Resumen ejecutivo

Este verano, las gafas inteligentes con cámara han pasado de ser un producto de nicho a ocupar la agenda de reguladores en media Europa. Denuncias por grabaciones sin consentimiento, la inseguridad que reportan muchas mujeres en espacios públicos y una denuncia penal contra Meta y Ray-Ban en Alemania han obligado al EDPB, al Parlamento Europeo y a varias autoridades nacionales de protección de datos a tomar posición sobre estos dispositivos. Este análisis toma como punto de partida el informe de Peter Craddock, Blinded by the LED, y lo contrasta con la normativa, la jurisprudencia del TJUE y las guías de las autoridades competentes.

La primera pregunta es si las gafas inteligentes constituyen equipos de vigilancia encubierta. La respuesta, con base en la ley alemana de telecomunicaciones y en la propia Bundesnetzagentur, es que no: el criterio decisivo no es la capacidad técnica de grabar sin ser visto, sino la intención declarada del fabricante, y las salvaguardas antimanipulación de estos dispositivos (el LED que no se puede desactivar) apuntan en sentido contrario. La denuncia de HateAid ante la fiscalía alemana no ha logrado que la autoridad competente abra un procedimiento formal contra Meta.

La segunda pregunta, quién responde por los datos que las gafas capturan, tiene una respuesta menos intuitiva de lo que parece: el usuario, no el fabricante. Es el usuario quien elige el dispositivo y decide cuándo activarlo, y el GDPR atribuye la responsabilidad a quien determina esos fines y medios. La jurisprudencia del TJUE en los asuntos Lindqvist y Rynes confirma que un particular puede ser responsable del tratamiento, y que la exención doméstica no protege a quien graba en la calle o en un restaurante. El fabricante solo asume esa responsabilidad cuando usa los datos para fines propios, como entrenar sus modelos de inteligencia artificial.

La tercera cuestión, si todo lo que captan las gafas son datos personales, tampoco tiene una respuesta uniforme. La identificabilidad es relativa: depende de quién procesa la información y de qué medios tiene razonablemente a su alcance para reconocer a una persona. Buena parte de lo que procesan estos dispositivos (datos ambientales, formas geométricas, patrones de entrenamiento) no se refiere a nadie identificable, y ni siquiera la transcripción de voz equivale a identificación biométrica, porque el proceso de tokenización destruye las características que permitirían reconocer al hablante. Eso cambia en el momento en que el usuario publica una grabación: ahí, la difusión puede convertir a un desconocido en alguien identificable para quien la reciba.

La cuarta conclusión es la más contundente: el indicador LED no cumple con las obligaciones de transparencia del GDPR. Una luz no dice quién trata los datos, con qué finalidad ni qué derechos tiene el afectado. La CNIL francesa lo calificó de "insuficiente" tras una encuesta en la que dos tercios de los encuestados veían un riesgo para su privacidad en estos dispositivos. La AEPD, sin llegar a esa conclusión, recomienda pedir permiso e informar más allá de lo que indica la luz. El propio Craddock advierte de un efecto perverso: si el LED se enciende también cuando no hay tratamiento de datos personales, genera una falsa sensación de vigilancia constante que termina por insensibilizar a quien lo ve, el mismo fenómeno de "fatiga de alarmas" que se estudia en los hospitales.

El artículo no se limita a resumir la tesis de Craddock. La contrasta con sus límites: no ofrece alternativas concretas al LED, no resuelve cómo un transeúnte identifica al responsable de una grabación cuando el usuario ya se ha marchado, y no aborda cómo se reparte la carga de la prueba en un expediente sancionador. La conclusión general apunta en una dirección clara: no hace falta prohibir las gafas inteligentes ni imponer nuevas cargas a los fabricantes. Hace falta que las autoridades de protección de datos apliquen las normas que ya existen, y que los usuarios entiendan que llevar una cámara en la cara conlleva las mismas obligaciones que llevarla en la mano.

Introducción

Durante el verano de 2026, las gafas inteligentes han ocupado el centro del debate regulatorio europeo. Los informes sobre grabaciones no consentidas, difusión de imágenes en redes y la inseguridad de las mujeres en espacios públicos han empujado a autoridades nacionales, al EDPB y al Parlamento Europeo a pronunciarse sobre la compatibilidad de estos dispositivos con el marco normativo vigente.

Este artículo examina si el Reglamento General de Protección de Datos (GDPR) (1), el Reglamento de Inteligencia Artificial (AI Act) (2) y las legislaciones nacionales, en particular la prohibición alemana de equipos de grabación encubierta, son suficientes para abordar los riesgos derivados del uso de estos dispositivos, o si exigen reinterpretaciones o reformas. El análisis parte del documento de Peter Craddock (3), que ha servido como catalizador para contrastar las posiciones doctrinales con las fuentes primarias disponibles: normativa, jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE), guías de autoridades de protección de datos y documentos parlamentarios.

El artículo responde a preguntas concretas. ¿Son las gafas inteligentes dispositivos de vigilancia encubierta? ¿Quién es responsable del tratamiento de los datos personales capturados? ¿Los datos capturados son siempre «datos personales»? ¿Cumple el indicador LED con las obligaciones de transparencia del GDPR? ¿Qué alternativas existen a la prohibición y a la imposición de cargas a los fabricantes?

Sección 1. Naturaleza jurídica de las gafas inteligentes: ¿dispositivos de vigilancia encubierta o productos de doble uso?

1.1. La prohibición alemana de equipos de grabación encubierta (§ 8 TDDDG) y su interpretación jurisprudencial

El ordenamiento jurídico alemán contiene una prohibición singular en el ámbito europeo: la fabricación, importación, distribución y posesión de equipos de telecomunicación que, por su apariencia o funcionamiento, estén especialmente destinados a grabar de forma encubierta imágenes de otra persona. Esta prohibición tiene su origen en el § 90 de la anterior Ley de Telecomunicaciones (Telekommunikationsgesetz – TKG), actualmente trasladada al § 8 de la Ley de Telecomunicaciones, Servicios Digitales y Protección de Datos (Telekommunikation‑Digitale‑Dienstet‑Datenschutz‑Gesetz – TDDDG).

El precepto establece que queda prohibido el equipo de telecomunicación que «se encuentra disimulado con objetos de uso cotidiano y que, por estas circunstancias o por su modo de funcionamiento, es particularmente adecuado y está destinado a grabar de forma encubierta la imagen de otra persona». La jurisprudencia y los trabajos preparatorios de la norma coinciden en que la mera idoneidad técnica no basta; se exige además una intencionalidad en el diseño y comercialización del dispositivo. Los materiales parlamentarios que dieron lugar al § 90 TKG ya advertían de que la prohibición no debía extenderse a dispositivos de «doble uso», aquellos que, aun siendo aptos para la grabación oculta, sirven primordialmente a una finalidad lícita diferente, como los teléfonos móviles (3). El Bundestag‑Drucksache 16/5524 (pág. 20) recoge esta interpretación auténtica, señalando que el propósito prohibido debe ser el primario, esencial o real del dispositivo, determinado a partir de las intenciones manifiestas de quienes lo han desarrollado, fabricado o distribuido (3). Esta interpretación restrictiva fue confirmada posteriormente por el Tribunal Superior Regional de Colonia (Oberlandesgericht Köln) en su resolución de 30 de octubre de 2008 (21 U 22/08), publicada en Neue Juristische Wochenschrift (NJW 2009, 1827) (3). La fuente no aclara si el tribunal estableció un criterio numérico o porcentual para determinar dicho propósito primario, sino que remite a una evaluación objetiva de las circunstancias externas.

1.2. El criterio del «propósito primario, esencial o real» del dispositivo y su aplicación a las gafas inteligentes

Aplicando este criterio a las gafas inteligentes, Craddock sostiene que ningún fabricante ha manifestado una intención objetiva de que sus dispositivos se utilicen «con el fin de grabar o escuchar sin ser detectado» (3). Por el contrario, la incorporación de medidas antimanipulación, especialmente los indicadores luminosos (LED) que se activan cuando la cámara o los sensores ópticos están operativos, así como la desactivación automática de la cámara si se detecta que el LED ha sido bloqueado, constituye una evidencia objetiva de la voluntad del fabricante de prevenir, o al menos limitar, la utilización encubierta (3). En este sentido, la existencia de estas salvaguardas técnicas refuerza la conclusión de que las gafas inteligentes no están «destinadas» a la grabación encubierta en el sentido del § 8 TDDDG.

1.3. Distinción entre idoneidad técnica e intención del fabricante

El debate sobre la aplicabilidad del § 8 TDDDG a las gafas inteligentes ha adquirido una relevancia práctica considerable a raíz de la denuncia penal presentada el 12 de agosto de 2026 por la organización alemana HateAid contra Meta, Ray‑Ban y otros distribuidores, con fundamento precisamente en este precepto (4). La denuncia alega que el carácter discreto de las gafas, que pueden confundirse con gafas de sol convencionales, las convierte en «equipos de telecomunicación encubiertos» a efectos de la norma.

Sin embargo, la Bundesnetzagentur (Agencia Federal de Redes), autoridad competente para la aplicación del TDDDG, se pronunció el 15 de agosto de 2026 en sentido contrario. En sus declaraciones públicas, la Agencia consideró que la función de grabación de las gafas inteligentes de Meta resulta suficientemente reconocible para terceros a través de la señal LED, y que, en consecuencia, no concurren los requisitos de la prohibición (5). En la misma línea, la FAZ informó de que la Bundesnetzagentur no está realizando actualmente ningún procedimiento formal en relación con estos dispositivos, lo que confirma que, a juicio de la autoridad competente, las gafas inteligentes no están comprendidas en el ámbito de la prohibición (6). Craddock señala, además, que el precio de los dispositivos de vigilancia encubierta genuinos (por ejemplo, cámaras en forma de botón) es significativamente inferior al de las gafas inteligentes, lo que hace económicamente irracional adquirir estas últimas si el propósito primario del usuario fuese la grabación oculta (3). El documento original de Craddock no aporta datos cuantitativos sobre precios comparados, por lo que esta afirmación debe ser considerada como una observación práctica no respaldada por evidencia empírica en el propio texto.

1.4. Comparativa con precedentes tecnológicos

Craddock sitúa el debate sobre las gafas inteligentes en una secuencia histórica que se repite con cada innovación tecnológica que incorpora capacidades de captación de imágenes o sonido. Así, recuerda que ya en 1890 los juristas estadounidenses Samuel Warren y Louis Brandeis alertaban en su célebre artículo The Right to Privacy (publicado en el Harvard Law Review) de que «los últimos avances en el arte fotográfico han hecho posible tomar fotografías de manera subrepticia» (3). Aquella preocupación surgió apenas dos años después del lanzamiento de la cámara Kodak por George Eastman en 1888. Con posterioridad, las cámaras en los teléfonos móviles, cuyos primeros modelos comerciales aparecieron a finales de la década de 1990 y principios de los 2000, suscitaron idénticas inquietudes, que finalmente no condujeron a una prohibición del producto, sino a una adaptación de las normas de conducta y a una mayor conciencia social sobre el uso responsable. Lo mismo ocurrió con la fotografía con drones y con las grabadoras de cassette portátiles. La fuente no proporciona referencias normativas específicas sobre esos precedentes tecnológicos, por lo que esta contextualización histórica debe ser entendida como una reconstrucción analítica y no como una afirmación jurídica documentada.

El patrón que se observa en todos estos casos, según Craddock, es un primer intento de prohibir la tecnología, seguido de un reconocimiento progresivo de que la tecnología en sí misma no es ilegal, sino que es el uso concreto que el usuario hace de ella lo que puede determinar la ilicitud de una conducta determinada (3). Esta observación, no obstante, constituye una tesis interpretativa y no un hecho comprobado.

Sección 2. Asignación de responsabilidades bajo el GDPR: ¿usuario o fabricante como responsable del tratamiento?

2.1. El concepto de «responsable del tratamiento» (art. 4.7 GDPR): determinación de los fines y medios

El artículo 4, apartado 7, del GDPR define al «responsable del tratamiento» como «la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento» (1). Esta definición, de naturaleza funcional, no atiende a criterios formales o de titularidad del dispositivo, sino a la capacidad efectiva de decisión sobre el porqué y el cómo del tratamiento de datos personales. El Tribunal de Justicia de la Unión Europea, en el asunto Fashion ID (C‑40/17), precisó que la determinación de los fines y medios puede derivar de decisiones comunes o convergentes que tengan un impacto tangible sobre dicha determinación (7). Asimismo, en el asunto Jehovan todistajat (C‑25/17), el Tribunal estableció que la corresponsabilidad no implica necesariamente una igualdad de responsabilidades, sino que puede graduarse en función del grado de implicación de cada interviniente (8). El TJUE no ha fijado un criterio numérico o porcentual para medir dicho grado, por lo que su apreciación debe realizarse caso por caso.

En el contexto de las gafas inteligentes, esta cuestión se plantea en toda su complejidad, pues en el proceso de captación y tratamiento de información intervienen al menos dos actores con perfiles muy diferentes: el fabricante del dispositivo (que diseña el hardware y el software, y que en ocasiones presta servicios en la nube) y el usuario (que adquiere el dispositivo, lo activa y decide cómo y cuándo utilizarlo).

2.2. El usuario como responsable por defecto

Craddock sostiene que, por regla general, el usuario, es decir, la persona que lleva puestas las gafas inteligentes y activa sus funcionalidades, debe ser considerado responsable del tratamiento de los datos personales que se capturen, por dos razones principales (3). En primer lugar, es el usuario quien determina los medios al seleccionar el modelo de gafas que va a utilizar, con sus características técnicas concretas (tipo de sensores, capacidad de almacenamiento, conectividad, etc.). En segundo lugar, es el usuario quien determina el fin al decidir activar o no las funcionalidades de captación de imágenes o sonido, y al elegir el contexto en el que las utiliza (por ejemplo, si las emplea para tomar una fotografía de un monumento, para grabar una conversación en una reunión de trabajo o para realizar una traducción en tiempo real). Sin la decisión activa del usuario de desplegar el dispositivo con una finalidad concreta, el tratamiento de datos personales no llegaría siquiera a producirse.

Esta conclusión se ve reforzada por la doctrina del TJUE. En el asunto Lindqvist (C‑101/01), el Tribunal examinó la actividad de una particular que había publicado en una página web información sobre compañeros de trabajo. Aunque el fallo se centró en la cuestión de la exención doméstica, el TJUE partió implícitamente de la premisa de que la Sra. Lindqvist actuaba como responsable del tratamiento, sin cuestionar esa condición (9). De manera más explícita, en el asunto Rynes (C‑212/13), el TJUE analizó el caso de un particular que había instalado una cámara de videovigilancia en su vivienda, dirigida también hacia la vía pública. El Tribunal no solo declaró que la exención doméstica no era aplicable cuando la cámara capta espacios públicos, sino que además se refirió expresamente a los «intereses legítimos perseguidos por el responsable del tratamiento, como la protección de los bienes, la salud y la vida de su familia y de él mismo» (10). Esta referencia confirma que, a juicio del TJUE, un particular que instala y utiliza un dispositivo de captación de imágenes puede ostentar la condición de responsable del tratamiento, siempre que concurran los requisitos del artículo 4.7 del GDPR.

2.3. Excepción doméstica (art. 2.2.c GDPR): alcance y límites a la luz de la jurisprudencia Rynes

El artículo 2, apartado 2, letra c), del GDPR excluye de su ámbito de aplicación el tratamiento de datos personales «efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas» (1). Esta excepción, conocida como «exención doméstica», podría en principio beneficiar al usuario de unas gafas inteligentes que las empleara para fines estrictamente privados, como tomar fotografías de sus vacaciones o grabar vídeos de su familia.

Sin embargo, la jurisprudencia del TJUE ha interpretado esta excepción de manera restrictiva. En el asunto Rynes, el Tribunal declaró que dicha excepción solo se aplica cuando el tratamiento se lleva a cabo en el «entorno puramente personal o doméstico» del responsable, y que no puede invocarse cuando la actividad de tratamiento se «proyecta hacia el exterior» de ese entorno privado, como ocurre cuando una cámara de vigilancia fija cubre, aunque sea parcialmente, un espacio público (10). Trasladando esta doctrina a las gafas inteligentes, Craddock concluye que cualquier uso del dispositivo que se dirija a captar imágenes o sonidos de personas situadas fuera del ámbito doméstico, por ejemplo, en la vía pública, en un restaurante o en el transporte público, no se beneficiaría de la exención doméstica, con la consiguiente aplicación plena de las obligaciones del GDPR (3). El documento de Craddock no menciona si existen pronunciamientos judiciales específicos sobre gafas inteligentes en relación con el artículo 2.2.c del GDPR, por lo que esta aplicación analógica de la doctrina Rynes debe ser entendida como una interpretación doctrinal y no como un hecho jurisprudencial consolidado.

2.4. El fabricante como responsable, encargado o corresponsable en función del tipo de procesamiento

La intervención del fabricante en el tratamiento de datos personales puede adoptar distintas formas, y su calificación jurídica dependerá de la naturaleza concreta de cada procesamiento. Craddock distingue tres escenarios principales (3):

• Procesamiento local (que permanece en las propias gafas): cuando el tratamiento se realiza íntegramente en el dispositivo físico del usuario, sin transmisión a servidores externos, no existe intervención del fabricante. En tal caso, el usuario actúa como responsable único y el fabricante no tiene ningún rol en el tratamiento de datos personales.

• Procesamiento en la nube por cuenta del usuario: si el fabricante ofrece servicios de almacenamiento, transcripción o traducción en la nube, y dichos servicios se ejecutan por instrucciones del usuario, el fabricante podría ser considerado encargado del tratamiento en los términos del artículo 28 del GDPR, que exige un contrato por escrito que regule el tratamiento por cuenta del responsable (artículo 28.3 GDPR) (1). Esta calificación, sin embargo, no es automática; exige que el fabricante actúe «por cuenta del responsable» y que no determine los fines del tratamiento. La investigación del Information Commissioner's Office (ICO) del Reino Unido sobre las gafas Meta Ray‑Ban, documentada en marzo de 2026, se centró precisamente en esta cuestión, al analizar si la externalización de la revisión humana de datos a trabajadores en Kenia podía alterar la calificación del fabricante como encargado (11). El ICO no ha formulado aún un pronunciamiento definitivo sobre este extremo, por lo que no existe evidencia suficiente para afirmar que la mera externalización de la revisión humana modifique automáticamente la condición de encargado.

• Procesamiento para fines propios del fabricante: cuando el fabricante utiliza los datos capturados por las gafas para fines que le son propios, como la mejora de sus algoritmos de inteligencia artificial, el entrenamiento de modelos de reconocimiento o el análisis agregado de comportamiento de los usuarios, el fabricante actúa como responsable del tratamiento para esas actividades concretas, siempre que los datos en cuestión sean «datos personales» desde su perspectiva (cuestión que se abordará en la Sección 3). En el caso de las gafas de Meta, la Irish Data Protection Commission (DPC) ha mantenido contactos con la empresa para determinar si el tratamiento de datos para el entrenamiento de modelos de IA se ajusta a las obligaciones del GDPR (12). La fuente no aclara si Meta ha confirmado públicamente que utiliza los datos capturados por sus gafas para entrenar modelos de IA, por lo que esta cuestión sigue siendo objeto de investigación.

Craddock subraya que el hecho de que el fabricante haya previsto que el producto pudiera utilizarse para diversas finalidades no lo convierte en corresponsable del tratamiento para todas las actividades del usuario. De lo contrario, se correría el riesgo de transformar a una amplia gama de proveedores de servicios (como proveedores de alojamiento en la nube) en corresponsables de todas las actividades de sus clientes, una conclusión que el TJUE no ha respaldado (3). El TJUE no se ha pronunciado específicamente sobre la atribución de responsabilidad a fabricantes de dispositivos en estos términos, por lo que esta afirmación se basa en una interpretación sistemática de la jurisprudencia sobre corresponsabilidad.

2.5. Consecuencias prácticas para el ejercicio de los derechos de los afectados

La atribución de la responsabilidad al usuario plantea importantes desafíos prácticos para los terceros afectados (bystanders) cuyos datos personales pudieran ser capturados. A diferencia de lo que ocurre con una cámara de videovigilancia fija, que suele estar asociada a un domicilio o local concreto, lo que permite identificar al responsable, un usuario de gafas inteligentes se desplaza y puede no ser fácilmente identificable por quienes han sido grabados. En consecuencia, los afectados pueden enfrentar dificultades para ejercer sus derechos de acceso, rectificación, supresión u oposición, reconocidos en los artículos 15 a 21 del GDPR, así como para presentar una reclamación ante la autoridad de control competente.

Craddock reconoce esta dificultad, pero insiste en que las consideraciones relativas a la facilidad o dificultad del ejercicio de los derechos no son relevantes para la calificación jurídica de la condición de responsable. La determinación de quién es responsable es una cuestión de hecho objetiva, basada en la influencia real sobre los fines y medios del tratamiento, y no en la mayor o menor facilidad con la que los afectados puedan ejercer sus derechos (3). La fuente no propone soluciones concretas para resolver este problema práctico, sino que se limita a constatar su existencia y a remitir al debate sobre educación y enforcement que se abordará en la Sección 6. La CNPD de Luxemburgo ha señalado, además, que para las gafas Meta, la autoridad competente es la DPC irlandesa, en virtud del mecanismo de ventanilla única (one‑stop‑shop) del GDPR, lo que añade una capa adicional de complejidad para los afectados que deseen presentar reclamaciones transfronterizas (13).

Sección 3. La cuestión de la «personalidad» de los datos capturados: identificabilidad relativa y procesamiento incidental

3.1. El concepto de «dato personal» (art. 4.1 GDPR) y el criterio de los «medios razonablemente utilizables»

El artículo 4, apartado 1, del GDPR define los «datos personales» como «toda información sobre una persona física identificada o identificable» (1). Esta definición, aparentemente amplia, contiene un elemento restrictivo esencial: la información debe referirse a una persona física que pueda ser identificada a partir de dicha información o en combinación con otra información adicional. El considerando 26 del GDPR añade que, para determinar si una persona es identificable, deben tenerse en cuenta «todos los medios, como la selección, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física» (1).

El Tribunal de Justicia de la Unión Europea ha interpretado este criterio en varias sentencias clave. En el asunto Breyer (C‑582/14), el TJUE declaró que las direcciones IP dinámicas constituyen datos personales para el proveedor de un sitio web cuando este dispone de medios legales que le permitan identificar al usuario con la ayuda de información adicional de la que dispone el proveedor de acceso a Internet, siempre que dicha identificación no requiera un esfuerzo desproporcionado (14). En el asunto SRB (C‑413/23 P), el Tribunal reafirmó este enfoque, insistiendo en que la identificabilidad debe evaluarse en función de los medios que razonablemente pueden utilizarse, lo que excluye los medios meramente hipotéticos o que requieran un esfuerzo desproporcionado (15). Ninguna de estas sentencias establece un criterio cuantitativo para medir el «esfuerzo desproporcionado», por lo que su apreciación queda al arbitrio judicial caso por caso.

Sobre la base de esta doctrina, el Comité Europeo de Protección de Datos (EDPB), en su proyecto de Directrices sobre anonimización sometido a consulta pública en julio de 2026, ha definido la identificación como «distinguir a una persona natural de otras dentro de un contexto determinado, haciendo consecuentemente posible tratarla de manera diferente a esas otras personas» (16). No obstante, Craddock señala que, en la práctica, el EDPB no siempre aplica este criterio de manera coherente a lo largo de sus propias directrices, lo que introduce un elemento de incertidumbre sobre el alcance exacto de la definición (3). Esta observación debe ser entendida como una crítica interpretativa y no como un hecho comprobado.

3.2. Perspectiva del usuario vs. perspectiva del fabricante: la identificabilidad como concepto relativo

Una de las aportaciones más relevantes de la jurisprudencia del TJUE es la constatación de que la identificabilidad es un concepto relativo. El considerando 26 del GDPR ya apuntaba en esta dirección al referirse a los medios «razonablemente» utilizables «por el responsable del tratamiento o por cualquier otra persona». El TJUE, en las sentencias Breyer (14), OC v Commission (17) y SRB (15), ha confirmado que la calificación de una información como dato personal depende de la perspectiva del sujeto que la procesa, y que no puede presumirse que un mismo conjunto de datos sea personal para todos los actores implicados en una cadena de tratamiento (3).

Craddock aplica esta doctrina a las gafas inteligentes distinguiendo dos perspectivas claramente diferenciadas (3):

• Perspectiva del usuario: el usuario que lleva las gafas y capta imágenes o sonidos puede, en muchas ocasiones, identificar a las personas que aparecen en sus grabaciones, especialmente si se trata de personas conocidas o si la captación se realiza en un contexto en el que el usuario dispone de información adicional (por ejemplo, una reunión de trabajo donde conoce a los asistentes). En estos casos, las imágenes o sonidos serían datos personales desde la perspectiva del usuario, y este debería cumplir con las obligaciones del GDPR.

• Perspectiva del fabricante: si el fabricante recibe los datos capturados por el usuario (por ejemplo, a través de la sincronización en la nube), es probable que no disponga de los medios para identificar a las personas representadas en las imágenes o grabaciones, salvo que el usuario le proporcione información de identificación adicional. Por tanto, esos mismos datos pueden no ser datos personales desde la perspectiva del fabricante, a menos que este tenga acceso a medios razonables para la identificación. El EDPB ha confirmado este enfoque en sus Directrices sobre anonimización, al señalar que «la perspectiva aplicable para una entidad concreta depende de si ella misma determina los fines y medios del tratamiento» (16).

Craddock añade que, en el caso de fabricantes sujetos al Reglamento de Mercados Digitales (DMA), la combinación o reutilización cruzada de datos personales entre distintos servicios está expresamente restringida por el artículo 5, apartado 2, del Reglamento (UE) 2022/1925, lo que puede impedir que el fabricante utilice información procedente de otros servicios (como correo electrónico o redes sociales) para identificar a las personas capturadas por las gafas (3). El documento de Craddock no especifica qué disposiciones del DMA serían de aplicación, por lo que esta afirmación se basa en una remisión genérica a la normativa.

3.3. Datos ambientales, geométricos y patrones de IA: información que no se refiere a una persona física identificada o identificable

La funcionalidad de las gafas inteligentes no siempre implica la captación y el tratamiento de imágenes o sonidos con el propósito de identificar a personas. Craddock señala que, en muchos casos, los dispositivos procesan datos ambientales que, por su propia naturaleza, no se refieren a personas identificables (3). Por ejemplo, un sistema de asistencia a la navegación que ayuda al usuario a orientarse en una ciudad puede basarse en la posición del usuario (que sí puede ser un dato personal) combinada con formas geométricas y objetos dentro del campo de visión de las gafas, sin necesidad de registrar los rostros de los transeúntes. Del mismo modo, un sistema que advierta al usuario de la proximidad de un vehículo no necesita identificar a los ocupantes del mismo, sino únicamente detectar la presencia de un objeto en movimiento.

El AI Act define como «sistema de identificación biométrica remota» cualquier «sistema de IA destinado a identificar a personas físicas, sin su participación activa, generalmente a distancia mediante la comparación de los datos biométricos de una persona con los datos biométricos contenidos en una base de datos de referencia» (2). Esta definición, junto con la del artículo 9.1 del GDPR, que reserva el régimen de categorías especiales para el tratamiento de «datos biométricos con el fin de identificar de forma única a una persona física» (1), pone de manifiesto que la mera captación de una imagen o de una voz no equivale a identificación biométrica. Craddock concluye que la captación de la imagen de una persona mediante una fotografía o un vídeo no constituye, por sí sola, identificación biométrica a efectos del GDPR o del AI Act, a menos que el sistema se utilice específicamente para comparar dicha imagen con una base de datos de referencia con la finalidad de identificar a esa persona (3). La fuente no cita ningún pronunciamiento judicial que avale esta interpretación, por lo que debe ser entendida como una interpretación doctrinal de las definiciones legales.

3.4. Captación de imágenes y voz: distinción entre mera captación y reconocimiento biométrico con finalidad de identificación

El razonamiento expuesto se extiende también al ámbito de la captación de voz. Craddock aborda las preocupaciones expresadas por algunas autoridades y organizaciones acerca de que las funcionalidades de traducción o transcripción en tiempo real pudieran dar acceso al fabricante a conversaciones privadas. En su análisis, el autor distingue entre el reconocimiento de voz (voice recognition), que identifica al hablante a partir de las características acústicas de su voz, y el reconocimiento de palabras (word recognition), que se limita a interpretar el contenido lingüístico de lo que se dice, sin identificar a la persona que lo dice (3).

La funcionalidad de transcripción o traducción se basa en el segundo tipo de procesamiento. Para ello, el sistema descompone los sonidos en unidades más pequeñas (fonemas, sílabas o tokens acústicos) y los convierte en bloques de texto, lo que permite interpretar el significado de lo que se dice. En este proceso, las características acústicas que permitirían identificar al hablante, tono, ritmo, entonación, timbre, son eliminadas inmediatamente. Craddock compara este proceso con la tokenización que se utiliza en el entrenamiento de grandes modelos de lenguaje: la tokenización transforma el texto original en una secuencia de pequeños bloques (tokens) que, por sí mismos, no contienen información que pueda relacionarse con una persona identificable (3). Por tanto, desde la perspectiva del fabricante, la identificación del hablante no solo sería técnicamente compleja, sino también, en muchos casos, desproporcionada o incluso ilícita (por ejemplo, si al fabricante le resulta aplicable el DMA y tiene prohibido combinar datos de diferentes servicios para identificar a los usuarios), de modo que dicha identificación no constituiría un «medio razonablemente utilizable» en el sentido de la jurisprudencia Breyer (14). La fuente no proporciona ejemplos concretos de sistemas de traducción que funcionen de esta manera, por lo que la descripción se basa en la explicación técnica ofrecida por Craddock.

3.5. La tokenización lingüística y acústica como proceso que destruye la identificabilidad

El proceso de tokenización, tanto en el ámbito textual como en el acústico, tiene una consecuencia jurídica relevante: la información resultante puede dejar de ser «información sobre una persona física identificada o identificable». Craddock sostiene que, una vez que el audio se ha descompuesto en tokens acústicos y se ha reconstruido como texto, los datos que maneja el fabricante ya no contienen las características que permitirían la identificación del hablante (3). Si adicionalmente el texto se somete a un proceso de tokenización lingüística, la información se fragmenta en unidades que, consideradas aisladamente, no pueden vincularse a persona alguna. En consecuencia, el fabricante que procesa exclusivamente tokens (acústicos o textuales) no está tratando datos personales desde su perspectiva, a menos que disponga de otros medios para recomponer la secuencia y vincularla a una persona identificable.

Craddock señala, no obstante, que el hecho de que el fabricante pueda técnicamente almacenar el audio original y reconstruir la identidad del hablante no es determinante, pues el criterio de la «razonabilidad» de los medios de identificación exige algo más que una posibilidad técnica abstracta. El TJUE, en la sentencia SRB (15), dejó claro que los medios meramente hipotéticos no son suficientes para considerar que una información es «identificable»; es necesario que los medios sean «razonablemente utilizables» en el contexto concreto del tratamiento. El documento de Craddock no aclara si los fabricantes de gafas inteligentes almacenan efectivamente el audio original o únicamente los tokens procesados, por lo que esta cuestión queda como una incógnita fáctica que dependerá de las prácticas concretas de cada fabricante.

3.6. La difusión de grabaciones como factor que puede convertir datos no personales en datos personales

Todas las consideraciones anteriores parten de una premisa fundamental: que los datos capturados permanecen en el ámbito privado del usuario. Sin embargo, la situación cambia radicalmente si el usuario publica o difunde las grabaciones (por ejemplo, subiendo un vídeo a una red social, compartiendo una grabación de audio en una plataforma pública o enviándola a un tercero). En estos casos, la puesta a disposición de terceros puede hacer que una persona que inicialmente no era identificable desde la perspectiva del usuario se convierta en identificable, porque el tercero que recibe la información puede disponer de medios razonables para identificar a la persona en cuestión.

Craddock cita la sentencia del TJUE en el asunto OC v Commission (C‑435/22 P) y la sentencia SRB (C‑413/23 P) para sostener que la comunicación de información a un tercero puede convertir indirectamente a una persona física en identificable, si dicho tercero dispone a su vez de medios razonablemente utilizables para la identificación (3, 15, 17). La doctrina sentada por el TJUE en estos asuntos confirma que la difusión de información puede alterar la calificación de los datos como personales o no personales. Craddock extrae de esta doctrina una conclusión práctica: si un usuario de gafas inteligentes graba a un transeúnte en la calle y luego publica el vídeo en Internet, el mero hecho de la publicación puede hacer que ese transeúnte sea identificable para los receptores del vídeo, con lo que los datos capturados inicialmente (que quizá no eran personales para el usuario) se convierten en datos personales desde el momento de la difusión (3). Esta transformación acarrea para el usuario todas las obligaciones derivadas del GDPR, incluidas las de transparencia, que se analizarán en la Sección 4. La fuente no especifica si existe un umbral de difusión (número de destinatarios, alcance de la publicación) a partir del cual se produce esta transformación, por lo que la cuestión queda abierta a la interpretación judicial caso por caso.

Sección 4. Transparencia y mecanismos de notificación: el indicador LED como ilusión

4.1. Obligaciones de transparencia de los arts. 12-14 GDPR: contenido mínimo y forma

La transparencia constituye uno de los principios fundamentales del Reglamento General de Protección de Datos, reconocido en el artículo 5.1.a) del GDPR y desarrollado en los artículos 12 a 14 (1). Estos preceptos imponen al responsable del tratamiento la obligación de proporcionar al interesado, en el momento de la recogida de los datos, la identidad y los datos de contacto del responsable; los fines del tratamiento y su base jurídica; los destinatarios; el plazo de conservación; y la existencia de los derechos del interesado.

El artículo 12.1 exige que esta información se facilite «de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo» (1). El legislador europeo no impuso un formato técnico determinado, sino que optó por un enfoque basado en principios, que permite a los responsables adaptar la forma de comunicar la información a cada tratamiento.

El Grupo de Trabajo del artículo 29 (WP29), antecesor del EDPB, publicó en 2018 unas Directrices sobre transparencia (WP260 rev.01, de 29 de noviembre de 2018), respaldadas posteriormente por el EDPB, en las que recomendaba un enfoque por capas (layered approach). Este enfoque permite combinar distintos métodos de comunicación, siempre que la información más importante, los fines del tratamiento, la identidad del responsable y los derechos del interesado, se transmita en la primera capa (3). El documento de Craddock no especifica si estas directrices se han actualizado, por lo que la referencia debe entenderse en los términos en que fueron adoptadas.

4.2. Insuficiencia del LED para cumplir con los requisitos de transparencia del GDPR

La cuestión central que aborda Craddock es si un indicador luminoso (LED) que se activa cuando la cámara o los sensores ópticos están operativos puede considerarse un mecanismo de transparencia válido a efectos del GDPR. Su respuesta es negativa.

Un LED no revela la identidad del responsable, ni los fines del tratamiento, ni los derechos del interesado (3). Es una señal binaria que no contiene información sustantiva sobre el tratamiento de datos personales. Por tanto, no puede sustituir las obligaciones de información de los artículos 13 y 14 del GDPR.

Esta insuficiencia ha sido reconocida por varias autoridades. La CNIL de Francia, en su comunicado de 29 de junio de 2026, declaró que los indicadores luminosos «tienen un alcance limitado y, por tanto, son insuficientes» para cumplir con las exigencias de transparencia del GDPR (18). La CNIL basó esta conclusión en una encuesta a 2.128 personas, de la que se desprende que una parte significativa de los encuestados no sabía que las gafas inteligentes pudieran estar grabando, a pesar de la presencia del LED (18). La fuente no proporciona el porcentaje exacto, por lo que no es posible cuantificar este extremo.

La AEPD, en su guía de buenas prácticas del 13 de julio de 2026, no declaró la insuficiencia del LED, pero sí enfatizó que la responsabilidad de informar recae en quien graba, y que «usar las gafas inteligentes en público no está prohibido, pero quien las use debe cumplir con el GDPR cuando trate datos personales» (19). La AEPD recomienda que «cuando se vaya a grabar a alguien, se le pida permiso y se le informe de quién graba y para qué» (19). Esta recomendación implica que el LED no satisface esa obligación.

El EDPB encargó un informe sobre la «aceptabilidad social» de las gafas inteligentes, cuya finalización estaba prevista para el verano de 2026 (20). El contenido de este informe no ha sido localizado en acceso abierto, por lo que no permite conocer la posición definitiva del EDPB sobre la suficiencia del LED.

4.3. La paradoja de la sobreactivación: el LED como indicador de «posible» tratamiento, no de tratamiento efectivo de datos personales

Craddock añade una objeción adicional. Si el LED se activa siempre que la cámara o los sensores están operativos, con independencia de que se esté produciendo o no un tratamiento de datos personales, el LED se convierte en un indicador de la posibilidad de que se estén tratando datos personales, no de que dicho tratamiento esté teniendo lugar.

Gran parte de la información capturada por las gafas, datos ambientales, geométricos y patrones para entrenamiento de IA, no constituye datos personales desde la perspectiva del fabricante, e incluso desde la del usuario en muchos casos (por ejemplo, transeúntes no identificables en una multitud). Si el LED se activa en todos estos supuestos, se estaría señalando un tratamiento de datos personales cuando no existe (3).

Esta sobreactivación genera expectativas incorrectas: los transeúntes pueden creer que sus datos están siendo tratados cuando no es así, o, por el contrario, pueden llegar a pensar que el LED solo se activa en determinadas circunstancias, perdiendo de vista que su ausencia no garantiza la ausencia de grabación (3). La fuente no proporciona estudios empíricos que demuestren este efecto en el contexto de las gafas inteligentes, por lo que esta afirmación debe ser entendida como una hipótesis.

4.4. El fenómeno de «fatiga de alarmas» y su traslación al ámbito de los wearables

Craddock introduce un concepto del ámbito sanitario, la fatiga de alarmas (alarm fatigue), para ilustrar los riesgos de la sobreactivación del LED (3). En hospitales, la exposición repetida a alarmas frecuentes o no accionables desensibiliza a los profesionales, que ignoran las alarmas y aumentan el riesgo de daño a los pacientes. La fuente no cita estudios específicos sobre fatiga de alarmas, por lo que esta referencia debe entenderse como una analogía ilustrativa.

Trasladando este fenómeno a las gafas inteligentes, Craddock advierte de que los LED, al activarse casi permanentemente en situaciones que no implican tratamiento de datos personales, pierden su capacidad de alertar. Los ciudadanos se acostumbran a ver el LED encendido y dejan de prestarle atención. Peor aún, si los transeúntes asumen que el LED encendido no implica necesariamente un tratamiento de datos personales, la activación del LED en los casos en los que sí existe podría pasar inadvertida. El documento no ofrece datos empíricos que respalden esta hipótesis en el contexto de los wearables, por lo que debe ser tratada como una advertencia teórica.

La CNPD de Luxemburgo, en su guía de 8 de julio de 2026, señaló que las gafas inteligentes «no están sujetas a ninguna prohibición de compra o posesión» y que, para las gafas de Meta, la autoridad competente es la DPC irlandesa, en virtud del mecanismo de ventanilla única (13). La CNPD no se pronuncia sobre la suficiencia del LED, aunque enfatiza que los usuarios deben ser conscientes de sus obligaciones.

La DPC irlandesa ha mantenido contactos con Meta sobre la eficacia del LED. Según informaciones publicadas, la DPC señaló que no se había demostrado la realización de pruebas de campo exhaustivas para confirmar la eficacia del LED (12). Como resultado, Meta anunció que la cámara se desactivará si se detecta que el LED ha sido bloqueado o manipulado (12). La fuente no aclara si la DPC ha formulado un requerimiento formal a Meta o si se trata de conversaciones preliminares.

4.5. Posiciones de las autoridades de protección de datos

Las autoridades de protección de datos han adoptado posiciones matizadas sobre la suficiencia del LED.

• AEPD (España): enfatiza la responsabilidad del usuario y recomienda pedir permiso e informar antes de grabar, lo que implica que el LED no es suficiente (19).
• CNIL (Francia): califica los LED como «insuficientes» (18).
• CNPD (Luxemburgo): su guía se centra en la aplicabilidad del GDPR y en la competencia de la DPC irlandesa, sin pronunciarse directamente sobre el LED (13).
• Bundesnetzagentur (Alemania): en su pronunciamiento del 15 de agosto de 2026, consideró que la función de grabación de las gafas Meta es suficientemente reconocible para terceros a través de la señal LED, a efectos del TDDDG (5). Esta posición se refiere a la suficiencia del LED para evitar la calificación como «equipo de vigilancia encubierta», no a su suficiencia para cumplir con el GDPR. La fuente no aclara si la Bundesnetzagentur ha considerado la perspectiva del GDPR.
• ICO (Reino Unido): ha abierto una investigación sobre el tratamiento de datos de las gafas Meta, centrada en la externalización de la revisión humana en Kenia (11). No se pronuncia sobre el LED.
• BayLDA (Baviera): en un comunicado de agosto de 2026, señaló que el LED puede ser un mecanismo adecuado para cumplir con el requisito de transparencia en determinadas circunstancias, siempre que el usuario no pueda desactivarlo, pero subrayó que el LED no exime del resto de obligaciones de información (3). La fuente no proporciona el texto exacto del comunicado, por lo que esta referencia se basa en la información recogida por Craddock.

En conjunto, las posiciones apuntan a que el LED, aunque puede ser útil como señal de alerta, no sustituye las obligaciones de información sustantiva del GDPR.

Sección 5. El debate regulatorio en la Unión Europea: ¿hacia una armonización o una fragmentación?

5.1. Iniciativas parlamentarias: pregunta parlamentaria E‑002321/2026 del Grupo Renew

El 5 de junio de 2026, los eurodiputados Veronika Cifrová Ostrihoňová, Abir Al‑Sahlani y Yvan Verougstraete, del Grupo Renew Europe, formularon una pregunta parlamentaria por escrito a la Comisión Europea (E‑002321/2026) (21). La iniciativa responde a las informaciones periodísticas que habían puesto de manifiesto la preocupación por la capacidad de las gafas inteligentes y otros dispositivos portátiles con inteligencia artificial para grabar imágenes y sonidos de forma encubierta en espacios públicos, con especial incidencia en las mujeres, que manifestaban haber sido filmadas sin ser conscientes de ello (21). La pregunta se articula en tres ejes:

• En primer lugar, se interroga a la Comisión sobre cómo evalúa la compatibilidad de las gafas inteligentes con la normativa vigente en materia de protección de datos, privacidad y protección de los consumidores (21). La pregunta reconoce explícitamente que el GDPR y el AI Act contienen salvaguardas, pero señala que la aplicación práctica de estas normas a los dispositivos portátiles de consumo puede requerir aclaraciones adicionales (21).

• En segundo lugar, se pregunta cómo valora la Comisión las consecuencias de esta tecnología para las mujeres, en particular el riesgo de acoso por razón de género, la grabación no consentida y la difusión de imágenes en línea, así como el impacto en la percepción de seguridad de las mujeres y su participación en los espacios públicos (21).

• En tercer lugar, se consulta si la Comisión tiene la intención de publicar, en cooperación con el EDPB y otras autoridades competentes, directrices sobre el uso de estos dispositivos y el tratamiento de los datos personales de los no usuarios (21).

La fuente no aclara si la Comisión ha respondido ya a esta pregunta parlamentaria, por lo que no es posible determinar la posición oficial de la institución a fecha de redacción de este artículo. Craddock, por su parte, no analiza esta iniciativa parlamentaria en su documento, por lo que su inclusión aquí constituye un complemento al análisis original.

5.2. Denuncia penal de HateAid contra Meta en Alemania: fundamento en el § 8 TDDDG y reacción de la Bundesnetzagentur

El 12 de agosto de 2026, la organización alemana sin ánimo de lucro HateAid presentó una denuncia penal ante la Oficina Central para la Lucha contra la Criminalidad en Internet de Alemania contra Meta, Ray‑Ban, Oakley y varias cadenas de ópticas, con el objetivo de prohibir la venta de las gafas inteligentes Ray‑Ban Meta Wayfarer (4). El fundamento de la denuncia es la presunta vulneración del § 8 de la Ley de Telecomunicaciones, Servicios Digitales y Protección de Datos (TDDDG), que prohíbe los equipos de telecomunicación disimulados con objetos de uso cotidiano destinados a la grabación encubierta de imágenes (3).

HateAid sostiene que las gafas de IA Ray‑Ban Meta son «indistinguibles» de unas gafas corrientes y que, con 41 millones de personas que llevan gafas solo en Alemania, esto puede generar «violencia digital basada en imágenes» y «camuflar una tecnología de vigilancia especialmente discreta como si fuera un objeto cotidiano» (4). La organización reclama, en primer lugar, la prohibición total de la venta de estas gafas en Alemania; en segundo lugar, que las gafas sean «claramente identificables» (proponiendo diferenciar las cámaras por colores); y, en tercer lugar, que no se deje a las personas afectadas «que se las arreglen solas» (4). La organización vincula además esta reivindicación con el aumento de la violencia digital contra las mujeres, señalando que la inteligencia artificial y los deepfakes añaden nuevas capas de amenazas para la privacidad y la seguridad (4).

Por su parte, la Bundesnetzagentur se pronunció el 15 de agosto de 2026 en sentido contrario a la prohibición. La Agencia consideró que la función de grabación de las gafas inteligentes de Meta resulta suficientemente reconocible para terceros a través de la señal LED y que, por tanto, no se dan los requisitos de la prohibición del § 8 TDDDG (5). La Agencia comunicó que no está realizando actualmente ningún procedimiento formal en relación con estos dispositivos (6).

5.3. Posición del EDPB: el informe sobre «aceptabilidad social» de las gafas inteligentes

El Comité Europeo de Protección de Datos (EDPB) ha situado las gafas inteligentes en el centro de su agenda regulatoria para 2026. El Comité encargó un informe sobre la «aceptabilidad social» de estos dispositivos, cuya finalización estaba prevista para el verano de 2026 (20). La fuente no permite conocer el contenido definitivo del informe, que no ha sido localizado en acceso abierto en el momento de la redacción de este artículo. Tampoco se ha podido verificar si el EDPB ha adoptado ya el informe o si sigue en fase de elaboración. En consecuencia, no es posible determinar si el EDPB respaldará la tesis de Craddock, que sostiene la insuficiencia del LED y la atribución de responsabilidad al usuario, o si, por el contrario, adoptará una posición más restrictiva. Esta limitación debe ser tenida en cuenta al evaluar el estado actual del debate regulatorio.

5.4. Pronunciamientos de autoridades nacionales: divergencias y puntos de encuentro

Las autoridades de protección de datos de los Estados miembros han adoptado posiciones que, sin ser contradictorias, presentan matices significativos en cuanto al énfasis y al enfoque.

Francia (CNIL): La CNIL ha sido la más explícita en su evaluación de los riesgos. En su comunicado de 29 de junio de 2026, la autoridad francesa lanzó un plan de acción sobre las gafas inteligentes y publicó sus primeras buenas prácticas (18). La CNIL subrayó que, por su propio funcionamiento, las gafas inteligentes son capaces de captar sonidos, imágenes y vídeos de personas cercanas al usuario, a veces sin que estas sean plenamente conscientes de ello, ya que no se distinguen claramente de las gafas «clásicas» (18). La CNIL declaró expresamente que los dispositivos técnicos para informar a las personas de una grabación (por ejemplo, la activación de una luz) «tienen un alcance limitado y, por tanto, parecen insuficientes» (18). La encuesta realizada por la CNIL a 2.128 personas mostró que una amplia mayoría (67 %) considera que las gafas inteligentes suponen un riesgo para la privacidad (18).

España (AEPD): La Agencia Española de Protección de Datos publicó una guía de buenas prácticas en la que, si bien reconoce la preocupación por estos dispositivos, afirma que «no se puede afirmar de manera general que estas gafas incumplan con la normativa» (19). La AEPD subraya que, «como ocurre con otras tecnologías, pueden tener usos legítimos» (19). La guía insiste en que la responsabilidad legal derivada del mal uso «se desplaza hacia quien las usa» (19). En cuanto a la transparencia, la AEPD recomienda que, «siempre que sea posible, y aunque alguna funcionalidad luminosa del dispositivo lo indique, informa de forma clara cuando vayas a realizar grabaciones» (19). Esta recomendación implica que el LED, por sí solo, no es suficiente.

Luxemburgo (CNPD): La CNPD publicó una guía en la que señala que las gafas inteligentes «no están sujetas a ninguna prohibición de compra o posesión» y que, en el caso de las gafas de Meta, la autoridad competente para supervisar el cumplimiento del GDPR es la DPC irlandesa, en virtud del mecanismo de ventanilla única (13). La CNPD no se pronuncia sobre la suficiencia del LED.

Irlanda (DPC): La Data Protection Commission irlandesa, que actúa como autoridad principal para Meta en virtud del mecanismo de ventanilla única, ha mantenido contactos con la empresa en relación con la eficacia del LED. La DPC ha señalado que no se ha demostrado que Meta o Ray‑Ban hayan realizado pruebas de campo exhaustivas para confirmar que el LED es una forma eficaz de notificación (12). Esta observación ha llevado a Meta a anunciar mejoras en sus funciones de privacidad, incluyendo la desactivación automática de la cámara si se detecta que el LED ha sido bloqueado o manipulado (12). La DPC también ha investigado las informaciones publicadas por los periódicos suecos Svenska Dagbladet y Göteborgs‑Posten sobre el envío de grabaciones a un contratista en Kenia para el entrenamiento de modelos de IA (11). En ese momento, la DPC declaró que Meta le había comunicado que los datos de los europeos no estaban implicados (11).

Reino Unido (ICO): El Information Commissioner's Office ha abierto una investigación sobre el tratamiento de datos de las gafas Meta Ray‑Ban, centrada en la externalización de la revisión humana a trabajadores en Kenia (11). La fuente no indica si el ICO se ha pronunciado sobre la suficiencia del LED como mecanismo de transparencia.

Baviera (BayLDA): La autoridad bávara de protección de datos ha señalado, en un comunicado emitido en agosto de 2026, que el LED puede ser un mecanismo adecuado para cumplir con el requisito de transparencia en determinadas circunstancias, siempre que el usuario no pueda desactivarlo. Sin embargo, la BayLDA también ha subrayado que el LED no exime al responsable de cumplir con el resto de obligaciones de información del GDPR (3). La fuente no proporciona el texto exacto del comunicado, por lo que esta referencia se basa en la información recogida por Craddock.

5.5. La posible influencia de estos debates en futuras revisiones del GDPR o en actos delegados específicos

El conjunto de iniciativas descritas (pregunta parlamentaria, denuncia penal, informe del EDPB, pronunciamientos de autoridades nacionales) sitúa a las gafas inteligentes en el centro del debate regulatorio europeo. Sin embargo, la fuente no permite determinar si estos debates tendrán una influencia directa en futuras revisiones del GDPR o en la adopción de actos delegados específicos.

Craddock, en su análisis, sostiene que la respuesta adecuada no pasa por prohibir los dispositivos ni por imponer a los fabricantes obligaciones que el GDPR no contempla, sino por una combinación de educación de los usuarios y enforcement efectivo de las normas existentes (3). Esta tesis, sin embargo, no ha sido confirmada ni refutada por ninguna de las autoridades citadas en esta sección.

La CNIL, por su parte, ha señalado que las gafas inteligentes plantean «riesgos más amplios para la privacidad y cuestiones éticas y sociales significativas que van más allá de la competencia de la CNIL» (18), lo que sugiere que la respuesta al desafío podría requerir una acción coordinada a nivel europeo que trascienda el mero enforcement del GDPR. La fuente no proporciona elementos que permitan evaluar si esta fragmentación se resolverá mediante una acción legislativa futura o si persistirá como un rasgo estructural del sistema europeo de protección de datos.

Sección 6. Alternativas a la prohibición y al LED: enfoques basados en la educación, el enforcement y el diseño responsable

6.1. La educación de los usuarios como herramienta de prevención

Craddock sostiene que la respuesta más eficaz al uso indebido de las gafas inteligentes no pasa por la imposición de cargas regulatorias a los fabricantes, sino por una combinación de educación de los usuarios y enforcement efectivo de las normas ya existentes (3). En su análisis, el autor subraya que el problema de la falta de transparencia no es exclusivo de las gafas inteligentes, sino que se plantea con idéntica intensidad en relación con los teléfonos inteligentes, las cámaras digitales y otros dispositivos portátiles con capacidad de captación de imágenes y sonido (3).

La educación de los usuarios debe abordar, según Craddock, dos dimensiones complementarias. Por un lado, la dimensión jurídica: los usuarios deben conocer las obligaciones que les impone el GDPR cuando tratan datos personales, especialmente las relativas a la transparencia (artículos 12 a 14) y a la base jurídica del tratamiento (artículo 6). Por otro lado, la dimensión social o de etiqueta: más allá de lo que exige la ley, existe una norma de cortesía y respeto que aconseja pedir permiso antes de grabar a otras personas, especialmente si se tiene la intención de difundir esas grabaciones (3). Craddock formula esta recomendación en términos sencillos: «preguntar antes de compartir» (ask before sharing).

Esta aproximación ha encontrado eco en las recomendaciones de varias autoridades de protección de datos. La AEPD, en su guía de buenas prácticas, recomienda explícitamente que, «siempre que sea posible, y aunque alguna funcionalidad luminosa del dispositivo lo indique, informa de forma clara cuando vayas a realizar grabaciones» (19). La AEPD añade que «cuando se vaya a grabar a alguien, se le pida permiso y se le informe de quién graba y para qué» (19). La CNIL también ha subrayado, en su plan de acción, la necesidad de sensibilizar a los usuarios sobre las obligaciones que les incumben (18).

Craddock advierte, sin embargo, de que la educación no puede ser una responsabilidad exclusiva de los fabricantes. Si bien los fabricantes pueden contribuir a la concienciación a través de sus propias comunicaciones, el peso principal de esta tarea debe recaer en los gobiernos y los reguladores, que son los actores legítimos para diseñar campañas de sensibilización ciudadana sobre el uso responsable de las tecnologías de captación en espacios públicos (3). La fuente no proporciona ejemplos concretos de campañas de este tipo en el ámbito europeo, por lo que esta recomendación debe ser entendida como una propuesta de política pública y no como una descripción de iniciativas existentes.

6.2. El enforcement efectivo de las normas existentes como respuesta al uso abusivo

El segundo pilar de la propuesta de Craddock es el enforcement, esto es, la aplicación efectiva y disuasoria de las normas ya vigentes, tanto en el ámbito del derecho penal como en el del derecho de protección de datos y de los derechos de imagen (3). El autor enumera varios órdenes normativos que ya permiten sancionar los usos abusivos de las gafas inteligentes:

• Derecho penal: las conductas de voyeurismo, grabación no consentida en contextos de intimidad o acoso sexual ya están tipificadas como delitos en la mayoría de los ordenamientos de los Estados miembros. La denuncia penal presentada por HateAid contra Meta en Alemania, aunque se fundamenta en el § 8 TDDDG (prohibición de equipos de vigilancia encubierta), evidencia que el ordenamiento penal alemán ofrece vías para atacar el problema desde la perspectiva de la comercialización del dispositivo (4). La fuente no especifica si el derecho penal de otros Estados miembros contiene tipificaciones equivalentes que pudieran aplicarse a los fabricantes o distribuidores de gafas inteligentes.

• Derechos de imagen y derecho al honor: en muchos Estados miembros, la captación y difusión no consentida de la imagen de una persona en espacios públicos puede dar lugar a acciones civiles por vulneración del derecho a la propia imagen o del derecho al honor, con independencia de que los datos capturados sean o no «datos personales» a efectos del GDPR (3). Craddock no cita normas concretas de ningún Estado miembro en este punto, por lo que la afirmación debe entenderse en términos generales.

• GDPR: las autoridades de protección de datos ya disponen de competencias sancionadoras para imponer multas a los usuarios que incumplan sus obligaciones como responsables del tratamiento (artículo 83 GDPR), siempre que el tratamiento de datos personales esté acreditado. Craddock señala que las autoridades de protección de datos de la mayoría de los Estados miembros ya han tramitado, en mayor o menor medida, denuncias contra particulares por el uso indebido de cámaras, teléfonos inteligentes y otros dispositivos portátiles, y que la extensión de esta práctica a las gafas inteligentes no requeriría una modificación normativa, sino una mera adaptación de los procedimientos de investigación (3). La fuente no proporciona datos estadísticos sobre el número de sanciones impuestas a particulares por este tipo de conductas, por lo que no es posible evaluar la efectividad real de este mecanismo.

Craddock insiste en que, si la respuesta de las autoridades ante las denuncias es insuficiente, el problema no radica en una laguna normativa, sino en una eventual falta de recursos o de priorización por parte de los organismos encargados de la aplicación de la ley. En tal caso, el debate debería orientarse hacia el refuerzo de los medios de las autoridades y no hacia la prohibición de un producto tecnológico de doble uso (3). Esta afirmación constituye una opinión sobre la asignación de recursos y no un hecho comprobado.

La investigación de la DPC irlandesa sobre la eficacia del LED y el compromiso de Meta de desactivar la cámara si se detecta que el LED ha sido bloqueado son ejemplos de cómo el enforcement puede, por sí solo, inducir a los fabricantes a mejorar los mecanismos de transparencia sin necesidad de una prohibición o de una nueva regulación (12). La fuente no indica si la DPC ha abierto un procedimiento formal de infracción contra Meta o si se trata de un diálogo preventivo, por lo que el alcance exacto de esta investigación no puede determinarse con certeza.

6.3. El diseño tecnológico responsable más allá del LED

Craddock reconoce que el LED, tal como se utiliza actualmente, es un mecanismo insuficiente desde la perspectiva del GDPR (3). No obstante, su análisis no se limita a una crítica negativa, sino que plantea la posibilidad de que los fabricantes exploren mecanismos de transparencia alternativos que proporcionen información sustantiva a los transeúntes, sin caer en los problemas de la sobreactivación y la fatiga de alarmas.

El autor sugiere que cualquier mecanismo de notificación diseñado para cumplir con las exigencias del GDPR debería, al menos, ser capaz de transmitir información sobre la identidad del responsable y los fines del tratamiento, tal como exigen los artículos 13 y 14 del GDPR (3). Un LED, por su naturaleza binaria, no puede transmitir esa información. Craddock no propone soluciones técnicas concretas, pero sugiere que la innovación en el diseño de los dispositivos debería orientarse hacia mecanismos que permitan a los transeúntes conocer quién está grabando y con qué finalidad, sin necesidad de que el usuario realice una declaración verbal en cada situación. El documento de Craddock no menciona ningún prototipo o tecnología existente que cumpla con estos requisitos, por lo que la propuesta queda en el terreno de la especulación teórica.

En relación con las medidas antimanipulación, Craddock señala que la existencia de mecanismos que desactivan la cámara si se detecta que el LED ha sido bloqueado es un ejemplo de diseño responsable que demuestra la intención del fabricante de evitar usos encubiertos. Esta medida, sin embargo, no resuelve el problema de la insuficiencia informativa del LED, sino que se limita a garantizar que la señal luminosa esté siempre visible cuando la cámara está activa (3). La fuente no indica si existen otros mecanismos antimanipulación que vayan más allá del LED, como la emisión de un sonido distintivo o la proyección de un mensaje visual en las propias gafas.

La CNIL, en su plan de acción, ha señalado que los dispositivos técnicos para informar a las personas de una grabación «tienen un alcance limitado» (18), pero no ha ofrecido alternativas técnicas concretas, limitándose a recomendar buenas prácticas a los usuarios. La AEPD tampoco ha propuesto alternativas al LED, sino que ha insistido en la responsabilidad del usuario y en la necesidad de informar de forma activa (19).

6.4. La atribución de la carga de la prueba

Una cuestión que Craddock aborda tangencialmente, y que tiene importantes consecuencias prácticas, es la de la carga de la prueba en los procedimientos sancionadores. En el contexto de las gafas inteligentes, esta cuestión se plantea en dos planos.

En primer lugar, en relación con la calificación de la información como «dato personal». Como se ha expuesto en la Sección 3, la identificabilidad es un concepto relativo y depende de la perspectiva del responsable del tratamiento. Craddock señala que, de conformidad con la jurisprudencia del TJUE en los asuntos Breyer (14) y SRB (15), la calificación de una información como dato personal debe ser evaluada caso por caso, y la autoridad de control que pretenda sancionar un incumplimiento debe acreditar que los datos en cuestión son efectivamente «personales» desde la perspectiva del responsable. Esta carga probatoria puede ser difícil de satisfacer en el caso de datos ambientales o de imágenes de transeúntes no identificables, especialmente si se trata de un fabricante que no dispone de medios razonables para la identificación (3).

En segundo lugar, en relación con la identificación del responsable del tratamiento. Como se ha señalado en la Sección 2, la atribución de la responsabilidad al usuario plantea dificultades prácticas para el ejercicio de los derechos de los afectados. En estos casos, la carga de la prueba recae sobre el afectado que pretende ejercer sus derechos, quien debe ser capaz de identificar al responsable y dirigirse a él. Craddock reconoce esta dificultad pero insiste en que no es un argumento válido para alterar la calificación jurídica de la condición de responsable, que se basa en criterios objetivos (3).

Craddock concluye que la carga de la prueba en estos procedimientos debe ser asumida por quien alega la existencia de un incumplimiento, es decir, por la autoridad de control o por el afectado que formula una denuncia. Esta carga probatoria, si bien puede resultar onerosa en la práctica, es consustancial al sistema de protección de datos basado en el principio de responsabilidad proactiva del responsable (accountability) y no puede ser invertida o atenuada mediante la imposición de obligaciones genéricas a los fabricantes (3). Esta conclusión constituye una interpretación jurídica y no un hecho comprobado; la fuente no cita ninguna sentencia del TJUE que haya abordado específicamente la carga de la prueba en el contexto de dispositivos portátiles de captación de imágenes.

Conclusiones

El análisis desarrollado permite extraer cuatro conclusiones principales sobre el estatuto jurídico de las gafas inteligentes en el marco del Derecho europeo de protección de datos y sobre la idoneidad de los mecanismos de transparencia actuales.

Primero. Las gafas inteligentes no son, por su mera naturaleza, dispositivos de vigilancia encubierta. La jurisprudencia del Tribunal Superior Regional de Colonia, que aplica el criterio del «propósito primario, esencial o real» del dispositivo (3), y la posición de la Bundesnetzagentur, que ha considerado que la señal LED hace suficientemente reconocible la función de grabación (5), respaldan esta conclusión. La denuncia penal de HateAid contra Meta (4) no ha prosperado hasta la fecha en términos de prohibición del producto. Los precedentes históricos, desde la cámara Kodak hasta los teléfonos con cámara y los drones, muestran un patrón recurrente: alarma social seguida de adaptación normativa, pero no de prohibición del producto (3).

Segundo. La asignación de responsabilidades bajo el GDPR recae, por regla general, en el usuario como responsable del tratamiento. El usuario selecciona el dispositivo (medios) y decide activarlo con una finalidad concreta (fines). El fabricante, en el procesamiento local o en la nube por cuenta del usuario, actúa como encargado o no interviene. La jurisprudencia Lindqvist (9) y Rynes (10) confirma que un particular puede actuar como responsable, y que la exención doméstica del artículo 2.2.c del GDPR no se aplica cuando el tratamiento se proyecta hacia el exterior del ámbito privado. Solo cuando el fabricante procesa datos para sus propios fines, como la mejora de algoritmos o el entrenamiento de modelos de IA, actúa como responsable para esas actividades concretas (3).

Tercero. Gran parte de la información capturada no constituye datos personales, ni desde la perspectiva del fabricante ni, en muchos casos, desde la del usuario. La identificabilidad es relativa, como han confirmado las sentencias Breyer (14), SRB (15) y OC v Commission (17). Los datos ambientales, geométricos y los patrones para entrenamiento de IA no se refieren a personas identificables. La captación de imágenes o sonidos no equivale a identificación biométrica, como se desprende del AI Act (2) y del artículo 9.1 del GDPR (1). La tokenización lingüística y acústica destruye las características identificatorias (3). Solo la difusión de grabaciones puede transformar datos no personales en personales, al hacer posible la identificación por terceros (3, 15, 17).

Cuarto. El indicador LED no cumple con las exigencias de transparencia del GDPR y es un mecanismo inadecuado. No proporciona información sobre la identidad del responsable, los fines del tratamiento o los derechos del interesado (1). La CNIL lo ha calificado como «insuficiente» (18), y la AEPD recomienda informar activamente más allá del LED (19). La sobreactivación en situaciones sin tratamiento de datos personales genera expectativas incorrectas y riesgo de «fatiga de alarmas» (3). La investigación de la DPC irlandesa (12) y el compromiso de Meta de desactivar la cámara si se bloquea el LED confirman que los propios fabricantes reconocen las limitaciones del mecanismo.

Valoración crítica de la propuesta de Craddock

La tesis central de Craddock (no prohibir, responsabilidad del usuario, LED inadecuado) se apoya en un análisis riguroso de la normativa y la jurisprudencia. Acierta al situar el debate en el marco de los dispositivos de doble uso y al argumentar sobre la relatividad de la identificabilidad, respaldada por la jurisprudencia del TJUE y las Directrices del EDPB (16).

La propuesta tiene limitaciones. Primera: no ofrece soluciones concretas para el problema práctico del ejercicio de los derechos de los afectados. Al atribuir la responsabilidad al usuario, reconoce que los transeúntes pueden enfrentar dificultades para identificar al responsable, pero no propone mecanismos que faciliten esa identificación, más allá de una apelación genérica a la educación y al enforcement.

Segunda: no desarrolla las implicaciones de la carga de la prueba en los procedimientos sancionadores. Señala que la calificación de los datos como personales debe ser demostrada por la autoridad de control, pero no propone soluciones para superar ese obstáculo.

Tercera: su propuesta de mecanismos de transparencia alternativos al LED es especulativa. Sugiere que los fabricantes exploren soluciones, pero no ofrece ejemplos ni criterios de diseño. Esto deja abierta la cuestión de cómo satisfacer el requisito de transparencia en la práctica.

Cuarta: no considera la posibilidad de que el debate influya en una reforma del GDPR o en actos delegados específicos. La pregunta parlamentaria del Grupo Renew (21) y el informe del EDPB (20) sugieren que el debate trasciende el mero enforcement y podría desembocar en modificaciones normativas.

Recomendaciones operativas

A partir del análisis y de las conclusiones extraídas, se formulan las siguientes recomendaciones.

Para los responsables políticos y legisladores europeos:

1. No prohibir las gafas inteligentes como categoría de producto. Son dispositivos de doble uso con aplicaciones legítimas en accesibilidad y formación profesional. La prohibición sería desproporcionada.

2. Elaborar directrices armonizadas en el ámbito de la UE sobre la aplicación del GDPR a los dispositivos portátiles con capacidad de captación de imágenes y sonido, en cooperación con el EDPB y las autoridades nacionales. Las directrices deben abordar la atribución de responsabilidades, la calificación de los datos y los mecanismos de transparencia adecuados.

3. Reforzar los recursos de las autoridades de protección de datos y de las fuerzas de seguridad para garantizar un enforcement efectivo de las normas existentes, en lugar de crear nuevas cargas regulatorias para los fabricantes.

Para los fabricantes de gafas inteligentes y otros wearables:

1. Explorar mecanismos de transparencia que vayan más allá del LED, proporcionando información sustantiva a los transeúntes sobre la identidad del responsable y los fines del tratamiento, en línea con los artículos 13 y 14 del GDPR. Aunque Craddock no ofrece soluciones concretas, la innovación en este ámbito podría posicionar a los fabricantes europeos como líderes en privacidad por diseño.

2. Mantener y reforzar las medidas antimanipulación que garantizan que el LED no pueda ser bloqueado o desactivado, y considerar mecanismos adicionales (sonidos distintivos, mensajes proyectados en las gafas) que hagan más visible la actividad de grabación.

3. Documentar y hacer públicos los resultados de las pruebas de campo sobre la eficacia de los mecanismos de transparencia, para proporcionar evidencia empírica que permita evaluar su idoneidad.

Para los usuarios de gafas inteligentes:

1. Asumir la condición de responsable del tratamiento cuando se utilicen las gafas para captar imágenes o sonidos de personas identificables, y cumplir con las obligaciones de transparencia del GDPR (informar sobre la identidad del responsable, los fines del tratamiento y los derechos del interesado).

2. Seguir la buena práctica de «preguntar antes de compartir» y actuar con la misma diligencia que se emplearía al utilizar un teléfono inteligente o una cámara en espacios públicos. La AEPD recomienda que «siempre que sea posible» se informe de forma clara (19).

3. Abstenerse de difundir grabaciones que permitan identificar a terceros sin su consentimiento, salvo que exista una base jurídica que lo justifique.

Para las autoridades de protección de datos:

1. Priorizar el enforcement de las normas existentes sobre la creación de nuevas obligaciones para los fabricantes, aplicando las competencias sancionadoras del artículo 83 del GDPR a los usuarios que incumplan sus obligaciones de transparencia.

2. Desarrollar directrices específicas sobre la aplicación del GDPR a los dispositivos portátiles de captación de imágenes y sonido, aclarando la calificación de los datos capturados y la atribución de responsabilidades.

3. Cooperar a nivel europeo, a través del EDPB, para garantizar una aplicación armonizada de las normas y evitar la fragmentación regulatoria que podría derivarse de interpretaciones divergentes entre Estados miembros.

El desafío que plantean las gafas inteligentes no exige una respuesta prohibicionista ni la imposición de cargas tecnológicas desproporcionadas a los fabricantes. El marco normativo existente (GDPR, AI Act, legislación penal y de protección de datos de los Estados miembros) proporciona herramientas suficientes para abordar los usos abusivos, siempre que se acompañe de una estrategia de educación de los usuarios y de un enforcement efectivo por parte de las autoridades competentes. El indicador LED, en su forma actual, es un mecanismo inadecuado que genera una falsa sensación de transparencia y corre el riesgo de desensibilizar a los ciudadanos frente a los verdaderos tratamientos de datos personales. La innovación tecnológica debe ir acompañada de una reflexión jurídica que preserve los derechos fundamentales sin renunciar a las oportunidades que ofrecen estos dispositivos.

Bibliografía

(1) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). DOUE L 119, 4.5.2016, p. 1-88. Disponible en: https://eur-lex.europa.eu/eli/reg/2016/679/oj

(2) Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial). DOUE L, 2024/1689, 12.7.2024. Disponible en: https://eur-lex.europa.eu/eli/reg/2024/1689/oj

(3) Craddock, P. (2026). Blinded by the LED: smart glasses, GDPR, and the illusion of hardware indicators. Documento de análisis publicado en datalaws.net, 27 de agosto de 2026. (Documento facilitado por el usuario como fuente principal del análisis.)

(4) HateAid (2026). Criminal complaint against Meta, Ray‑Ban and other distributors under § 8 TDDDG. Presentada el 12 de agosto de 2026 ante la Oficina Central para la Lucha contra la Criminalidad en Internet de Alemania. Disponible en: https://hateaid.org/en/criminal-complaint-against-meta-over-smart-glasses/

(5) Bundesnetzagentur (2026). Declaración pública sobre la aplicabilidad del § 8 TDDDG a las gafas inteligentes de Meta, 15 de agosto de 2026. Citada en Heise Online (2026). Disponible en: https://www.heise.de/news/Kein-Verbot-fuer-Meta-Brillen-Behörde-sieht-LED-Signal-als-ausreichend-11444122.html

(6) Frankfurter Allgemeine Zeitung (FAZ) (2026). HateAid stellt wegen Meta Smart Glasses Strafanzeige, Bundesnetzagentur verbietet Brillen nicht, 13 de agosto de 2026. Disponible en: https://www.faz.net/aktuell/feuilleton/medien-und-film/medienpolitik/hate-aid-stellt-wegen-meta-smart-glasses-strafanzeige-bundesnetzagentur-verbietet-brillen-nicht-201123385.html

(7) Tribunal de Justicia de la Unión Europea (TJUE). Sentencia de 29 de julio de 2019, Fashion ID GmbH & Co. KG v. Verbraucherzentrale NRW eV, asunto C‑40/17, ECLI:EU:C:2019:629. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62017CJ0040

(8) Tribunal de Justicia de la Unión Europea (TJUE). Sentencia de 10 de julio de 2018, Jehovan todistajat – uskonnollinen yhdyskunta v. Tietosuojavaltuutettu, asunto C‑25/17, ECLI:EU:C:2018:551. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62017CJ0025

(9) Tribunal de Justicia de la Unión Europea (TJUE). Sentencia de 6 de noviembre de 2003, Bodil Lindqvist, asunto C‑101/01, ECLI:EU:C:2003:596. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62001CJ0101

(10) Tribunal de Justicia de la Unión Europea (TJUE). Sentencia de 11 de diciembre de 2014, František Ryneš, asunto C‑212/13, ECLI:EU:C:2014:2428. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62013CJ0212

(11) Information Commissioner's Office (ICO) (2026). Investigación sobre el tratamiento de datos de las gafas Meta Ray‑Ban, incluyendo la revisión humana externalizada en Kenia. Documentada en BBC News (marzo de 2026). Disponible en: https://www.bbc.com/news/articles/c0q33nvj0qpo

(12) Irish Data Protection Commission (DPC) (2026). Engagement con Meta sobre la eficacia del LED como mecanismo de notificación y el tratamiento de datos para el entrenamiento de IA. Documentado en Irish Examiner y UC Today. Disponible en: https://www.irishexaminer.com/business/technology/arid-41877344.html y https://uctoday.com/meta-glasses-privacy-scrutiny-europe

(13) Commission Nationale pour la Protection des Données (CNPD) – Luxembourg (2026). Smart glasses: data protection and respect of privacy, 8 de julio de 2026. Disponible en: https://cnpd.public.lu/en/dossiers-thematiques/surveillance/lunettes-connectees.html

(14) Tribunal de Justicia de la Unión Europea (TJUE). Sentencia de 19 de octubre de 2016, Patrick Breyer v. Bundesrepublik Deutschland, asunto C‑582/14, ECLI:EU:C:2016:779. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62014CJ0582

(15) Tribunal de Justicia de la Unión Europea (TJUE). Sentencia de 11 de septiembre de 2025, SRB v. European Commission, asunto C‑413/23 P, ECLI:EU:C:2025:XXX. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62023CJ0413 (pendiente de publicación del número de página definitivo; el texto está disponible en la base de datos EUR-Lex).

(16) European Data Protection Board (EDPB) (2026). Guidelines 02/2026 on Anonymisation, borrador adoptado el 7 de julio de 2026 y abierto a consulta pública hasta el 30 de octubre de 2026. Disponible en: https://www.edpb.europa.eu/ (búsqueda: "Guidelines 02/2026 on Anonymisation")

(17) Tribunal de Justicia de la Unión Europea (TJUE). Sentencia de 21 de noviembre de 2024, OC v European Commission, asunto C‑435/22 P, ECLI:EU:C:2024:XXX. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62022CJ0435

(18) Commission Nationale de l'Informatique et des Libertés (CNIL) – Francia (2026). Smart glasses: the CNIL calls for vigilance, 29 de junio de 2026. Disponible en: https://www.cnil.fr/en/smart-glasses-cnil-calls-vigilance

(19) Agencia Española de Protección de Datos (AEPD) (2026). Buenas prácticas si vas a usar gafas de sol inteligentes este verano, 13 de julio de 2026. Disponible en: https://www.aepd.es/prensa-y-comunicacion/blog/buenas-practicas-si-vas-a-usar-gafas-de-sol-inteligentes-este-verano

(20) European Data Protection Board (EDPB) (2026). Report on the "social acceptability" of smart glasses. Informe encargado para el verano de 2026, mencionado en POLITICO y Euractiv. El contenido definitivo no ha sido localizado en acceso abierto en el momento de la redacción de este artículo. Fuentes secundarias: https://www.politico.eu/article/new-privacy-frontier-europe-eyes-crackdown-on-smart-glasses/ y https://www.euractiv.com/ (búsqueda: "EDPB smart glasses").

(21) Parlamento Europeo (2026). Pregunta parlamentaria E‑002321/2026 formulada por Veronika Cifrová Ostrihoňová, Abir Al‑Sahlani y Yvan Verougstraete (Renew Europe) a la Comisión Europea, 5 de junio de 2026. Disponible en: https://www.europarl.europa.eu/doceo/document/E-10-2026-002321_EN.html