Menyematkan hCaptcha sesuai GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., AS) sering dipromosikan sebagai alternatif reCAPTCHA yang ramah privasi. Ia menetapkan lebih sedikit pengenal permanen, tetapi tetap memuat skrip eksternal dan mengirimkan alamat IP ke AS.

hCaptcha sering digambarkan sebagai pilihan yang lebih ramah perlindungan data dibandingkan Google reCAPTCHA. Sebagian benar: hCaptcha membiayai diri melalui tugas pelabelan berbayar alih-alih iklan, menurut keterangannya sendiri tidak menetapkan cookie untuk tujuan iklan, dan menawarkan mode „Enterprise“ dengan pemrosesan data yang dikurangi. Namun proses dasarnya tetap sama: skrip eksternal dimuat, alamat IP dan ciri teknis peramban dikirim ke Intuition Machines di AS.

Untuk penilaian hukum, yang menentukan adalah apakah pemanggilan itu „mutlak diperlukan“. § 25 ayat 2 no. 2 TDDDG mengizinkan akses tanpa persetujuan jika mutlak diperlukan untuk layanan yang secara tegas diinginkan pengguna. Perlindungan spam pada formulir masuk yang tanpa CAPTCHA secara rutin diserang dapat termasuk di dalamnya. CAPTCHA pada setiap formulir kontak „untuk jaga-jaga“ lebih sulit dibenarkan — di sini otoritas pengawas yang konservatif menuntut persetujuan atau solusi yang lebih ringan.

Secara teknis transfer data dapat dikurangi, tetapi tidak dapat dihindari: widget dapat dimuat melalui Lazy Load baru saat formulir difokuskan, sehingga pengunjung halaman biasa tanpa menggunakan formulir tidak terpengaruh. Mode „invisible“ tidak mengubah apa pun pada pengiriman IP. Siapa yang ingin sepenuhnya tanpa pemanggilan eksternal harus beralih ke metode sisi server atau Friendly Captcha dengan hosting Uni Eropa.

Apakah ini risiko?

hCaptcha juga memuat sumber daya dari hcaptcha.com saat formulir ditampilkan dan pada saat itu mengirimkan alamat IP ke penyedia AS. Apakah akses ini „mutlak diperlukan“ dalam arti § 25 ayat 2 TDDDG bergantung pada kasus per kasus: untuk formulir masuk atau pendaftaran dengan risiko penyalahgunaan nyata, hal ini lebih mudah dibenarkan daripada untuk formulir kontak sederhana dengan sedikit spam.

Apa yang dapat Anda lakukan

• Periksa apakah CAPTCHA memang diperlukan — untuk formulir kontak kecil, sering kali cukup dengan bidang honeypot, jebakan waktu, atau filter spam sisi server.
• Jika hCaptcha diperlukan: muat hanya di halaman tempat formulir benar-benar berada, bukan secara global di footer.
• Jika memungkinkan, muat widget hCaptcha baru setelah interaksi dengan formulir (Lazy Load), bukan saat halaman dibuka.
• Sebutkan hCaptcha dalam kebijakan privasi dengan penyedia, tujuan (perlindungan spam/bot), dasar hukum, dan transfer ke AS; dokumentasikan keperluannya.

Pertanyaan yang sering diajukan

Apakah hCaptcha benar-benar lebih sesuai GDPR daripada reCAPTCHA?

Sebagian: hCaptcha tidak menggunakan cookie iklan dan menawarkan mode yang lebih hemat data. Namun proses intinya — skrip eksternal, pengiriman IP ke AS — sebanding. Perbedaannya lebih pada cakupan daripada prinsip.

Apakah saya memerlukan persetujuan untuk hCaptcha?

Jika penggunaannya „mutlak diperlukan“ (mis. perlindungan login pada risiko serangan nyata), banyak hal mendukung penyematan tanpa persetujuan menurut § 25 ayat 2 TDDDG. Untuk formulir kontak sederhana, persetujuan atau solusi tanpa CAPTCHA adalah pilihan yang lebih aman.

Ke mana data dikirim?

Ke Intuition Machines Inc. di AS. Transfer bersandar pada EU-US Data Privacy Framework selama penyedia bersertifikat, dan harus tercantum dalam kebijakan privasi.

Bagaimana menyematkan hCaptcha secara hemat data?

Muat hanya di halaman formulir yang bersangkutan, melalui Lazy Load baru saat interaksi formulir, dan buat transparan dalam kebijakan privasi. Sebelumnya periksa apakah honeypot plus filter sisi server sudah cukup.

Bagaimana consentglass membantu

Pemeriksaan gratis menganalisis HTML yang disajikan dan menunjukkan layanan apa yang tersemat, apakah banner cookie terdeteksi, dan apakah ada tautan ke privasi dan informasi kontak — dengan klasifikasi untuk setiap temuan. Tidak menggantikan nasihat hukum.