Вграждане на hCaptcha съобразно GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., САЩ) често се рекламира като алтернатива на reCAPTCHA, щадяща поверителността. Задава по-малко трайни идентификатори, но въпреки това зарежда външни скриптове и предава IP адреса в САЩ.

hCaptcha често се представя като по-щадящият поверителността избор в сравнение с Google reCAPTCHA. Това отчасти е вярно: hCaptcha се финансира чрез платени задачи за етикетиране вместо чрез реклама, по собствени данни не задава бисквитки за рекламни цели и предлага режим „Enterprise“ с намалена обработка на данни. Основният процес обаче остава същият: зарежда се външен скрипт, IP адресът и техническите характеристики на браузъра се предават на Intuition Machines в САЩ.

За правната оценка е решаващо дали извикването е „безусловно необходимо“. § 25, ал. 2, т. 2 TDDDG допуска достъп без съгласие, когато е задължителен за услуга, изрично поискана от потребителя. Защита от спам на формуляр за вход, който без CAPTCHA редовно бива атакуван, може да попадне под това. CAPTCHA на всеки формуляр за контакт „за сигурност“ е по-трудно да се обоснове — тук консервативните надзорни органи изискват съгласие или по-меко решение.

Технически предаването на данни може да се намали, но не и да се избегне: уиджетът може чрез Lazy Load да се зарежда едва при фокусиране върху формуляра, така че обикновените посетители без използване на формуляра да не са засегнати. Режимът „invisible“ не променя нищо в предаването на IP. Който иска изцяло без външно извикване, трябва да премине към сървърни методи или Friendly Captcha с хостинг в ЕС.

Това риск ли е?

И hCaptcha зарежда при показване на формуляра ресурси от hcaptcha.com и при това предава IP адреса към американски доставчик. Дали този достъп е „безусловно необходим“ по смисъла на § 25, ал. 2 TDDDG, зависи от конкретния случай: за формуляр за вход или регистрация с реален риск от злоупотреба това може да се обоснове по-лесно, отколкото за обикновен формуляр за контакт с малко спам.

Какво можете да направите

• Да се провери дали изобщо е необходимо CAPTCHA — при малки формуляри за контакт често са достатъчни honeypot полета, времеви капани или сървърен спам филтър.
• Ако hCaptcha е необходимо: да се зарежда само на страниците, на които действително стои формулярът, а не глобално в долния колонтитул.
• Уиджетът на hCaptcha по възможност да се дозарежда едва след взаимодействие с формуляра (Lazy Load), а не при отваряне на страницата.
• hCaptcha да се посочи в декларацията за поверителност с доставчик, цел (защита от спам/ботове), правно основание и трансфер към САЩ; необходимостта да се документира.

Често задавани въпроси

Наистина ли hCaptcha е по-съобразен с GDPR от reCAPTCHA?

Отчасти: hCaptcha не използва рекламни бисквитки и предлага режими, по-щадящи данните. Основният процес — външен скрипт, предаване на IP в САЩ — обаче е сравним. Разликата е по-скоро в обхвата, отколкото в принципа.

Нужно ли ми е съгласие за hCaptcha?

Ако използването е „безусловно необходимо“ (напр. защита при вход при реален риск от атака), много говори за вграждане без съгласие по § 25, ал. 2 TDDDG. При обикновени формуляри за контакт съгласие или решение без CAPTCHA е по-сигурният избор.

Накъде се предават данните?

Към Intuition Machines Inc. в САЩ. Трансферът се основава на рамката EU-US Data Privacy Framework, докато доставчикът е сертифициран, и трябва да бъде посочен в декларацията за поверителност.

Как да вградя hCaptcha пестеливо към данните?

Да се зарежда само на съответните страници с формуляри, чрез Lazy Load едва при взаимодействие с формуляра, и да се направи прозрачно в декларацията за поверителност. Преди това да се провери дали honeypot плюс сървърен филтър е достатъчен.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.