Integrar hCaptcha de forma conforme al RGPD

hCaptcha (hcaptcha.com, Intuition Machines Inc., EE. UU.) se promociona a menudo como una alternativa a reCAPTCHA respetuosa con la privacidad. Fija menos identificadores persistentes, pero aun así carga scripts externos y transmite la dirección IP a EE. UU.

hCaptcha se presenta a menudo como la opción más respetuosa con la privacidad frente a Google reCAPTCHA. Esto es en parte cierto: hCaptcha se financia mediante tareas de etiquetado remuneradas en lugar de publicidad, declara no fijar cookies con fines publicitarios y ofrece un modo «Enterprise» con un tratamiento de datos reducido. Pero el procedimiento básico sigue siendo el mismo: se carga un script externo y la dirección IP, junto con características técnicas del navegador, se transmite a Intuition Machines en EE. UU.

Para la valoración jurídica, la cuestión decisiva es si la llamada es «estrictamente necesaria». El art. 25.2 n.º 2 TDDDG permite accesos sin consentimiento cuando son imprescindibles para un servicio solicitado expresamente por la persona usuaria. Una protección antispam en un formulario de inicio de sesión que es atacado con regularidad sin CAPTCHA puede encajar aquí. Un CAPTCHA en cada formulario de contacto «por seguridad» es más difícil de justificar: aquí las autoridades de control prudentes exigen consentimiento o una solución más suave.

Técnicamente, la transmisión de datos se puede reducir pero no evitar: el widget puede cargarse con lazy load solo cuando el formulario recibe el foco, de modo que quienes solo visitan la página sin usar el formulario no se ven afectados. El modo «invisible» no cambia nada en la transmisión de la IP. Quien quiera prescindir por completo de una llamada externa debe recurrir a procedimientos del lado del servidor o a Friendly Captcha con alojamiento en la UE.

¿Es un riesgo?

hCaptcha también carga recursos desde hcaptcha.com al mostrar el formulario y transmite en ese proceso la dirección IP a un proveedor de EE. UU. Que ese acceso sea «estrictamente necesario» en el sentido del art. 25.2 TDDDG depende del caso concreto: para un formulario de inicio de sesión o de registro con un riesgo real de abuso es más fácil de justificar que para un simple formulario de contacto con poco spam.

Qué puedes hacer

• Comprobar si realmente hace falta un CAPTCHA: para formularios de contacto pequeños suelen bastar campos honeypot, trampas de tiempo o un filtro antispam del lado del servidor.
• Si hace falta hCaptcha: cargarlo solo en las páginas que contienen realmente el formulario, no globalmente en el pie de página.
• Cargar el widget de hCaptcha preferiblemente solo tras la interacción con el formulario (lazy load), no al cargar la página.
• Nombrar hCaptcha en la política de privacidad con proveedor, finalidad (protección antispam/antibot), base jurídica y transferencia a EE. UU.; documentar la necesidad.

Preguntas frecuentes

¿Es hCaptcha realmente más conforme al RGPD que reCAPTCHA?

En parte: hCaptcha no usa cookies publicitarias y ofrece modos más frugales en datos. Pero el proceso central —script externo, transmisión de la IP a EE. UU.— es comparable. La diferencia es de grado más que de principio.

¿Necesito consentimiento para hCaptcha?

Si el uso es «estrictamente necesario» (p. ej. protección de un inicio de sesión ante un riesgo real de ataque), hay buenos argumentos para una integración sin consentimiento según el art. 25.2 TDDDG. Para formularios de contacto sencillos, el consentimiento o una solución sin CAPTCHA es la opción más segura.

¿Adónde se transfieren los datos?

A Intuition Machines Inc. en EE. UU. La transferencia se basa en el EU-US Data Privacy Framework mientras el proveedor esté certificado, y debe figurar en la política de privacidad.

¿Cómo integro hCaptcha de forma frugal en datos?

Cargarlo solo en las páginas de formulario afectadas, con lazy load al interactuar con el formulario, y hacerlo transparente en la política de privacidad. Comprobar antes si basta con un honeypot más un filtro del lado del servidor.

Cómo ayuda consentglass

El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.