Usare Google reCAPTCHA nel rispetto della privacy

Google reCAPTCHA analizza il comportamento dell'utente per il rilevamento dei bot e carica risorse di Google (USA), spesso già al caricamento del modulo.

reCAPTCHA è un caso particolare perché la finalità — protezione da spam e abuso di bot — può in linea di principio fondarsi su un legittimo interesse ai sensi dell'art. 6 c. 1 lett. f GDPR. Ciò non cambia nulla riguardo all'art. 25 TDDDG: non appena reCAPTCHA v2/v3 carica script da Google e imposta o legge identificatori oltre il tecnicamente necessario, l'accesso al dispositivo è soggetto a consenso. La giurisprudenza è ancora incoerente qui; la linea prudente è includere reCAPTCHA nel consenso.

Il compromesso pratico di molti gestori: caricare reCAPTCHA solo sulle pagine che contengono effettivamente un modulo (contatto, login, registrazione), e non globalmente tramite il template. Questo limita la trasmissione dei dati ai casi in cui adempie a uno scopo di protezione concreto e rende il bilanciamento più solido. reCAPTCHA v3, che gira su tutte le pagine per formare un punteggio, è nettamente più difficile da giustificare in termini di protezione dei dati.

Esistono alternative più minimizzanti che evitano del tutto il trasferimento a Google: hCaptcha (opzione di hosting UE), Cloudflare Turnstile (nessun captcha visibile, nessun cookie), Friendly Captcha (ospitato in Germania) o — per moduli semplici — un honeypot lato server più rate limiting. Per molti piccoli siti l'ultima variante è sufficiente e fa a meno di qualsiasi trasmissione a terzi.

È un rischio?

La protezione dallo spam può essere un interesse legittimo (art. 6 c. 1 lett. f GDPR). Se però reCAPTCHA imposta identificatori non necessari o si carica su tutte le pagine, entra in gioco il § 25 TDDDG. Il trasferimento negli USA va giustificato.

Cosa puoi fare

• Caricare reCAPTCHA solo sulle pagine con moduli, non globalmente.
• Valutare alternative parche di dati (es. hCaptcha, honeypot, rate limit lato server).
• Nell'informativa privacy nominare la finalità, la base giuridica, Google come destinatario e il trasferimento negli USA.

Domande frequenti

reCAPTCHA è ammesso senza banner cookie?

Valutato in modo incoerente. Poiché reCAPTCHA carica script da Google e tratta identificatori, la linea prudente è includerlo nel consenso. Alcuni gestori fondano un uso puramente su modulo su un legittimo interesse — è un rischio.

Quale alternativa evita il trasferimento a Google?

Cloudflare Turnstile, hCaptcha con hosting UE o Friendly Captcha non trasmettono dati a Google. Per moduli semplici basta spesso un honeypot lato server con rate limiting.

Basta caricare reCAPTCHA solo sulle pagine con modulo?

Riduce notevolmente la trasmissione dei dati e rafforza il bilanciamento, ma non elimina del tutto la questione del consenso ai sensi dell'art. 25 TDDDG. reCAPTCHA v3 che gira globalmente è il più difficile da giustificare.

Cosa deve essere nell'informativa privacy?

Finalità (protezione anti-spam/bot), base giuridica, Google come destinatario, il trasferimento verso gli USA e la sua base, oltre a un rimando alle condizioni di privacy e d'uso di Google.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.