Occhiali intelligenti e privacy: cosa devono verificare imprese ed enti

Occhiali intelligenti: le verifiche privacy prima di portarli al lavoro

Gli occhiali intelligenti possono riprendere persone, conversazioni e luoghi senza avere l’aspetto evidente di una videocamera. Il Comitato europeo per la protezione dei dati chiede a produttori, servizi collegati e utilizzatori di chiarire chi decide il trattamento e di rendere la registrazione comprensibile anche a chi si trova davanti al dispositivo. Per imprese ed enti la risposta non è un divieto automatico, ma una scelta documentata sugli usi consentiti, accompagnata da impostazioni protettive, regole interne e limiti più severi negli spazi sensibili.

 

Una videocamera che non sembra una videocamera

La persona che entra in una sala riunioni, si avvicina a uno sportello o parla con un tecnico può riconoscere uno smartphone puntato verso di sé. Con gli occhiali intelligenti è più difficile capire se una telecamera o un microfono siano attivi, quali dati vengano raccolti e se il contenuto rimanga sul dispositivo oppure raggiunga un’applicazione o un servizio remoto.

È da questa asimmetria che parte la dichiarazione adottata il 13 ottobre 2026 dal Comitato europeo per la protezione dei dati. Il documento formula considerazioni preliminari e annuncia ulteriori lavori, quindi non è una nuova norma né una linea guida definitiva. Offre però una lettura comune delle regole europee già applicabili e mette a fuoco un problema concreto: quando il trattamento è quasi invisibile, una semplice informativa consultabile in un secondo momento può non bastare a rendere le persone consapevoli di ciò che sta accadendo.

 

La responsabilità segue le decisioni sui dati

Il termine “utilizzatore” può far pensare che ogni responsabilità ricada su chi indossa gli occhiali, ma il quadro è più articolato. Occorre verificare chi stabilisce perché vengono raccolti i dati, quali funzioni sono abilitate, dove sono conservate le registrazioni e se vengono riutilizzate, per esempio per addestrare sistemi di intelligenza artificiale. In base alle decisioni effettive possono assumere un ruolo il produttore, il fornitore dell’applicazione o del servizio e l’organizzazione che autorizza l’impiego del dispositivo; in alcuni casi le responsabilità possono anche essere condivise.

L’uso esclusivamente personale o domestico può restare fuori dalle regole europee sulla protezione dei dati, ma l’eccezione è ristretta. La pubblicazione delle registrazioni verso un pubblico indefinito, l’impiego sul lavoro o l’uso per attività istituzionali e commerciali possono ricondurre il trattamento nella disciplina ordinaria. Per questo un’impresa o un ente non dovrebbe accontentarsi delle condizioni predisposte dal produttore, né presumere che basti lasciare ogni scelta al singolo dipendente.

 

Una spia luminosa non risolve tutto

Il Comitato osserva che gli indicatori di registrazione oggi disponibili possono essere poco visibili, ambigui o aggirabili. La trasparenza deve quindi combinare più elementi, come un segnale riconoscibile sul dispositivo, un segnale sonoro o, quando appropriato, l’attivazione con un comando vocale percepibile. In futuro potranno essere valutate anche notifiche di prossimità, purché non diventino l’unico avviso e non consentano di tracciare chi indossa il dispositivo. I segnali devono essere difficili da disattivare e coerenti con le condizioni reali d’uso.

La base giuridica va valutata per ogni finalità. Il consenso è spesso fragile quando una persona viene ripresa di passaggio e non dispone di una scelta effettiva; anche il legittimo interesse richiede un bilanciamento serio, soprattutto se le immagini vengono conservate, diffuse o riutilizzate per finalità commerciali. I dati biometrici rientrano tra le categorie particolari soltanto quando sono trattati per identificare una persona in modo univoco. Insieme ai contesti che coinvolgono minori, pazienti o lavoratori, questi trattamenti rendono la valutazione più delicata e possono imporre ulteriori condizioni previste dalla legge.

 

Le verifiche prima dell’uso

Prima di acquistare o autorizzare gli occhiali intelligenti, l’organizzazione dovrebbe descrivere lo scopo e distinguere le funzioni indispensabili da quelle soltanto disponibili. Un dispositivo usato da un manutentore per ricevere istruzioni a mani libere non richiede necessariamente la registrazione continua dell’ambiente, così come un supporto alla formazione non giustifica di per sé la conservazione di tutte le immagini raccolte.

Servono poi una mappa dei dati e dei soggetti coinvolti, protezioni attive per impostazione predefinita e limiti tecnici coerenti con l’uso dichiarato. La mappa deve comprendere responsabili e sub-responsabili, luoghi di conservazione, eventuali trasferimenti fuori dall’Unione europea, misure di sicurezza e modalità di cancellazione o restituzione dei dati. Il Comitato richiama, tra le possibili misure, l’elaborazione sul dispositivo, l’offuscamento delle persone non necessarie, la riduzione della conservazione e la disattivazione della memorizzazione persistente quando non serve. In determinati luoghi può essere utile impedire alcune funzioni attraverso limiti geografici o configurazioni gestite centralmente. In base all’articolo 35 del Regolamento generale sulla protezione dei dati, una valutazione d’impatto diventa necessaria quando il trattamento può comportare un rischio elevato per le persone.

Nel lavoro la valutazione deve comprendere anche le regole nazionali sui controlli dei dipendenti e il coinvolgimento delle funzioni competenti. Scuole, ospedali, servizi sociali, spogliatoi e altri spazi nei quali le persone hanno aspettative elevate di riservatezza richiedono cautele più forti, che possono arrivare al divieto d’uso in aree determinate. La stessa attenzione va riservata alle modalità con cui le persone possono esercitare i propri diritti quando non sanno chi le abbia registrate o quale servizio abbia ricevuto i dati.

 

Regolare gli usi è più utile di una risposta uniforme

Un divieto generale è semplice da comunicare, ma può impedire applicazioni assistive o professionali utili senza distinguere i rischi. L’alternativa non è consentire tutto, bensì costruire una regola comprensibile per casi d’uso: chi può utilizzare il dispositivo, per quale finalità, in quali luoghi, con quali funzioni attive e per quanto tempo possono restare disponibili i dati.

Questa impostazione permette di separare una funzione che elabora localmente un comando e non conserva immagini da una registrazione continua collegata a servizi remoti. Consente anche di definire zone in cui l’uso è vietato, procedure per gestire richieste e incidenti e controlli periodici sulle impostazioni del produttore, che possono cambiare dopo un aggiornamento.

 

La registrazione deve essere subito riconoscibile

Gli occhiali intelligenti rendono meno visibile il gesto che avvia una raccolta di dati, ma non rendono meno rilevanti i diritti delle persone. La dichiarazione europea chiede di distribuire le responsabilità secondo le decisioni effettive e di progettare segnali, impostazioni e limiti prima che il dispositivo entri nei luoghi di lavoro o nei servizi al pubblico.

Per imprese ed enti la scelta più solida è partire dagli usi reali e non dal catalogo delle funzioni. Se lo scopo, i ruoli e il percorso dei dati non sono chiari, la tecnologia non è pronta per essere autorizzata. Quando invece l’uso è circoscritto e le protezioni sono incorporate nel dispositivo e nell’organizzazione, benefici e rischi possono essere valutati sul caso concreto.

 

Fonti e riferimenti

• Comitato europeo per la protezione dei dati, Statement on smart glasses, 13 ottobre 2026
• Comitato europeo per la protezione dei dati, comunicato del 13 ottobre 2026
• Autorità svedese per la protezione della privacy, Smart glasses, aggiornata il 7 agosto 2026
• Conferenza delle autorità tedesche per la protezione dei dati, comunicato del 24 settembre 2026
• Regolamento generale sulla protezione dei dati, articolo 35 sulla valutazione d’impatto

 

Disclaimer per i lettori. Il contenuto ha finalità informativa e non sostituisce una valutazione giuridica, organizzativa o tecnica riferita al caso concreto. La dichiarazione del Comitato europeo per la protezione dei dati esprime considerazioni preliminari e potrà essere seguita da ulteriori indicazioni.

 

Nota di trasparenza. Questo articolo è stato predisposto con il supporto di strumenti di intelligenza artificiale generativa. La responsabilità editoriale dei contenuti è di iSimply.