Ugradnja hCaptche u skladu s GDPR-om

hCaptcha (hcaptcha.com, Intuition Machines Inc., SAD) često se reklamira kao alternativa reCAPTCHA-i naklonjena privatnosti. Postavlja manje trajnih identifikatora, ali ipak učitava vanjske skripte i prenosi IP adresu u SAD.

hCaptcha se često prikazuje kao izbor naklonjeniji zaštiti podataka u odnosu na Google reCAPTCHA-u. To je djelomično točno: hCaptcha se financira putem plaćenih zadataka označavanja umjesto putem oglašavanja, prema vlastitim navodima ne postavlja kolačiće u svrhe oglašavanja i nudi način rada „Enterprise“ sa smanjenom obradom podataka. Osnovni postupak ipak ostaje isti: učitava se vanjska skripta, IP adresa i tehnička obilježja preglednika prenose se tvrtki Intuition Machines u SAD.

Za pravnu ocjenu presudno je je li poziv „nužno potreban“. § 25. st. 2. br. 2. TDDDG-a dopušta pristupe bez privole ako su nužni za uslugu koju je korisnik izričito zatražio. Zaštita od neželjene pošte na obrascu za prijavu koji se bez CAPTCHA-e redovito napada može spadati pod to. CAPTCHA na svakom kontaktnom obrascu „za svaki slučaj“ teže se obrazlaže — ovdje konzervativna nadzorna tijela zahtijevaju privolu ili blaže rješenje.

Tehnički se prijenos podataka može smanjiti, ali ne i izbjeći: widget se pomoću Lazy Loada može učitati tek pri fokusiranju obrasca, tako da posjetitelji stranice bez korištenja obrasca nisu pogođeni. Način „invisible“ ne mijenja ništa u prijenosu IP-a. Tko želi u potpunosti bez vanjskog poziva, mora prijeći na poslužiteljske metode ili Friendly Captchu s hostingom u EU-u.

Je li ovo rizik?

I hCaptcha pri prikazu obrasca učitava resurse s hcaptcha.com i pritom prenosi IP adresu američkom pružatelju. Je li taj pristup „nužno potreban“ u smislu § 25. st. 2. TDDDG-a, ovisi o pojedinačnom slučaju: za obrazac za prijavu ili registraciju sa stvarnim rizikom zlouporabe to je lakše obrazložiti nego za jednostavan kontaktni obrazac s malo neželjene pošte.

Što možete učiniti

• Provjeriti je li CAPTCHA uopće potrebna — kod malih kontaktnih obrazaca često su dovoljna honeypot polja, vremenske zamke ili poslužiteljski filtar neželjene pošte.
• Ako je hCaptcha potrebna: učitavati je samo na stranicama na kojima obrazac stvarno stoji, a ne globalno u podnožju.
• Widget hCaptche po mogućnosti naknadno učitati tek nakon interakcije s obrascem (Lazy Load), a ne pri otvaranju stranice.
• hCaptchu navesti u izjavi o zaštiti podataka s pružateljem, svrhom (zaštita od neželjene pošte/botova), pravnom osnovom i prijenosom u SAD; nužnost dokumentirati.

Česta pitanja

Je li hCaptcha stvarno usklađenija s GDPR-om od reCAPTCHA-e?

Djelomično: hCaptcha ne koristi oglašivačke kolačiće i nudi načine rada koji štedljivije barataju podacima. Osnovni postupak — vanjska skripta, prijenos IP-a u SAD — ipak je usporediv. Razlika je više u opsegu nego u načelu.

Trebam li za hCaptchu privolu?

Ako je primjena „nužno potrebna“ (npr. zaštita prijave uz stvarni rizik napada), mnogo govori u prilog ugradnji bez privole prema § 25. st. 2. TDDDG-a. Kod jednostavnih kontaktnih obrazaca privola ili rješenje bez CAPTCHA-e sigurniji je izbor.

Kamo se podaci prenose?

Tvrtki Intuition Machines Inc. u SAD-u. Prijenos se oslanja na okvir EU-US Data Privacy Framework dok je pružatelj certificiran i mora stajati u izjavi o zaštiti podataka.

Kako ugraditi hCaptchu štedljivo prema podacima?

Učitavati samo na dotičnim stranicama s obrascima, putem Lazy Loada tek pri interakciji s obrascem, i učiniti to transparentnim u izjavi o zaštiti podataka. Prije toga provjeriti je li honeypot plus poslužiteljski filtar dovoljan.

Kako pomaže consentglass

Besplatno skeniranje provjerava isporučeni HTML i pokazuje koje su usluge ugrađene, je li otkrivena traka za kolačiće te jesu li poveznice na privatnost i impresum prisutne — s razvrstavanjem uz svako otkriće. Ne zamjenjuje pravni savjet.