Google Fonts et RGPD : héberger vos polices

Pourquoi une police transmet l'adresse IP sans cookie

Une police web est un fichier, comme une image. Quand la page l'appelle chez Google, c'est le navigateur du visiteur qui la demande : d'abord une feuille de style à fonts.googleapis.com, puis les fichiers de police à fonts.gstatic.com. Chaque demande porte l'adresse IP du visiteur, le nom de son navigateur et, le plus souvent, l'adresse du site d'où elle part.

Aucun cookie n'est nécessaire. Google l'écrit dans la foire aux questions de Google Fonts : l'utilisation de l'API n'est pas authentifiée, et les visiteurs ne lui envoient pas de cookie. C'est ce qui rend l'appel discret : un inventaire des cookies ne le montre pas, alors que l'adresse IP est déjà partie.

La Cour de justice de l'Union a jugé le 19 octobre 2016, dans l'arrêt Breyer (C-582/14), qu'une adresse IP dynamique est une donnée personnelle pour l'exploitant d'un site, dès lors qu'il dispose de moyens légaux de faire identifier la personne. Le tribunal de Munich s'appuie sur cet arrêt.

Munich, 20 janvier 2022 : trois motifs, 100 euros de dommages

L'affaire porte la référence 3 O 17493/20 au tribunal régional de Munich I (Landgericht München I). Un internaute reprochait à l'exploitant d'un site d'avoir transmis son adresse IP à Google à plusieurs reprises, par les polices que la page chargeait. Le tribunal lui a donné raison :

• l'adresse IP dynamique est une donnée personnelle, puisque l'exploitant dispose en théorie de moyens légaux d'identifier la personne ;
• l'intérêt légitime ne justifie pas l'appel, puisque Google Fonts peut être utilisé sans que la page contacte un serveur de Google ;
• le visiteur n'avait pas consenti, et son adresse partait vers un serveur de Google aux États-Unis, pays dont le niveau de protection n'était alors pas reconnu comme adéquat.

L'exploitant a été condamné à cesser de transmettre l'adresse IP de ce visiteur à Google, sous peine d'une amende pouvant atteindre 250 000 euros par manquement, à lui dire quelles données le concernant étaient traitées, et à lui verser 100 euros de dommages et intérêts. Le tribunal a retenu la perte de contrôle du visiteur sur sa donnée et le malaise qu'il en ressentait.

Une décision allemande, dans un contexte qui a changé

Le jugement vient d'un tribunal régional et tranche un litige entre deux parties. Il ne lie pas les juridictions des autres pays, et ce n'est pas un arrêt de la Cour de justice de l'Union.

Le transfert vers les États-Unis se présente aussi autrement depuis le 10 juillet 2023. Le cadre de protection des données entre l'Union européenne et les États-Unis reconnaît une protection adéquate aux entreprises inscrites sur sa liste officielle, où figure Google LLC. Ce cadre fait l'objet d'un pourvoi devant la Cour de justice, et il porte sur le transfert : le jugement de Munich reposait aussi sur la base légale de l'appel lui-même.

En Allemagne, le jugement a été suivi de mises en demeure envoyées en série à des éditeurs de sites, avec une offre de règlement à l'amiable. En décembre 2022, le parquet de Berlin a fait perquisitionner un avocat et son client, soupçonnés de tentative d'extorsion et d'escroquerie dans plus de deux mille cas. Si une lettre de ce genre vous parvient, faites-la lire par un avocat avant de régler quoi que ce soit.

Servir vos polices vous-même, puis vérifier le reste

La correction est à votre portée, ou à celle de votre prestataire. Dans cet ordre, de la plus simple à la plus longue :

1. Demandez à votre prestataire si vos pages chargent des polices depuis des serveurs de Google, et lesquelles. Sur toutes les pages, pas seulement l'accueil : une page bâtie sur un autre gabarit peut en appeler d'autres.
2. Faites servir ces polices depuis votre propre domaine. Les polices du catalogue Google Fonts sont publiées sous des licences libres : le visiteur voit la même police, et son navigateur ne contacte plus Google pour l'afficher. Quand la police a été choisie dans les réglages du thème, la correction est souvent simple.
3. Cherchez les appels que personne n'a choisis. Un thème, une extension ou un constructeur de pages peut charger une police chez Google sans que personne l'ait décidé, et certains modules intégrés chargent la leur. Il faut alors régler ou remplacer le composant : c'est là que la correction devient un projet.
4. Faites refaire la vérification après chaque mise à jour du thème ou des extensions : une mise à jour peut rétablir l'appel.

Les polices ne sont qu'un des services qui reçoivent l'adresse IP de vos visiteurs. Le guide sur les transferts de données hors UE lors d'une visite passe en revue les autres : mesure d'audience, vidéos, cartes, protection anti-robot.

Repérer chaque appel à fonts.gstatic.com, même caché dans un thème

Ce pourcentage porte sur une trentaine de sites audités entre le 14 août 2026 et le 24 septembre 2026, ceux où le point a pu être vérifié. Beaucoup ont été audités parce qu'un défaut s'y voyait vite : le chiffre décrit nos audits, pas l'ensemble des sites. Ce chiffre compte tous les services appelés par les pages (mesure d'audience, vidéos, protection anti-robot, polices), pas seulement Google Fonts.

Pour le savoir sur votre site, l'audit ouvre vos pages dans un navigateur, sans toucher au bandeau de consentement, et les fait défiler jusqu'en bas pour que se chargent aussi les éléments différés. Il relève chaque service que le navigateur contacte, quelle que soit la pièce du site qui l'appelle : thème, extension ou module intégré. Une demande à fonts.googleapis.com ou à fonts.gstatic.com est rangée sous Google Fonts. Google relevant du droit américain, la destination compte comme hors de l'Union, et l'adresse IP du visiteur lui a été transmise par le navigateur.

L'appel compte aussi dans la part de vos services tiers qui revient aux grandes plateformes américaines, que le rapport mesure à part. Le constat porte sur la destination et sur ce qui lui est transmis ; il ne juge pas la base légale de votre traitement. L'inscription de Google au cadre UE-États-Unis n'est pas mesurée par l'audit : la note de méthodologie la signale comme une réponse possible, sans en conclure que le constat tombe.

Les polices de ce site sont servies ainsi. Sa police de titres, Space Mono, vient du catalogue de Google Fonts, sous licence SIL Open Font License, et ses fichiers partent de notre domaine. Le texte courant utilise les polices déjà présentes sur l'appareil du visiteur.