Anche Google Fonts può violare il GDPR, ecco come risolvere.

Il titolare di un sito Web in Germania è stato multato per aver fatto trapelare l’indirizzo IP di un visitatore tramite il servizio Google Fonts: il risarcimento, di soli 100 euro, è minimo ma ricostruisce una violazione della normativa privacy che potrebbe costituire un precedente per casi analoghi e risarcimenti plurimi

Il servizio Google Fonts

Partiamo dal servizio stesso reso da Google che, a una prima occhiata, non parrebbe nemmeno coinvolgere il trattamento di dati personali. Fonts, come dice il nome stesso, è una libreria di svariati font open source, messa a disposizione da Google ma i cui font sono forniti da innumerevoli utenti, cui è abbinata una API di Google liberamente e gratuitamente disponibile, oltre a una directory interattiva per consultare la libreria: i gestori di siti web possono utilizzare questi font nei propri siti, scegliendo tra quelli disponibili. Wikipedia riporta che vi si possono trovare “oltre 800 font”: è facilmente intuibile quanto siano diffusi, più di cinquanta milioni di siti web li adottano attualmente.

Il punto qui rilevante è l’API utilizzata da Google: richiede e scarica i file dei font e le risorse CSS così da fornire i font corretti quando un utente visita una pagina web. Tali risorse sono memorizzate nella cache del browser utente e aggiornate quando necessario. Tuttavia se il navigatore non ha ancora memorizzato nella cache del browser i font specifici – quelli settati dal titolare e richiesti per visualizzare correttamente il rendering della pagina web – verrà effettuata una richiesta al server di Google per acquisire le risorse e i file corretti, così da essere memorizzati nel browser e caricati nella pagina web a schermo.

In tal caso Google raccoglie l’indirizzo IP dell’utente del sito web e non è nemmeno chiaro per quanto tempo, stando alle informative di Google, nè per quali esatte finalità. Il tutto avviene, di prassi e nel caso oggetto di esame in Germania, senza chiedere alcun consenso all’utente, essendo la trasmissione dell’IP automatica con l’uso dei Fonts e al contempo sostanzialmente occultata all’utente.

Le contestate violazioni del GDPR e il risarcimento danni

I giudici tedeschi hanno esaminato il funzionamento di Fonts e ravvisato quanto segue:

• gli indirizzi IP dinamici letti e raccolti da Google rappresentano un dato personale per il gestore di un sito web, perché questi dispone in astratto dei mezzi legali che potrebbero essere ragionevolmente utilizzati per identificare l’interessato utente (tramite le autorità competenti e il fornitore di accesso a Internet); la cosa è nota da tempo, dopo la pronuncia “Breyer” del 2016 (C-582/14) della Corte di Giustizia, per cui si prescinde dalla concreta, avvenuta identificazione dell’interessato, essendo sufficiente la sua potenzialità;
• nel caso esaminato, la difesa ha cercato di sostenere un uso lecito dei predetti dati personali sulla base del proprio legittimo interesse quale base di trattamento: tentativo bocciato dai giudici, visto che un sito web può utilizzare i font forniti da Google anche senza connettere i navigatori ai relativi server, con le opportune impostazioni e accortezze tecniche; come già detto, la base non potrà che il consenso, debitamente informato;
• sempre la difesa ha argomentato che l’utente, in relazione al denegato uso dei suoi dati personali, avrebbe potuto utilizzare dei servizi (ad es. di VPN) atti a crittografare il proprio indirizzo IP e dunque non renderlo visibile a Google – ovviamente i giudici non hanno accolto questa posizione, gli utenti non possono vedersi obbligati a compiere azioni di questo tipo per mantenere l’anonimato, sarebbe una limitazione ingiustificata dei diritti garantiti dal GDPR;
• la divulgazione dell’indirizzo IP dell’utente e le conseguenti interferenze con i diritti della personalità sarebbero significativi per quanto riguarda la perdita di controllo (c.d. autodeterminazione informativa) dei propri dati, in relazione all’uso praticato da Google (cioè una società nota per raccogliere i dati degli utenti per svariate attività non sempre trasparenti), con relativo disagio individuale patito dall’utente come risultato – tutto ciò secondo i giudici giustifica la richiesta di risarcimento danni civile ai sensi dell’art. 82 GDPR, ammettendo un mero danno morale a supporto, giudicato sufficientemente serio per radicare una pronuncia di condanna; ha rafforzato questa decisione il fatto che il convenuto non ha negato che vi possa essere stata una plurima violazione, cioè più trasmissioni degli IP predetti, legittimando una presunzione di recidiva;
• al titolare tedesco del sito web è stato comunque vietato l’utilizzo di Fonts perché – hanno ritenuto i giudici, collegandovi sanzioni economiche e penali nel caso di ritardo nel mettersi in regola – se anche venissero messe in atto misure per contrastare quanto sopra (ad es. blocco dell’API fino al rilascio del consenso utente, misure di offuscamento dell’IP), Google riceverebbe comunque i dati (al più pseudonimizzati e dunque ancora “personali” per il GDPR), pure in server in territorio USA – come noto, dai tempi della sentenza Schrems II, un caso difficile da compensare con misure supplementari per adeguare il trattamento a un livello sufficiente rispetto a quanto richiesto dall’Unione.

Come risolvere

La risoluzione è semplice, quanto veloce. Installare i google fonts sul server ove è ospitato il sito o la vostra applicazione web. Per i dettagli commerciali e tecnici potete chiamare Mindgear Srl o scrivere al vostro referente.