データ保護に配慮したGoogle reCAPTCHAの利用

Google reCAPTCHAはボット検出のためにユーザーの行動を分析し、Google（米国）からリソースを読み込みます。多くの場合、フォーム読み込み時にすでに実行されます。

reCAPTCHA は特殊なケースです。目的 — スパムとボット悪用からの保護 — は原則として GDPR 第6条第1項fによる正当な利益に基づけるからです。しかしそれは TDDDG 第25条を変えません。reCAPTCHA v2/v3 が Google からスクリプトを読み込み、技術的に必要な範囲を超えて識別子を設定・読み取るや否や、端末へのアクセスは同意が必要です。判例はここでまだ一貫していません。保守的な線は reCAPTCHA を同意に含めることです。

多くの事業者の実務的な妥協：reCAPTCHA を実際にフォームがあるページ（お問い合わせ、ログイン、登録）にのみ読み込み、テンプレート経由でグローバルに読み込まない。これによりデータ送信は具体的な保護目的を果たす場合に限定され、利益衡量がより堅固になります。スコアを形成するためにすべてのページで動く reCAPTCHA v3 は、データ保護の観点でかなり正当化しにくいです。

Google 移転を完全に回避する、よりデータ最小化された代替手段があります：hCaptcha（EU ホスティングオプション）、Cloudflare Turnstile（可視の captcha なし、Cookie なし）、Friendly Captcha（ドイツでホスティング）、または — 単純なフォームには — サーバーサイドのハニーポットとレート制限。多くの小規模サイトには最後の方式で十分で、第三者への送信を一切伴いません。

これはリスクですか？

スパム対策は正当な利益（GDPR第6条第1項f号）となり得ます。ただし、reCAPTCHAが不要な識別子を設定したり、すべてのページで読み込まれたりする場合は、TDDDG第25条が問題となります。米国への移転は正当化する必要があります。

対応方法

• reCAPTCHAはフォームがあるページのみで読み込み、サイト全体では読み込まないでください。
• データに配慮した代替手段（例：hCaptcha、ハニーポット、サーバーサイドの制限）を検討してください。
• プライバシーポリシーに、目的、法的根拠、Googleを受領者として、米国への移転を記載してください。

よくある質問

reCAPTCHA は Cookie バナーなしで許容されますか？

一貫しない判断です。reCAPTCHA は Google からスクリプトを読み込み識別子を処理するため、保守的な線は同意に含めることです。一部の事業者は純粋なフォーム利用を正当な利益に基づけていますが、これはリスクです。

Google 移転を回避する代替手段は？

Cloudflare Turnstile、EU ホスティングの hCaptcha、Friendly Captcha は Google にデータを送信しません。単純なフォームには、レート制限付きのサーバーサイドハニーポットで十分なことが多いです。

reCAPTCHA をフォームページにのみ読み込めば十分ですか？

データ送信を大幅に減らし利益衡量を強化しますが、TDDDG 第25条による同意の問題を完全にはなくしません。グローバルに動く reCAPTCHA v3 が最も正当化しにくいです。

プライバシーポリシーに何を記載すべきですか？

目的（スパム・ボット保護）、法的根拠、受信者としての Google、米国への移転とその根拠、加えて Google 自身のプライバシー規約と利用規約への参照。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。