jQuery CDN

jQuery es una biblioteca JavaScript fundamental, y muchos sitios la cargan desde una red de distribución de contenido publica en lugar de alojarla ellos mismos. La biblioteca no coloca cookies ni realiza seguimiento, pero el acto de obtenerla desde una CDN de terceros tiene una clara dimensión de privacidad que suele pasarse por alto.

Que hace la CDN de jQuery

Una CDN de jQuery simplemente sirve el archivo de la biblioteca desde una red rápida y distribuida como code.jquery.com, Google Hosted Libraries, cdnjs o jsDelivr. La ventaja es la velocidad y el almacenamiento en cache; el coste es que el navegador del visitante debe contactar con un servidor de terceros para descargar el script.

El problema de la exposición de la IP

Cada solicitud del archivo jQuery lleva la IP y el agente de usuario del visitante al operador de la CDN. Una IP es dato personal según el RGPD. Es el mismo mecanismo que abordaron los tribunales alemanes en las sentencias sobre Google Fonts, donde cargar una fuente desde servidores de Google sin consentimiento se consideró ilícito.

Transferencias a terceros países

Operadores como Google y Cloudflare tienen sede en Estados Unidos y operan redes globales. Servir jQuery desde ellos puede por tanto constituir una transferencia de datos personales a un tercer país, que requiere una garantía adecuada y una base documentada según las reglas de transferencia del RGPD.

Base jurídica y riesgo

Como no se colocan cookies, el consentimiento no es estrictamente obligatorio para el script, pero la transferencia de IP debe apoyarse en una evaluación documentada de interés legítimo. Dada la jurisprudencia alemana sobre la carga de recursos de terceros, el riesgo se valora mejor como medio hasta que auto aloje o justifique formalmente el uso de la CDN.

Recomendación

El enfoque mas limpio es auto alojar jQuery desde su propio dominio. La solicitud queda entonces de origen propio, ninguna IP sale hacia un tercero y toda la cuestión de la transferencia desaparece. Si debe usar una CDN, documente el interés legítimo y prefiera un operador con sede en el EEE cuando sea posible.