Respuesta breve. Las gafas inteligentes y el RGPD deben analizarse conjuntamente cuando una empresa utiliza cámaras, micrófonos o conexión a internet para reuniones, asistencia remota, formación o documentación de tareas. El EDPB ha pedido reforzar la transparencia, la seguridad y el análisis previo de cada uso. La empresa debe definir la finalidad, la base jurídica, quién decide y cómo se informa a las personas afectadas.
El Comité Europeo de Protección de Datos (EDPB) publicó el 13 de octubre de 2026 una declaración sobre los retos de protección de datos de las gafas inteligentes y el informe externo The connected gaze. No es una sanción ni una nueva norma autónoma: es una orientación inicial que ayuda a interpretar los riesgos del RGPD en un dispositivo capaz de captar imágenes, audio, metadatos y, en algunos casos, información analizada mediante inteligencia artificial.
Antes de implantar gafas inteligentes
Gafas inteligentes y RGPD: por qué plantean un riesgo
Una gafa con cámara o micrófono puede registrar a personas que no esperan estar siendo grabadas. El riesgo aumenta en oficinas, centros sanitarios, centros educativos, establecimientos abiertos al público y entornos donde aparecen menores, clientes o información confidencial. También debe considerarse lo que ocurre después: almacenamiento, transmisión a proveedores, reconocimiento o clasificación, uso para entrenar sistemas y publicación en redes sociales.
Para una empresa, el primer paso no es comprar el dispositivo y redactar después una política genérica. Es documentar el caso de uso. Si el tratamiento forma parte de la actividad profesional, puede ser necesario realizar una evaluación de riesgos, actualizar el registro de actividades y revisar contratos con el proveedor tecnológico. Una revisión de protección de datos para empresas ayuda a ordenar estas decisiones antes de poner el sistema en producción.
Quién es responsable del tratamiento
El EDPB distingue el contexto en el que se utilizan las gafas. Cuando una organización decide para qué se graba, a quién afecta la grabación, cuánto tiempo se conserva o con quién se comparte, normalmente actúa como responsable del tratamiento. La responsabilidad no desaparece porque el dispositivo sea fácil de usar o porque la grabación la active un empleado.
La excepción doméstica puede ser relevante en usos estrictamente personales o familiares, pero no debe trasladarse automáticamente a un entorno laboral o comercial. Además, aunque un uso concreto quede fuera del RGPD, pueden aplicarse otras normas civiles, laborales, de imagen o de secreto empresarial. El análisis depende de los hechos y de la finalidad real.
Qué debe revisar una empresa antes de utilizar estas gafas
1. Finalidad y necesidad
Defina qué problema se pretende resolver y por qué una cámara o un micrófono son necesarios. Grabar por comodidad no equivale a justificar la necesidad. Debe valorarse si existe una alternativa menos intrusiva, como una videollamada sin grabación, una fotografía puntual o un registro manual.
2. Base jurídica y personas afectadas
La empresa debe identificar la base jurídica aplicable y describir a quién puede afectar el tratamiento: trabajadores, clientes, visitantes, proveedores o personas que aparezcan incidentalmente. El consentimiento no es una solución automática, especialmente en relaciones laborales o cuando la persona no puede negarse en condiciones reales.
3. Transparencia visible y efectiva
La información debe llegar a las personas antes de que sus datos se capten. El EDPB destaca la importancia de indicadores de grabación claros, fiables y difíciles de ignorar, como luces visibles, señales de audio, avisos o un diseño que permita reconocer cuándo el dispositivo está registrando. Un icono oculto en una aplicación no sustituye necesariamente a una información comprensible en el lugar de la grabación.
4. Proveedores, nube y transferencias
Revise dónde se procesan las imágenes y el audio, qué subcontratistas intervienen, cuánto tiempo se conservan los datos y si salen del Espacio Económico Europeo. El contrato debe delimitar instrucciones, seguridad, asistencia, subencargados, supresión y gestión de incidentes. Si el proveedor ofrece funciones de IA, hay que separar la prestación contratada de cualquier reutilización para entrenar modelos o generar productos propios.
5. Seguridad y control de acceso
Las grabaciones deben protegerse con medidas proporcionales: autenticación robusta, permisos por función, cifrado cuando proceda, registros de acceso, actualización del dispositivo y borrado automático cuando termine el plazo necesario. La empresa debe tener un procedimiento para responder a pérdida del dispositivo, acceso indebido, filtración o publicación accidental.
| Pregunta | Decisión que debe quedar documentada |
|---|---|
| ¿Qué se capta? | Imagen, audio, ubicación, metadatos o resultados generados por IA. |
| ¿Para qué se capta? | Finalidad concreta y relación con una actividad empresarial. |
| ¿Quién accede? | Roles internos, proveedores y subencargados autorizados. |
| ¿Cuándo se borra? | Plazo de conservación y borrado verificable. |
Checklist de gafas inteligentes y RGPD para empresas
- Describir el caso de uso y documentar la necesidad.
- Determinar responsable, encargados y posibles corresponsables.
- Identificar la base jurídica y las categorías de datos.
- Evaluar si procede una evaluación de impacto relativa a la protección de datos.
- Informar antes de la captación con avisos visibles y accesibles.
- Configurar indicadores de grabación y controles para evitar captaciones innecesarias.
- Revisar contrato, nube, subencargados y transferencias internacionales.
- Definir conservación, borrado, derechos y respuesta ante incidentes.
- Formar a las personas usuarias y revisar periódicamente el sistema.
Qué significa la declaración del EDPB para las empresas
La declaración no convierte cualquier uso de gafas inteligentes en ilícito ni establece una sanción general. Su valor práctico está en anticipar los puntos que una autoridad de protección de datos puede examinar: previsibilidad de la captación, información, minimización, seguridad, gobernanza del proveedor y compatibilidad de usos posteriores. La empresa debe aplicar estos criterios a su propio contexto y conservar evidencia de las decisiones.
La fuente principal es la declaración oficial del EDPB sobre gafas inteligentes, publicada el 13 de octubre de 2026. El informe externo citado por el Comité ofrece análisis y recomendaciones, pero sus opiniones no deben presentarse como una resolución sancionadora ni como una posición normativa autónoma del EDPB.
Preguntas frecuentes
¿Puede una empresa grabar con gafas inteligentes sin avisar?
Como regla de cumplimiento, no debe iniciarse una captación encubierta por defecto. La empresa debe analizar la base jurídica, informar de forma previa y visible, limitar la captación y documentar la necesidad. En algunos contextos la grabación oculta puede ser especialmente problemática y requerir un análisis jurídico específico.
¿Las gafas inteligentes siempre necesitan una evaluación de impacto?
No automáticamente. La obligación depende del riesgo y de las características del tratamiento: escala, vigilancia sistemática, categorías de datos, uso de biometría, menores, entorno y funciones de análisis. Si el riesgo es alto, la evaluación de impacto debe realizarse antes de comenzar el tratamiento.
¿El proveedor de las gafas asume toda la responsabilidad?
No. El proveedor puede actuar como encargado o tener responsabilidades propias según sus decisiones y servicios, pero la organización que determina el uso profesional debe gobernarlo y demostrar cumplimiento. El contrato no permite trasladar sin más las obligaciones del responsable a la empresa tecnológica.
¿Necesitas revisar el uso de gafas inteligentes?
ScandoUp puede ayudarte a analizar el caso de uso, revisar la información, valorar proveedores y contratos tecnológicos, coordinar el RGPD con las funciones de inteligencia artificial y preparar una hoja de ruta proporcionada al riesgo.
Fuente oficial: EDPB, declaración sobre los retos de protección de datos de las gafas inteligentes.
Actualizado: 14 de octubre de 2026. Autor: Álvaro Ruipérez Candón, ScandoUp Global Legal. Contacto: arc@scandoup.com.
Contenido informativo y general. No sustituye el análisis jurídico de un caso concreto ni la consulta de la normativa y las autoridades competentes.