Používání Google reCAPTCHA v souladu s ochranou údajů

Google reCAPTCHA analyzuje chování uživatele pro detekci botů a načítá zdroje z Google (USA), často už při načtení formuláře.

reCAPTCHA je zvláštní případ, protože účel — ochrana před spamem a zneužitím boty — se v zásadě dá opřít o oprávněný zájem podle čl. 6 odst. 1 písm. f GDPR. To ale nic nemění na § 25 TDDDG: jakmile reCAPTCHA v2/v3 načítá skripty od Google a nastavuje nebo čte identifikátory, které jdou nad rámec technicky nezbytného, je přístup ke koncovému zařízení podmíněn souhlasem. Judikatura je zde ještě nejednotná; konzervativní linií je zahrnout reCAPTCHA do souhlasu.

Praktický kompromis mnoha provozovatelů: reCAPTCHA načítat jen na stránkách, které skutečně obsahují formulář (kontakt, přihlášení, registrace), a ne globálně přes šablonu. To omezuje přenos dat na případy, kdy plní konkrétní ochranný účel, a činí vážení zájmů odolnějším. reCAPTCHA v3, které běží na všech stránkách, aby vytvořilo skóre, je z hlediska ochrany osobních údajů výrazně těžší ospravedlnit.

Existují šetrnější alternativy, které přenos do Google zcela vylučují: hCaptcha (možnost hostingu v EU), Cloudflare Turnstile (žádné viditelné captcha, žádné cookies), Friendly Captcha (hostovaná v Německu) nebo — pro jednoduché formuláře — serverový honeypot plus rate-limiting. Pro mnoho malých webů poslední varianta stačí a obejde se zcela bez předání třetí straně.

Je to riziko?

Ochrana proti spamu může být oprávněným zájmem (čl. 6 odst. 1 písm. f GDPR). Pokud však reCAPTCHA nastavuje nenutné identifikátory nebo se načítá na všech stránkách, přichází ke slovu § 25 TDDDG. Přenos do USA je třeba odůvodnit.

Co můžete udělat

• Načítejte reCAPTCHA pouze na stránkách s formuláři, ne globálně.
• Zvažte alternativy úsporné na data (např. hCaptcha, honeypot, omezení na straně serveru).
• V zásadách ochrany osobních údajů uveďte účel, právní základ, Google jako příjemce a přenos do USA.

Časté dotazy

Je reCAPTCHA bez cookie banneru povolena?

Posuzováno nejednotně. Protože reCAPTCHA načítá skripty od Google a zpracovává identifikátory, konzervativní linií je zahrnout ji do souhlasu. Někteří provozovatelé opírají čisté formulářové nasazení o oprávněný zájem — to je riziko.

Která alternativa se vyhne přenosu do Google?

Cloudflare Turnstile, hCaptcha s hostingem v EU nebo Friendly Captcha nepřenášejí do Google žádná data. Pro jednoduché formuláře často stačí serverový honeypot s rate-limitingem.

Stačí načítat reCAPTCHA jen na stránkách s formuláři?

Výrazně to snižuje přenos dat a posiluje vážení zájmů, otázku souhlasu podle § 25 TDDDG to však zcela neruší. Globálně běžící reCAPTCHA v3 je nejtěžší ospravedlnit.

Co musí být v zásadách ochrany osobních údajů?

Účel (ochrana proti spamu/botům), právní základ, Google jako příjemce, přenos do USA a jeho právní základ, jakož i odkaz na vlastní zásady ochrany osobních údajů a podmínky používání Google.

Jak pomáhá consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, které služby jsou vložené, zda je rozpoznána cookie lišta a zda jsou odkazy na soukromí a tiráž — se zařazením u každého zjištění. Nenahrazuje právní poradenství.