L'essentiel
- Une police chargée depuis fonts.googleapis.com transmet l'adresse IP du visiteur à Google.
- Le tribunal régional de Munich I a accordé des dommages et intérêts à ce titre en janvier 2022 (3 O 17493/20).
- La solution est simple : servez les fichiers de police depuis votre propre domaine.
La décision
Le 20 janvier 2022, le tribunal régional de Munich I (LG München I, affaire 3 O 17493/20) a jugé qu'un site web qui chargeait Google Fonts de manière dynamique depuis les serveurs de Google transmettait l'adresse IP du visiteur à Google sans base légale. Le tribunal a accordé 100 euros de dommages et intérêts et ordonné à l'exploitant de cesser cette pratique.
Pourquoi c'est important
Une adresse IP constitue une donnée personnelle pour l'exploitant du site (CJUE, Breyer, C-582/14, 2016). Les polices auraient pu être servies depuis le propre serveur de l'exploitant : le transfert n'était donc pas nécessaire. La décision a été suivie d'une vague de mises en demeure en Allemagne en 2022.
La solution
Téléchargez les fichiers de police (les plus courantes sont sous licence libre) et servez-les depuis votre propre domaine. La page reste identique et aucune requête n'atteint Google. Le même raisonnement s'applique aux autres ressources chargées depuis des serveurs tiers : scripts, icônes, cartes et vidéos.
Comment vérifier un site
Recherchez les requêtes vers fonts.googleapis.com et fonts.gstatic.com sur chaque page, et pas seulement sur la page d'accueil : thèmes et extensions ne les chargent souvent que sur certains gabarits, et un constructeur de pages peut les réintroduire après une mise à jour.
Liste de contrôle
- Aucune requête vers fonts.googleapis.com ou fonts.gstatic.com sur aucune page, y compris les gabarits de paiement et de blog.
- Fichiers de police (.woff2) servis depuis votre propre domaine, dans le respect de leur licence.
- Le CSS des thèmes, extensions et constructeurs de pages vérifié pour détecter les imports de Google Fonts.
- La même vérification pour les autres ressources tierces : icônes, cartes, vidéos intégrées.
Sources
- LG München I, jugement du 20 janvier 2022, 3 O 17493/20.
- CJUE, 19 octobre 2016, Breyer, C-582/14 (adresses IP en tant que données personnelles).
- Article 6, paragraphe 1, du RGPD (licéité du traitement).
Information générale, ne constituant pas un conseil juridique. Faites examiner votre situation particulière par votre DPO ou votre conseil.