تحلل Google reCAPTCHA سلوك المستخدمين للكشف عن الروبوتات، وتحمّل موارد من Google (الولايات المتحدة)، غالبًا بالفعل عند تحميل النموذج.
reCAPTCHA حالة خاصة، لأن الغرض — الحماية من البريد المزعج وإساءة استخدام الروبوتات — يمكن من حيث المبدأ الاستناد فيه إلى مصلحة مشروعة وفقًا للمادة 6 (1)(و) من اللائحة العامة لحماية البيانات. لكن هذا لا يغيّر شيئًا في المادة 25 من قانون TDDDG: بمجرد أن يحمّل reCAPTCHA v2/v3 نصوص Google البرمجية ويضبط أو يقرأ معرّفات تتجاوز ما هو ضروري تقنيًا، يصبح الوصول إلى الجهاز الطرفي مشروطًا بالموافقة. الاجتهاد القضائي هنا لا يزال غير موحّد؛ الخط المحافظ هو إدراج reCAPTCHA ضمن الموافقة.
التسوية العملية لدى كثير من المشغّلين: تحميل reCAPTCHA فقط في الصفحات التي تحتوي فعلًا على نموذج (اتصال، تسجيل دخول، تسجيل)، وليس عالميًا عبر القالب. هذا يحصر نقل البيانات في الحالات التي يؤدي فيها غرضًا وقائيًا ملموسًا، ويجعل موازنة المصالح أكثر رسوخًا. أما reCAPTCHA v3 الذي يعمل في كل الصفحات لتكوين نتيجة، فيصعب تبريره بدرجة كبيرة من منظور حماية البيانات.
توجد بدائل أوفر للبيانات تتجنّب النقل إلى Google تمامًا: hCaptcha (خيار الاستضافة في الاتحاد الأوروبي)، Cloudflare Turnstile (لا captcha مرئي، لا ملفات تعريف ارتباط)، Friendly Captcha (مستضاف في ألمانيا) أو — للنماذج البسيطة — مصيدة honeypot من جانب الخادم مع تحديد المعدّل. بالنسبة لكثير من المواقع الصغيرة يكفي الخيار الأخير ويعمل دون أي نقل إلى طرف ثالث.
يمكن أن تكون الحماية من البريد المزعج مصلحة مشروعة (المادة 6 الفقرة 1 (و) من اللائحة العامة لحماية البيانات). لكن إذا وضعت reCAPTCHA معرّفات غير ضرورية أو تُحمَّل في جميع الصفحات، تصبح المادة 25 من قانون TDDDG مطروحة. يجب تبرير نقل البيانات إلى الولايات المتحدة.
يحلل الفحص المجاني كود HTML المُقدَّم ويوضح أي الخدمات مدمجة، وهل تم اكتشاف شريط ملفات تعريف الارتباط، وهل توجد روابط لسياسة الخصوصية وبيانات الاتصال — مع تصنيف لكل نتيجة. لا يغني عن الاستشارة القانونية.
هذا النص معلومات عامة وفق أفضل معرفتنا، وليس استشارة قانونية. للحالة الفردية، يُرجى استشارة مكتب محاماة متخصص في قانون تقنية المعلومات.