hCaptcha を GDPR に準拠して組み込む

hCaptcha（hcaptcha.com、Intuition Machines Inc.、米国）は、プライバシーに配慮した reCAPTCHA の代替としてよく宣伝されます。永続的な識別子は少なめですが、それでも外部スクリプトを読み込み、IP アドレスを米国に送信します。

hCaptcha は、Google reCAPTCHA と比べてよりプライバシーに配慮した選択肢としてよく紹介されます。これは部分的には正しいです。hCaptcha は広告ではなく有償のラベリング作業で資金を得ており、広告目的で Cookie を設定しないとしており、データ処理を減らした「Enterprise」モードを提供しています。しかし基本的な流れは同じで、外部スクリプトが読み込まれ、IP アドレスとブラウザの技術的特性が米国の Intuition Machines に送信されます。

法的評価では、その呼び出しが「必要不可欠」かどうかが決め手になります。TDDDG 第25条2項2号は、ユーザーが明示的に求めたサービスに不可欠な場合、同意なしのアクセスを認めています。CAPTCHA なしでは定期的に攻撃されるログインフォームのスパム対策はこれに該当し得ます。「念のため」にすべての問い合わせフォームに置く CAPTCHA は正当化が難しく、慎重な監督機関は同意またはより穏当な解決策を求めます。

技術的には、データ送信は減らせても回避はできません。ウィジェットはフォームにフォーカスが当たったときにのみ遅延読み込みでき、フォームを使わない単なる訪問者は影響を受けません。「invisible」モードでも IP の送信は変わりません。外部呼び出しを完全になくしたい場合は、サーバー側の方法や EU ホスティングの Friendly Captcha に切り替える必要があります。

これはリスクですか？

hCaptcha もフォームの表示時に hcaptcha.com からリソースを読み込み、その際に IP アドレスを米国のプロバイダーに送信します。このアクセスが TDDDG 第25条2項の意味で「必要不可欠」かどうかは個別の事情によります。実際に不正利用のリスクがあるログインや登録フォームでは、スパムの少ない単純な問い合わせフォームよりも正当化しやすくなります。

対応方法

• そもそも CAPTCHA が必要か確認します。小さな問い合わせフォームでは、ハニーポットフィールド、時間トラップ、サーバー側スパムフィルターで十分なことがよくあります。
• hCaptcha が必要な場合：フッターにグローバルに置くのではなく、実際にフォームがあるページにのみ読み込みます。
• hCaptcha ウィジェットは、ページ読み込み時ではなく、できればフォームとの操作後に遅延読み込み（lazy load）します。
• hCaptcha をプライバシーポリシーに、提供者、目的（スパム／ボット対策）、法的根拠、米国移転とともに記載し、必要性を文書化します。

よくある質問

hCaptcha は本当に reCAPTCHA より GDPR に準拠していますか？

部分的には。hCaptcha は広告 Cookie を使わず、よりデータ節約的なモードを提供します。しかし中核の流れ（外部スクリプト、IP の米国送信）は同等です。違いは原則というより程度の問題です。

hCaptcha に同意は必要ですか？

利用が「必要不可欠」な場合（例：実際の攻撃リスクがあるログイン保護）、TDDDG 第25条2項に基づく同意なしの組み込みに十分な根拠があります。単純な問い合わせフォームでは、同意または CAPTCHA なしの解決策のほうが安全です。

データはどこに送信されますか？

米国の Intuition Machines Inc. です。移転は、提供者が認証されている限り EU-US Data Privacy Framework に基づき、プライバシーポリシーに記載する必要があります。

hCaptcha をデータ節約的に組み込むには？

該当するフォームページにのみ、フォーム操作時に遅延読み込みし、プライバシーポリシーで透明にします。事前に、ハニーポットとサーバー側フィルターで十分か確認します。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。