데이터 보호를 준수하는 Google reCAPTCHA 사용

Google reCAPTCHA는 봇 탐지를 위해 사용자 행동을 분석하며 Google(미국)로부터 리소스를 불러옵니다. 흔히 양식이 로드될 때 이미 실행됩니다.

reCAPTCHA는 특수 사례입니다. 목적 — 스팸과 봇 남용으로부터의 보호 — 을 원칙적으로 GDPR 제6조 제1항 f호에 따른 정당한 이익에 근거할 수 있기 때문입니다. 그러나 이는 TDDDG 제25조를 바꾸지 않습니다. reCAPTCHA v2/v3가 Google 스크립트를 로드하고 기술적으로 필요한 범위를 넘어서는 식별자를 설정하거나 읽는 순간, 단말기 접근은 동의가 필요합니다. 여기서 판례는 아직 일관되지 않습니다. 보수적인 노선은 reCAPTCHA를 동의에 포함하는 것입니다.

많은 운영자의 실용적 절충안: reCAPTCHA를 실제로 양식(문의, 로그인, 가입)을 포함하는 페이지에만 로드하고 템플릿을 통해 전역적으로 로드하지 않는 것입니다. 이는 데이터 전송을 구체적인 보호 목적을 충족하는 경우로 제한하고 이익 형량을 더 견고하게 만듭니다. 점수를 형성하기 위해 모든 페이지에서 실행되는 reCAPTCHA v3는 데이터 보호법상 훨씬 정당화하기 어렵습니다.

Google 전송을 완전히 피하는 더 데이터 절약적인 대안이 있습니다. hCaptcha(EU 호스팅 옵션), Cloudflare Turnstile(보이는 captcha 없음, 쿠키 없음), Friendly Captcha(독일에서 호스팅) 또는 — 간단한 양식의 경우 — 서버 측 허니팟과 속도 제한입니다. 많은 소규모 웹사이트에는 마지막 방식으로 충분하며 제3자 전송 없이 처리됩니다.

이것은 위험한가요?

스팸 방지는 정당한 이익(GDPR 제6조 제1항 f호)에 해당할 수 있습니다. 그러나 reCAPTCHA가 불필요한 식별자를 설정하거나 모든 페이지에서 로드되는 경우, TDDDG 제25조가 문제될 수 있습니다. 미국으로의 이전은 정당화되어야 합니다.

할 수 있는 조치

• reCAPTCHA는 양식이 있는 페이지에서만 로드하고, 전체 사이트에 걸쳐 로드하지 마세요.
• 데이터 측면에서 더 절제된 대안(예: hCaptcha, 허니팟, 서버 측 제한)을 고려하세요.
• 개인정보처리방침에 목적, 법적 근거, Google을 수신자로, 미국으로의 이전을 명시하세요.

자주 묻는 질문

reCAPTCHA를 쿠키 배너 없이 사용해도 됩니까?

판단이 일관되지 않습니다. reCAPTCHA가 Google 스크립트를 로드하고 식별자를 처리하므로 보수적인 노선은 이를 동의에 포함하는 것입니다. 일부 운영자는 순수 양식 사용을 정당한 이익에 근거합니다 — 이는 위험입니다.

어떤 대안이 Google 전송을 피합니까?

Cloudflare Turnstile, EU 호스팅을 사용하는 hCaptcha 또는 Friendly Captcha는 Google로 데이터를 전송하지 않습니다. 간단한 양식에는 속도 제한이 있는 서버 측 허니팟으로 충분한 경우가 많습니다.

reCAPTCHA를 양식 페이지에만 로드하면 충분합니까?

데이터 전송을 크게 줄이고 이익 형량을 강화하지만, TDDDG 제25조에 따른 동의 문제를 완전히 해소하지는 않습니다. 전역적으로 실행되는 reCAPTCHA v3가 가장 정당화하기 어렵습니다.

개인정보 처리방침에 무엇이 들어가야 합니까?

목적(스팸/봇 방지), 법적 근거, 수신자로서의 Google, 미국 전송과 전송 근거, 그리고 Google 자체의 개인정보 보호 규정 및 이용약관에 대한 안내.

consentglass가 도와드리는 방법

무료 검사는 제공된 HTML을 분석하여 어떤 서비스가 내장되어 있는지, 쿠키 배너가 감지되는지, 개인정보처리방침 및 사업자 정보 링크가 있는지 각 발견 사항에 대한 분류와 함께 보여줍니다. 법률 자문을 대체하지 않습니다.