Brug Google reCAPTCHA databeskyttelsesvenligt

Google reCAPTCHA analyserer brugeradfærd til botdetektion og indlæser ressourcer fra Google (USA), ofte allerede ved formularens indlæsning.

reCAPTCHA er et særtilfælde, fordi formålet — beskyttelse mod spam og bot-misbrug — i princippet kan støttes på en legitim interesse efter art. 6, stk. 1, litra f GDPR. Det ændrer intet ved § 25 TDDDG: så snart reCAPTCHA v2/v3 loader scripts fra Google og sætter eller læser identifikatorer ud over det teknisk nødvendige, kræver adgang til enheden samtykke. Retspraksis er stadig uensartet her; den konservative linje er at inkludere reCAPTCHA i samtykket.

Mange operatørers praktiske kompromis: loade reCAPTCHA kun på de sider, der faktisk indeholder en formular (kontakt, login, registrering), og ikke globalt via skabelonen. Det begrænser dataoverførslen til de tilfælde, hvor den opfylder et konkret beskyttelsesformål, og gør interesseafvejningen mere robust. reCAPTCHA v3, der kører på alle sider for at danne en score, er væsentligt sværere at retfærdiggøre databeskyttelsesmæssigt.

Der findes mere dataminimerende alternativer, der helt undgår Google-overførslen: hCaptcha (EU-hosting-mulighed), Cloudflare Turnstile (ingen synlig captcha, ingen cookies), Friendly Captcha (hostet i Tyskland) eller — til enkle formularer — en serverside-honeypot plus rate limiting. For mange små websites er den sidste variant nok og klarer sig uden nogen overførsel til tredjeparter.

Er dette en risiko?

Beskyttelse mod spam kan være en legitim interesse (art. 6, stk. 1, litra f, GDPR). Men hvis reCAPTCHA sætter ikke-nødvendige identifikatorer eller indlæses på alle sider, kommer § 25 TDDDG i spil. USA-overførslen skal begrundes.

Hvad du kan gøre

• Indlæs kun reCAPTCHA på sider med formularer, ikke globalt.
• Overvej datasparsomme alternativer (fx hCaptcha, honeypot, serverside rate limits).
• I privatlivspolitikken, angiv formålet, retsgrundlaget, Google som modtager og overførslen til USA.

Ofte stillede spørgsmål

Er reCAPTCHA tilladt uden et cookie-banner?

Bedømmes uensartet. Da reCAPTCHA loader scripts fra Google og behandler identifikatorer, er den konservative linje at inkludere det i samtykket. Nogle operatører støtter en ren formular-anvendelse på en legitim interesse — det er en risiko.

Hvilket alternativ undgår Google-overførslen?

Cloudflare Turnstile, hCaptcha med EU-hosting eller Friendly Captcha overfører ingen data til Google. Til enkle formularer er en serverside-honeypot med rate limiting ofte nok.

Er det nok at loade reCAPTCHA kun på formularsider?

Det reducerer dataoverførslen betydeligt og styrker interesseafvejningen, men ophæver ikke helt samtykkespørgsmålet efter § 25 TDDDG. Globalt kørende reCAPTCHA v3 er sværest at retfærdiggøre.

Hvad skal i privatlivspolitikken?

Formål (spam-/bot-beskyttelse), retsgrundlag, Google som modtager, USA-overførslen og dens grundlag samt en henvisning til Googles egne privatlivsbetingelser og brugsvilkår.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.