Χρήση Google reCAPTCHA σύμφωνα με την προστασία δεδομένων

Το Google reCAPTCHA αναλύει τη συμπεριφορά των χρηστών για ανίχνευση bots και φορτώνει πόρους από την Google (ΗΠΑ), συχνά ήδη κατά τη φόρτωση της φόρμας.

Το reCAPTCHA είναι ειδική περίπτωση, γιατί ο σκοπός — προστασία από spam και κατάχρηση bot — μπορεί κατ' αρχήν να στηριχθεί σε έννομο συμφέρον κατά το άρθρο 6 παρ. 1 στοιχ. στ GDPR. Αυτό δεν αλλάζει τίποτα στο § 25 TDDDG: μόλις το reCAPTCHA v2/v3 φορτώσει scripts από την Google και θέσει ή διαβάσει αναγνωριστικά πέραν του τεχνικά αναγκαίου, η πρόσβαση στη συσκευή υπόκειται σε συγκατάθεση. Η νομολογία είναι ακόμη ασυνεπής εδώ· η συντηρητική γραμμή είναι να συμπεριληφθεί το reCAPTCHA στη συγκατάθεση.

Ο πρακτικός συμβιβασμός πολλών διαχειριστών: να φορτώνεται το reCAPTCHA μόνο στις σελίδες που περιέχουν πράγματι μια φόρμα (επικοινωνία, σύνδεση, εγγραφή), και όχι καθολικά μέσω του template. Αυτό περιορίζει τη διαβίβαση δεδομένων στις περιπτώσεις όπου εκπληρώνει έναν συγκεκριμένο σκοπό προστασίας και καθιστά τη στάθμιση πιο στέρεη. Το reCAPTCHA v3, που τρέχει σε όλες τις σελίδες για να σχηματίσει ένα score, είναι σαφώς πιο δύσκολο να δικαιολογηθεί από άποψη προστασίας δεδομένων.

Υπάρχουν πιο ελαχιστοποιητικές δεδομένων εναλλακτικές που αποφεύγουν εντελώς τη μεταφορά στην Google: hCaptcha (επιλογή hosting ΕΕ), Cloudflare Turnstile (κανένα ορατό captcha, κανένα cookie), Friendly Captcha (φιλοξενία στη Γερμανία) ή — για απλές φόρμες — ένα honeypot από την πλευρά του διακομιστή συν rate limiting. Για πολλούς μικρούς ιστότοπους η τελευταία παραλλαγή αρκεί και τα καταφέρνει χωρίς καμία διαβίβαση σε τρίτους.

Είναι κίνδυνος;

Η προστασία από spam μπορεί να είναι έννομο συμφέρον (άρθρο 6 παρ. 1 στ. στ GDPR). Αλλά αν το reCAPTCHA θέτει μη αναγκαία αναγνωριστικά ή φορτώνει σε όλες τις σελίδες, τίθεται ζήτημα § 25 TDDDG. Η διαβίβαση προς τις ΗΠΑ πρέπει να αιτιολογηθεί.

Τι μπορείτε να κάνετε

• Φορτώνετε το reCAPTCHA μόνο σε σελίδες με φόρμες, όχι καθολικά.
• Εξετάστε φειδωλές με τα δεδομένα εναλλακτικές (π.χ. hCaptcha, honeypot, περιορισμοί από την πλευρά του διακομιστή).
• Στην πολιτική απορρήτου αναφέρετε τον σκοπό, τη νομική βάση, την Google ως αποδέκτη και τη διαβίβαση προς τις ΗΠΑ.

Συχνές ερωτήσεις

Επιτρέπεται το reCAPTCHA χωρίς banner cookie;

Κρίνεται ασυνεπώς. Επειδή το reCAPTCHA φορτώνει scripts από την Google και επεξεργάζεται αναγνωριστικά, η συντηρητική γραμμή είναι να συμπεριληφθεί στη συγκατάθεση. Ορισμένοι διαχειριστές στηρίζουν μια καθαρά μέσω φόρμας χρήση σε έννομο συμφέρον — αυτό είναι ρίσκο.

Ποια εναλλακτική αποφεύγει τη μεταφορά στην Google;

Το Cloudflare Turnstile, το hCaptcha με hosting ΕΕ ή το Friendly Captcha δεν διαβιβάζουν δεδομένα στην Google. Για απλές φόρμες αρκεί συχνά ένα honeypot από την πλευρά του διακομιστή με rate limiting.

Αρκεί να φορτώνεται το reCAPTCHA μόνο στις σελίδες φόρμας;

Μειώνει σημαντικά τη διαβίβαση δεδομένων και ενισχύει τη στάθμιση, αλλά δεν αίρει πλήρως το ζήτημα της συγκατάθεσης κατά το § 25 TDDDG. Το reCAPTCHA v3 που τρέχει καθολικά είναι το πιο δύσκολο να δικαιολογηθεί.

Τι πρέπει να μπει στην πολιτική απορρήτου;

Σκοπός (προστασία από spam/bot), νομική βάση, η Google ως αποδέκτης, η μεταφορά στις ΗΠΑ και η βάση της, καθώς και μια παραπομπή στους ίδιους τους όρους απορρήτου και χρήσης της Google.

Πώς βοηθά το consentglass

Ο δωρεάν έλεγχος αναλύει το παραδοθέν HTML και δείχνει ποιες υπηρεσίες είναι ενσωματωμένες, αν έχει εντοπιστεί η μπάρα cookies και αν υπάρχουν οι σύνδεσμοι προς απόρρητο και στοιχεία επικοινωνίας — με κατάταξη σε κάθε εύρημα. Δεν αντικαθιστά νομική συμβουλή.