Bootstrap Icons

No. Bootstrap Icons es una biblioteca puramente SVG y CSS. No incluye JavaScript que lea cookies, ni huella digital del navegador ni llamadas de telemetría. Si los archivos se sirven desde su propio origen, el único intercambio es la petición HTTP de los archivos de iconos. Si la biblioteca se carga desde jsDelivr o unpkg, el proveedor de la CDN registra la IP del visitante, el User Agent y el Referer, que según el RGPD son datos personales aunque no haya cookies. La solución es autoalojar los recursos en lugar de apuntar a la CDN pública.

Si Bootstrap Icons se autoaloja no se necesita consentimiento porque no salen datos personales de sus servidores y el art. 22.2 LSSI no resulta aplicable. Si la biblioteca se carga desde una CDN pública, las autoridades europeas, incluida la AEPD, esperan consentimiento o un interés legítimo bien documentado, ya que la IP se transmite a un tercero. La sentencia del LG München I de 2022 sobre Google Fonts reforzó este criterio. Autoalojar elimina el problema.

Para uso autoalojado, la base más adecuada es el interés legítimo del art. 6(1)(f) RGPD: mostrar el sitio es una finalidad clara y proporcionada, no se elabora ningún perfil y el impacto sobre el interesado es mínimo. La prueba de ponderación debe constar en el registro de actividades. Para uso vía CDN, conviene apoyarse en el consentimiento del art. 6(1)(a) RGPD o realizar una ponderación más exigente que considere la transferencia internacional de la IP y la falta de control sobre los registros de la CDN.

Sí cuando se utiliza la CDN pública. jsDelivr enruta el tráfico por nodos perimetrales de Cloudflare y Fastly con sede en Estados Unidos. unpkg se aloja íntegramente en Cloudflare. Tras Schrems II (TJUE C 311/18), las transferencias a EE. UU. requieren Cláusulas Contractuales Tipo más medidas suplementarias o ampararse en la decisión de adecuación EU US Data Privacy Framework, bajo la cual Cloudflare y Fastly están certificadas. Si autoaloja en la UE o usa una CDN exclusivamente europea no se produce transferencia internacional.

Una evaluación de impacto del art. 35 RGPD no es obligatoria porque el tratamiento es de bajo riesgo, limitado y no afecta a categorías especiales de datos. Basta con una ficha en el registro de actividades del art. 30. Cuando la biblioteca se carga desde una CDN pública, la ficha debe describir las categorías de datos (IP, User Agent, Referer), los destinatarios (Cloudflare, Fastly, ProspectOne), la base legal, el mecanismo de transferencia y el plazo de conservación que aplica el proveedor de la CDN.

Instale el paquete npm, copie la carpeta de iconos en su pipeline de activos o descargue el archivo zip desde el repositorio oficial de GitHub. Referencie el archivo local bootstrap icons.css en la cabecera HTML o importe el sprite SVG. Añada una directiva Content Security Policy que permita únicamente self y bloquee CDN externas. Si un tema de terceros inyecta automáticamente la URL CDN, sobreescriba la ruta o use Subresource Integrity. Mencione Bootstrap Icons en el apartado de cookies técnicas y herramientas de la política de privacidad por transparencia.

Otros conjuntos libres de iconos con licencias similares son Heroicons (Tailwind Labs), Lucide (fork de Feather), Phosphor Icons, Tabler Icons, Material Symbols y Remix Icon. Todos pueden autoalojarse para evitar transferencias internacionales. Las opciones propietarias como Font Awesome Pro requieren licencia pero ofrecen un paquete autoalojable. Para accesibilidad y rendimiento conviene preferir SVG en línea con aria label o aria hidden frente a las fuentes de iconos, que provocan parpadeo de texto sin estilo y problemas con lectores de pantalla.

Aunque Bootstrap Icons no instala cookies, la política de privacidad debe mencionarlo por transparencia, sobre todo si se usa la CDN pública. Añada una entrada bajo recursos técnicos donde se indique que la biblioteca se carga desde cdn.jsdelivr.net o unpkg.com, que la CDN trata la IP únicamente para entregar el archivo, que la base legal es interés legítimo o consentimiento y que no se elabora ningún perfil. Actualice esta entrada cada vez que cambie entre CDN y autoalojamiento.