Google reCAPTCHA használata adatvédelmi szempontból

A Google reCAPTCHA a felhasználói viselkedést elemzi botfelismeréshez, és erőforrásokat tölt be a Google-től (USA), gyakran már az űrlap betöltésekor.

A reCAPTCHA különleges eset, mert a cél — a spam és a botokkal való visszaélés elleni védelem — alapvetően jogos érdekre alapozható a GDPR 6. cikk (1) bekezdés f) pontja szerint. Ez azonban semmit sem változtat a TDDDG 25. §-án: amint a reCAPTCHA v2/v3 Google-szkripteket tölt be, és a technikailag szükségesen túlmutató azonosítókat állít be vagy olvas ki, a végberendezéshez való hozzáférés hozzájáruláshoz kötött. A joggyakorlat itt még nem egységes; a konzervatív irányvonal az, hogy a reCAPTCHA-t felveszik a hozzájárulásba.

Sok üzemeltető gyakorlati kompromisszuma: a reCAPTCHA-t csak azokon az oldalakon betölteni, amelyek ténylegesen tartalmaznak űrlapot (kapcsolat, bejelentkezés, regisztráció), és nem globálisan a sablonon keresztül. Ez azokra az esetekre korlátozza az adattovábbítást, amelyekben az konkrét védelmi célt tölt be, és ellenállóbbá teszi az érdekmérlegelést. A reCAPTCHA v3, amely minden oldalon fut egy pontszám kialakításához, adatvédelmi szempontból lényegesen nehezebben indokolható.

Vannak adattakarékosabb alternatívák, amelyek teljesen elkerülik a Google-továbbítást: hCaptcha (EU-s tárhelyopció), Cloudflare Turnstile (nincs látható captcha, nincsenek sütik), Friendly Captcha (Németországban hostolva) vagy — egyszerű űrlapokhoz — egy szerveroldali honeypot plusz kéréskorlátozás. Sok kis weboldal számára az utolsó változat elegendő, és minden harmadik félnek történő továbbítás nélkül boldogul.

Kockázat ez?

A spamvédelem lehet jogos érdek (GDPR 6. cikk (1) f) pont). Ha azonban a reCAPTCHA nem szükséges azonosítókat állít be, vagy minden oldalon betölt, szóba jön a német TDDDG 25. §. Az USA-továbbítást indokolni kell.

Mit tehet

• A reCAPTCHA-t csak űrlapos oldalakon töltse be, ne globálisan.
• Fontoljon meg adattakarékos alternatívákat (pl. hCaptcha, honeypot, szerveroldali korlátozások).
• Az adatvédelmi tájékoztatóban nevezze meg a célt, a jogalapot, a Google-t mint címzettet és az USA-továbbítást.

Gyakori kérdések

Megengedett a reCAPTCHA süti-sáv nélkül?

Nem egységesen ítélik meg. Mivel a reCAPTCHA Google-szkripteket tölt be és azonosítókat dolgoz fel, a konzervatív irányvonal az, hogy felveszik a hozzájárulásba. Egyes üzemeltetők a tisztán űrlapos használatot jogos érdekre alapozzák — ez kockázat.

Melyik alternatíva kerüli el a Google-továbbítást?

A Cloudflare Turnstile, a hCaptcha EU-s tárhellyel vagy a Friendly Captcha nem továbbít adatokat a Google-nak. Egyszerű űrlapokhoz gyakran elég egy szerveroldali honeypot kéréskorlátozással.

Elég a reCAPTCHA-t csak űrlapoldalakon betölteni?

Jelentősen csökkenti az adattovábbítást és erősíti az érdekmérlegelést, de a TDDDG 25. §-a szerinti hozzájárulási kérdést nem szünteti meg teljesen. A globálisan futó reCAPTCHA v3-at a legnehezebb indokolni.

Mit kell az adatvédelmi tájékoztatóba írni?

Cél (spam-/botvédelem), jogalap, a Google mint címzett, az USA-ba történő továbbítás és a továbbítás jogalapja, valamint utalás a Google saját adatvédelmi rendelkezéseire és felhasználási feltételeire.

Hogyan segít a consentglass

Az ingyenes ellenőrzés megvizsgálja a kiszolgált HTML-t, és megmutatja, mely szolgáltatások vannak beágyazva, felismerhető-e a sütisáv, és megvannak-e az adatvédelmi és impresszumhivatkozások — minden megállapításnál besorolással. Nem helyettesíti a jogi tanácsadást.