Zijn Google Fonts GDPR-conform?

Het vonnis van München van januari 2022

Op 20 januari 2022 veroordeelde de rechtbank van München I (Landgericht München I, zaak 3 O 17493/20) de uitbater van een website om een bezoeker 100 euro schadevergoeding te betalen en te stoppen met het doorgeven van zijn IP-adres aan Google. De site laadde Google Fonts op de gewone manier: een regel code die de browser van elke bezoeker het lettertype bij de servers van Google laat ophalen. De rechtbank oordeelde dat het dynamische IP-adres van de bezoeker, een persoonsgegeven, zo zonder toestemming en zonder gerechtvaardigd belang bij Google terechtkwam, want de site had het lettertype zelf kunnen hosten. Ze voegde eraan toe dat de doorgifte aan een bedrijf in de Verenigde Staten het verlies van controle nog groter maakte.

Het bedrag was klein, de gevolgen niet. In de maanden daarna kregen website-eigenaars in heel Duitsland brieven die rond 100 euro schadevergoeding plus kosten eisten, met het vonnis als grond. De meesten hadden nooit van het probleem gehoord, want de inlaadcode is net wat de site van Google zelf aanreikt. Het vonnis bond alleen de partijen, maar de redenering geldt overal waar de GDPR geldt, en geen hogere Duitse rechter heeft ze op het kernpunt tegengesproken.

De les voor elke site met bezoekers in de EU, dus ook voor je Vlaamse site: een bestand dat van de server van een derde laadt, is een doorgifte van het IP-adres van de bezoeker aan die derde. Lettertypes zijn het bekendste voorbeeld, niet het enige; hetzelfde geldt voor icoonbibliotheken, scripts en kaarten van een CDN dat je niet zelf beheert. Wat de GDPR verder van een site vraagt, lees je in GDPR voor een Amerikaans bedrijf en in is een cookiebanner verplicht.

Je eigen site nakijken in een minuut

1. Open je site in Chrome, Edge of Firefox en druk op F12 om de ontwikkelaarstools te openen.
2. Ga naar het tabblad Netwerk en herlaad de pagina.
3. Typ `fonts.g` in het filtervak.
4. Zie je aanvragen naar fonts.googleapis.com of fonts.gstatic.com, dan laadt je site lettertypes van Google.

Herhaal het op een paar sjablonen: de homepage, een productpagina, de kassa, de blog. Een plug-in of een enkele ingebedde widget laadt vaak op een pagina zijn eigen lettertypes. In het tabblad Elementen is een `link`-tag naar fonts.googleapis.com in de kop van de pagina de bron.

Zo host je Google Fonts zelf

De lettertypes in de bibliotheek van Google staan onder open licenties, meestal de SIL Open Font License, die toelaat ze te downloaden en vanaf je eigen server te serveren.

• WordPressVeel thema's hebben een instelling om lettertypes lokaal te laden; anders downloadt een plug-in voor lokale lettertypes ze voor je. Kijk daarna het netwerktabblad na, want paginabouwers laden soms zelf opnieuw lettertypes.
• ShopifyShopify serveert de lettertypes van zijn thema's vanaf zijn eigen CDN, niet van Google; eigen code die een link naar Google Fonts toevoegt, brengt het probleem terug.
• Een site op maatDownload de lettertypebestanden in WOFF2, zet ze op je server en declareer ze met @font-face in je stylesheet. Frameworks zoals Next.js doen dat bij het bouwen: next/font downloadt het lettertype als de site gebouwd wordt en serveert het vanaf je domein, zonder een enkele aanvraag naar Google.

Zelf hosten maakt de pagina meestal ook sneller, omdat de browser geen verbinding met een ander domein moet openen voor hij de tekst kan tekenen. Hoeveel dat uitmaakt, lees je in onze gids over je website sneller maken.

Waarom het zwaarder weegt voor Duitsland

Duitsland kent een cultuur van waarschuwingsbrieven (Abmahnungen) die de meeste andere EU-landen niet hebben: concurrenten, verenigingen en soms particulieren kunnen een formele eis met kosten sturen. Een kleine, zichtbare technische fout die een script op duizenden sites kan opsporen, is net waar zulke brieven op mikken. Verkoop je aan Duitse klanten, dan staat de lettertypefix naast het Impressum en de cookiebanner op het lijstje dat een Duitse bezoeker, of een Duitse advocaat, eerst nakijkt.