Google Fonts y RGPD: por qué dan problemas y cómo alojarlas en tu servidor

Según Google, Google Fonts no instala cookies. Por eso el problema no es de la ley de cookies, sino del RGPD: cada vez que una página pide una fuente a Google, el navegador del visitante le envía su dirección IP. Desde la sentencia de Múnich de enero de 2022, alojar las fuentes en el propio servidor es la salida más extendida.

¿Por qué Google Fonts plantea problemas con el RGPD?

Porque la web comunica a un tercero la IP de cada visitante sin que este lo sepa ni lo haya pedido. Cuando una página enlaza la hoja de estilos de Google Fonts, el navegador hace peticiones a fonts.googleapis.com, que sirve el CSS, y a fonts.gstatic.com, que sirve los archivos de fuente. Según la FAQ de Google Fonts, esas peticiones incluyen:

1. La dirección IP con la que el usuario accede a internet.
2. La URL solicitada en el servidor de Google.
3. Las cabeceras HTTP, entre ellas el agente de usuario (navegador y sistema operativo) y el referer, es decir, la página en la que se va a mostrar la fuente.

La IP es la pieza clave. El considerando 30 del RGPD, que recoge la guía de cookies de la AEPD, cita las direcciones IP entre los identificadores en línea que, combinados con otros datos, pueden servir para elaborar perfiles e identificar a las personas. Si la IP es un dato personal, enviarla a Google necesita una base jurídica.

¿Qué dijo el tribunal de Múnich en enero de 2022?

Que cargar Google Fonts desde Google sin consentimiento vulnera el RGPD. Es la sentencia del Landgericht München I, el tribunal regional de Múnich, de 20 de enero de 2022, asunto 3 O 17493/20. Un visitante demandó al titular de una web que integraba las fuentes desde los servidores de Google, de modo que su IP llegaba a Google cada vez que entraba.

Esto es lo que resolvió, según las reseñas del texto publicadas en Alemania:

• La IP dinámica es un dato personal, porque el titular de la web tiene medios legales, al menos en abstracto, para identificar a quien está detrás.
• No hay interés legítimo (artículo 6.1.f del RGPD) que justifique enviarla, porque Google Fonts puede usarse sin que el navegador se conecte a un servidor de Google al abrir la página.
• Indemnización de 100 euros por daño inmaterial, más intereses, por la pérdida de control sobre un dato personal. El tribunal tuvo en cuenta que los datos llegaban a Google en Estados Unidos, que entonces no ofrecía un nivel de protección adecuado.
• Orden de cesar: el titular debía dejar de transmitir a Google la IP del demandante, bajo multa coercitiva de hasta 250.000 euros por cada infracción.

Después llegó una oleada de requerimientos en Alemania. En noviembre de 2022, la autoridad de protección de datos de Hesse avisó de que crecían las consultas por ese motivo y recomendó alojar las fuentes en el propio servidor.

Dos matices. Es la sentencia de un tribunal regional alemán en un pleito civil, y no vincula a los tribunales españoles. Y es anterior a la Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023, sobre el Marco de Privacidad de Datos UE-EE. UU. Aun así, el argumento central, que no hacía falta conectar con Google, no depende de las transferencias internacionales.

¿Qué dice Google de lo que registra?

Lo explica en el apartado de privacidad de la FAQ de Google Fonts:

• La API está diseñada para limitar la recogida, el almacenamiento y el uso de datos de los usuarios finales.
• Su uso no requiere autenticación, y la API no instala ni registra cookies. Las peticiones van a fonts.googleapis.com o fonts.gstatic.com, sin las credenciales de servicios con sesión iniciada, como Gmail.
• Recibe la IP del visitante, que trata para responder a la petición y por seguridad.
• Google afirma que no usa la información que recoge Google Fonts para crear perfiles de usuarios ni para publicidad dirigida.
• Si la fuente se carga desde los servidores del titular de la web, Google no recibe ningún dato relacionado con las visitas.

Google también enumera los inconvenientes de alojarlas tú. Los archivos pesan más, porque descargas la fuente entera y no los fragmentos que sirve la API. No hay forma de asegurar que la fuente funcione en todos los navegadores. Y tienes que actualizarla a mano.

¿Hay algún pronunciamiento en España?

No hemos encontrado ninguno. A fecha de este artículo, la AEPD no ha publicado ninguna resolución ni guía específica sobre Google Fonts, y tampoco hemos localizado sentencias españolas sobre el tema.

Eso no significa que el asunto no exista aquí: el RGPD es el mismo en toda la Unión Europea. La pregunta es si tienes base jurídica para comunicar la IP de tus visitantes a Google, y la respuesta depende del caso; esto no es asesoramiento jurídico. Alojar las fuentes elimina la pregunta.

¿Cómo alojar Google Fonts en tu propio servidor?

Descargas los archivos, los subes a tu servidor, los declaras en tu CSS y quitas las llamadas a Google. Las fuentes de Google Fonts son de código abierto. La mayoría usa la licencia SIL Open Font License, y Google indica que puedes redistribuirlas según las condiciones de cada licencia. Puedes descargarlas desde fonts.google.com o desde su repositorio de GitHub (github.com/google/fonts).

En WordPress

1. Averigua quién carga las fuentes. Suelen venir del tema, del constructor visual o de algún plugin. Busca en el código fuente de la página qué hojas de estilo apuntan a fonts.googleapis.com.
2. Con un tema de bloques, usa la biblioteca de fuentes. Llegó con WordPress 6.5. Según el anuncio oficial, instalar una fuente de Google desde ella descarga el archivo a tu servidor, por defecto en wp-content/fonts. La colección de Google Fonts hay que activarla expresamente, y todo se gestiona desde el editor del sitio.
3. Con un tema clásico o un constructor, busca en sus ajustes una opción para cargar las fuentes en local. Si no la hay, desactiva las de Google y declara las tuyas en el CSS de un tema hijo, como en el apartado siguiente.
4. Vacía la caché del plugin de caché y del CDN, si los usas, antes de comprobar el resultado.

En una web hecha a mano

1. Descarga solo las familias y los pesos que uses. Si puedes, en formato WOFF2, que es el que sirve la API de Google cuando el navegador lo admite.
2. Súbelas a tu servidor, por ejemplo a una carpeta /fonts/.
3. Quita las llamadas a Google: las etiquetas link que apuntan a fonts.googleapis.com o fonts.gstatic.com, incluidas las de preconnect, y cualquier @import de fonts.googleapis.com en tus hojas de estilo.
4. Declara cada fuente con @font-face en tu CSS. Como explica la guía de Google para alojar fuentes, el código es el mismo que da el servicio; solo cambia la ruta del archivo, que pasa a ser de tu dominio:

@font-face {
  font-family: "MiFuente";
  src: url("/fonts/mifuente-regular.woff2") format("woff2");
  font-weight: 400;
  font-style: normal;
  font-display: swap;
}

5. Repite el bloque por cada peso y estilo que uses, como la cursiva o la negrita, y aplica la fuente en tus reglas con font-family: "MiFuente", sans-serif;.

¿Cómo comprobar que ya no se piden a Google?

Mira el tráfico de red de la página, no solo el código. En Chrome, Firefox o Edge:

1. Abre las herramientas de desarrollo (F12) y ve a la pestaña Red.
2. Marca la casilla que desactiva la caché y recarga la página.
3. Escribe fonts.g en el filtro. No debe aparecer ninguna petición a fonts.googleapis.com ni a fonts.gstatic.com.
4. Filtra por tipo Fuentes (Font): todas deben servirse desde tu dominio.
5. Repite en varias plantillas (portada, blog, contacto, proceso de compra): hay plugins que solo cargan fuentes en ciertas páginas.

Buscar «googleapis» en el código fuente ayuda, pero no basta: una hoja de estilos puede importar las fuentes aunque el HTML no las mencione. Esta web, por cierto, sirve sus fuentes desde su propio servidor. Si además cargas mapas o vídeos de Google, esas peticiones son otro frente: lo vemos en cookies de terceros en tu web.

Preguntas frecuentes

¿Google Fonts instala cookies?

Según Google, no: la API de Google Fonts no instala ni registra cookies. Pero sí recibe la dirección IP del visitante, la URL solicitada y cabeceras como el navegador y la página de origen, y eso es lo que plantea la cuestión con el RGPD.

¿Necesito consentimiento para usar Google Fonts?

Si las alojas en tu servidor, no envías ningún dato a Google y la pregunta desaparece. Si las cargas desde Google, el tribunal de Múnich consideró en 2022 que hacía falta consentimiento porque no había interés legítimo. En España no hay un criterio publicado, así que depende del caso.

¿La sentencia de Múnich se aplica en España?

No vincula a los tribunales españoles: es la decisión de un tribunal regional alemán en un pleito civil. Pero interpreta el RGPD, que es la misma norma en toda la Unión Europea, y por eso se cita tanto.

¿Puedo descargar las fuentes de Google y alojarlas en mi servidor?

Sí, dentro de su licencia. Google indica que todas sus fuentes son de código abierto, que la licencia más habitual es la SIL Open Font License y que puedes redistribuirlas según las condiciones de cada licencia.

Fuentes

1. Google Fonts: Frequently Asked Questions (apartado Privacy)
2. Google Fonts Knowledge: Self-hosting web fonts
3. dejure.org: LG München I, 20.01.2022, 3 O 17493/20
4. Anwaltskanzlei Pütz: Urteil des LG München vom 20.01.2022 zu der Einbindung von Google Fonts (Az. 3 O 17493/20)
5. Autoridad de protección de datos de Hesse (HBDI): «Google Fonts»-Abmahnungen
6. Make WordPress Core: New Feature: Font Library (WordPress 6.5)
7. AEPD: Guía sobre el uso de las cookies (versión de mayo de 2024)
8. Reglamento (UE) 2016/679 (RGPD) (BOE)
9. Decisión de Ejecución (UE) 2023/1795, relativa al Marco de Privacidad de Datos UE-EE. UU. (BOE)