Usare Google Fonts viola il GDPR

juanin

Usare Google Fonts viola il GDPR

E dopo l'illegalità di Analytics ecco anche Google Fonts sotto i riflettori

Multa di soli 100 euro, ma fa precedente.

https://thehackernews.com/2022/01/german-court-rules-websites-embedding.html

giorgiotave

@juanin

Le rogne del GDPR sono infinite

Quando è posibile, quasi sempre, consiglio l'uso dei webfont in locale sul proprio server, i vantaggi come le prestazioni sono innegabilmente migliori e si risolve il problema GDPR.

In linea di massima, se si usa per esempio il font Ubuntu con 2 pesi, 400 e 700, Google offre uno script simile a questo:

<link rel="preconnect" href="https://fonts.googleapis.com">
<link rel="preconnect" href="https://fonts.gstatic.com" crossorigin>
<link href="https://fonts.googleapis.com/css2?family=Roboto+Condensed&family=Ubuntu:wght@700&display=swap" rel="stylesheet">

Per poter utilizzare lo stesso font sul nostro server basta scaricare l'intera famiglia, che solitamente comprende diversi pesi e stili, poi usare un generatore come ad esempio quello di Fontsquirrel, a mio avviso uno dei migliori: https://www.fontsquirrel.com/tools/webfont-generator

e si caricano.

Al termine verrà generato un pacchetto che contiene i font .WOFF e .WOFF2, qesti 2 sono più che sufficienti, nel pacchetto ci sarà anche il CSS. Sul nostro server avremo una coppia di font per ogni stile e peso che vogliamo usare.
Ogni volta che vorremo usarne uno nello stile dovremo dichiarare il peso sempre come 400, il peso sarà determinato dalla famiglia.

Ovviamente usare i fonts sul server Google, ma è la stessa cosa anche su Adobe fonts (ex Typekit) ha alcuni vantaggi come ad esempio una cache migliore, ostacoli comunque aggirabili.
Con i fonts un funzionamento ideale non esiste e una vera alternativa è usare i fonts di sistema, per esempio con peso 400:

@font-face {
	font-family: system-ui;
	font-style: normal;
	font-weight: 400;
	src: local(".SFNS-Regular"), local(".SFNSText-Regular"), local(".HelveticaNeueDeskInterface-Regular"), local(".LucidaGrandeUI"), local("Segoe UI"), local("Ubuntu"), local("Roboto-Regular"), local("DroidSans"), local("Tahoma");
}

e nello stile ad esempio per H1

h1, .h1 {
	font-family: "system-ui", sans-serif;
	font-weight: 400;
	color: red;
}

Usando i font di sistema le prestazioni sono nettamente superiori a qualunque altro metodo e anche qui si risolve il GDPR ovviamente.

Chi vuole approfondire lo faccia sapere

juanin

@mpmisco sì è sicuramente la strada migliore ed è quella che anche io prediligo. E' anche una cosa relativamente semplice da fare, ma l'uso di Google Fonts ha una diffusione incredibile.

Quindi al netto di cosa è meglio lato performance e la semplicità di farlo la sentenza è davvero degna di nota.

Piano piano qualsiasi cosa potrà potenzialmente essere considerata in violazione del GDPR a meno di cambiare come funziona internet.

In ogni caso ottimo consiglio. In generale però per usare i font di sistema non è necessario specificare local.

Basta definirli poi se sul sistema ci sono li pesca da solo i percorsi. Esempio.

body {
  font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Helvetica, Arial, sans-serif, "Apple Color Emoji", "Segoe UI Emoji", "Segoe UI Symbol";
}

filtro

@juanin quindi se usi una cdn che fa backup negli Stati Uniti degli ip dei dati europei per qualsiasi ragione non sei compliant…
Prevedo multe a catena anche se solo da 100€

giorgiotave

A questo punto conviene fare una lista dei servizi illegali ahhahahahahah

Come risolvere e che alternative ci sono ahahahah

juanin

@giorgiotave @filtro si praticamente qualsiasi cosa è illegale.

Non potremo più usare akamai, cloudflare, fastly, amazon, google cloud etc etc etc...

@giorgiotave ha detto in Usare Google Fonts viola il GDPR:

A questo punto conviene fare una lista dei servizi illegali ahhahahahahah

Mi sa che si fa prima a elencare quelli legali saranno 1 o o al massimo, compreso connessione internet e il mouse ma solo se a filo

sermatica

@juanin ha detto in Usare Google Fonts viola il GDPR:

Non potremo più usare akamai, cloudflare, fastly, amazon, google cloud etc etc etc...

Concordo in pieno, praticamente ora il 99% dei servizi sul web diventerà illegale? Anche usare Chrome, mandare email su Gmail...

mirkomassarutto

Mi stavo ponendo una domanda...
Se sul mio sito web utilizzo una fonte esterna http://USA/quellochevoglio.ext sto violando il GDPR e quindi troverò un "sistema differente" adattandomi

Ma come la mettiamo con i dispositivi?

Altra cosa, pensando ad analytics o ADS.... se anziche utilizzare JS si passasse a chiamate server? anonimizzando?

Poi ovvio che perderemo tante cose...

@juanin che ne pensi?

juanin

@mirkomassarutto diciamo che il punto di tutto alla fine è fare le cose solo dopo che hai il consenso chiaro e limpido per farlo. Non si scappa. Spostarlo server side non cambia la sostanza.

Se non hai il consenso non puoi fare niente.

Poi invece sul discorso USA probabilmente non basta neanche il consenso, ma questo è un altro tema.

@juanin ha detto in Usare Google Fonts viola il GDPR:

@mirkomassarutto diciamo che il punto di tutto alla fine è fare le cose solo dopo che hai il consenso chiaro e limpido per farlo. Non si scappa. Spostarlo server side non cambia la sostanza.

Se non hai il consenso non puoi fare niente.

Sì in effetti nessuno impedisce nulla a nessuno, la cosa importante è bloccare preventivamente i cookie e fare in modo che sia l'utente ad accettare, accettare parzialmente o rifiutare tutto, così come in questo caso con i font, il sito potrebbe avere delle ripercussioni grafiche, anche peggiorative se l'utente che rifiuta nel suo sistema ha scelto il Comic sans

juanin

@mpmisco qui il problema non sono neanche i cookie, ma l'IP se ho letto bene.

In ogni caso se sposti dati serve un consenso.

giorgiotave

@juanin sento odore di live

Tipo: Facciamo finta che tutti i servizi NON EUROPEI siano Illegali, cosa resta?

shazarak

Io mi chiedo

Scrivono che la multa é arrivata perché hanno mandato ip a google tramite I font senza l’autorizzazione

Bene, come prima cosa visto che il servizio google font per esempio lo si può inserire nelle policy iubenda allo stesso modo la soluzione non sarebbe semplicemente che basta trattare il Google font bloccandolo prima del consenso ? Per capirci non lo tratti come un cookie tecnico ma come di marketing …facendo i debiti paragoni è adattamenti
E in ogni caso sarebbe penso una rottura far caricare un sito con un font per poi refresh per caricare il Google font che porterebbe a problemi dei web vitals?

Ne consegue che, non fa prima google a fare semplicemente in modo di non ricevere sto io?

Ovviamente hosting locale dei google font meglio ancora

Ma poi chiedo ancora, il sito manda ip in automatico ? Domanda per i tecnici, ma se é il browser che quando scarica il font fa la chiamata get a google , non è forse piu corretto dire che é google che si ciuccia ip dalla chiamata del browser ?? E di conseguenza allora la colpa é di google che si prende ip non del sito che lo “invia automaticamente”

https://www.theregister.com/2022/01/31/website_fine_google_fonts_gdpr/

shazarak

@shazarak e mi rispondo in parte
https://www.iubenda.com/en/help/20625/
Anche loro scrivono che google colleziona dati quali IP ecc
Quindi google se li prende che sarebbe un pelino differente da mandarli in automatico

Detto ciò una volta messo nella privacy uno dovrebbe però poi bloccare il caricamento del font fino all acquisizione del consenso.
Quindi questo è il punto che a mio avviso diventa difficoltoso

Certo che se google facesse diventare anonimo quell ip , in teoria il problema decadrebbe no?

juanin

@giorgiotave ah ah ah. Ben poco direi.

@shazarak il problema non è tanto chi raccoglie cosa. Il problema è che questi terzi raccolgono visitando il tuo sito quindi sei tu il responsabile di un eventuale trattamento di dati da parte di terzi. Diciamo che ho semplificato la cosa, ma il succo è quello. Sei tu il responsabile di cosa il tuo sito manda fuori.

Sul discorso di rendere l'ip anonimo in questo caso Google stesso centra poco. Ancora prima l'IP dovrebbe essere anonimizzato quindi proprio a livello di come funzionano i protocolli, ma ovviamente questo non è possibile perché non funzionerebbe più Internet

Quindi di fatto tutto si riduce al fatto che se tu eroghi cose di terze parti devi essere sicuro che se raccolgono dati allora devono farlo previo consenso che l'utente da a te di farlo.

E' assurdo per un IP? Secondo me sì.

E' assurdo tutto questo circo dietro qualcosa che di fatto non crea problemi di privacy a nessuno? Secondo me sì.

C'è molto di peggio in termini di violazioni di privacy anche fuori da Internet? Secondo me sì.

Ma purtroppo ora la situazione è questa quindi se vogliamo stare dalla parte dei bottoni su tutte quelle cose dove è relativamente semplice avere cose di prima parte senza coinvolgere terze parti direi che è una buona pratica farlo in ottica di Privacy by Design.

shazarak

@juanin pienamente in accordo su tutta la linea

overclokk

@shazarak ha detto in Usare Google Fonts viola il GDPR:

E in ogni caso sarebbe penso una rottura far caricare un sito con un font per poi refresh per caricare il Google font che porterebbe a problemi dei web vitals?

Non importa fare un refresh della pagina per cambiare font.

shazarak

@overclokk scusa intendevo dire che in caso uno potesse mettere il blocco ai google font prima del consenso, dovrebbe far visualizzare il sito che ne so con i system font, poi a seconda del consenso , in questo caso positivo, far “partire” il google font e quindi la pagina dovrebbe “cambiare” faccia per mostrare il nuovo font, refresh era inteso in questo senso (Ajax o meno) non in un reload di pagina.

Di conseguenza a parte il brutto di vedere scritte cambiare forma , potrebbe suppongo portare a problemi di cls o fout