Intégrer hCaptcha conformément au RGPD

hCaptcha (hcaptcha.com, Intuition Machines Inc., États-Unis) est souvent présenté comme une alternative à reCAPTCHA respectueuse de la vie privée. Il pose moins d’identifiants persistants, mais charge malgré tout des scripts externes et transmet l’adresse IP aux États-Unis.

hCaptcha est souvent présenté comme le choix plus respectueux de la vie privée par rapport à Google reCAPTCHA. C’est en partie vrai : hCaptcha se finance par des tâches d’étiquetage rémunérées plutôt que par la publicité, indique ne pas poser de cookies à des fins publicitaires et propose un mode « Enterprise » avec un traitement de données réduit. Mais le principe reste le même : un script externe est chargé, et l’adresse IP ainsi que des caractéristiques techniques du navigateur sont transmises à Intuition Machines aux États-Unis.

Pour l’appréciation juridique, la question décisive est de savoir si l’appel est « absolument nécessaire ». L’art. 25 al. 2 n° 2 TDDDG autorise les accès sans consentement lorsqu’ils sont indispensables à un service expressément demandé par l’utilisateur. Une protection anti-spam sur un formulaire de connexion régulièrement attaqué sans CAPTCHA peut relever de ce cas. Un CAPTCHA sur chaque formulaire de contact « par sécurité » est plus difficile à justifier — les autorités de contrôle prudentes exigent alors un consentement ou une solution plus douce.

Techniquement, la transmission de données peut être réduite mais pas évitée : le widget peut être chargé en lazy load seulement au moment où le formulaire reçoit le focus, de sorte que les simples visiteurs qui n’utilisent pas le formulaire ne sont pas concernés. Le mode « invisible » ne change rien à la transmission de l’IP. Pour se passer totalement d’appel externe, il faut recourir à des procédés côté serveur ou à Friendly Captcha avec hébergement dans l’UE.

Est-ce un risque ?

hCaptcha charge lui aussi des ressources depuis hcaptcha.com lors de l’affichage du formulaire et transmet à cette occasion l’adresse IP à un fournisseur américain. La question de savoir si cet accès est « absolument nécessaire » au sens de l’art. 25 al. 2 TDDDG dépend du cas d’espèce : pour un formulaire de connexion ou d’inscription présentant un vrai risque d’abus, cela se justifie plus facilement que pour un simple formulaire de contact peu exposé au spam.

Ce que vous pouvez faire

• Vérifier si un CAPTCHA est vraiment nécessaire — pour de petits formulaires de contact, des champs honeypot, des pièges temporels ou un filtre anti-spam côté serveur suffisent souvent.
• Si hCaptcha est nécessaire : ne le charger que sur les pages qui contiennent réellement le formulaire, pas globalement dans le pied de page.
• Charger le widget hCaptcha de préférence seulement après une interaction avec le formulaire (lazy load), pas au chargement de la page.
• Nommer hCaptcha dans la politique de confidentialité avec le fournisseur, la finalité (protection anti-spam / anti-bot), la base légale et le transfert vers les États-Unis ; documenter la nécessité.

Questions fréquentes

hCaptcha est-il vraiment plus conforme au RGPD que reCAPTCHA ?

En partie : hCaptcha n’utilise pas de cookies publicitaires et propose des modes plus économes en données. Mais le processus central — script externe, transmission de l’IP aux États-Unis — est comparable. La différence est de degré plus que de principe.

Ai-je besoin d’un consentement pour hCaptcha ?

Si l’usage est « absolument nécessaire » (par ex. protection d’une connexion face à un risque réel d’attaque), il y a de bons arguments pour une intégration sans consentement selon l’art. 25 al. 2 TDDDG. Pour de simples formulaires de contact, un consentement ou une solution sans CAPTCHA est le choix plus sûr.

Où les données sont-elles transférées ?

Vers Intuition Machines Inc. aux États-Unis. Le transfert s’appuie sur le EU-US Data Privacy Framework tant que le fournisseur est certifié, et doit figurer dans la politique de confidentialité.

Comment intégrer hCaptcha de manière économe en données ?

Ne le charger que sur les pages de formulaire concernées, en lazy load lors de l’interaction avec le formulaire, et le rendre transparent dans la politique de confidentialité. Vérifier d’abord si un honeypot plus un filtre côté serveur suffit.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.