L’European Data Protection Board (EDPB) ha pubblicato una serie di linee guida che chiariscono la responsabilità legale dei soggetti coinvolti nella raccolta e nel trattamento delle immagini di passanti riprese da smart glasses. Questi dispositivi, dal design simile a occhiali da sole, integrano telecamere e algoritmi di intelligenza artificiale (AI) che inviano i dati a server esterni per l’analisi. La normativa europea considera tali operazioni come trattamento di dati personali, con conseguenze significative per i fabbricanti, i fornitori di servizi e le organizzazioni che ne fanno uso.

Chi è il responsabile del trattamento?

Secondo il GDPR, il responsabile del trattamento è colui che determina le finalità e i mezzi del trattamento dei dati. Nei casi di smart glasses, la responsabilità ricade principalmente su tre figure:

    • Il produttore del dispositivo: definisce le capacità di registrazione e le impostazioni di default, decide se i dati vengano inviati a server esterni e quale algoritmo di AI venga utilizzato.
    • Il fornitore del servizio cloud: gestisce l’infrastruttura di archiviazione e l’elaborazione delle immagini, garantendo la sicurezza e la conformità alle norme.
    • L’organizzazione che utilizza gli occhiali (es. strutture sanitarie, aziende di sicurezza): se le immagini vengono usate per scopi specifici, l’ente è co‑responsabile.

Quando l’utente indossa gli smart glasses in ambito domestico, la responsabilità non si trasferisce all’individuo, poiché il dispositivo è considerato un “strumento di trattamento” controllato dal produttore e dal fornitore del servizio.

Base giuridica del trattamento delle immagini

Il GDPR richiede una base giuridica valida per ogni operazione di trattamento. Per le riprese di passanti, le basi più comuni sono:

    • Consenso esplicito: il soggetto filmato deve aver fornito un consenso libero, informato e specifico.
    • Legittimo interesse: il titolare può ricorrere a questa base solo se dimostra che l’interesse legittimo prevale sui diritti dei passanti, effettuando un bilancio di impatto.
    • Obbligo legale: ad esempio, obblighi di sicurezza pubblica che richiedono la registrazione.

L’EDPB sottolinea che, per i dispositivi di consumo, il consenso è la via più sicura, soprattutto quando le riprese avvengono in spazi pubblici dove i soggetti non hanno aspettative di privacy limitate.

Il ruolo del “privacy by design”

Il principio di privacy by design impone che la protezione dei dati sia integrata fin dalla fase di progettazione del prodotto. I produttori devono adottare misure tecniche come:

    • Riconoscimento automatico e blur delle facce dei passanti.
    • Opzioni di attivazione/disattivazione della fotocamera tramite pulsante fisico.
    • Limiti di tempo e di quantità dei dati inviati al cloud.

Queste misure riducono il rischio di violazioni e dimostrano la buona fede del produttore davanti alle autorità di controllo.

Obblighi di trasparenza e informativa

L’informativa privacy deve essere chiara, concisa e facilmente accessibile. Deve indicare:

    • Chi è il titolare del trattamento (produttore o fornitore).
    • Le finalità del trattamento (es. miglioramento dell’AI, analisi dei dati di movimento).
    • I destinatari dei dati (server aziendali, partner terzi).
    • I diritti degli interessati (accesso, rettifica, cancellazione, opposizione).

Le autorità raccomandano di inserire un breve avviso visivo sull’occhiale stesso, ad esempio una piccola icona luminosa, per informare i passanti della possibile registrazione.

Conseguenze per le strutture sanitarie

Le strutture sanitarie che impiegano smart glasses per assistenza remota o telemedicina devono considerare ulteriori obblighi:

    • Nomina di un responsabile della protezione dei dati (DPO) specifico per i dispositivi indossabili.
    • Valutazione d’impatto sulla protezione dei dati (DPIA) prima dell’introduzione del dispositivo.
    • Formazione del personale sull’uso corretto e sulle policy di consenso dei pazienti e dei visitatori.

In caso di violazione, le sanzioni possono arrivare fino al 4 % del fatturato annuo globale dell’organizzazione, rendendo fondamentale una gestione accurata.

Azioni consigliate per gli utenti e le imprese

Per ridurre i rischi legati alla privacy, è possibile adottare le seguenti pratiche:

    • Verificare sempre l’esistenza di un’informativa privacy aggiornata prima di acquistare o utilizzare gli smart glasses.
    • Attivare le impostazioni di anonimizzazione delle immagini, se disponibili.
    • Richiedere al produttore prove di certificazione GDPR, come le dichiarazioni di conformità.
    • Per le imprese, includere clausole contrattuali che obbligano i fornitori cloud a rispettare gli standard di sicurezza ISO 27001.

Seguendo questi consigli, sia i consumatori sia le organizzazioni potranno beneficiare delle potenzialità degli smart glasses senza compromettere la privacy dei cittadini.