Google reCAPTCHA:n käyttö tietosuojan mukaisesti

Google reCAPTCHA analysoi käyttäjän käyttäytymistä bottien tunnistamiseen ja lataa resursseja Googlelta (Yhdysvallat), usein jo lomakkeen latautuessa.

reCAPTCHA on erikoistapaus, koska tarkoitus — suoja roskapostilta ja bottien väärinkäytöltä — voidaan periaatteessa perustaa oikeutettuun etuun GDPR:n 6 artiklan 1 kohdan f alakohdan mukaan. Se ei kuitenkaan muuta mitään TDDDG:n 25 §:n suhteen: heti kun reCAPTCHA v2/v3 lataa Googlen skriptejä ja asettaa tai lukee tunnisteita, jotka menevät teknisesti välttämättömän yli, päätelaitteeseen pääsy edellyttää suostumusta. Oikeuskäytäntö on tässä vielä epäyhtenäistä; konservatiivinen linja on sisällyttää reCAPTCHA suostumukseen.

Monien ylläpitäjien käytännön kompromissi: lataa reCAPTCHA vain sivuille, jotka tosiasiassa sisältävät lomakkeen (yhteydenotto, kirjautuminen, rekisteröinti), ei globaalisti mallin kautta. Se rajoittaa tiedonsiirron tapauksiin, joissa se täyttää konkreettisen suojatarkoituksen, ja tekee etujen punninnasta kestävämmän. reCAPTCHA v3, joka toimii kaikilla sivuilla pisteytystä varten, on tietosuojaoikeudellisesti selvästi vaikeampi perustella.

On datasäästöisempiä vaihtoehtoja, jotka välttävät Google-siirron kokonaan: hCaptcha (EU-isännöintivaihtoehto), Cloudflare Turnstile (ei näkyvää captchaa, ei evästeitä), Friendly Captcha (isännöity Saksassa) tai — yksinkertaisia lomakkeita varten — palvelinpuolen honeypot plus pyyntörajoitukset. Monille pienille sivustoille viimeinen vaihtoehto riittää ja pärjää ilman mitään kolmannen osapuolen siirtoa.

Onko tämä riski?

Roskapostilta suojautuminen voi olla oikeutettu etu (GDPR 6 art. 1 kohdan f alakohta). Jos reCAPTCHA kuitenkin asettaa ei-välttämättömiä tunnisteita tai latautuu kaikilla sivuilla, kuvaan tulee § 25 TDDDG. Siirto Yhdysvaltoihin on perusteltava.

Mitä voit tehdä

• Lataa reCAPTCHA vain lomakkeita sisältäville sivuille, ei globaalisti.
• Harkitse datasäästeliäitä vaihtoehtoja (esim. hCaptcha, honeypot, palvelinpuolen rajoitukset).
• Mainitse tietosuojaselosteessa tarkoitus, oikeusperuste, Google vastaanottajana ja siirto Yhdysvaltoihin.

Usein kysytyt kysymykset

Onko reCAPTCHA sallittu ilman evästebanneria?

Arvioidaan epäyhtenäisesti. Koska reCAPTCHA lataa Googlen skriptejä ja käsittelee tunnisteita, konservatiivinen linja on sisällyttää se suostumukseen. Jotkut ylläpitäjät perustavat pelkän lomakekäytön oikeutettuun etuun — se on riski.

Mikä vaihtoehto välttää Google-siirron?

Cloudflare Turnstile, hCaptcha EU-isännöinnillä tai Friendly Captcha eivät siirrä Googlelle tietoja. Yksinkertaisia lomakkeita varten riittää usein palvelinpuolen honeypot pyyntörajoituksella.

Riittääkö ladata reCAPTCHA vain lomakesivuille?

Se vähentää tiedonsiirtoa huomattavasti ja vahvistaa etujen punnintaa, mutta ei poista suostumuskysymystä TDDDG:n 25 §:n mukaan kokonaan. Globaalisti toimiva reCAPTCHA v3 on vaikeinta perustella.

Mitä tietosuojaselosteeseen on tultava?

Tarkoitus (roskaposti-/bottisuojaus), oikeusperuste, Google vastaanottajana, Yhdysvaltoihin-siirto ja siirron peruste sekä maininta Googlen omista tietosuojamääräyksistä ja käyttöehdoista.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.