Deux failles, deux correctifs, dix semaines d'écart
Meta a fermé une deuxième faille dans le LED indicateur de capture des Ray-Ban Meta le 27 août 2026, après la découverte que la personne portant les lunettes pouvait démarrer un enregistrement, couvrir ensuite la lumière, et continuer à filmer sans aucun signal visible pour les personnes autour d'elle.
Alex Himel, vice-président AR chez Meta, a annoncé le correctif sur Threads. Couvrir le LED avant le début d'un enregistrement était déjà bloqué depuis des mois, cette voie restait fermée. La nouvelle faille fonctionnait parce que couvrir le LED pendant un enregistrement en cours n'arrêtait pas la caméra, cela ne faisait que cacher l'avertissement. La mise à jour du 27 août change cela : la caméra arrête désormais d'enregistrer dès l'instant où le LED est couvert alors qu'un enregistrement est déjà en cours.
Il s'agit du deuxième correctif de confidentialité pour le LED de capture en moins de deux mois. Une mise à jour précédente, déployée approximativement en juin ou juillet 2026, avait fermé une faille plus physique : celles et ceux qui perçaient le boîtier du LED pour le retirer de la monture conservaient jusque-là une caméra fonctionnelle sans aucun indicateur. Cette mise à jour désactivait entièrement la caméra si le boîtier du LED était retiré. Himel a déclaré que Meta allait "continuer à déployer des mises à jour comme celle-ci pour s'assurer que le LED de capture puisse fiablement alerter les personnes présentes lorsque des photos ou des vidéos sont capturées".
Chacun des deux correctifs répond à une façon précise dont les gens déjouaient la lumière. Aucun des deux ne répond à ce que les régulateurs français avaient déjà dit sur la lumière elle-même, deux mois avant le plus récent des deux correctifs.
| Événement | Ce qui est traité ou statut | Date |
|---|---|---|
| LED percé et retiré de la monture | Caméra entièrement désactivée si le boîtier du LED est retiré | Environ juin-juillet 2026 (mise à jour précédente) |
| LED couvert après le début de l'enregistrement | La caméra arrête désormais d'enregistrer dès que le LED est couvert pendant l'enregistrement | 27 août 2026 |
| La CNIL déclare le LED insuffisant | Le régulateur français dit qu'un voyant technique ne peut pas remplacer le consentement des tiers | Juin 2026 |
| Rapport de catégorisation des lunettes connectées de l'EDPB | Attendu, non encore publié | Fin de l'été 2026 |
| Meta Connect et lancement de la nouvelle génération de lunettes | Événement matériel prévu | 23 septembre 2026 |
C'est aussi la deuxième fois en quelques semaines que l'indicateur de capture des Ray-Ban Meta attire l'attention au-delà des propres correctifs de Meta. Une plainte antérieure du groupe allemand HateAid, rapportée le 15 août 2026, concernait un marché de modifications distinct permettant de contourner par logiciel les restrictions de caméra des lunettes, une question différente des failles logicielles fermées ici.
Un correctif pour la fiabilité, pas pour le consentement
La CNIL française avait dit à Meta en juin 2026 que le LED de capture "n'a qu'une portée limitée et apparaît donc insuffisant" comme moyen d'avertir les tiers, et que la personne qui porte les lunettes doit obtenir un consentement réel avant de filmer d'autres personnes, quel que soit le comportement du voyant.
Cette déclaration est arrivée avant les deux correctifs décrits ci-dessus. Elle ne répondait ni à la faille du perçage ni à celle de l'enregistrement en cours, la CNIL avait déjà dit que l'approche de fond ne fonctionne pas comme consentement, avant que l'une ou l'autre des deux failles ne soit corrigée. L'objection de la CNIL n'est pas que le LED puisse être trompé, elle est qu'un LED parfaitement fonctionnel n'équivaut pas au consentement de la personne filmée.
L'Allemagne ajoute un second axe, distinct. La commissaire à la protection des données de Hambourg a indiqué que les lunettes pourraient déjà enfreindre les règles allemandes contre les équipements d'enregistrement dissimulés, une lecture qui ne dépend pas non plus de la fiabilité du LED. Des eurodéputés italiens ont soulevé une préoccupation supplémentaire en mars 2026, cette fois au sujet de prestataires au Kenya qui examinent les images capturées par les lunettes, adressée à la DPC irlandaise, le régulateur européen chef de file de Meta.
Aucun de ces axes ne demande si le LED peut être trompé. Chacun pose une question différente : qui consent, qui examine les images, et selon quel droit. Rendre le LED plus difficile à tromper ne répond à aucune d'entre elles.
Ce que les entreprises de l'UE et du Royaume-Uni devraient retenir de ce calendrier
Les entreprises européennes et britanniques qui testent ou déploient des Ray-Ban Meta ou des lunettes connectées similaires dans le commerce de détail, la logistique d'entrepôt, le travail de terrain ou la relation client utilisent un appareil dont la catégorie juridique est encore en train de s'écrire.
Une mise à jour logicielle qui rend le LED de capture plus difficile à tromper est une amélioration technique réelle. Ce n'est pas une réponse de conformité à la question du consentement soulevée par la CNIL en juin, et cela ne touche ni la question allemande sur les équipements d'enregistrement dissimulés ni l'enquête de la DPC irlandaise sur l'examen au Kenya. Une entreprise qui considère que "Meta a de nouveau corrigé le LED" prouve que le problème du consentement des tiers est résolu s'appuie sur une affirmation que le propre régulateur européen chef de file de Meta a déjà rejetée par écrit.
Le rapport de l'EDPB sur la manière de catégoriser les lunettes connectées au regard du droit de l'UE est attendu d'ici la fin de l'été 2026, la même fenêtre pendant laquelle Meta devrait lancer sa nouvelle génération de lunettes lors du Meta Connect le 23 septembre 2026. Une entreprise qui teste la génération actuelle aujourd'hui devrait s'attendre à ce que les règles de toute la catégorie, pas seulement de ce modèle, changent dans les semaines suivant ce lancement, et devrait construire sa pratique en matière de consentement des tiers et de traitement des données sur ce que la CNIL et Hambourg ont déjà dit, plutôt que sur ce que fait le LED aujourd'hui.
Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et celles à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous ces gens.
Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour le savoir.
Si cet article vous a apporté quelque chose aujourd'hui, dites-le-nous pour que nous continuions. Suivez-nous, laissez un like ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font avancer.
À lire ensuite: Un bidouillage à 50 dollars déjoue la règle allemande | Le fisc français est exempté de ses propres amendes RGPD
