Google Fonts et RGPD : le risque caché de vos polices d'écriture

Pourquoi une simple police peut enfreindre le RGPD

Google Fonts est une bibliothèque gratuite de polices d'écriture. On peut l'utiliser de deux façons : charger les polices depuis les serveurs de Google (mode « externe », activé par défaut dans la plupart des thèmes et plugins), ou héberger les fichiers sur son propre serveur. C'est le premier mode qui pose problème.

À chaque page ouverte, le navigateur du visiteur contacte automatiquement les domaines de Google (fonts.googleapis.com et fonts.gstatic.com) pour récupérer la police. Cette requête transmet l'adresse IP du visiteur à Google, une entreprise soumise au droit américain. Or l'adresse IP est considérée comme une donnée personnelle par le RGPD, car elle permet d'identifier indirectement une personne.

Ce transfert se produit sans base légale, sans information et sans consentement — et souvent avant même que le visiteur ait interagi avec la page. Comme il s'agit d'une requête HTTP et non d'un cookie, une bannière cookies ne le couvre pas. On est donc face à un manquement aux principes de transparence et de licéité, qui sont au cœur de la conformité RGPD d'un site web.

Ce qu'a jugé le tribunal de Munich en 2022

Le 20 janvier 2022, le tribunal régional de Munich (LG München I, affaire 3 O 17493/20) a condamné l'éditeur d'un site à verser 100 € de dommages-intérêts à un visiteur dont l'adresse IP avait été transmise à Google via des Google Fonts chargées en externe, sans consentement.

Le juge a estimé que l'intérêt légitime de l'éditeur ne pouvait pas justifier ce transfert, puisque les polices peuvent parfaitement être hébergées localement : le partage de l'IP était donc évitable. Le montant est modeste et la décision allemande, mais le signal est fort — elle a déclenché une vague de courriers de mise en demeure outre-Rhin.

En France, la CNIL considère elle aussi l'adresse IP comme une donnée personnelle et applique les mêmes principes aux appels vers des serveurs tiers. Les plafonds du RGPD montent jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements les plus graves. Pour une TPE/PME, le risque concret est plutôt la plainte ou la mise en demeure, mais l'écart de conformité est bien réel : mieux vaut comprendre les sanctions de la CNIL avant d'y être confronté.

Comment vérifier si votre site charge des polices en externe

Le contrôle prend quelques minutes. Ouvrez votre site, faites un clic droit puis « Afficher le code source de la page », et recherchez (Ctrl+F) les termes fonts.googleapis.com ou fonts.gstatic.com. S'ils apparaissent, vos polices sont chargées depuis Google.

Pour une vérification plus fine, ouvrez les outils de développement du navigateur (touche F12), allez dans l'onglet « Réseau », rechargez la page et filtrez sur « font » ou « google ». Toute requête partant vers un domaine de Google confirme un chargement externe.

Des scanners RGPD en ligne détectent aussi ces appels automatiquement. Pensez à tester plusieurs types de pages (accueil, article, contact, tunnel de commande) : un thème ou un seul plugin peut réintroduire l'appel là où vous ne l'attendez pas.

La solution : auto-héberger vos polices

Le principe est simple : télécharger les fichiers de police et les servir depuis votre propre domaine. Plus aucun appel vers Google, donc plus de transfert d'IP ni de besoin de consentement. Bonus : l'affichage est souvent plus rapide, car le navigateur n'ouvre pas de connexion vers un serveur externe.

Sur WordPress, un plugin gratuit comme OMGF détecte et télécharge automatiquement les Google Fonts en local, puis réécrit le CSS pour pointer vers votre serveur. Certains thèmes et constructeurs de pages proposent aussi une option « charger les polices localement ». Vérifiez le résultat après chaque mise à jour de thème ou de plugin — voir notre guide pour rendre WordPress conforme au RGPD.

Sur un site codé ou un autre CMS, téléchargez les fichiers depuis Google Fonts (l'outil google-webfonts-helper facilite l'opération), hébergez les fichiers .woff2, déclarez-les via une règle @font-face pointant vers vos fichiers locaux, puis supprimez la balise <link> vers fonts.googleapis.com. Sur les plateformes fermées comme Wix, l'auto-hébergement est limité : privilégiez alors les polices natives de la plateforme.

L'alternative la plus radicale reste d'utiliser des polices système (Arial, Helvetica, Georgia, Verdana…), déjà présentes sur l'appareil du visiteur : zéro appel externe, zéro question de conformité sur ce point.

Les autres appels tiers à surveiller

Google Fonts n'est que la partie émergée de l'iceberg. Toute ressource externe chargée avant le consentement peut transmettre l'adresse IP du visiteur : Font Awesome en CDN (même correctif — hébergez les icônes en local), les cartes Google Maps intégrées, ou encore les vidéos YouTube embarquées.

Pour YouTube, utilisez le domaine youtube-nocookie.com et/ou un chargement au clic. Pour Google Maps, préférez une image statique cliquable ou un chargement différé après action de l'utilisateur. Le reCAPTCHA de Google transmet lui aussi des données et mérite d'être évalué.

Enfin, les balises de mesure et de marketing (Google Analytics, pixel Meta…) doivent attendre le consentement et rester derrière la bannière cookies. La logique est toujours la même : aucun appel tiers susceptible d'identifier ou de suivre le visiteur avant l'information et, le cas échéant, le recueil du consentement.

Un audit repère automatiquement ces appels

Passer chaque page au crible et recenser tous les domaines tiers à la main est fastidieux, et un simple oubli suffit à laisser fuiter des adresses IP. Un audit automatisé parcourt votre site, liste les appels externes (polices, cartes, vidéos, traceurs) et signale ceux qui se déclenchent avant tout consentement.

Vous pouvez lancer un audit RGPD gratuit de votre site pour voir en quelques minutes quels scripts tiers votre site charge, et obtenir une liste de corrections priorisées — à commencer, bien souvent, par ces fameuses Google Fonts.

À noter : cet article a une visée informative et ne constitue pas un conseil juridique. Pour une situation particulière, rapprochez-vous d'un professionnel du droit ou de votre DPO.