Google reCAPTCHA kasutamine andmekaitsega kooskõlas

Google reCAPTCHA analüüsib kasutajate käitumist robotite tuvastamiseks ja laadib Google'ilt (USA) ressursse, sageli juba vormi laadimisel.

reCAPTCHA on erijuhtum, sest eesmärki — kaitse rämpsposti ja robotite kuritarvitamise eest — saab põhimõtteliselt tugineda õigustatud huvile GDPR artikli 6 lõike 1 punkti f järgi. See ei muuda aga midagi TDDDG § 25 osas: niipea kui reCAPTCHA v2/v3 laadib Google'i skripte ja seab või loeb identifikaatoreid, mis lähevad tehniliselt vajalikust kaugemale, on juurdepääs lõppseadmele nõusolekut nõudev. Kohtupraktika on siin veel ebaühtlane; konservatiivne joon on lisada reCAPTCHA nõusolekusse.

Paljude käitajate praktiline kompromiss: laadida reCAPTCHA ainult lehtedele, mis tegelikult sisaldavad vormi (kontakt, sisselogimine, registreerimine), mitte globaalselt malli kaudu. See piirab andmeedastuse juhtumitele, kus see täidab konkreetset kaitse-eesmärki, ja teeb huvide kaalumise vastupidavamaks. reCAPTCHA v3, mis töötab kõigil lehtedel skoori loomiseks, on andmekaitse seisukohalt märksa raskem õigustada.

On andmesäästlikumaid alternatiive, mis väldivad Google'ile edastamist täielikult: hCaptcha (ELi hostimise võimalus), Cloudflare Turnstile (nähtav captcha puudub, küpsised puuduvad), Friendly Captcha (hostitud Saksamaal) või — lihtsate vormide jaoks — serveripoolne honeypot pluss päringute piiramine. Paljude väikeste veebisaitide jaoks piisab viimasest variandist ja see saab hakkama ilma ühegi kolmandale isikule edastamiseta.

Kas see on risk?

Rämpspostikaitse võib olla õigustatud huvi (GDPR art 6 lg 1 p f). Kuid kui reCAPTCHA seab mittevajalikke identifikaatoreid või laadib kõigil lehtedel, tuleb kõne alla TDDDG § 25. USA-sse edastamist tuleb põhjendada.

Mida saate teha

• Laadige reCAPTCHA ainult vormidega lehtedel, mitte globaalselt.
• Kaaluge andmetega säästlikke alternatiive (nt hCaptcha, honeypot, serveripoolsed piirangud).
• Privaatsuspoliitikas nimetage eesmärk, õiguslik alus, Google vastuvõtjana ja USA-sse edastamine.

Korduma kippuvad küsimused

Kas reCAPTCHA on lubatud ilma küpsiseribata?

Hinnatakse ebaühtlaselt. Kuna reCAPTCHA laadib Google'i skripte ja töötleb identifikaatoreid, on konservatiivne joon lisada see nõusolekusse. Mõned käitajad tuginevad puhtale vormikasutusele õigustatud huvi alusel — see on risk.

Milline alternatiiv väldib Google'ile edastamist?

Cloudflare Turnstile, hCaptcha ELi hostinguga või Friendly Captcha ei edasta Google'ile andmeid. Lihtsate vormide jaoks piisab sageli serveripoolsest honeypot'ist koos päringute piiramisega.

Kas piisab reCAPTCHA laadimisest ainult vormilehtedel?

See vähendab andmeedastust märkimisväärselt ja tugevdab huvide kaalumist, kuid ei kaota täielikult nõusoleku küsimust TDDDG § 25 järgi. Globaalselt töötavat reCAPTCHA v3 on kõige raskem õigustada.

Mis peab olema privaatsuspoliitikas?

Eesmärk (rämpsposti/robotitõrje), õiguslik alus, Google vastuvõtjana, USA-sse edastamine ja edastamise alus ning viide Google'i enda andmekaitsetingimustele ja kasutustingimustele.

Kuidas consentglass aitab

Tasuta kontroll analüüsib edastatud HTML-i ja näitab, millised teenused on manustatud, kas küpsiseriba on tuvastatud ning kas lingid privaatsusele ja kontaktandmetele on olemas — klassifikatsiooniga iga leiu juures. Ei asenda õigusnõustamist.