Zapojení hCaptcha v souladu s GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., USA) je často propagována jako alternativa k reCAPTCHA šetrná k soukromí. Nastavuje méně trvalých identifikátorů, přesto však načítá externí skripty a přenáší IP adresu do USA.

hCaptcha je často prezentována jako volba šetrnější k ochraně soukromí oproti Google reCAPTCHA. To částečně platí: hCaptcha se financuje prostřednictvím placených úloh označování dat místo reklamou, podle vlastních údajů nenastavuje cookies pro reklamní účely a nabízí režim „Enterprise“ se sníženým zpracováním dat. Základní postup ale zůstává stejný: načte se externí skript, IP adresa a technické znaky prohlížeče se přenášejí společnosti Intuition Machines do USA.

Pro právní posouzení je rozhodující, zda je volání „nezbytně nutné“. § 25 odst. 2 č. 2 TDDDG umožňuje přístupy bez souhlasu, pokud jsou nezbytně nutné pro službu výslovně požadovanou uživatelem. Ochrana proti spamu na přihlašovacím formuláři, který je bez CAPTCHA pravidelně napadán, může pod to spadat. CAPTCHA na každém kontaktním formuláři „pro jistotu“ se zdůvodňuje hůře — zde konzervativní dozorové úřady vyžadují souhlas nebo mírnější řešení.

Technicky lze přenos dat omezit, ale ne zcela vyloučit: widget lze pomocí Lazy Load načíst až při zaměření formuláře, takže pouzí návštěvníci stránky bez použití formuláře nejsou dotčeni. Režim „invisible“ nemění nic na přenosu IP. Kdo se chce obejít zcela bez externího volání, musí přejít na serverové metody nebo Friendly Captcha s hostingem v EU.

Je to riziko?

I hCaptcha načítá při zobrazení formuláře prostředky z hcaptcha.com a přitom přenáší IP adresu americkému poskytovateli. Zda je tento přístup „nezbytně nutný“ ve smyslu § 25 odst. 2 TDDDG, závisí na konkrétním případě: u přihlašovacího nebo registračního formuláře se skutečným rizikem zneužití to lze zdůvodnit snáze než u jednoduchého kontaktního formuláře s malým objemem spamu.

Co můžete udělat

• Ověřit, zda je CAPTCHA vůbec nutná — u malých kontaktních formulářů často stačí honeypot pole, časové pasti nebo serverový spamový filtr.
• Pokud je hCaptcha nutná: načítat ji jen na stránkách, kde formulář skutečně je, ne globálně v patičce.
• Widget hCaptcha pokud možno donačíst až po interakci s formulářem (Lazy Load), ne při načtení stránky.
• hCaptcha uvést v zásadách ochrany osobních údajů s poskytovatelem, účelem (ochrana proti spamu/botům), právním základem a přenosem do USA; nezbytnost zdokumentovat.

Časté dotazy

Je hCaptcha skutečně více v souladu s GDPR než reCAPTCHA?

Zčásti: hCaptcha nepoužívá reklamní cookies a nabízí režimy šetrnější k datům. Základní postup — externí skript, přenos IP do USA — je ale srovnatelný. Rozdíl spočívá spíše v rozsahu než v principu.

Potřebuji pro hCaptcha souhlas?

Pokud je nasazení „nezbytně nutné“ (např. ochrana přihlášení při reálném riziku útoku), mnohé mluví pro zapojení bez souhlasu podle § 25 odst. 2 TDDDG. U jednoduchých kontaktních formulářů je souhlas nebo řešení bez CAPTCHA bezpečnější volba.

Kam se data přenášejí?

Společnosti Intuition Machines Inc. v USA. Přenos se opírá o rámec EU-US Data Privacy Framework, dokud je poskytovatel certifikován, a musí být uveden v zásadách ochrany osobních údajů.

Jak zapojím hCaptcha šetrně k datům?

Načítat jen na dotčených stránkách s formuláři, pomocí Lazy Load až při interakci s formulářem, a transparentně to uvést v zásadách ochrany osobních údajů. Předtím ověřit, zda honeypot plus serverový filtr stačí.

Jak pomáhá consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, které služby jsou vložené, zda je rozpoznána cookie lišta a zda jsou odkazy na soukromí a tiráž — se zařazením u každého zjištění. Nenahrazuje právní poradenství.