hCaptcha įterpimas laikantis BDAR

hCaptcha (hcaptcha.com, „Intuition Machines Inc.“, JAV) dažnai reklamuojama kaip privatumui palanki reCAPTCHA alternatyva. Ji nustato mažiau nuolatinių identifikatorių, bet vis tiek įkelia išorinius skriptus ir perduoda IP adresą į JAV.

hCaptcha dažnai pristatoma kaip duomenų apsaugai palankesnis pasirinkimas nei Google reCAPTCHA. Iš dalies tai tiesa: hCaptcha finansuojasi iš mokamų žymėjimo užduočių, o ne iš reklamos, pagal savo duomenis nenustato slapukų reklamos tikslais ir siūlo „Enterprise“ režimą su sumažintu duomenų tvarkymu. Tačiau pagrindinis procesas lieka toks pat: įkeliamas išorinis skriptas, IP adresas ir techniniai naršyklės požymiai perduodami „Intuition Machines“ į JAV.

Teisiniam vertinimui lemiama, ar iškvietimas yra „būtinai reikalingas“. TDDDG 25 straipsnio 2 dalies 2 punktas leidžia prieigą be sutikimo, jei ji būtinai reikalinga naudotojo aiškiai pageidaujamai paslaugai. Šlamšto apsauga prisijungimo formoje, kuri be CAPTCHA reguliariai atakuojama, gali patekti į šią kategoriją. CAPTCHA kiekvienoje kontaktų formoje „dėl viso pikto“ pagrįsti sunkiau — čia konservatyvios priežiūros institucijos reikalauja sutikimo arba švelnesnio sprendimo.

Techniškai duomenų perdavimą galima sumažinti, bet ne išvengti: valdiklį galima įkelti per Lazy Load tik sufokusavus formą, todėl vien puslapio lankytojai, nenaudojantys formos, nėra paveikiami. „Invisible“ režimas nieko nekeičia IP perdavime. Kas nori visiškai išvengti išorinio iškvietimo, turi pereiti prie serverio pusės metodų arba Friendly Captcha su ES prieglobos paslaugomis.

Ar tai rizika?

hCaptcha, rodydama formą, taip pat įkelia išteklius iš hcaptcha.com ir tuo metu perduoda IP adresą JAV paslaugų teikėjui. Ar ši prieiga yra „būtinai reikalinga“ pagal TDDDG 25 straipsnio 2 dalį, priklauso nuo konkretaus atvejo: prisijungimo ar registracijos formai su realia piktnaudžiavimo rizika tai pagrįsti lengviau nei paprastai kontaktų formai su nedideliu šlamšto kiekiu.

Ką galite padaryti

• Patikrinti, ar CAPTCHA apskritai reikalinga — mažoms kontaktų formoms dažnai pakanka honeypot laukų, laiko spąstų ar serverio pusės šlamšto filtro.
• Jei hCaptcha reikalinga: įkelti ją tik puslapiuose, kuriuose forma iš tikrųjų yra, o ne visuotinai poraštėje.
• hCaptcha valdiklį, jei įmanoma, įkelti tik po sąveikos su forma (Lazy Load), o ne atveriant puslapį.
• hCaptcha nurodyti privatumo politikoje su teikėju, tikslu (apsauga nuo šlamšto/botų), teisiniu pagrindu ir perdavimu į JAV; būtinumą dokumentuoti.

Dažni klausimai

Ar hCaptcha tikrai labiau atitinka BDAR nei reCAPTCHA?

Iš dalies: hCaptcha nenaudoja reklamos slapukų ir siūlo taupiau duomenis naudojančius režimus. Tačiau pagrindinis procesas — išorinis skriptas, IP perdavimas į JAV — yra panašus. Skirtumas labiau apimtyje nei principe.

Ar man reikia sutikimo dėl hCaptcha?

Jei naudojimas yra „būtinai reikalingas“ (pvz., prisijungimo apsauga esant realiai atakos rizikai), daug kas kalba už įterpimą be sutikimo pagal TDDDG 25 straipsnio 2 dalį. Paprastoms kontaktų formoms sutikimas arba sprendimas be CAPTCHA yra saugesnis pasirinkimas.

Kur perduodami duomenys?

„Intuition Machines Inc.“ į JAV. Perdavimas remiasi ES ir JAV duomenų privatumo sistema, kol teikėjas yra sertifikuotas, ir turi būti nurodytas privatumo politikoje.

Kaip įterpti hCaptcha taupant duomenis?

Įkelti tik atitinkamuose formų puslapiuose, per Lazy Load tik prasidėjus sąveikai su forma, ir tai skaidriai nurodyti privatumo politikoje. Prieš tai patikrinti, ar honeypot ir serverio pusės filtras pakanka.

Kaip padeda consentglass

Nemokama patikra analizuoja pateiktą HTML ir parodo, kokios paslaugos įterptos, ar aptikta slapukų juosta ir ar yra nuorodos į privatumą bei kontaktinius duomenis — su klasifikacija prie kiekvieno radinio. Nepakeičia teisinės konsultacijos.