MyFonts

Ce qu'est MyFonts

MyFonts est un service d'hébergement de polices web exploité par Monotype, une société basée aux États Unis. Lorsqu'un site web intègre un kit de polices MyFonts, les polices sont diffusées depuis un réseau de distribution afin de se charger rapidement pour les visiteurs partout dans le monde.

Pour faire respecter la licence, le service compte les pages vues à chaque chargement d'une page utilisant le kit de polices, ce qui implique un contact avec l'infrastructure de Monotype.

Quelles données et quels cookies sont collectés

Lors du chargement d'une police, le navigateur du visiteur envoie son adresse IP et l'adresse de la page d'origine à un service de suivi afin de comptabiliser une page vue au titre de la licence. Selon Monotype, l'adresse IP sert à compter les pages vues et n'est pas conservée ni traitée à d'autres fins par le prestataire.

La diffusion des polices elle même se fait sans cookie, mais l'adresse IP est une donnée personnelle au sens du RGPD, la transmission constitue donc un traitement qui doit être justifié.

Implications RGPD et ePrivacy

Charger des polices depuis un service américain externe expose l'adresse IP du visiteur à un pays tiers, point que les juridictions et autorités européennes ont jugé sensible, comme l'ont montré des décisions sur Google Fonts externe. L'exploitant du site est responsable du traitement et doit pouvoir justifier le transfert.

Comme l'IP est lue sur l'appareil à chaque requête, l'approche la plus sûre considère le chargement de polices externes comme nécessitant le consentement de l'utilisateur plutôt que de s'appuyer uniquement sur l'intérêt légitime.

Exigences de consentement

Compte tenu du transfert de données IP à l'étranger, de nombreux exploitants européens demandent le consentement avant de charger MyFonts depuis le service externe. La bannière de consentement doit expliquer qu'un fournisseur de polices externe situé aux États Unis recevra l'adresse IP, et doit offrir une véritable possibilité de refus.

En cas de refus, le site doit recourir à des polices hébergées localement afin que la page s'affiche sans contacter le service externe.

Transferts internationaux de données

L'adresse IP et le référent sont transmis aux États Unis. Ces transferts doivent s'appuyer sur le cadre de protection des données UE États Unis lorsque Monotype est certifié, ou sur des clauses contractuelles types accompagnées d'une analyse d'impact du transfert tenant compte des lois de surveillance américaines.

Étapes pratiques de conformité

Privilégiez l'auto hébergement des fichiers de polices sous licence sur votre propre serveur ou un CDN européen afin qu'aucune IP de visiteur ne parte vers les États Unis. Si vous conservez le service externe, conditionnez le au consentement, vérifiez le mécanisme de transfert et mettez à jour votre politique de confidentialité pour nommer Monotype et décrire le transfert d'IP.

Conservez les preuves de votre analyse de transfert et vos journaux de consentement afin de démontrer votre responsabilité en cas de demande d'une autorité de contrôle.