A hCaptcha beépítése a GDPR-nak megfelelően

A hCaptchát (hcaptcha.com, Intuition Machines Inc., USA) gyakran a reCAPTCHA adatvédelembarát alternatívájaként reklámozzák. Kevesebb tartós azonosítót állít be, mégis külső szkripteket tölt be, és továbbítja az IP-címet az USA-ba.

A hCaptchát gyakran a Google reCAPTCHA-hoz képest adatvédelembarátabb választásként ábrázolják. Ez részben igaz: a hCaptcha fizetett címkézési feladatokból finanszírozza magát a reklám helyett, saját állítása szerint nem állít be sütiket reklámcélokra, és kínál egy csökkentett adatkezeléssel járó „Enterprise“ módot. Az alapvető folyamat azonban ugyanaz marad: betöltődik egy külső szkript, az IP-cím és a böngésző technikai jellemzői továbbításra kerülnek az Intuition Machines-hez az USA-ba.

A jogi értékelés szempontjából döntő, hogy a hívás „feltétlenül szükséges“-e. A TDDDG 25. § (2) bekezdés 2. pontja megengedi a hozzájárulás nélküli hozzáféréseket, ha azok a felhasználó által kifejezetten kívánt szolgáltatáshoz feltétlenül szükségesek. Egy bejelentkezési űrlap spamvédelme, amelyet CAPTCHA nélkül rendszeresen támadnak, ez alá eshet. Egy CAPTCHA minden kapcsolatfelvételi űrlapon „a biztonság kedvéért“ nehezebben indokolható — itt a konzervatív felügyeleti hatóságok hozzájárulást vagy enyhébb megoldást követelnek.

Technikailag az adattovábbítás csökkenthető, de nem kerülhető el: a widget Lazy Loaddal csak az űrlap fókuszálásakor tölthető be, így a puszta oldallátogatók az űrlap használata nélkül nem érintettek. Az „invisible“ mód semmit sem változtat az IP továbbításán. Aki teljesen külső hívás nélkül szeretné megoldani, annak szerveroldali eljárásokra vagy EU-s tárhelyű Friendly Captcha-ra kell váltania.

Kockázat ez?

A hCaptcha is betölt az űrlap megjelenítésekor erőforrásokat a hcaptcha.com-ról, és eközben továbbítja az IP-címet egy USA-beli szolgáltatónak. Hogy ez a hozzáférés „feltétlenül szükséges“-e a TDDDG 25. § (2) bekezdése értelmében, az egyedi esettől függ: egy valós visszaélési kockázattal járó bejelentkezési vagy regisztrációs űrlap esetén ez könnyebben indokolható, mint egy egyszerű, kevés spammel járó kapcsolatfelvételi űrlapnál.

Mit tehet

• Ellenőrizni, hogy egyáltalán szükség van-e CAPTCHA-ra — kis kapcsolatfelvételi űrlapoknál gyakran elegendők a honeypot mezők, időcsapdák vagy egy szerveroldali spamszűrő.
• Ha a hCaptcha szükséges: csak azokon az oldalakon betölteni, ahol az űrlap ténylegesen van, ne globálisan a láblécben.
• A hCaptcha widgetet lehetőleg csak az űrlappal való interakció után utólag betölteni (Lazy Load), ne az oldal megnyitásakor.
• A hCaptchát az adatvédelmi tájékoztatóban megnevezni a szolgáltatóval, a céllal (spam-/botvédelem), a jogalappal és az USA-ba történő továbbítással; a szükségességet dokumentálni.

Gyakori kérdések

A hCaptcha valóban jobban megfelel a GDPR-nak, mint a reCAPTCHA?

Részben: a hCaptcha nem használ reklámsütiket, és adattakarékosabb módokat kínál. Az alapfolyamat — külső szkript, IP továbbítása az USA-ba — azonban hasonló. A különbség inkább a mértékben van, mint az elvben.

Szükségem van hozzájárulásra a hCaptcha-hoz?

Ha az alkalmazás „feltétlenül szükséges“ (pl. bejelentkezés-védelem valós támadási kockázat esetén), sok minden szól a hozzájárulás nélküli beépítés mellett a TDDDG 25. § (2) bekezdése szerint. Egyszerű kapcsolatfelvételi űrlapoknál a hozzájárulás vagy a CAPTCHA-mentes megoldás a biztosabb választás.

Hová történik az adattovábbítás?

Az Intuition Machines Inc.-hez az USA-ba. A továbbítás az EU-USA adatvédelmi keretrendszerre támaszkodik, amíg a szolgáltató tanúsítvánnyal rendelkezik, és szerepelnie kell az adatvédelmi tájékoztatóban.

Hogyan építsem be a hCaptchát adattakarékosan?

Csak az érintett űrlapoldalakon betölteni, Lazy Loaddal csak az űrlappal való interakciókor, és az adatvédelmi tájékoztatóban átláthatóvá tenni. Előtte ellenőrizni, hogy a honeypot plusz egy szerveroldali szűrő elegendő-e.

Hogyan segít a consentglass

Az ingyenes ellenőrzés megvizsgálja a kiszolgált HTML-t, és megmutatja, mely szolgáltatások vannak beágyazva, felismerhető-e a sütisáv, és megvannak-e az adatvédelmi és impresszumhivatkozások — minden megállapításnál besorolással. Nem helyettesíti a jogi tanácsadást.