Korištenje Google reCAPTCHA u skladu sa zaštitom podataka

Google reCAPTCHA analizira ponašanje korisnika za otkrivanje botova i učitava resurse s Googlea (SAD), često već pri učitavanju obrasca.

reCAPTCHA je poseban slučaj jer se svrha — zaštita od neželjene pošte i zlouporabe botova — načelno može osloniti na legitimni interes prema čl. 6. st. 1. t. (f) GDPR-a. To ipak ništa ne mijenja u pogledu § 25. TDDDG-a: čim reCAPTCHA v2/v3 učitava Googleove skripte i postavlja ili čita identifikatore koji nadilaze tehnički nužno, pristup krajnjem uređaju zahtijeva privolu. Sudska praksa ovdje još nije ujednačena; konzervativna linija je uključiti reCAPTCHA u privolu.

Praktični kompromis mnogih operatera: učitavati reCAPTCHA samo na stranicama koje stvarno sadrže obrazac (kontakt, prijava, registracija), a ne globalno preko predloška. To ograničava prijenos podataka na slučajeve u kojima ispunjava konkretnu zaštitnu svrhu i čini vaganje interesa otpornijim. reCAPTCHA v3, koja radi na svim stranicama radi stvaranja rezultata, znatno je teže opravdati s gledišta zaštite podataka.

Postoje štedljivije alternative koje potpuno izbjegavaju prijenos Googleu: hCaptcha (opcija hostinga u EU), Cloudflare Turnstile (bez vidljivog captche, bez kolačića), Friendly Captcha (hostirana u Njemačkoj) ili — za jednostavne obrasce — poslužiteljski honeypot plus ograničavanje broja zahtjeva. Za mnoge male web-stranice zadnja varijanta je dovoljna i prolazi bez ikakvog prijenosa trećoj strani.

Je li ovo rizik?

Zaštita od neželjene pošte može biti legitiman interes (čl. 6 st. 1 t. f GDPR-a). No ako reCAPTCHA postavlja nenužne identifikatore ili se učitava na svim stranicama, u obzir dolazi § 25 TDDDG. Prijenos u SAD treba obrazložiti.

Što možete učiniti

• reCAPTCHA učitavajte samo na stranicama s obrascima, ne globalno.
• Razmotrite alternative štedljive s podacima (npr. hCaptcha, honeypot, ograničenja na strani poslužitelja).
• U politici privatnosti navedite svrhu, pravnu osnovu, Google kao primatelja i prijenos u SAD.

Česta pitanja

Je li reCAPTCHA dopuštena bez banera za kolačiće?

Ocjenjuje se neujednačeno. Budući da reCAPTCHA učitava Googleove skripte i obrađuje identifikatore, konzervativna linija je uključiti je u privolu. Neki operateri temelje čistu uporabu na obrascu na legitimnom interesu — to je rizik.

Koja alternativa izbjegava prijenos Googleu?

Cloudflare Turnstile, hCaptcha s hostingom u EU ili Friendly Captcha ne prenose Googleu podatke. Za jednostavne obrasce često je dovoljan poslužiteljski honeypot s ograničavanjem broja zahtjeva.

Je li dovoljno učitavati reCAPTCHA samo na stranicama s obrascima?

To znatno smanjuje prijenos podataka i jača vaganje interesa, ali potpuno ne ukida pitanje privole prema § 25. TDDDG-a. Globalno pokrenuta reCAPTCHA v3 najteže se opravdava.

Što mora ući u izjavu o zaštiti podataka?

Svrha (zaštita od neželjene pošte/botova), pravna osnova, Google kao primatelj, prijenos u SAD i osnova prijenosa te napomena o Googleovim vlastitim odredbama o zaštiti podataka i uvjetima korištenja.

Kako pomaže consentglass

Besplatno skeniranje provjerava isporučeni HTML i pokazuje koje su usluge ugrađene, je li otkrivena traka za kolačiće te jesu li poveznice na privatnost i impresum prisutne — s razvrstavanjem uz svako otkriće. Ne zamjenjuje pravni savjet.