Droit et conformité

Polices, contenus embarqués et confidentialité : les ressources tierces

Les pages web chargent couramment des ressources depuis des domaines que le visiteur n'a pas choisis : réseaux de diffusion de polices, lecteurs vidéo, cartes, outils de messagerie, widgets sociaux, scripts de mesure d'audience et de publicité. La requête HTTP initiale peut elle-même divulguer une adresse IP et des métadonnées du navigateur : « aucun cookie » ne signifie donc pas automatiquement « aucun transfert de données personnelles ».

Ce que vérifie AllyProof

Avant toute interaction avec le dispositif de consentement, le navigateur enregistre les requêtes de polices et les requêtes associées aux fournisseurs de contenus embarqués les plus courants. Le résultat identifie la destination et le type de ressource. Il ne déduit pas le rôle contractuel complet du fournisseur et ne déclare pas illicite toute requête interdomaine.

Pour l'Allemagne, AllyProof distingue les polices chargées à distance parce que la décision rendue en 2022 par le tribunal régional de Munich au sujet de Google Fonts a retenu une divulgation injustifiée de l'adresse IP d'un visiteur alors que la police aurait pu être hébergée localement. Cette décision est un élément d'appréciation pertinent, non une règle condamnant automatiquement toute police ou tout recours à un réseau de diffusion.

Les questions à traiter en revue humaine

Pour chaque fournisseur observé, établissez :

• quelles données quittent le navigateur du visiteur ;
• la finalité et la base légale ;
• le caractère strictement nécessaire ou non de la requête avant tout choix ;
• l'existence d'une solution locale ou d'un mécanisme en deux clics ;
• le rôle du fournisseur et les garanties contractuelles ;
• le fait que la politique de confidentialité nomme correctement ce traitement.

Les corrections techniques courantes consistent à héberger les polices soi-même, à utiliser les modes d'intégration respectueux de la confidentialité, à remplacer un contenu embarqué chargé immédiatement par un substitut conditionné au consentement, et à différer les balises facultatives jusqu'à l'acceptation de la catégorie correspondante.

Sources officielles

• RGPD, notamment les articles 4, 6, 13, 28 et 44 à 49
• LG München I, jugement du 20 janvier 2022, 3 O 17493/20

Questions fréquentes

Google Fonts est-il toujours illicite en Allemagne ?

Non. La décision munichoise souvent citée portait sur un chargement à distance qui divulguait une adresse IP sans consentement alors qu'un hébergement local était possible. Héberger les polices sur son propre serveur évite cette requête tierce.

Un contenu embarqué peut-il transmettre des données sans cookie ?

Oui. Charger une ressource depuis un autre serveur expose normalement des métadonnées de connexion telles que l'adresse IP et l'agent utilisateur, même si aucun cookie n'est inscrit.