la necessità di una valutazione d’impatto ex art. 35 GDPR e deve chiedersi se il software che accompagna gli occhiali abbia una destinazione d’uso medica ai sensi dell’art. 2, punto 1, del Regolamento (UE) 2017/745 (MDR).
La stessa domanda vale per le funzioni di descrizione della scena destinate alle persone con disabilità visiva, che sia la dichiarazione (par. 5) sia il report SPE indicano tra gli usi più utili: la compensazione di una disabilità è tra le finalità mediche elencate dalla norma, e la qualificazione dipenderà dalla destinazione d’uso attribuita dal fabbricante.
Gli smart glasses negli Stati Uniti e il veto californiano
Negli Stati Uniti il tema si muove su un binario diverso, quello del diritto penale e della tutela del consumatore, in assenza di una disciplina federale generale sulla protezione dei dati.
La dichiarazione EDPB cita in nota (nota 39) il Senate Bill 1130 della California come esempio di proposta legislativa in discussione sui dispositivi di registrazione indossabili. Il testo, presentato dalla senatrice Eloise Gómez Reyes, puniva la registrazione occulta in luoghi, compresi quelli di lavoro, in cui la persona ha una ragionevole aspettativa di riservatezza, imponeva dal 2028 un indicatore luminoso o di altro tipo che segnalasse la registrazione e vietava la vendita di tecnologie progettate per disattivarlo.
Il Governatore Newsom vi ha posto il veto il 30 settembre 2026, ritenendo troppo ampia la definizione di dispositivo indossabile e osservando che la registrazione non consentita in luoghi privati è già vietata dalla legge californiana. Il riferimento della dichiarazione, adottata due settimane dopo, è quindi superato.
La notizia ha una sua rilevanza, perché il legislatore californiano aveva tentato proprio ciò che in Europa manca: fare dell’indicatore di registrazione un requisito del dispositivo, presidiato da sanzioni anche verso chi ne commercializza l’elusione. Sul riconoscimento facciale, invece, l’ordinamento statunitense offre già un riferimento consolidato nel Biometric Information Privacy Act dell’Illinois (740 ILCS 14), che subordina la raccolta di identificatori biometrici a un’informativa e a un consenso scritti: un modello che chi progetta funzioni di identificazione destinate anche al mercato americano non può ignorare.
Smart glasses e GDPR: le responsabilità ancora scoperte
La dichiarazione del 13 ottobre 2026 non introduce obblighi nuovi e non ha forza vincolante. Sgombra però il campo da un equivoco comodo: che la conformità degli smart glasses al GDPR sia un problema di chi li indossa.
Per i fabbricanti e i fornitori di servizi collegati, in particolare di assistenti basati sull’IA, la lettura delle autorità è chiara:
– qualificare con precisione il proprio ruolo (titolare, contitolare, responsabile) per ciascuna funzione: registrazione, streaming, analisi tramite IA, conservazione in cloud;
– progettare la trasparenza verso i terzi come requisito tecnico: indicatore non disattivabile, registrazione impedita a indicatore coperto, segnali acustici;
– disattivare di default la conservazione permanente quando la funzione è di assistenza in tempo reale, privilegiare l’elaborazione sul dispositivo, oscurare i volti dei terzi prima di condivisione e riuso (par. 33);
– tenere separati, e sostenere con un bilanciamento documentato, i riusi commerciali e l’addestramento dell’IA sui dati dei terzi;
– verificare la conformità all’art. 3, par. 3, lett. e), RED, già applicabile, e pianificare quella ai requisiti del CRA.
Per le organizzazioni che adottano gli occhiali (imprese, pubbliche amministrazioni, strutture sanitarie):
– considerarsi titolari, con valutazione d’impatto, informazione agli interessati e accordo con il fornitore ex art. 26 o art. 28 GDPR, a seconda dei ruoli;
– per i dipendenti, seguire la procedura dell’art. 4 della L. 300/1970 ed escludere qualsiasi funzione di riconoscimento delle emozioni;
– adottare una policy sui dispositivi indossabili di registrazione, per il personale e per i visitatori, con limiti espressi nei luoghi sensibili.
Il settore rimane comunque molto critico: il GDPR tutela il passante solo attraverso la qualificazione del titolare; la RED protegge l’utente e l’abbonato; il CRA protegge i dati senza imporre segnali verso l’esterno; l’AI Act esclude l’uso personale. Il soggetto più esposto, quello che non ha comprato nulla e non sa di essere ripreso, sembra restare privo di un presidio nella disciplina del prodotto.
A parere di chi scrive la sede naturale per colmare questo vuoto è la normativa sui prodotti, più che quella sulla protezione dei dati. Finché il legislatore non interverrà, l’unica garanzia per chi viene ripreso resterà la scelta progettuale del fabbricante. E non è detto che la scelta sia sempre quella giusta.
Partecipa alla community