Google reCAPTCHA naudojimas laikantis duomenų apsaugos

Google reCAPTCHA analizuoja naudotojų elgseną robotų aptikimui ir įkelia išteklius iš Google (JAV), dažnai jau formos įkėlimo metu.

reCAPTCHA yra ypatingas atvejis, nes tikslą — apsaugą nuo šlamšto ir botų piktnaudžiavimo — iš esmės galima grįsti teisėtu interesu pagal BDAR 6 straipsnio 1 dalies f punktą. Tačiau tai nieko nekeičia dėl TDDDG 25 straipsnio: kai tik reCAPTCHA v2/v3 įkelia Google skriptus ir nustato ar nuskaito identifikatorius, viršijančius techniškai būtiną, prieigai prie galinio įrenginio reikia sutikimo. Teismų praktika čia dar nevienoda; konservatyvi linija — įtraukti reCAPTCHA į sutikimą.

Praktinis daugelio operatorių kompromisas: įkelti reCAPTCHA tik puslapiuose, kuriuose iš tikrųjų yra forma (kontaktai, prisijungimas, registracija), o ne visuotinai per šabloną. Tai apriboja duomenų perdavimą atvejais, kuriais jis atlieka konkrečią apsaugos funkciją, ir daro interesų palyginimą tvirtesnį. reCAPTCHA v3, kuri veikia visuose puslapiuose balui sudaryti, duomenų apsaugos požiūriu daug sunkiau pateisinama.

Yra taupesnių duomenims alternatyvų, kurios visiškai išvengia perdavimo Google: hCaptcha (ES prieglobos galimybė), Cloudflare Turnstile (be matomo captcha, be slapukų), Friendly Captcha (talpinama Vokietijoje) arba — paprastoms formoms — serverio pusės honeypot plius užklausų ribojimas. Daugeliui mažų svetainių pakanka paskutinio varianto, ir jis apsieina be jokio perdavimo trečiajai šaliai.

Ar tai rizika?

Apsauga nuo šlamšto gali būti teisėtas interesas (GDPR 6 str. 1 d. f punktas). Bet jei reCAPTCHA nustato nebūtinus identifikatorius arba įkeliamas visuose puslapiuose, svarstoma TDDDG § 25. Perdavimą į JAV reikia pagrįsti.

Ką galite padaryti

• Įkelkite reCAPTCHA tik puslapiuose su formomis, o ne visuotinai.
• Apsvarstykite duomenimis taupias alternatyvas (pvz., hCaptcha, honeypot, serverio pusės apribojimus).
• Privatumo politikoje nurodykite tikslą, teisinį pagrindą, Google kaip gavėją ir perdavimą į JAV.

Dažni klausimai

Ar reCAPTCHA leidžiama be slapukų juostos?

Vertinama nevienodai. Kadangi reCAPTCHA įkelia Google skriptus ir tvarko identifikatorius, konservatyvi linija — įtraukti ją į sutikimą. Kai kurie operatoriai grynai formos naudojimą grindžia teisėtu interesu — tai rizika.

Kuri alternatyva išvengia perdavimo Google?

Cloudflare Turnstile, hCaptcha su ES prieglobos paslaugomis arba Friendly Captcha neperduoda Google jokių duomenų. Paprastoms formoms dažnai pakanka serverio pusės honeypot su užklausų ribojimu.

Ar pakanka įkelti reCAPTCHA tik formų puslapiuose?

Tai gerokai sumažina duomenų perdavimą ir sustiprina interesų palyginimą, bet visiškai nepanaikina sutikimo klausimo pagal TDDDG 25 straipsnį. Visuotinai veikiančią reCAPTCHA v3 sunkiausia pateisinti.

Kas turi būti privatumo politikoje?

Tikslas (apsauga nuo šlamšto/botų), teisinis pagrindas, Google kaip gavėjas, perdavimas į JAV ir perdavimo pagrindas bei nuoroda į paties Google duomenų apsaugos nuostatas ir naudojimo sąlygas.

Kaip padeda consentglass

Nemokama patikra analizuoja pateiktą HTML ir parodo, kokios paslaugos įterptos, ar aptikta slapukų juosta ir ar yra nuorodos į privatumą bei kontaktinius duomenis — su klasifikacija prie kiekvieno radinio. Nepakeičia teisinės konsultacijos.