Google Fonts на сайте: почему это риск Abmahnung

Если сайт подгружает шрифты Google Fonts напрямую с серверов Google, при каждом визите IP-адрес посетителя уходит в США без его согласия. Суд в Мюнхене признал это нарушением защиты данных и присудил посетителю 100 € (LG München I, 20.01.2022, Az. 3 O 17493/20). После этого решения по Германии пошла волна писем с требованием заплатить. Убрать риск можно за час — шрифты ставятся локально.

Что такое Google Fonts и в чём проблема?

Google Fonts — библиотека из примерно 1300 бесплатных шрифтов, которые ставят на большинство сайтов. Проблема не в самих шрифтах, а в способе их подключения. При «динамической» вставке браузер посетителя тянет шрифт прямо с сервера Google — и вместе с запросом передаёт IP-адрес.

IP-адрес по немецкому праву — персональные данные (Art. 4 Nr. 1 DSGVO). Значит, передавая его Google без согласия, владелец сайта обрабатывает чужие персональные данные без основания. А сервер Google находится в США, где по решению суда ЕС (Schrems II, EuGH C-311/18) нет равного европейскому уровня защиты. Отсюда и весь риск.

Почему это считается нарушением?

Мюнхенский суд решил: динамическая вставка Google Fonts без согласия посетителя нарушает право на защиту данных. Владелец сайта не может сослаться на «законный интерес» (Art. 6 Abs. 1 f DSGVO) — потому что шрифт можно подключить локально, без всякой передачи данных Google. Раз есть безопасный способ, «интерес» отправлять IP в США отпадает.

Посетителю присудили сразу три вещи: прекратить передачу IP (Unterlassung), выдать информацию о собранных данных (Auskunft, Art. 15) и компенсацию 100 € за моральный вред (Art. 82 DSGVO). Суд отдельно отметил: посетитель не обязан прятать свой IP через VPN — защищать данные должен владелец сайта, а не тот, кто зашёл на страницу.

Что грозит на практике: Abmahnung и 100 €?

Главный риск — не штраф от государства, а Abmahnung: письмо с требованием заплатить, обычно на те же 100 €, со ссылкой на мюнхенское решение. После января 2022 такие письма пошли массово: отправитель пишет, что был на вашем сайте в такой-то день, прикладывает свой IP и требует компенсацию в короткий срок.

Государственные надзорные органы малый бизнес из-за шрифтов, как правило, не преследуют. Но письмо от частного лица или «борца за данные» прилетает куда чаще, чем проверка. И оно давит: незнакомый юридический язык, срок, сумма — проще заплатить, чем разбираться. Именно на это расчёт.

Надо ли платить, если письмо уже пришло?

Автоматически — нет. Многие массовые письма 2022 года суды признали сомнительными или прямо злоупотреблением правом. Показательный случай: серийный «абмахнер» проиграл дело, когда получатель не заплатил, а подал встречный иск (AG Berlin-Charlottenburg, 20.12.2022, Az. 217 C 64/22). Массовая рассылка одинаковых требований ради денег — это не то же самое, что реальный пострадавший в мюнхенском деле.

Это не значит «игнорируй любое письмо». Оценить конкретное требование должен юрист — я не даю юридических советов. Но паниковать и платить по первому письму не обязательно. Куда разумнее закрыть саму причину: если сайт больше не отдаёт IP в Google, предъявить нечего.

Как убрать риск раз и навсегда?

Решение техническое и простое: подключить шрифты локально. Файлы шрифтов скачиваются и лежат на вашем сервере, браузер посетителя берёт их с вашего сайта, а не с Google. Никакой передачи IP в США — значит, и повода для претензии нет.

На проверку своего сайта уходит пара минут: есть бесплатные сканеры, которые показывают, тянутся ли шрифты с google.com. Если да — их переносят локально. Для нормально собранного сайта это работа на час. Заодно проверяют другие внешние вызовы к Google: карты, шрифтовые иконки, аналитику — механика риска у них та же.

Я собираю сайты сразу с локальными шрифтами и без скрытых вызовов к чужим серверам — это часть разработки сайта под немецкие требования. Если сайт уже есть и вы не уверены, что с ним, — это первое, что стоит проверить, вместе с Impressum и Datenschutz.

Частые вопросы