Friendly Captchan lisääminen GDPR:n mukaisesti

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Saksa) luopuu käyttäjän pulmista ja seurannasta: vuorovaikutuksen sijaan selain ratkaisee taustalla laskutehtävän (proof of work). Palvelimet ovat EU:ssa.

Friendly Captcha noudattaa eri lähestymistapaa kuin klassiset CAPTCHAt: ei ole kuvapulmia eikä käyttäytymisanalyysiä. Sen sijaan selain saa lomaketta ladattaessa kryptografisen laskutehtävän, jonka se ratkaisee taustalla. Ihmisille se on näkymätön, bottiverkoille massalähetyksestä tulee laskennallisesti raskasta ja siten kallista. Evästeitä ei aseteta eikä käyttäjäprofiilia muodosteta.

Suuri etu GDPR:n kannalta on palveluntarjoajan sijainti ja isännöinti: Friendly Captcha on saksalainen yritys, ja käsittely tapahtuu palveluntarjoajan tietojen mukaan EU:ssa. Näin poistuu kolmansien maiden problematiikka, jonka reCAPTCHA ja hCaptcha tuovat mukanaan. Käsittelysopimus on silti tarpeen, koska IP-osoitetta käsitellään tunnisteen tarkistuksen aikana.

Huomioitava on versioiden ero: vanhemmat toteutukset (v1) käyttivät osittain muita päätepisteitä ja säilytysaikoja. v2-toteutus on suunniteltu EU-käsittelyyn ja lyhyempään säilytykseen. Olemassa olevassa integraatiossa kannattaa katsoa lähdekoodista, mitä skriptin URL-osoitetta ja mitä API-päätepistettä todella käytetään, ja verrata niitä palveluntarjoajan nykyiseen dokumentaatioon.

Onko tämä riski?

Friendly Captcha on selvästi datasäästöisempi kuin reCAPTCHA tai hCaptcha, mutta ei täysin ilman tietojenkäsittelyä: widget lataa skriptin Friendly Captchan CDN:stä ja selain ottaa yhteyttä API:iin tunnisteen (token) myöntämistä ja tarkistusta varten. Tällöin käsitellään IP-osoitetta. Versiossa 2 palveluntarjoaja mainostaa EU:ssa tapahtuvaa tietojenkäsittelyä; tarkka toteutus (v1 vs. v2, päätepiste) tulisi tarkistaa.

Mitä voit tehdä

• Käytä widgetin nykyistä versiota (v2) EU-päätepisteellä ja tarkista toteutus palveluntarjoajan dokumentaatiota vasten.
• Lataa skripti vain lomakesivuilla, mieluiten Lazy Loadilla lomakkeen kohdistuessa.
• Tee Friendly Captcha GmbH:n kanssa henkilötietojen käsittelysopimus.
• Mainitse Friendly Captcha tietosuojaselosteessa tarkoituksen (bottisuojaus), oikeusperustan (yleensä oikeutettu etu / välttämättömyys) ja lyhytaikaista IP-käsittelyä koskevan maininnan kanssa.

Usein kysytyt kysymykset

Tarvitseeko Friendly Captcha suostumusbannerin?

Yleensä ei. Koska evästeitä ei aseteta, käsittely tapahtuu EU:ssa ja bottisuojaus on tarpeen käyttäjän haluamalle lomakkeen lähetykselle, käyttö voidaan useimmiten perustaa TDDDG:n 25 §:n 2 momenttiin tai GDPR:n 6 artiklan 1 kohdan f alakohtaan.

Käsitelläänkö Friendly Captchassa henkilötietoja?

Kyllä, lyhytaikaisesti IP-osoitetta tunnisteen myöntämisen ja tarkistuksen aikana. Pysyvää tunnistetta ei kuitenkaan aseteta eikä profiilia muodosteta. Käsittelysopimus palveluntarjoajan kanssa vaaditaan.

Onko Friendly Captcha esteetön?

Kyllä. Koska visuaalisia tai äänipulmia ei ole, kuva-CAPTCHOJEN tyypillinen este poistuu. Proof of work toimii automaattisesti taustalla.

Mikä on Friendly Captcha v1:n ja v2:n ero?

v2 on suunniteltu EU-tietojenkäsittelyyn, lyhyempiin säilytysaikoihin ja uudistettuun widgetiin. Olemassa olevat v1-toteutukset tulisi migroida v2:een ja tietosuojaseloste mukauttaa vastaavasti.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.