Ενσωμάτωση του hCaptcha σύμφωνα με τον ΓΚΠΔ

Το hCaptcha (hcaptcha.com, Intuition Machines Inc., ΗΠΑ) διαφημίζεται συχνά ως εναλλακτική του reCAPTCHA φιλική προς την ιδιωτικότητα. Θέτει λιγότερα μόνιμα αναγνωριστικά, αλλά παρ' όλα αυτά φορτώνει εξωτερικά σενάρια και διαβιβάζει τη διεύθυνση IP στις ΗΠΑ.

Το hCaptcha παρουσιάζεται συχνά ως η πιο φιλική προς την ιδιωτικότητα επιλογή σε σύγκριση με το Google reCAPTCHA. Αυτό εν μέρει ισχύει: το hCaptcha χρηματοδοτείται μέσω αμειβόμενων εργασιών επισήμανσης αντί για διαφημίσεις, δηλώνει ότι δεν θέτει cookies για διαφημιστικούς σκοπούς και προσφέρει μια λειτουργία «Enterprise» με μειωμένη επεξεργασία δεδομένων. Αλλά η βασική διαδικασία παραμένει η ίδια: φορτώνεται ένα εξωτερικό σενάριο και η διεύθυνση IP, μαζί με τεχνικά χαρακτηριστικά του προγράμματος περιήγησης, διαβιβάζεται στην Intuition Machines στις ΗΠΑ.

Για τη νομική αξιολόγηση, το καθοριστικό ερώτημα είναι αν η κλήση είναι «απολύτως απαραίτητη». Το άρθρο 25 παρ. 2 αρ. 2 TDDDG επιτρέπει προσβάσεις χωρίς συγκατάθεση αν είναι απαραίτητες για μια υπηρεσία που ζητά ρητά ο χρήστης. Μια προστασία από spam σε μια φόρμα σύνδεσης που δέχεται τακτικά επιθέσεις χωρίς CAPTCHA μπορεί να εμπίπτει σε αυτό. Ένα CAPTCHA σε κάθε φόρμα επικοινωνίας «για ασφάλεια» δικαιολογείται δυσκολότερα — εδώ οι συντηρητικές εποπτικές αρχές απαιτούν συγκατάθεση ή μια ηπιότερη λύση.

Τεχνικά, η διαβίβαση δεδομένων μπορεί να μειωθεί αλλά όχι να αποφευχθεί: το widget μπορεί να φορτωθεί με lazy load μόνο όταν η φόρμα λάβει την εστίαση, ώστε οι απλοί επισκέπτες που δεν χρησιμοποιούν τη φόρμα να μην επηρεάζονται. Η λειτουργία «invisible» δεν αλλάζει τίποτα στη διαβίβαση της IP. Όποιος θέλει να αποφύγει εντελώς μια εξωτερική κλήση πρέπει να στραφεί σε διαδικασίες από την πλευρά του διακομιστή ή στο Friendly Captcha με φιλοξενία στην ΕΕ.

Είναι κίνδυνος;

Και το hCaptcha φορτώνει πόρους από το hcaptcha.com κατά την εμφάνιση της φόρμας και διαβιβάζει με αυτή την ευκαιρία τη διεύθυνση IP σε πάροχο των ΗΠΑ. Το αν αυτή η πρόσβαση είναι «απολύτως απαραίτητη» κατά την έννοια του άρθρου 25 παρ. 2 TDDDG εξαρτάται από την περίπτωση: για μια φόρμα σύνδεσης ή εγγραφής με πραγματικό κίνδυνο κατάχρησης δικαιολογείται ευκολότερα από ό,τι για μια απλή φόρμα επικοινωνίας με λίγο spam.

Τι μπορείτε να κάνετε

• Ελέγξτε αν χρειάζεται καν ένα CAPTCHA — για μικρές φόρμες επικοινωνίας συχνά αρκούν πεδία honeypot, χρονικές παγίδες ή ένα φίλτρο ανεπιθύμητης αλληλογραφίας από την πλευρά του διακομιστή.
• Αν το hCaptcha είναι απαραίτητο: φορτώστε το μόνο στις σελίδες που περιέχουν πράγματι τη φόρμα, όχι καθολικά στο υποσέλιδο.
• Φορτώστε το widget του hCaptcha κατά προτίμηση μόνο μετά από αλληλεπίδραση με τη φόρμα (lazy load), όχι κατά τη φόρτωση της σελίδας.
• Αναφέρετε το hCaptcha στην πολιτική απορρήτου με πάροχο, σκοπό (προστασία από spam/bot), νομική βάση και διαβίβαση στις ΗΠΑ· τεκμηριώστε την αναγκαιότητα.

Συχνές ερωτήσεις

Είναι το hCaptcha πράγματι πιο συμβατό με τον ΓΚΠΔ από το reCAPTCHA;

Εν μέρει: το hCaptcha δεν χρησιμοποιεί διαφημιστικά cookies και προσφέρει πιο φειδωλές σε δεδομένα λειτουργίες. Αλλά η βασική διαδικασία — εξωτερικό σενάριο, διαβίβαση της IP στις ΗΠΑ — είναι συγκρίσιμη. Η διαφορά είναι βαθμού μάλλον παρά αρχής.

Χρειάζομαι συγκατάθεση για το hCaptcha;

Αν η χρήση είναι «απολύτως απαραίτητη» (π.χ. προστασία σύνδεσης με πραγματικό κίνδυνο επίθεσης), υπάρχουν ισχυρά επιχειρήματα για ενσωμάτωση χωρίς συγκατάθεση κατά το άρθρο 25 παρ. 2 TDDDG. Για απλές φόρμες επικοινωνίας, η συγκατάθεση ή μια λύση χωρίς CAPTCHA είναι η ασφαλέστερη επιλογή.

Πού διαβιβάζονται τα δεδομένα;

Στην Intuition Machines Inc. στις ΗΠΑ. Η διαβίβαση στηρίζεται στο EU-US Data Privacy Framework όσο ο πάροχος είναι πιστοποιημένος και πρέπει να αναφέρεται στην πολιτική απορρήτου.

Πώς ενσωματώνω το hCaptcha με φειδώ στα δεδομένα;

Φορτώστε το μόνο στις σχετικές σελίδες φορμών, με lazy load κατά την αλληλεπίδραση με τη φόρμα, και κάντε το διαφανές στην πολιτική απορρήτου. Ελέγξτε πρώτα αν αρκεί ένα honeypot συν ένα φίλτρο από την πλευρά του διακομιστή.

Πώς βοηθά το consentglass

Ο δωρεάν έλεγχος αναλύει το παραδοθέν HTML και δείχνει ποιες υπηρεσίες είναι ενσωματωμένες, αν έχει εντοπιστεί η μπάρα cookies και αν υπάρχουν οι σύνδεσμοι προς απόρρητο και στοιχεία επικοινωνίας — με κατάταξη σε κάθε εύρημα. Δεν αντικαθιστά νομική συμβουλή.