Google Fonts et le RGPD : hébergez vos polices vous-même

Si vos pages chargent des polices depuis les serveurs de Google, le navigateur de chaque visiteur contacte Google avant que la page puisse s’afficher, et Google reçoit l’adresse IP du visiteur. Le 20 janvier 2022, le tribunal régional de Munich I (LG München I, affaire 3 O 17493/20) a jugé que ce transfert, effectué sans consentement, violait le RGPD, a ordonné à l’exploitant du site d’y mettre fin et a accordé au visiteur 100 € de dommages-intérêts. La réponse pratique n’est pas une demande de consentement pour les polices ; c’est de télécharger les fichiers de polices et de les servir depuis votre propre domaine, ce qui prend moins d’une heure et rend la page plus rapide.

Les requêtes en cause sont celles vers fonts.googleapis.com (la feuille de style) et fonts.gstatic.com (les fichiers de polices).

Ce que le tribunal de Munich a décidé

L’affaire était une action civile d’un visiteur contre l’exploitant d’un site qui intégrait Google Fonts de façon dynamique. Les conclusions du tribunal, en résumé :

• Une adresse IP dynamique est une donnée personnelle pour l’exploitant d’un site (le tribunal s’est appuyé sur la jurisprudence antérieure de la Cour fédérale de justice allemande).
• L’exploitant ne pouvait pas invoquer l’intérêt légitime de l’article 6, paragraphe 1, point f) du RGPD, parce que les polices peuvent être utilisées sans aucune connexion entre le navigateur du visiteur et les serveurs de Google : les mêmes polices peuvent être servies depuis le serveur de l’exploitant.
• Transmettre l’adresse IP à Google sans consentement n’avait donc aucune base légale, et la perte de contrôle du visiteur sur des données personnelles, transférées vers un serveur de Google aux États-Unis, justifiait un préjudice moral de 100 € au titre de l’article 82 du RGPD.
• L’exploitant a reçu l’ordre de cesser de divulguer l’adresse IP du visiteur à Google via les polices, sous peine d’une astreinte pouvant atteindre 250 000 € par infraction.

Le jugement est une décision de première instance d’un tribunal allemand à propos d’un site, et il ne lie personne d’autre. Son raisonnement, en revanche, s’applique à tout site qui charge des ressources depuis un tiers quand il n’y est pas obligé, et il a déclenché une vague de courriers de réclamation. En novembre 2022, l’autorité de protection des données de Basse-Saxe a publié un avis sur la masse de courriers de particuliers et de cabinets d’avocats réclamant des dommages-intérêts et des frais de justice sur la base de ce jugement, et a appelé les exploitants de sites à intégrer Google Fonts localement.

Le consentement est-il l’alternative ?

Techniquement, vous pourriez conditionner la requête de polices au bandeau, mais une page dont la typographie dépend d’un clic de consentement est une mauvaise page, et les polices retomberaient sur une solution de repli pour tous ceux qui refusent. Depuis juillet 2023, le cadre de protection des données UE-États-Unis (Data Privacy Framework) fournit une base d’adéquation pour les transferts vers les entreprises américaines certifiées, ce qui écarte une partie de l’argument du transfert, mais pas la question de la base légale de l’envoi de l’adresse IP en premier lieu. L’auto-hébergement supprime la requête, donc il n’y a plus rien à justifier.

Comment héberger les polices vous-même

1. Listez les familles et les graisses que vous utilisez. Regardez la balise <link> ou le @import dans votre CSS : l’URL nomme les familles, les graisses et les styles.
2. Téléchargez les fichiers. Google Fonts propose les familles au téléchargement sur fonts.google.com ; les licences (pour la plupart la SIL Open Font License) autorisent l’auto-hébergement. Ne gardez que les graisses que vous utilisez, en WOFF2.
3. Déclarez-les en CSS avec une règle font-face par famille, pointant vers votre propre domaine (l’exemple ci-dessous).
4. Préchargez le fichier principal avec <link rel="preload" as="font" type="font/woff2" href="/fonts/inter-latin.woff2" crossorigin> pour que le texte s’affiche tôt.
5. Retirez les balises Google : le <link rel="preconnect" href="https://fonts.googleapis.com">, le lien vers la feuille de style et tout @import.
6. Vérifiez tout le site. Les thèmes, les plugins, les constructeurs de pages, les formulaires embarqués et les widgets de chat chargent souvent Google Fonts de leur côté. Ouvrez l’onglet Réseau dans une fenêtre de navigation privée, filtrez sur « fonts.g », et parcourez quelques pages. Ce qui reste vient d’un composant tiers que vous devez configurer, remplacer, ou accepter et déclarer.

La déclaration de l’étape 3 ressemble à ceci :

css
@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 400 700;
  font-display: swap;
  src: url("/fonts/inter-latin.woff2") format("woff2");
  unicode-range: U+0000-00FF, U+0131, U+0152-0153, U+02BB-02BC, U+02C6, U+02DA, U+02DC, U+2000-206F, U+2074, U+20AC, U+2122, U+2191, U+2193, U+2212, U+2215, U+FEFF, U+FFFD;
}

Si vous ne pouvez pas héberger vous-même

Certaines plateformes hébergées et certains constructeurs de pages chargent Google Fonts depuis Google sans offrir de réglage pour en changer, et certains widgets tiers apportent leurs propres polices. Dans ce cas, vérifiez si la plateforme propose une option « polices locales » ou « confidentialité » (plusieurs en ont ajouté une après 2022), demandez à l’éditeur, ou choisissez des polices système pour les parties que vous contrôlez. Là où la requête subsiste, soyez honnête dans la politique de confidentialité : nommez Google Fonts, dites que l’adresse IP du visiteur est envoyée à Google pour fournir les polices, et indiquez la base légale que vous invoquez. Une mention ne guérit pas le problème identifié par le tribunal de Munich, mais le silence sur un transfert connu est pire qu’une description exacte.

Que mettre dans la politique de confidentialité une fois les polices auto-hébergées

Rien sur Google Fonts. L’intérêt de l’auto-hébergement est que les polices deviennent des fichiers ordinaires sur votre propre serveur, comme vos images, sans aucun tiers. Retirez toute phrase mentionnant Google Fonts de la politique quand vous retirez la requête, pour que la politique et le site racontent la même histoire.

Les requêtes voisines à vérifier

Le même raisonnement s’applique à toute ressource chargée depuis un tiers par commodité : polices d’icônes depuis un CDN, jQuery depuis un CDN public, Adobe Fonts (Typekit), Google Maps et reCAPTCHA. Les polices et les bibliothèques peuvent être auto-hébergées. Maps et reCAPTCHA ne le peuvent pas, et demandent soit un blocage jusqu’au consentement (le schéma des contenus embarqués), soit une nécessité documentée, par exemple un CAPTCHA qui protège un formulaire de connexion.

Là où le scanner aide

Le scanner de Cookiequiet liste les feuilles de style et les indications preconnect en plus des scripts, et nomme Google Fonts et Adobe Fonts quand il les voit, de sorte qu’un scan après le changement confirme que plus rien ne pointe vers Google. Il lit le HTML tel qu’il est servi, donc une police chargée par un script après le chargement de la page n’est visible qu’avec l’option HTML rendu ; la vérification de l’onglet Réseau décrite plus haut reste le dernier mot.