Blog

Google Fonts, reCAPTCHA, cartes et videos integrees : les risques RGPD caches des scripts tiers

Publie le 24/10/2026 · Temps de lecture : 10 min

En janvier 2022, le tribunal regional de Munich (Landgericht München I) a condamne l'editeur d'un site web a verser 100 euros de dommages et interets a un visiteur. Le motif : charger dynamiquement les polices Google Fonts depuis les serveurs de Google avait transmis l'adresse IP de ce visiteur aux Etats-Unis, sans son consentement et sans base legale valable. Aucune case a cocher, aucun cookie visible, aucun bandeau ignore : le simple affichage de la page suffisait a declencher le transfert.

Cette decision allemande illustre un angle mort frequent dans les audits RGPD d'un site TPE ou PME : on verifie la banniere cookies, Google Analytics, le pixel Facebook, mais on oublie les dizaines de petits appels techniques declenches en arriere-plan par un theme WordPress, un plugin ou un copier-coller de code trouve en ligne. Polices, widgets anti-spam, cartes interactives, lecteurs video : chacun de ces elements peut transmettre des donnees personnelles a un tiers avant meme qu'un visiteur ait fait un choix.

Sommaire

• Qu'est-ce qu'un script tiers et pourquoi interesse-t-il le RGPD
• Google Fonts : le cas le plus frequent
• reCAPTCHA et les autres widgets anti-spam
• Google Maps et videos YouTube integrees
• Comment reperer les scripts tiers de votre site
• Les solutions concretes, par ordre de priorite
• Questions frequentes

Qu'est-ce qu'un script tiers et pourquoi interesse-t-il le RGPD

Un « script tiers » (ou « ressource tierce ») est tout element d'une page web charge depuis un serveur qui n'est pas le votre : une police d'ecriture hebergee par Google, un widget de verification anti-robot, une carte interactive, une video incrustee, un bouton de partage social, un chat en ligne. Techniquement, charger ces elements oblige le navigateur du visiteur a envoyer une requete directe vers le serveur du prestataire concerne, et cette requete contient necessairement l'adresse IP du visiteur, son navigateur, parfois la page visitee.

Or une adresse IP est qualifiee de donnee personnelle par la CNIL et par la jurisprudence europeenne depuis l'arret Breyer de la Cour de justice de l'Union europeenne (2016) : elle permet, combinee a d'autres informations detenues par le fournisseur d'acces, d'identifier indirectement une personne. Transmettre cette donnee a un tiers constitue donc un traitement de donnees personnelles au sens de l'article 4 du RGPD, qui doit s'appuyer sur une des bases legales de l'article 6 : consentement, interet legitime, execution d'un contrat, etc.

Pour un script purement fonctionnel et indispensable (par exemple, charger la feuille de style de votre propre site), la question ne se pose pas. Elle se pose precisement quand le script provient d'un tiers et qu'une alternative auto-hebergee existe : dans ce cas, l'interet legitime de l'editeur du site est difficile a justifier, puisque le meme resultat visuel est atteignable sans transmettre la moindre donnee a un tiers.

Google Fonts : le cas le plus frequent

Google Fonts propose un catalogue de polices gratuites tres utilise par les createurs de sites et les themes WordPress. Le probleme ne vient pas des polices elles-memes, mais de la methode d'integration. Deux cas tres differents :

• Chargement dynamique (une balise <link> ou une regle CSS @import pointant vers fonts.googleapis.com ou fonts.gstatic.com) : a chaque visite, le navigateur contacte directement les serveurs de Google pour recuperer le fichier de police, et transmet l'adresse IP du visiteur a cette occasion.
• Hebergement local (telecharger les fichiers de police et les servir depuis votre propre nom de domaine) : aucune requete ne quitte votre serveur, aucune donnee n'est transmise a Google. Le rendu visuel est strictement identique pour le visiteur.

La bascule du chargement dynamique vers l'hebergement local est une correction purement technique, sans impact sur le design du site, et elle supprime entierement le risque pour cette categorie de scripts. C'est generalement la premiere recommandation donnee lors d'un audit de conformite : un gain de conformite important pour un effort de developpement minime.

reCAPTCHA et les autres widgets anti-spam

Le widget reCAPTCHA de Google, souvent installe sur un formulaire de contact ou de devis pour filtrer les robots, fonctionne en analysant en arriere-plan le comportement du visiteur (mouvements de souris, vitesse de frappe, parcours sur la page) pour calculer un score de confiance. Cette analyse s'accompagne du depot de cookies (par exemple un cookie nomme _GRECAPTCHA) et de l'envoi de donnees aux serveurs de Google, independamment du fait que la version affiche ou non une case a cocher « Je ne suis pas un robot ».

Plusieurs autorites europeennes de protection des donnees ont souligne que ce traitement comportemental ne peut generalement pas se justifier par la seule necessite technique, puisque d'autres methodes anti-spam existent (champ cache, validation par calcul simple, limitation du nombre d'envois par adresse IP) sans transmettre de donnees a un tiers americain. En pratique, pour une TPE ou une PME, deux options raisonnables : soumettre reCAPTCHA au meme consentement prealable que les autres traceurs non essentiels, ou le remplacer par une solution anti-spam auto-hebergee sur le formulaire concerne.

Google Maps et videos YouTube integrees

Deux usages tres courants sur un site vitrine : afficher une carte interactive pour indiquer l'adresse d'un commerce, et incruster une video de presentation hebergee sur YouTube ou Vimeo. Dans les deux cas, l'iframe d'integration charge directement une ressource depuis les serveurs du prestataire, meme si la video n'est jamais lancee ou si la carte n'est jamais manipulee : l'adresse IP du visiteur est transmise au simple affichage de la page.

YouTube propose un domaine dit « a confidentialite renforcee » (youtube-nocookie.com) qui evite le depot de certains cookies de personnalisation publicitaire avant le lancement de la video. C'est une amelioration reelle, mais elle ne supprime pas la transmission de l'adresse IP au chargement de la miniature. La pratique la plus prudente, et la plus repandue chez les editeurs attentifs a ce sujet, consiste a remplacer l'iframe par une image statique cliquable (une capture d'ecran de la video avec un bouton « Lecture ») : le lecteur video n'est charge, avec sa requete vers YouTube, qu'apres un clic explicite du visiteur. Pour une carte, une alternative consiste a afficher une image statique avec un lien « Voir sur Google Maps » qui ouvre une nouvelle page, plutot qu'une carte interactive embarquee.

Cette logique de « clic pour charger » (parfois appelee double-clic ou clic-to-load) est desormais recommandee pour tout contenu tiers non indispensable a l'affichage initial de la page : elle replace le visiteur en position de choisir, au moment ou il souhaite reellement interagir avec le contenu, plutot que de subir un transfert de donnees pour un contenu qu'il ne regardera peut-etre jamais.

Comment reperer les scripts tiers de votre site

Pas besoin d'un audit technique couteux pour une premiere verification. La methode est accessible a n'importe qui :

• Ouvrez votre site dans une fenetre de navigation privee, pour partir sans cookie ni historique.
• Ouvrez les outils de developpeur du navigateur (touche F12 ou clic droit puis « Inspecter ») et selectionnez l'onglet « Reseau » (« Network »).
• Rechargez la page sans cliquer sur aucun bouton de la banniere cookies.
• Parcourez la liste des requetes qui s'affiche : chaque ligne indique un domaine. Toute ligne vers un domaine autre que le votre (fonts.googleapis.com, www.google.com/recaptcha, maps.googleapis.com, youtube.com, connect.facebook.net...) est un appel a un service tiers declenche avant tout consentement.

Cette verification devrait faire partie du reflexe habituel apres chaque mise a jour de theme ou chaque nouveau plugin installe sur un site WordPress, Shopify ou Wix : un module ajoute pour une fonctionnalite anodine (un bouton de partage, une galerie photo, un formulaire d'avis) embarque souvent, sans le signaler, un ou plusieurs appels vers des serveurs tiers.

Les solutions concretes, par ordre de priorite

Face a un script tiers detecte, trois options se presentent, dans un ordre de preference clair :

• Supprimer le besoin d'un tiers. Heberger localement les polices, remplacer un widget anti-spam par une solution maison, remplacer une carte interactive par une image cliquable. C'est la solution la plus simple et la plus durable, car elle supprime le risque a la racine plutot que de le gerer.
• Differer le chargement jusqu'au clic ou au consentement. Quand le tiers est difficilement remplacable (une video YouTube de presentation produit, par exemple), charger la ressource uniquement apres un clic explicite du visiteur, ou apres acceptation de la categorie de cookies correspondante dans la banniere de consentement.
• Documenter et informer. Pour les cas ou le tiers reste necessaire, la politique de confidentialite du site doit lister ce prestataire, la finalite du transfert, et preciser s'il s'appuie sur une garantie de transfert hors UE valable (clauses contractuelles types, ou adhesion au cadre europeen de protection des donnees EU-US Data Privacy Framework pour les prestataires americains certifies).

Dans tous les cas, la meme logique que pour les cookies classiques s'applique : un outil de gestion du consentement correctement configure doit bloquer non seulement les cookies, mais aussi le chargement des scripts et iframes associes a chaque categorie de traceurs, jusqu'a ce que le visiteur ait fait un choix.

Pour approfondir la logique generale de blocage avant consentement, qui s'applique de la meme maniere aux cookies classiques et aux scripts tiers evoques ici, voir notre article sur les 5 erreurs qui exposent un site a une sanction CNIL.

Questions frequentes

A lire aussi

Scripts tiers & RGPD

Hotjar, Microsoft Clarity : ce que le RGPD impose avant d'installer un outil d'enregistrement de session

Lire

Scripts tiers & RGPD

Chat en direct sur un site web : les obligations RGPD avant d'installer un widget

Lire

Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire