Multa por Google Fonts y RGPD: qué pasa de verdad en España (y el miedo que te venden)

Respuesta corta: en nuestra revisión del 8 de octubre de 2026 no consta ninguna sanción pública de la AEPD por usar Google Fonts, así que el miedo a la multa está muy inflado. Eso no lo hace inocuo: cargar las fuentes desde Google es una conexión de tu visitante con Google y le entrega su IP, y esa parte sí es real. Lo que sí multa la AEPD son las cookies mal puestas: los importes que hemos podido contrastar van de 1.600 a 5.000 euros por infracción, y son casos concretos, no una tarifa. Lo de las fuentes conviene arreglarlo, y no es una obra: el jueves 13 de agosto, entre las 18:37 y las 18:42, dejamos cinco webs sin fuentes remotas.

Esto es lo que pasó de verdad, lo que sí cuesta dinero y lo que hicimos nosotros en casa, con fecha y hora.

¿De dónde sale el miedo a la multa por Google Fonts?

Sale de una sentencia real, de una industria de cartas que se montó encima y de cómo terminó todo. Conviene tener la historia entera, porque la mitad que se cuenta en LinkedIn es solo el principio.

El 20 de enero de 2022, el Tribunal Regional de Múnich I (3 O 17493/20) condenó al dueño de una web a pagar 100 euros de indemnización a un visitante. La web cargaba las fuentes tipográficas desde los servidores de Google, y eso hace que el navegador de cada visitante le entregue su dirección IP a Google sin que nadie le pida permiso. Una dirección IP puede ser un dato personal.

Lo que vino después es lo que los que venden miedo se saltan:

• Alemania. Un abogado mandó miles de cartas a webs localizadas con rastreadores automáticos, pidiendo unos 170 euros por cada una. Unas 2.000 personas pagaron. En diciembre de 2022 la fiscalía de Berlín registró su despacho e investigó al menos 2.418 casos por fraude y extorsión.
• Austria. Otra reclamante mandó en 2022 cartas de 190 euros a unos 32.000 destinatarios. Cuando el asunto llegó a juicio en 2023, no pudo probar que la IP del visitante hubiera llegado a Estados Unidos: el tribunal desestimó la demanda, la dio por abusiva y le impuso las costas.
• Los tribunales alemanes. El 30 de marzo de 2023, el mismo tribunal de Múnich (4 O 13063/22) declaró abusivas esas reclamaciones masivas.

Desde 2023 la ola masiva no se ha repetido. El asunto de fondo, en cambio, sigue abierto: el 28 de agosto de 2025 el Tribunal Supremo alemán (BGH) suspendió un caso de Google Fonts (VI ZR 258/24) y le planteó al Tribunal de Justicia de la UE, entre otras cuestiones, si una IP dinámica es un dato personal y si una infracción provocada en masa da derecho a indemnización. A 8 de octubre de 2026 no hemos encontrado respuesta europea. Cuando llegue, fijará criterio para toda la UE.

¿Entonces por qué lo arreglamos igualmente?

Porque el fundamento técnico es cierto aunque el miedo sea exagerado, y porque arreglarlo tiene tres premios y ninguno es "evitar una demanda":

1. La web va más rápida. Desde hace años los navegadores guardan la caché por sitio. Cargar las fuentes desde Google ya no ahorra ninguna descarga: cada visitante nuevo las baja igual, con el peaje de dos conexiones extra. Servirlas desde tu dominio quita ese peaje.
2. Esa conexión desaparece, decida lo que decida el TJUE. Con las fuentes en tu servidor, tu visitante deja de entregarle su IP a Google a través de ellas. Eso no resuelve por sí solo el resto de tus obligaciones de protección de datos.
3. Dejas de depender de un tercero para algo tan básico como que tu web se vea bien.

Cada recurso que tu web carga de un dominio ajeno (una fuente, un vídeo incrustado, un mapa, una librería de un CDN) hace que el navegador del visitante se conecte a ese tercero y le entregue su IP, sin consentimiento y sin que salga en tu política de privacidad. Las fuentes son la fuga famosa. No son la única.

Cómo alojar Google Fonts en tu propio servidor: lo hicimos en agosto, con hora

Antes de contarte teoría, lo que hicimos con las webs que llevamos, las nuestras y las de clientes. Con horas, porque salen del historial de cambios de cada una y no de la memoria.

Jueves 13 de agosto. A las 18:37 salen cuatro arreglos casi a la vez: la agenda de reservas, los formularios, los diplomas y la tarjeta de visita dejan de pedirle sus fuentes a Google y las sirven desde su propio dominio. A las 18:42 sale el quinto, el de una web que hicimos para un cliente. Los cinco, comprobados ya en producción.

Sábado 15 de agosto, festivo:

• 14:50: dejamos por escrito el método para detectar estas fugas en cualquier web.
• 15:17: ponemos a las fuentes de las cinco webs una caché de un año, para que carguen igual de rápido que cuando las servía Google.
• 15:41: segunda versión del método, después de una investigación en la que nuestro sistema intenta tumbar cada dato con varios agentes de IA. De ahí caen tres datos que dábamos por buenos y no aguantaron la revisión.
• 15:42: añadimos las sanciones reales de la AEPD.
• 18:42: arreglamos otras dos webs, la de formularios de un cliente y una nuestra. Cargaban librerías de programación desde servidores de terceros, y eso también entrega la IP del visitante.
• 18:50: queda guardado el escáner que montamos para esto.

Sí, era agosto. Sí, era festivo. Luego dicen que en agosto no trabaja nadie.

Lo que más nos enseñó fue lo que se nos había escapado. El jueves habíamos dejado limpias las fuentes de nuestra web de formularios. Pero las fuentes son solo una de las formas de entregar la IP de un visitante, y esa misma web cargaba además librerías desde servidores ajenos. No lo vimos nosotros a mano: lo vio el escáner el sábado, al pasarlo en un minuto por las webs que llevamos, las nuestras y las de clientes. Dos tenían ese problema y las arreglamos esa misma tarde.

Al preparar este artículo volvimos a pasar el escáner por siete de nuestras webs: en ninguna encuentra ya fuentes ni librerías cargadas desde servidores de terceros.

La lección práctica: no te fíes de haberlo arreglado, vuelve a mirar. Al escáner le bastó un minuto para encontrar lo que a nosotros, a mano, se nos había pasado.

Si quieres hacerlo en tu web, lo que cambia es dónde se hace. Esto es lo que documenta cada plataforma, con la ruta del panel tal como aparece en su ayuda oficial (en inglés).

En WordPress:

En otras plataformas:

Comprobado en la documentación oficial el 8 de octubre de 2026. Ninguno de estos ajustes garantiza por sí solo que no quede otra conexión a terceros en tu web (un mapa, un vídeo, un script): vuelve a mirar la pestaña Red después.

¿Qué multa de verdad la AEPD?

La AEPD multa las cookies que se instalan antes de que el usuario decida, las que no se pueden retirar una vez aceptadas y los botones de rechazar que no rechazan nada. Lo dice por escrito su guía de cookies (edición de mayo de 2024): rechazar tiene que estar en la misma capa y al mismo nivel que aceptar. Si ya usas un plugin de cookies (Cookiebot, CookieYes, Complianz, Borlabs), dejar los dos botones con el mismo peso suele ser un ajuste del propio plugin. Estos son los casos que hemos podido contrastar con la resolución delante:

La foto honesta para una pyme con web: la ley que regula las cookies en España es la LSSI (artículo 22.2) y permite hasta 30.000 euros por una infracción leve, que es como la AEPD calificó el caso de Massimo Dutti. En la práctica, las infracciones concretas de la tabla se han quedado entre 1.600 y 5.000 euros, pero son casos, no una tarifa. Los 90.000 de Techpump son el extremo, por reincidir y por tres webs.

Para calibrar hacia dónde va Europa: la autoridad francesa (CNIL) sancionó en septiembre de 2025 con 150 millones de euros a Shein por depositar cookies sin consentimiento, y con 325 millones a Google por publicidad entre los correos de Gmail y cookies al crear una cuenta sin consentimiento válido. El marco europeo es común, pero cada país lo aplica a su manera: de momento, la diferencia es cuánto aprieta cada autoridad.

¿Y la multa de 10 millones de la AEPD a Google? No fue por las fuentes

Si buscas "multa AEPD Google Fonts" vas a ver titulares de una multa de 10 millones de euros a Google. No tiene nada que ver con las tipografías. Es el expediente PS/00140/2020, resuelto el 15 de febrero de 2022: dos multas de 5 millones, una por ceder datos al Proyecto Lumen sin base jurídica y otra por obstaculizar el derecho de supresión. Mezclar las dos cosas es justo parte del miedo que se vende.

¿Tu agencia o tu proveedor tiene firmado el contrato de encargado del artículo 28?

Es la pregunta más barata de este artículo. En octubre de 2022 la AEPD sancionó con 60.000 euros a una empresa de software para clínicas privadas por no tener firmado el contrato de encargado (artículo 28 del RGPD) con su propio proveedor de hosting, tras una brecha de seguridad que afectó a unas 135.000 personas, datos de salud incluidos (PS/00576/2021).

Si tu proveedor actúa como encargado del tratamiento (es decir, trata datos de tus clientes o visitantes por tu cuenta), tiene que haber un contrato que cumpla el artículo 28 del RGPD: comprueba que existe y que recoge lo que ese artículo exige. Si no sabe de qué le hablas, ya tienes un dato.

Si tu formulario de citas recoge datos de salud (una clínica, un dentista, un fisio), pregunta además a quien lleva tu web dónde se guardan esos datos y quién accede a ellos.

¿Qué otras fugas tiene tu web sin que lo sepas?

De más a menos conocida:

¿Tu chatbot tiene que avisar de que es una IA?

Sí. Desde el 2 de agosto de 2026, el artículo 50 del Reglamento de IA obliga a informar a las personas de que están hablando con un sistema de IA, salvo que se note por el contexto. El aviso tiene que ser claro y llegar en la primera interacción. El Digital Omnibus, el paquete que ha retrasado otras partes del Reglamento, no ha retrasado esta obligación. La sanción máxima por incumplirla es de hasta 15 millones de euros o el 3% de la facturación mundial, y para una pyme se aplica la cifra menor de las dos. Es lo más nuevo de la lista: comprueba si el tuyo lo tiene.

Si estás valorando poner un chatbot en tu web o en WhatsApp, o revisar el que ya tienes, en nuestra página de chatbots explicamos cómo funcionan los que montamos. Y si lo que te preocupa es lo que tu equipo pega a mano en ChatGPT, tenemos una guía para anonimizar los datos antes de pegarlos.

Ver el servicio de chatbots con IA →

Cómo anonimizar datos antes de usar ChatGPT →

¿Cómo compruebo mi web en 10 minutos?

Detectarlo se hace con Chrome:

1. Abre tu web en Chrome y pulsa F12 (en Mac, Cmd + Opción + I). Ve a la pestaña Red.
2. Recarga la página y mira la columna de dominios. Si quieres ir directo, escribe en el filtro "fonts.g".
3. Cada dominio que no sea el tuyo es una conexión de tu visitante a un tercero. Apunta la lista: esa es la tuya. El dominio de tu hosting o de tu CDN (por ejemplo, Cloudflare) es un proveedor tuyo, un encargado del tratamiento: no es una fuga si hay contrato y está declarado.

Con la lista en la mano viene lo difícil: qué es inofensivo, qué hay que sustituir y cómo se sustituye en tu caso. Arreglarlo puede requerir ayuda técnica: en la tabla de plataformas de más arriba tienes las rutas oficiales de las más habituales y, para el resto, pregunta a su soporte o a quien te lleva la web. Para ordenarlo hemos preparado un checklist.

Preguntas frecuentes

Qué hacer ahora

Descárgate el checklist de 10 minutos. Es gratis y no te pedimos el correo. Está pensado para que veas tú qué carga tu web y para que se lo mandes a quien te la lleva.

Descargar el checklist de 10 minutos

Versión para imprimir (fondo blanco)

Si lo de F12 te suena a chino, ve directo a las preguntas del checklist para quien te lleva la web y mándaselas.

Y si conoces a alguien con una web, mándale este artículo: le ahorras el próximo correo de miedo.

¿Prefieres que lo miremos juntos?

Jorge tiene 20 minutos en su agenda para mirarlo contigo.

Reservar en agenda.soulia.io →

Formación en IA para empresas →

Fuentes y alcance de la revisión del 8 de octubre de 2026

Es una revisión orientativa de resoluciones públicas, sentencias y normativa; no acredita el cumplimiento de ninguna web.

• Sentencia sobre Google Fonts: Landgericht München I, 20-01-2022, 3 O 17493/20.
• Reclamaciones masivas declaradas abusivas: Landgericht München I, 30-03-2023, 4 O 13063/22.
• Investigación de la fiscalía de Berlín (al menos 2.418 casos): LTO, 21-12-2022.
• Austria, 2022 y 2023: nota de prensa del abogado de los afectados, OTS, 9-10-2023 y heise.de (Bezirksgericht Favoriten).
• BGH, auto de 28-08-2025, VI ZR 258/24: decisión alojada en Curia.
• AEPD, guía de cookies, edición de mayo de 2024.
• AEPD, resoluciones: PS/00051/2023, PS/00079/2023, PS/00080/2023, PS/00160/2025, PS/00524/2023, PS/00576/2021 y PS/00140/2020 (enlaces en el texto).
• LSSI, artículos 22.2, 38 y 39.
• CNIL, 1-09-2025: Google y Shein.
• Verwaltungsgericht Hannover, 10 A 5385/22, 19-03-2025 (Google Tag Manager, primera instancia).
• Reglamento (UE) 2024/1689, artículos 50 y 99: versión consolidada en EUR-Lex y preguntas frecuentes de la Comisión Europea sobre el artículo 50.
• Documentación oficial de las plataformas de la tabla (Elementor, Astra, Kadence, GeneratePress, WordPress, OMGF, Wix, Squarespace y Shopify), de YouTube y de Google Maps: enlaces en el texto, consultados el 8 de octubre de 2026.