Utiliser Google reCAPTCHA dans le respect de la vie privée

Google reCAPTCHA analyse le comportement des utilisateurs pour la détection de robots et charge des ressources de Google (États-Unis), souvent dès le chargement du formulaire.

reCAPTCHA est un cas particulier parce que la finalité — protection contre le spam et l'abus de bots — peut en principe se fonder sur un intérêt légitime au titre de l'art. 6 par. 1 f) RGPD. Cela ne change rien à l'art. 25 TDDDG : dès que reCAPTCHA v2/v3 charge des scripts depuis Google et dépose ou lit des identifiants au-delà du techniquement nécessaire, l'accès au terminal est soumis au consentement. La jurisprudence est encore incohérente ; la ligne conservatrice consiste à intégrer reCAPTCHA au consentement.

Le compromis pratique de nombreux exploitants : ne charger reCAPTCHA que sur les pages qui contiennent réellement un formulaire (contact, connexion, inscription), et non globalement via le template. Cela limite la transmission de données aux cas où elle remplit un objectif de protection concret et rend la mise en balance plus solide. reCAPTCHA v3, qui tourne sur toutes les pages pour établir un score, est nettement plus difficile à justifier en matière de protection des données.

Il existe des alternatives plus économes en données qui évitent totalement le transfert vers Google : hCaptcha (option d'hébergement UE), Cloudflare Turnstile (pas de captcha visible, pas de cookies), Friendly Captcha (hébergé en Allemagne) ou — pour des formulaires simples — un honeypot côté serveur plus une limitation de débit. Pour de nombreux petits sites, la dernière variante suffit et se passe de toute transmission à un tiers.

Est-ce un risque ?

La protection contre le spam peut être un intérêt légitime (art. 6 al. 1 pt f RGPD). Toutefois, si reCAPTCHA dépose des identifiants non nécessaires ou se charge sur toutes les pages, § 25 TDDDG entre en jeu. Le transfert aux États-Unis doit être justifié.

Ce que vous pouvez faire

• Ne charger reCAPTCHA que sur les pages comportant des formulaires, pas globalement.
• Envisager des alternatives économes en données (p. ex. hCaptcha, honeypot, limites de débit côté serveur).
• Dans la politique de confidentialité, nommer la finalité, la base légale, Google comme destinataire et le transfert aux États-Unis.

Questions fréquentes

reCAPTCHA est-il autorisé sans bandeau cookies ?

Jugé de façon incohérente. Comme reCAPTCHA charge des scripts depuis Google et traite des identifiants, la ligne conservatrice est de l'intégrer au consentement. Certains exploitants fondent un usage purement sur formulaire sur un intérêt légitime — c'est un risque.

Quelle alternative évite le transfert vers Google ?

Cloudflare Turnstile, hCaptcha avec hébergement UE ou Friendly Captcha ne transmettent aucune donnée à Google. Pour des formulaires simples, un honeypot côté serveur avec limitation de débit suffit souvent.

Suffit-il de charger reCAPTCHA uniquement sur les pages de formulaire ?

Cela réduit fortement la transmission de données et renforce la mise en balance, mais ne supprime pas entièrement la question du consentement au titre de l'art. 25 TDDDG. reCAPTCHA v3 tournant globalement est le plus difficile à justifier.

Que doit contenir la politique de confidentialité ?

Finalité (protection anti-spam/bots), base juridique, Google comme destinataire, le transfert vers les États-Unis et sa base, ainsi qu'un renvoi aux propres règles de confidentialité et conditions d'utilisation de Google.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.