I read what Peter Craddock writes because he has a very different perspective from mine, and that always helps to (i) train lateral thinking and to (ii) detect slippery arguments.
By “slippery arguments” I mean those with great commercial potential because, well, they express exactly what your most… anxious clients want to hear, but they lack solid foundations beyond statements such as “the CJEU has not yet explicitly ruled that this is prohibited”.
Well, Craddock’s latest long piece is titled, possibly -but I do not think so- in a self-descriptive way “slippery arguments”, and it deals with various legal aspects of the use of Smart glasses
I select and comment on the fragments that seem most ominous to me. I always use Meta Glasses as an example, although the author does not.
1.-
Peter Craddock has not been to any beach in the last two summers or he would not say this.
2.-
In fact, the domestic exception applies even if you know the people you are recording, but a different matter is whether you publish the recording. And another thing are image rights, etc., but this is dealt with later in the doc.
And although the domestic exception applies to the user, that does not mean that -if there is processing of personal data- there is no controller for it.
3.-
There is a group of jurists who interpret the SRB-Scania doctrine (and in general the GDPR) in the most restrictive way possible. The red line usually is the last judgment of the CJEU that took them off guard (case “IAB Europe”, anybody?), and any loophole or gap is sought in it to try to keep sustaining the unsustainable... until the next judicial blow.
In this case, what is being said is that if the user records people they cannot identify, the GDPR does not apply because there is no personal data. As I have said, in reality, if you record and do not publish it, the GDPR does not apply to you by virtue of the domestic exception itself, regardless of your ability to identify. And if you publish beyond your closest circle of friends, the GDPR applies.
And moreover, it does so on a joint responsibility basis between platform and user, with the limit determined effectively by the identifiability of the subjects included in the content.
The mention of public figures is another trick as old as time: elevating the exception to a general rule. Public figures have very restricted protection of their right to data protection, so they are a good example -albeit exceptional- if what is intended is to row in favor of the use of smartglasses.
4.-
Here the author is conveniently forgetting a couple of things:
.- Meta is a co-manufacturer of the device and is the platform where the content is published. Although Meta does not access the data processed, it has a responsibility for the design of the product and the data flow towards and through its platform. Let us remind the forgetful that the CJEU declared the Jehovah’s Witnesses Church jointly responsible for the personal data processing captured by their pastors even though the organization did not have access to them.
.- Meta reserves a right of use over all content uploaded and distributed through its platform. And its algorithm determines the priority, number of users… to which it is shown in each platform’s feed (case “Coyote”, anybody?) Its role is anything but neutral.
.- Even the most restrictive interpretation of the SRB Scania doctrine agrees that from the moment any recipient identifies the person/s included in the uploaded content, the personal data processing crystallizes downstream throughout the previous chain of transmissions.
.- Lastly, (this is an additional thought, unrelated to the commented doc) assuming by default that the platform does not have reasonable means to identify the people included in the uploaded content, is at least risky in the case of Meta: one of the Leviathans of data most important on the planet.
5.-
.- This “form of awareness” thing I do not even know where he got it from.
.- Effectively, a webcam can show the image of people to millions of potential viewers and perhaps none of them can identify them. But this is precisely not the risk that Meta Glasses present nor what concerns citizens and authorities. Again, the exception is elevated to a rule.
.- And it is forgotten again that these data are distributed through Meta’s platform, which processes them as controller and with all its reidentification capabilities if it deems it appropriate for its purposes.
6.-
.- That such a professional attached to commenting on the latest updates from authorities and case law should go back here to a document from the usually denigrated EDPB of 2019 and forget about the very famous CJEU judgment C-422/2024… is touching.
The one-liner of this ruling is that when a body camera obtains data (images) by observation, the obligation to inform is governed by Article 13 and not by Article 14 GDPR; which imposes the supply of the mandatory information “in situ” and “just in time”.
Is it excessive? Is it easy? No one says it is. But it is the most recent and adjusted reference to the case.
7.-
.- Another classic: of course, let’s restrict all responsibility to the user “who instigates” the processing. This part disappoints me: one expected that they would unashamedly place all the responsibility on the person recorded, who dares to go out onto the street with their face uncovered.
.- Again: let’s look for an exception to the general premise (sorry, sorry) promise, and generalize from there. Schopenhauer kicks in again!
8.-
The conclusion is the proposal of the principle “ask before sharing”.
In a doc with an otherwise legal tone, something as vague and convenient as “ask” is proposed: it is not specified nor is “consent” or “legitimate interest” mentioned. Normal, because both require a high standard of prior information about the processing, which -for some reason- tends to be omitted in this type of articles.
And it is that the main problem is one of transparency in a device promoted as mass consumption: any serious technical effort to enable people around it to be aware that they are being recorded and/or the recording is being broadcasted is conspicuous by its absence.
Therefore:
1.- Meta knows very well what it sells.
2.- The user knows very well what they buy.
3.- And of course, the technology is valuable and can be used correctly, ethically and legally: needless to say.
Simply, all three things are true at the same time.
You are reading ZERO PARTY DATA. The newsletter on data protection law and artificial intelligence by Jorge García Herrero and Darío López Rincón.
In our spare time from this newsletter, we resolve complicated issues related to personal data protection regulations and AI. If you have any of these, give us a wave. Or contact us by email at jgh(arroba)jorgegarciaherrero.com
🗞️Noticias del Mundodato 🌍
.- Una app de retratos de mascotas con hámsteres en bermudas es la tapadera de una red de más de 400 dominios y aplicaciones vinculadas a desarrolladores chinos y a KeLing Technology que, bajo ciertas condiciones, cargan una interfaz web para generar deepfakes sexuales con escenas de violación y cuchillos al cuello. WIRED documenta la mecánica: cada descarga llama a un servidor que decide, según cosas como el origen, idioma e identificador, si mostrar la versión inocua o la guarresca, y uno de los triggers -para sorpresa de nadie- es llegar desde un anuncio en Meta.
.- Ex-ce-len-te artículo de Gema Lendoiro en El País sobre la identidad y la autoestima (o su falta) en tiempos de redes sociales: “Ya no basta con vivir algo; necesitamos verlo reflejado, compartido y validado por otros”. La construcción de tu imagen pública o marca personal y la imprevisibilidad de lo que merecerá o no likes, hacen que tu ego quede encerrado en una jaula con las artes de Skinner.
Si, además, lo que tenemos delante es un espejo doble, y las nuevas capacidades de análisis están al otro lado… en fin. Si sólo van a abrir un enlace hoy, que sea éste.
.- Este artículo del escritor Joe Dunthorne en The Guardian se va oscureciendo a medida que avanza: ¿Te haría ilusión que tu autor literario favorito te escribiera para interesarse por tu opinión sobre su obra?. Pues agárrate los machos…
📖 Documentos dateros muy cafeteros ☕️
.- El Bundesgerichtshof alemán pregunta al TJUE si una red social que selecciona, ordena, presenta y recomienda contenido ajeno mediante algoritmos puede seguir escudándose en el puerto seguro del alojamiento mientras jura no tener “conocimiento efectivo” de nada, precisamente porque todo lo hace una máquina. La cuestión prejudicial (VI ZR 64/24) se solapa con Like Company, Coyote y Russmedia, y añade una segunda pregunta tan interesante como incómoda: cuando un tribunal ordena retirar contenido “equivalente” al declarado ilícito, ¿puede exigirse a la plataforma una valoración contextual, incluso manual, o eso ya es la monitorización general prohibida?. Vía Mirko Brüß.
De nuevo: la respuesta la tenemos todos en la cabeza, pero hay quien vive de retrasar alejar lo más posible de su frente la espada de Damocles… hacia arriba.
.- Interesantísimo caso que vincularé con cositas la próxima semana: La pareja estable del paciente tiene legitimación para reclamar responsabilidad patrimonial cuando el servicio sanitario omite informar del riesgo de fracaso de una vasectomía. Así lo fija la STS de 21 de octubre de 2026, que Ignacio Serrano comenta con razón como supuesto curioso: el consentimiento informado es un derecho exclusivo del paciente (ni más ni menos que… ¡¡Agapito en la seudonimización del CENDOJ!!). No hay titularidad compartida del derecho a ser informado. El interés está en la disociación entre el derecho a ser informado para consentir y el derecho a ser indemnizado.
.- La CNIL sanciona a Fnac Darty Participations et Services (6 M€) y Fnac Direct (1 M€) por un rastreador en su app móvil. La CNIL rechaza que la “ayuda a la navegación” sea estrictamente necesaria: promover ventas no es prestar el servicio solicitado. Dos detalles técnicos interesantes : se aplica la doctrina del tracker multifinalidad (si una sola finalidad exige consentimiento, lo exige el conjunto) y se calcula la multa sobre la facturación del grupo, 10.000 millones, no sobre la holding, como pretendía la sancionada.
.- El Abogado General Szpunar considera en Like Company contra Google que el artículo 4 de la Directiva DSM puede amparar el entrenamiento de LLM, incluido el comercial. Marco Scialdone resume el razonamiento: entrenar es minería de textos y datos porque extrae patrones estadísticos que se convierten en parámetros, y el uso posterior para generar texto no altera esa calificación; la excepción cubre el scraping, el almacenamiento del dataset y las copias durante el entrenamiento, pero solo mientras sean necesarias; el acceso lícito excluye webs piratas y saltar muros de pago o medidas antibot.
💀Death by Meme🤣
🤖NoRobots.txt o Lo de la IA
.- Mientras el EDPB y demás siguen cocinando el modelo conjunto y oficial de FRIA, Luis Alberto Montezuma recopila todos los docs oficiales relevantes sobre el tema publicados hasta la fecha. Haz “awwwwwww” como haría él mientras te los descargas todos…
.- La infraestructura de la IA no solo compite por nuestra electricidad y agua, también compite por la memoria de tu teléfono, en el caso de Apple, y el de tus ordenadores domésticos, en el de Sam Altman…
.- Otra muesca en el revólver de Meta: rechazó retirar vídeos generados por IA de entrenadores manoseando a gimnastas y bailarinas de aspecto adolescente cuando usuarios normales los denunciaron… pero los retiró de inmediato en cuanto preguntó una periodista. Futurism denunció diez cuentas desde una cuenta corriente; una semana después, ocho recibieron el mensaje estándar de que no infringen las normas comunitarias. Tras la entrada en juego de la revista, todas desaparecieron y las respuestas de soporte se reescribieron retroactivamente. Nice.
📃El paper de la semana
.- Un modelo frontera puede leer y escribir directamente los pesos de otra red neuronal, sin gradientes ni bucles de entrenamiento.
Autores: Rikiya Takehi, Jayden Teoh, Alex Zhang y otros.
.- Los hospitales tienen responsabilidad autónoma, no solo derivada de la del médico, cuando despliegan sistemas de apoyo a la decisión clínica. Este artículo de la Universidad de Bolonia reconstruye un ciclo de cinco fases (pre-adquisición, adquisición, integración, uso rutinario y reevaluación) y cataloga catorce fallos organizativos que pueden fundar culpa directa: desde no revisar la documentación del artículo 13 RIA hasta flujos de trabajo que hacen inviable la supervisión humana o no retirar sistemas obsoletos.
Autores: Claudia Giorgetti, Giuseppe Contissa, Arianna Giorgetti
🛠️Herramientas útiles
.- Clauseo ha publicado en github stetdoc. Stetdoc permite que un agente de IA edite archivos .docx dejando cada cambio como revisión de Word con su nombre y devolviendo intacto todo lo que no tocó. Si da la casualidad de que eres abogado y mueves documentos de word en versiones redline, Stetdoc te va a ahorrar un montón de tokens. Lo he probado y funciona estupendamente: recomendadísimo.
.- UC Berkeley libera FreeToken, un motor de inferencia que trata GPU, CPU, memoria del host y PCIe como una única plataforma para ejecutar modelos MoE de escala frontera en hardware de consumo. Resultado (prometido): un portátil con 8 GB de VRAM corre Qwen3.6-35B y una RTX 5090 mueve DeepSeek-V4-Flash. Carga safetensors sin conversión y expone APIs compatibles con OpenAI y Anthropic en localhost. Para el cumplimiento normativo, la noticia es que el “modelo frontera sin salir de la oficina” deja de ser excusa de presupuesto: la transferencia internacional de datos se evita con hardware de gama media. Este no lo he probado, pero les escucho.
.- ¿Cuándo es buena idea buscar con un buscador tradicional en vez de con un chatbot, y viceversa? Wired responde.
🙄 El chorradón final
Si echas de menos algun doc, comentario o chorradón que manifiestamente debería haber estado en el Zero Party Data de la semana, escríbenos o deja un comentario y lo valoraremos para la próxima.