Ali uporaba Google Fonts krši GDPR?

Večina spletnih strani ne gosti lastnih pisav. Namesto tega vrstica v HTML ali CSS naroči brskalniku obiskovalca, naj pridobi datoteke pisave s fonts.googleapis.com ali fonts.gstatic.com. Ta zahteva se sproži v trenutku nalaganja strani, še preden je obiskovalec odgovoril na pasico za piškotke, in vključuje njegov IP naslov, podatke o brskalniku ter čas obiska.

IP naslov po GDPR šteje kot osebni podatek (člen 4(1) in uvodna izjava 30 ga tako opredeljujeta). Vprašanje torej postane: kakšna je pravna podlaga za pošiljanje tega podatka Googlu, preden je obiskovalec karkoli privolil?

Januarja 2022 je deželno sodišče v Münchnu (Landgericht München I, zadeva 3 O 17493/20) razsodilo ravno o tem. Spletna stran je vgradila Google Fonts prek Googlovega CDN, ne da bi prej vprašala obiskovalca. Sodišče je ugotovilo, da prenos obiskovalčevega IP naslova Googlu ni imel veljavne pravne podlage, saj je bilo gostovanje istih pisav na lastnem strežniku zlahka dostopna alternativa, ki se je v celoti izognila pošiljanju kakršnih koli podatkov Googlu. Tožniku je prisodilo 100 evrov odškodnine.

Ta posamezna sodba je v naslednjem letu sprožila val množičnih opominov (Abmahnungen), poslanih upravljavcem nemških in avstrijskih spletnih strani, od katerih je vsak zahteval plačilo za poravnavo domnevne kršitve.

Od leta 2022 sta se spremenili dve stvari, obe pa sta pomembni za pošten odgovor.

Podlaga za prenos podatkov je postala trdnejša. Od julija 2023 sklep Evropske komisije o ustreznosti za okvir za zasebnost podatkov med EU in ZDA (EU-US Data Privacy Framework) daje Googlu, kot certificiranemu udeležencu, priznano pravno podlago za prejemanje podatkov, prenesenih iz EU. To neposredno naslavlja del prvotne pritožbe o "pošiljanju v ZDA brez zaščitnih ukrepov".

Same kampanje množičnih opominov so naletele na odpor. Več nemških sodišč, med njimi znova LG München I marca 2023 (zadeva 4 O 13063/22) in Amtsgericht Ludwigsburg februarja 2023, je razsodilo, da so bile množične opominjevalne akcije zloraba pravic, saj se je namen s preprečevanja kršitve zasebnosti premaknil k ustvarjanju prihodka od poravnav. Podobne ugotovitve so prišle iz Avstrije.

Osnovno tehnično dejstvo se torej ni spremenilo: zunanja zahteva za pisavo še vedno pošlje Googlu IP naslov obiskovalca, preden ta poda kakršno koli soglasje. Spremenilo pa se je to, da ima prenos zdaj jasnejšo pravno podlago in da so sodišča v veliki meri zavrnila oportunistične množične opominjevalne kampanje, ki so izkoriščale prvotno sodbo. Ali vaša konkretna nastavitev predstavlja resno tveganje, je še vedno odvisno od vaših okoliščin, ciljne publike in tega, kako sicer obravnavate soglasje, kar ni nekaj, na kar bi bilo mogoče odgovorno odgovoriti z enostavnim da ali ne.

Ta del pravzaprav nima dveh plati, ne glede na to, kam se nagne pravna razprava: gostovanje na lastnem strežniku popolnoma odpravi izpostavljenost, opravilo pa je majhno.

Če gostovanje na lastnem strežniku za vašo nastavitev res ni izvedljivo, je nadomestna rešitev, da zahtevo za pisavo razkrijete v politiki zasebnosti in jo, glede na vašo toleranco do tveganja, omejite z istim mehanizmom soglasja, ki ga uporabljate za druge sledilne skripte. To je šibkejša rešitev kot gostovanje na lastnem strežniku, ne pa njegov nadomestek, saj se zahteva še vedno sproži, preden je sprejeta kakršna koli odločitev, razen če je dejansko blokirana, ne le razkrita.