Google reCAPTCHA מנתח את התנהגות המשתמשים לזיהוי בוטים וטוען משאבים מ-Google (ארצות הברית), לעיתים קרובות כבר בעת טעינת הטופס.
reCAPTCHA הוא מקרה מיוחד, משום שאת המטרה — הגנה מפני דואר זבל ושימוש לרעה של בוטים — ניתן עקרונית לבסס על אינטרס לגיטימי לפי סעיף 6(1)(f) ל-GDPR. אך זה אינו משנה דבר לגבי § 25 ל-TDDDG: ברגע ש-reCAPTCHA v2/v3 טוען סקריפטים של Google ומגדיר או קורא מזהים החורגים מהנדרש טכנית, הגישה למכשיר הקצה מחייבת הסכמה. הפסיקה כאן עדיין אינה אחידה; הקו השמרני הוא לכלול את reCAPTCHA בהסכמה.
הפשרה המעשית של מפעילים רבים: לטעון את reCAPTCHA רק בעמודים שמכילים בפועל טופס (יצירת קשר, התחברות, הרשמה), ולא באופן גלובלי דרך התבנית. זה מגביל את העברת הנתונים למקרים שבהם היא ממלאת מטרת הגנה קונקרטית, ומחזק את איזון האינטרסים. את reCAPTCHA v3, שרץ בכל העמודים כדי לגבש ציון, קשה בהרבה להצדיק מבחינת הגנת הנתונים.
קיימות חלופות חסכוניות יותר בנתונים שנמנעות לחלוטין מההעברה ל-Google: hCaptcha (אפשרות אחסון באיחוד האירופי), Cloudflare Turnstile (ללא captcha גלוי, ללא עוגיות), Friendly Captcha (מאוחסן בגרמניה) או — לטפסים פשוטים — honeypot בצד השרת יחד עם הגבלת קצב. עבור אתרים קטנים רבים החלופה האחרונה מספיקה ופועלת ללא כל העברה לצד שלישי.
הגנה מפני דואר זבל יכולה להיות אינטרס לגיטימי (סעיף 6(1)(ו) ל-GDPR). אך אם reCAPTCHA מציב מזהים שאינם נחוצים או נטען בכל הדפים, נכנס לתמונה סעיף 25 ל-TDDDG. יש להצדיק את ההעברה לארצות הברית.
הבדיקה החינמית מנתחת את קוד ה-HTML שסופק ומציגה אילו שירותים מוטמעים, האם זוהה באנר העוגיות, והאם קיימים קישורים למדיניות פרטיות ולפרטי יצירת קשר — עם סיווג לכל ממצא. אינה מהווה תחליף לייעוץ משפטי.
טקסט זה הוא מידע כללי למיטב ידיעתנו, ולא ייעוץ משפטי. למקרה פרטני, פנה למשרד עורכי דין המתמחה בדיני מחשבים ומידע.