# Polices, CDN, vidéos : les tiers qui voient vos visiteurs

> Google Fonts, vidéos, CDN comme Cloudflare : ce que transmet chaque ressource tierce, le jugement de Munich de 2022 et le contrôle par l'onglet réseau.


*Ou : vous avez choisi un hébergeur en Suisse, et votre page de contact appelle Mountain View.*

La réponse courte : chaque ressource qu'une page charge depuis un autre domaine, police de caractères, vidéo, carte, script ou CDN (*Content Delivery Network*, un réseau de serveurs qui distribue les fichiers au plus près du visiteur), oblige le navigateur du visiteur à contacter ce domaine. Le tiers reçoit alors l'adresse IP du visiteur avant tout clic. Le 20 janvier 2022, le [tribunal régional de Munich](https://www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2022-N-612) (affaire 3 O 17493/20) a condamné l'exploitant d'un site à verser 100 euros à un visiteur et à cesser de transmettre son adresse IP à Google par le chargement de Google Fonts, au motif que ces polices peuvent être utilisées sans aucune connexion aux serveurs de Google. Un [hébergeur soumis au droit européen](/guides/hebergement-web/hebergeur-web-europeen/) ne règle rien si la page envoie ses visiteurs ailleurs.

La solution tient presque toujours dans l'hébergement lui-même : servir depuis votre domaine ce que vous chargiez chez un tiers. Ce qui ne peut pas l'être, une vidéo ou un CDN placé devant tout le site, se traite par un chargement au clic ou par un contrat.

## Google Fonts, Cloudflare et RGPD : ce que chaque ressource tierce transmet

| Ressource | Ce que reçoit le tiers | Ce que permet l'hébergement |
|---|---|---|
| Police Google Fonts appelée depuis les serveurs de Google | adresse IP, navigateur, site d'origine | télécharger les fichiers de police et les servir depuis votre domaine |
| Vidéo YouTube ou Vimeo intégrée | adresse IP dès l'affichage de la page | une image d'aperçu, le lecteur ne se chargeant qu'au clic |
| Carte interactive intégrée | adresse IP dès l'affichage | une image statique et un lien vers la carte |
| Bibliothèque JavaScript sur un CDN public | adresse IP, site d'origine | une copie locale du fichier |
| CDN ou proxy placé devant tout le site | tout le trafic, déchiffré par le CDN | un contrat de sous-traitance et, selon l'offre, le choix des régions |

Le jugement de Munich est une décision civile allemande de première instance : il ne lie aucun juge belge, français ou suisse. Son raisonnement repose pourtant sur une règle générale, celle de l'arrêt Breyer de 2016 sur l'adresse IP, et il a été suivi en Allemagne, dès l'automne 2022, de mises en demeure en série adressées aux éditeurs de sites qui chargeaient encore les polices à distance. Le risque financier reste modeste ; le risque de réputation l'est moins.

Le cas du CDN est différent, parce que le tiers ne voit pas une partie de la page mais tout le trafic. Cloudflare, Inc., société de San Francisco, est l'exemple le plus courant. Son [avenant de traitement des données](https://www.cloudflare.com/cloudflare-customer-dpa/), version 6.4 en vigueur depuis le 3 avril 2026, encadre les transferts par le Data Privacy Framework et par les clauses contractuelles types. Pour garder le déchiffrement du trafic dans une région donnée, Cloudflare vend une [suite de localisation des données](https://developers.cloudflare.com/data-localization/), réservée à son offre Enterprise d'après sa documentation mise à jour le 5 mai 2026. Un petit site qui place un CDN américain devant un hébergement européen fait donc un transfert, à documenter comme tel.

![Illustration : une grande vitre sombre dans laquelle se reflètent, la nuit, les silhouettes de bâtiments lointains éclairés](/images/ressources-tierces-site-rgpd-vitrine.original.webp "La vitrine est chez vous ; les reflets, chez d'autres.")

Le contrôle prend deux minutes, sans outil à installer :

1. ouvrir la page dans une fenêtre de navigation privée ;
2. ouvrir les outils de développement du navigateur (touche F12), onglet Réseau ;
3. recharger la page et trier les requêtes par domaine ;
4. noter chaque domaine qui n'est pas le vôtre, puis chercher qui l'exploite.

La documentation de Chrome décrit l'[onglet Réseau des outils de développement](https://developer.chrome.com/docs/devtools/network) pas à pas ; Firefox propose le même outil. Sur un site WordPress, l'exercice peut révéler des appels que personne n'a choisis : une police chargée par le thème, un script ajouté par une extension, une icône servie par un CDN public.

Une fois la liste dressée, chaque domaine tiers reçoit l'un de trois traitements : rapatrié sur l'hébergement, chargé au clic, ou conservé et inscrit au registre avec son outil de transfert.

### Votre serveur note la même adresse

Ce que le tiers reçoit, votre propre serveur le reçoit aussi, et le garde dans ses journaux d'accès pour une durée que vous n'avez peut-être jamais fixée. La recommandation de la CNIL et les réglages de trois hébergeurs sont réunis dans [les journaux d'accès de votre serveur](/guides/hebergement-web/hebergeur-web-europeen/logs-serveur-ip-visiteurs/).

### Un CDN américain devant un hébergeur suisse

Le pays du centre de données ne dit rien de la loi qui s'applique au prestataire, et cela vaut pour un CDN comme pour un hébergeur. Le tableau des sièges et des actionnaires des hébergeurs courants se trouve dans [le pays de l'actionnaire de l'hébergeur](/guides/hebergement-web/hebergeur-web-europeen/nationalite-hebergeur-web/).

### Le tiers entre dans l'inventaire

Chaque domaine tiers conservé devient un destinataire de données, à inscrire au registre avec sa finalité et, s'il est hors de l'Union, avec son outil de transfert. Le reste de l'inventaire, des sauvegardes aux boîtes mail, figure dans [l'inventaire RGPD d'un site hébergé](/guides/hebergement-web/hebergeur-web-europeen/rgpd-hebergement-site-obligations/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur mon expérience de client de plusieurs hébergeurs, sur leur documentation officielle et sur les tarifs vérifiés à la date de rédaction.