hCaptchan lisääminen GDPR:n mukaisesti

hCaptchaa (hcaptcha.com, Intuition Machines Inc., USA) mainostetaan usein yksityisyysystävällisenä reCAPTCHA-vaihtoehtona. Se asettaa vähemmän pysyviä tunnisteita, mutta lataa silti ulkoisia skriptejä ja välittää IP-osoitteen Yhdysvaltoihin.

hCaptcha esitetään usein yksityisyyden kannalta ystävällisempänä valintana Google reCAPTCHAan verrattuna. Se pitää osittain paikkansa: hCaptcha rahoittaa toimintansa maksullisilla merkintätehtävillä mainonnan sijaan, ei omien tietojensa mukaan aseta evästeitä mainostarkoituksiin ja tarjoaa „Enterprise“-tilan, jossa tietojenkäsittely on vähäisempää. Perustoiminta pysyy kuitenkin samana: ladataan ulkoinen skripti, IP-osoite ja selaimen tekniset tunnusmerkit välitetään Intuition Machinesille Yhdysvaltoihin.

Oikeudellisen arvioinnin kannalta ratkaisevaa on, onko kutsu „ehdottoman välttämätön“. TDDDG:n 25 §:n 2 momentin 2 kohta sallii suostumuksettomat pääsyt, jos ne ovat välttämättömiä käyttäjän nimenomaisesti pyytämälle palvelulle. Roskapostisuojaus kirjautumislomakkeella, johon hyökätään ilman CAPTCHAa säännöllisesti, voi kuulua sen piiriin. CAPTCHA jokaisella yhteydenottolomakkeella „varmuuden vuoksi“ on vaikeampi perustella — tässä konservatiiviset valvontaviranomaiset vaativat suostumusta tai lievempää ratkaisua.

Teknisesti tiedonsiirtoa voidaan vähentää, mutta ei välttää: widget voidaan Lazy Loadilla ladata vasta lomakkeen kohdistuessa, jolloin pelkät sivun kävijät ilman lomakkeen käyttöä eivät ole asianosaisia. „Invisible“-tila ei muuta IP:n välittämistä mitenkään. Se, joka haluaa pärjätä kokonaan ilman ulkoista kutsua, joutuu turvautumaan palvelinpuolen menetelmiin tai Friendly Captchaan EU-isännöinnillä.

Onko tämä riski?

Myös hCaptcha lataa lomaketta näytettäessä resursseja osoitteesta hcaptcha.com ja välittää samalla IP-osoitteen yhdysvaltalaiselle palveluntarjoajalle. Onko tämä pääsy „ehdottoman välttämätön“ TDDDG:n 25 §:n 2 momentin tarkoittamassa mielessä, riippuu yksittäistapauksesta: kirjautumis- tai rekisteröintilomakkeelle, jossa on todellinen väärinkäytön riski, se on helpompi perustella kuin yksinkertaiselle yhteydenottolomakkeelle, jossa roskapostia on vähän.

Mitä voit tehdä

• Tarkista, tarvitaanko CAPTCHAa ylipäätään — pienissä yhteydenottolomakkeissa riittävät usein honeypot-kentät, aikaan perustuvat ansat tai palvelinpuolen roskapostisuodatin.
• Jos hCaptcha on tarpeen: lataa se vain sivuilla, joilla lomake tosiasiassa on, ei globaalisti alatunnisteessa.
• Lataa hCaptcha-widget mahdollisuuksien mukaan vasta lomakkeen kanssa tapahtuvan vuorovaikutuksen jälkeen (Lazy Load), ei sivun latautuessa.
• Mainitse hCaptcha tietosuojaselosteessa palveluntarjoajan, tarkoituksen (roskaposti-/bottisuojaus), oikeusperustan ja Yhdysvaltoihin siirron kanssa; dokumentoi välttämättömyys.

Usein kysytyt kysymykset

Onko hCaptcha todella GDPR:n mukaisempi kuin reCAPTCHA?

Osittain: hCaptcha ei käytä mainosevästeitä ja tarjoaa datasäästöisempiä tiloja. Ydintoiminta — ulkoinen skripti, IP:n välitys Yhdysvaltoihin — on kuitenkin verrattavissa. Ero on pikemminkin laajuudessa kuin periaatteessa.

Tarvitsenko hCaptchalle suostumuksen?

Jos käyttö on „ehdottoman välttämätöntä“ (esim. kirjautumissuojaus todellisen hyökkäysriskin yhteydessä), moni puoltaa lisäämistä ilman suostumusta TDDDG:n 25 §:n 2 momentin mukaan. Yksinkertaisissa yhteydenottolomakkeissa suostumus tai CAPTCHA-vapaa ratkaisu on turvallisempi valinta.

Minne tiedot siirretään?

Intuition Machines Inc.:lle Yhdysvaltoihin. Siirto perustuu EU:n ja Yhdysvaltojen väliseen Data Privacy Framework -kehykseen niin kauan kuin palveluntarjoaja on sertifioitu, ja sen on oltava tietosuojaselosteessa.

Miten lisään hCaptchan datasäästöisesti?

Lataa vain kyseisillä lomakesivuilla, Lazy Loadilla vasta lomakkeen kanssa tapahtuvan vuorovaikutuksen yhteydessä, ja tee siitä tietosuojaselosteessa läpinäkyvää. Tarkista ensin, riittääkö honeypot plus palvelinpuolen suodatin.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.