hCaptcha lisamine GDPR-iga kooskõlas

hCaptcha't (hcaptcha.com, Intuition Machines Inc., USA) reklaamitakse sageli privaatsussõbraliku reCAPTCHA alternatiivina. See seab vähem püsivaid identifikaatoreid, kuid laadib siiski väliseid skripte ja edastab IP-aadressi USA-sse.

hCaptcha't esitletakse sageli privaatsussõbralikuma valikuna võrreldes Google reCAPTCHA-ga. See on osaliselt tõsi: hCaptcha rahastab end tasuliste märgendamisülesannete kaudu reklaami asemel, omaandmetel ei sea reklaamieesmärkidel küpsiseid ja pakub vähendatud andmetöötlusega „Enterprise“ režiimi. Põhiline toiming jääb aga samaks: laaditakse väline skript, IP-aadress ja brauseri tehnilised tunnused edastatakse Intuition Machinesile USA-sse.

Õigusliku hinnangu jaoks on määrav, kas väljakutse on „tingimata vajalik“. TDDDG § 25 lõige 2 punkt 2 lubab nõusolekuta juurdepääse, kui need on kasutaja sõnaselgelt soovitud teenuse jaoks hädavajalikud. Rämpspostitõrje sisselogimisvormil, mida ilma CAPTCHA-ta regulaarselt rünnatakse, võib selle alla kuuluda. CAPTCHA't igal kontaktivormil „igaks juhuks“ on raskem põhjendada — siin nõuavad konservatiivsed järelevalveasutused nõusolekut või leebemat lahendust.

Tehniliselt saab andmeedastust vähendada, kuid mitte vältida: vidina saab Lazy Loadi abil laadida alles vormi fokuseerimisel, nii et pelgad lehekülastajad ilma vormi kasutamata ei ole puudutatud. Režiim „invisible“ ei muuda IP edastamises midagi. Kes soovib täiesti ilma välise väljakutseta hakkama saada, peab minema üle serveripoolsetele meetoditele või ELi hostinguga Friendly Captchale.

Kas see on risk?

Ka hCaptcha laadib vormi kuvamisel ressursse saidilt hcaptcha.com ja edastab seejuures IP-aadressi USA teenusepakkujale. Kas see juurdepääs on „tingimata vajalik“ TDDDG § 25 lõike 2 tähenduses, sõltub üksikjuhtumist: sisselogimis- või registreerimisvormi puhul, millel on tegelik väärkasutuse risk, on seda lihtsam põhjendada kui lihtsa kontaktivormi puhul, kus rämpsposti on vähe.

Mida saate teha

• Kontrollida, kas CAPTCHA on üldse vajalik — väikeste kontaktivormide puhul piisab sageli honeypot-väljadest, ajalõksudest või serveripoolsest rämpspostifiltrist.
• Kui hCaptcha on vajalik: laadida see ainult lehtedel, kus vorm tegelikult on, mitte globaalselt jaluses.
• hCaptcha vidin võimalusel laadida alles pärast vormiga suhtlemist (Lazy Load), mitte lehe avamisel.
• hCaptcha nimetada privaatsuspoliitikas koos teenusepakkuja, eesmärgi (rämpsposti/robotite tõrje), õigusliku aluse ja USA-sse edastamisega; vajalikkus dokumenteerida.

Korduma kippuvad küsimused

Kas hCaptcha on tõesti GDPR-iga rohkem kooskõlas kui reCAPTCHA?

Osaliselt: hCaptcha ei kasuta reklaamküpsiseid ja pakub andmesäästlikumaid režiime. Põhitoiming — väline skript, IP edastamine USA-sse — on aga võrreldav. Erinevus seisneb pigem ulatuses kui põhimõttes.

Kas ma vajan hCaptcha jaoks nõusolekut?

Kui kasutamine on „tingimata vajalik“ (nt sisselogimise kaitse tegeliku ründeriski korral), räägib palju nõusolekuta lisamise poolt TDDDG § 25 lõike 2 alusel. Lihtsate kontaktivormide puhul on nõusolek või CAPTCHA-vaba lahendus turvalisem valik.

Kuhu andmed edastatakse?

Intuition Machines Inc.-ile USA-s. Edastamine tugineb EL-USA andmekaitseraamistikule, kuni teenusepakkuja on sertifitseeritud, ja peab olema kirjas privaatsuspoliitikas.

Kuidas lisada hCaptcha andmesäästlikult?

Laadida ainult asjaomastel vormilehtedel, Lazy Loadi abil alles vormiga suhtlemisel, ja teha see privaatsuspoliitikas läbipaistvaks. Enne kontrollida, kas honeypot pluss serveripoolne filter on piisav.

Kuidas consentglass aitab

Tasuta kontroll analüüsib edastatud HTML-i ja näitab, millised teenused on manustatud, kas küpsiseriba on tuvastatud ning kas lingid privaatsusele ja kontaktandmetele on olemas — klassifikatsiooniga iga leiu juures. Ei asenda õigusnõustamist.