Използване на Google reCAPTCHA в съответствие със защитата на данните

Google reCAPTCHA анализира поведението на потребителите за откриване на ботове и зарежда ресурси от Google (САЩ), често още при зареждане на формуляра.

reCAPTCHA е особен случай, защото целта — защита от спам и злоупотреба с ботове — по принцип може да се основе на законен интерес съгласно чл. 6, ал. 1, б. „е“ GDPR. Това обаче не променя нищо в § 25 TDDDG: щом reCAPTCHA v2/v3 зарежда скриптове от Google и поставя или чете идентификатори, които надхвърлят технически необходимото, достъпът до крайното устройство изисква съгласие. Съдебната практика тук все още не е единна; консервативната линия е reCAPTCHA да се включи в съгласието.

Практическият компромис на много оператори: reCAPTCHA да се зарежда само на страниците, които действително съдържат формуляр (контакт, вход, регистрация), а не глобално чрез шаблона. Това ограничава предаването на данни до случаите, в които то изпълнява конкретна защитна цел, и прави претеглянето на интересите по-устойчиво. reCAPTCHA v3, което върви на всички страници, за да формира резултат, е значително по-трудно да се обоснове от гледна точка на защитата на данните.

Има по-пестеливи алтернативи, които напълно избягват трансфера към Google: hCaptcha (опция за хостинг в ЕС), Cloudflare Turnstile (без видимо captcha, без бисквитки), Friendly Captcha (хостван в Германия) или — за прости формуляри — сървърен honeypot плюс ограничаване на честотата. За много малки сайтове последният вариант е достатъчен и минава без всякакво предаване на трети страни.

Това риск ли е?

Защитата от спам може да е легитимен интерес (чл. 6, ал. 1, буква е GDPR). Но ако reCAPTCHA задава ненужни идентификатори или се зарежда на всички страници, в обсъждане влиза § 25 TDDDG. Трансферът към САЩ трябва да бъде обоснован.

Какво можете да направите

• Зареждайте reCAPTCHA само на страници с формуляри, не глобално.
• Обмислете щадящи данните алтернативи (напр. hCaptcha, honeypot, ограничения от страна на сървъра).
• В политиката за поверителност посочете целта, правното основание, Google като получател и трансфера към САЩ.

Често задавани въпроси

Разрешено ли е reCAPTCHA без банер за бисквитки?

Оценява се нееднозначно. Тъй като reCAPTCHA зарежда скриптове от Google и обработва идентификатори, консервативната линия е то да се включи в съгласието. Някои оператори основават чисто формулярно използване на законен интерес — това е риск.

Коя алтернатива избягва трансфера към Google?

Cloudflare Turnstile, hCaptcha с хостинг в ЕС или Friendly Captcha не предават данни на Google. За прости формуляри често е достатъчен сървърен honeypot с ограничаване на честотата.

Достатъчно ли е reCAPTCHA да се зарежда само на страници с формуляри?

Това значително намалява предаването на данни и укрепва претеглянето на интересите, но не отменя напълно въпроса за съгласието по § 25 TDDDG. Глобално вървящото reCAPTCHA v3 е най-трудно за обосноваване.

Какво трябва да влезе в декларацията за поверителност?

Цел (защита от спам/ботове), правно основание, Google като получател, трансферът към САЩ и основанието за трансфера, както и указание за собствените разпоредби за защита на данните и условия за ползване на Google.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.