Lucide

Qu'est-ce que Lucide

Lucide est une bibliothèque d'icônes open source maintenue par la communauté, initialement forkée de Feather Icons en 2020, qui compte environ 1500 icônes SVG minimalistes. Le projet est publié sous licence ISC et est distribué sous forme de package npm, web component, wrappers React, Vue, Svelte et Solid, ainsi qu'en fichiers SVG bruts. Lucide est largement utilisé par des dashboards SaaS, des design systems et des portails de documentation pour son trait cohérent et sa licence permissive.

Données et cookies collectés

Lucide ne collecte rien par lui-même. La bibliothèque n'embarque pas d'analytique, ne dépose pas de cookies, ne réalise pas de fingerprinting et ne contacte aucun serveur de télémétrie. Les seules données personnelles en jeu sont les métadonnées HTTP de requête (adresse IP, User Agent, Referer) naturellement observées par le serveur qui livre le SVG ou le JavaScript. Quand Lucide est auto-hébergé sur l'infrastructure de l'opérateur, ces métadonnées restent sous son contrôle. Quand il est chargé depuis un CDN public comme jsDelivr ou unpkg, elles sont observables par l'opérateur du CDN.

Implications RGPD et ePrivacy

Puisqu'aucune information n'est stockée ou lue sur le terminal du visiteur, la règle ePrivacy strictement nécessaire n'a même pas besoin d'être invoquée: l'article 5(3) de la directive ePrivacy ne s'applique qu'au stockage ou à l'accès aux informations sur le terminal. Le RGPD s'applique en revanche à l'adresse IP partagée avec le CDN lors du chargement externe. Après l'arrêt Schrems II et la jurisprudence Google Fonts en Allemagne, envoyer l'IP d'un visiteur européen à un CDN américain sans information ni base légale claire a été pointé comme un risque, même si l'impact est très limité.

Consentement et base légale

Quand Lucide est auto-hébergé, l'opérateur peut s'appuyer sur l'intérêt légitime (article 6(1)(f) RGPD) pour livrer les icônes, car l'impact sur le visiteur est minime et ces actifs sont nécessaires pour afficher la page. Quand les icônes sont chargées depuis un CDN tiers, la voie la plus simple est l'auto-hébergement, ou l'usage d'un CDN avec présence UE. Si un CDN américain reste en place, une mention claire dans la politique de confidentialité plus un contrôle de consentement à la première requête constitue une approche défendable, en particulier face à un public allemand sensible à la jurisprudence Google Fonts.

Transferts et hébergement

jsDelivr est exploité par Prospect One en Pologne mais utilise Fastly et Cloudflare comme réseaux d'edge, deux acteurs ayant leur siège aux États-Unis et des PoP mondiaux. unpkg est opéré par NPM Inc. (filiale de Microsoft, États-Unis) et utilise Cloudflare. Les requêtes des visiteurs UE pour Lucide peuvent donc transiter par des edges américains et être observables par des responsables américains. Auto-héberger sur l'origine de l'opérateur ou utiliser un CDN UE seulement (zones Bunny CDN limitées à l'UE, Scaleway Edge) élimine ce risque.

Mise en conformité pratique

Le pattern le plus simple est d'embarquer Lucide localement dans votre build, de sorte que les icônes soient servies depuis la même origine que le reste du site. Si l'usage d'un CDN est préféré, choisissez une option de routage UE seulement, ou documentez le CDN dans la politique de confidentialité comme destinataire et appuyez-vous sur les Clauses Contractuelles Types ou sur le EU US Data Privacy Framework. Comme Lucide ne pose pas de cookies, aucun toggle CMP n'est techniquement requis, mais lister la ressource tierce est une bonne pratique.