Google Fonts es la librería tipográfica más usada en la web, y buena parte de los despachos la cargan sin saber que ese gesto tan simple puede saltarse el RGPD. Cuando el navegador pide una tipografía al servidor de Google en lugar de al tuyo, viaja con ella la dirección IP de quien está leyendo el artículo, sin que exista un banner que lo explique ni un consentimiento que lo ampare. Un tribunal alemán ya ha puesto precio a ese detalle, y WordPress cambió su forma de servir fuentes en parte por eso. Esto es lo que dice la sentencia, qué exige la ley y cómo se resuelve en la web de tu despacho sin tocar el diseño.
Cargar Google Fonts desde los servidores de Google envía la dirección IP del visitante a Estados Unidos sin su consentimiento, algo que un tribunal de Múnich consideró en 2022 una infracción del RGPD con indemnización incluida. La solución técnica es autoalojar la fuente en el propio servidor, algo que WordPress ya permite sin plugins desde 2024.
Google Fonts y la sentencia que dispara reclamaciones
El caso lo resolvió el Landgericht München I (tribunal regional de Múnich) el 20 de enero de 2022, en el asunto 3 O 17493/20. Un usuario descubrió que una web cargaba Google Fonts directamente desde los servidores de Google y demandó al propietario por transferir su dirección IP a Estados Unidos sin avisarle ni pedirle permiso. El tribunal le dio la razón: fijó una indemnización de 100 € por el daño moral y advirtió de multas coercitivas de hasta 250.000 € si el propietario repetía la infracción.
La sentencia no se quedó en una anécdota judicial. Despachos de protección de datos y asociaciones de consumidores en Alemania y Austria empezaron a enviar cartas de reclamación masivas a webs que seguían cargando Google Fonts del modo estándar, usando ese fallo como precedente. El goteo de reclamaciones fue tan constante que varios proveedores de temas y plugins de WordPress decidieron resolverlo de raíz en el propio gestor, no con un parche externo.
Tu web comparte la IP del lector con Google
La razón por la que ese fallo prosperó no es exótica: la Agencia Española de Protección de Datos ya había fijado en 2003, en su Informe Jurídico 327/2003, que la dirección IP es un dato de carácter personal, porque permite identificar, directa o indirectamente, al equipo y, a través de él, a la persona que lo usa. Esa calificación es la misma que aplican los tribunales alemanes cuando analizan las fuentes tipográficas cargadas desde un CDN de terceros.
Con Google Fonts, el navegador del visitante hace una petición directa a fonts.googleapis.com cada vez que carga una página. Esa petición no instala una cookie, pero sí entrega dirección IP y user-agent, es decir, lo necesario para trazar un perfil sin que aparezca un solo aviso. Es una diferencia importante frente al banner de cookies de tu despacho: aquí no hay casilla que aceptar o rechazar, la transferencia ocurre igual visite quien visite la web y decida lo que decida sobre las cookies.
Autoalojar tipografías en la web de tu despacho
Autoalojar es la solución que recomiendan las guías posteriores a la sentencia: el servidor de tu despacho sirve la fuente en vez de pedírsela a Google.
Autoalojar una fuente es descargar el archivo tipográfico y servirlo desde el propio dominio, no desde el servidor de un tercero cada vez que alguien visita la página.
La Biblioteca de Fuentes de WordPress 6.5
WordPress incorporó en la versión 6.5, de marzo de 2024, la Biblioteca de Fuentes: una pantalla nativa, sin plugins, para instalar tipografías —incluidas las de Google Fonts— y dejarlas alojadas en wp-content/fonts, en el propio servidor. Existe, entre otras razones, para que los sitios sigan cumpliendo el RGPD sin tocar ni una línea de código. De paso, quitar la petición a un dominio externo suele mejorar la velocidad de carga, justo en el tramo que más castiga el LCP en móvil.
Si tu tema todavía es un tema clásico
La Biblioteca de Fuentes solo funciona con temas de bloques; si la plantilla de tu despacho es un tema clásico —la mayoría de los diseños a medida con Elementor lo son—, la fuente hay que descargarla y encolarla a mano, o con un plugin que lo automatice. Conviene decidirlo dentro de un proyecto de rediseño más amplio, no como un parche aislado: cambiar a un tema de bloques es buen momento para resolverlo. Un despacho que encarga el diseño a una agencia debe pedir explícitamente que las fuentes queden autoalojadas: no todas lo hacen por defecto todavía.
Otros recursos externos que filtran datos igual
Google Fonts es el ejemplo que llegó a los tribunales, pero no es el único recurso que tu web puede estar pidiendo a un servidor ajeno sin que el visitante lo sepa. El mapa incrustado de Google Maps en la página de contacto, el vídeo de YouTube embebido en un artículo, el icono servido desde un CDN externo o el widget de verificación de un formulario funcionan igual: el navegador del lector hace una petición directa a ese tercero y le entrega su dirección IP antes de que aparezca ningún aviso.
La diferencia es que algunos de esos servicios sí son imprescindibles —un formulario necesita protegerse del spam— y otros se sustituyen sin coste, como ocurre con las fuentes. Para los que no se pueden quitar, la solución no es dejar de usarlos: es informar de esa transferencia en la política de privacidad y, cuando el servicio lo permita, cargarlo solo después de que el visitante acepte las categorías de cookies correspondientes, igual que ya exige el banner de cookies de tu despacho para los de analítica y publicidad.
Cómo auditar las fuentes que carga tu web
Comprobarlo no exige conocimientos técnicos avanzados. Con el navegador abierto sobre la web de tu despacho basta con abrir las herramientas de desarrollador, ir a la pestaña de red y recargar la página filtrando por «fonts»: si aparece una petición a fonts.googleapis.com o fonts.gstatic.com, la fuente sigue sin autoalojarse.
Antes de pedirle el cambio a quien mantiene tu web, conviene revisar estos puntos:
- Qué tipografías usa la plantilla y si vienen de Google Fonts, de Adobe Fonts o de otro proveedor externo.
- Si el tema es de bloques o clásico, porque decide si sirve la Biblioteca de Fuentes nativa o hace falta un plugin.
- Qué otros recursos de terceros carga la página de contacto y los formularios: mapas, verificaciones, chat.
- Si la política de privacidad menciona esas transferencias y a qué proveedores.
Esta revisión encaja bien dentro de las revisiones periódicas de seguridad web que ya deberían hacerse cada cierto tiempo: no es una tarea nueva, es una pregunta más que añadir a la lista de comprobación.
Preguntas frecuentes sobre Google Fonts y el RGPD
¿Google Fonts instala cookies en el navegador?
No instala cookies, y por eso mucha gente lo pasaba por alto. El problema no es una cookie: es la petición HTTP directa al servidor de Google, que entrega la dirección IP del visitante sin que exista consentimiento previo. Un escáner de cookies no lo detecta; hace falta mirar las peticiones de red de la página.
¿Cuánto cuesta autoalojar las fuentes?
Nada si tu WordPress usa un tema de bloques con la versión 6.5 o superior: la Biblioteca de Fuentes lo hace desde el propio panel. Con un tema clásico, el coste es el tiempo de la agencia o del plugin que se encargue, normalmente menos de una hora de trabajo.
¿Funciona con cualquier tema de WordPress?
La Biblioteca de Fuentes nativa solo funciona con temas de bloques, los compatibles con el editor de sitios completo. Los temas clásicos, habituales en diseños a medida con Elementor, necesitan un plugin de terceros o alojar el archivo de la fuente a mano en el servidor.
¿La sentencia alemana obliga a los despachos españoles?
La sentencia solo vincula en Alemania, pero la base legal es la misma en España: la AEPD ya calificó la IP como dato personal en 2003, y el RGPD exige base legal para cualquier transferencia. La prudencia técnica, autoalojar, no depende de dónde se dicte la sentencia.
Fuente: Agencia Española de Protección de Datos (AEPD) – Informe Jurídico 327/2003