Google reCAPTCHA lietošana atbilstoši datu aizsardzībai

Google reCAPTCHA analizē lietotāju uzvedību botu atklāšanai un ielādē resursus no Google (ASV), bieži jau veidlapas ielādē.

reCAPTCHA ir īpašs gadījums, jo mērķi — aizsardzību pret mēstulēm un botu ļaunprātīgu izmantošanu — principā var balstīt uz leģitīmām interesēm saskaņā ar VDAR 6. panta 1. punkta f) apakšpunktu. Taču tas neko nemaina attiecībā uz TDDDG 25. pantu: tiklīdz reCAPTCHA v2/v3 ielādē Google skriptus un iestata vai nolasa identifikatorus, kas pārsniedz tehniski nepieciešamo, piekļuvei galiekārtai nepieciešama piekrišana. Tiesu prakse šeit vēl nav vienota; konservatīvā līnija ir iekļaut reCAPTCHA piekrišanā.

Daudzu operatoru praktiskais kompromiss: ielādēt reCAPTCHA tikai lapās, kurās patiešām ir veidlapa (kontakti, pieteikšanās, reģistrācija), nevis globāli caur veidni. Tas ierobežo datu pārsūtīšanu uz gadījumiem, kuros tā pilda konkrētu aizsardzības mērķi, un padara interešu izvērtēšanu noturīgāku. reCAPTCHA v3, kas darbojas visās lapās, lai izveidotu rezultātu, datu aizsardzības ziņā ir ievērojami grūtāk pamatot.

Ir datu taupīgākas alternatīvas, kas pilnībā izvairās no pārsūtīšanas Google: hCaptcha (ES mitināšanas iespēja), Cloudflare Turnstile (bez redzama captcha, bez sīkfailiem), Friendly Captcha (mitināta Vācijā) vai — vienkāršām veidlapām — servera puses honeypot plus pieprasījumu ierobežošana. Daudzām mazām tīmekļa vietnēm pēdējais variants ir pietiekams un iztiek bez jebkādas pārsūtīšanas trešajai personai.

Vai tas ir risks?

Aizsardzība pret surogātpastu var būt leģitīma interese (GDPR 6. panta 1. daļas f) apakšpunkts). Bet ja reCAPTCHA iestata nevajadzīgus identifikatorus vai ielādējas visās lapās, tiek apsvērts TDDDG § 25. Nodošana uz ASV ir jāpamato.

Ko jūs varat darīt

• Ielādējiet reCAPTCHA tikai lapās ar veidlapām, nevis globāli.
• Apsveriet ar datiem taupīgas alternatīvas (piem., hCaptcha, honeypot, servera puses ierobežojumi).
• Privātuma politikā norādiet mērķi, juridisko pamatu, Google kā saņēmēju un nodošanu uz ASV.

Biežāk uzdotie jautājumi

Vai reCAPTCHA ir atļauta bez sīkfailu banera?

Vērtē nevienādi. Tā kā reCAPTCHA ielādē Google skriptus un apstrādā identifikatorus, konservatīvā līnija ir iekļaut to piekrišanā. Daži operatori tīri veidlapas izmantošanu balsta uz leģitīmām interesēm — tas ir risks.

Kura alternatīva izvairās no pārsūtīšanas Google?

Cloudflare Turnstile, hCaptcha ar ES mitināšanu vai Friendly Captcha nepārsūta Google nekādus datus. Vienkāršām veidlapām bieži pietiek ar servera puses honeypot ar pieprasījumu ierobežošanu.

Vai pietiek ielādēt reCAPTCHA tikai veidlapu lapās?

Tas ievērojami samazina datu pārsūtīšanu un stiprina interešu izvērtēšanu, taču pilnībā neatceļ piekrišanas jautājumu saskaņā ar TDDDG 25. pantu. Globāli darbojošos reCAPTCHA v3 ir visgrūtāk pamatot.

Kas jāiekļauj privātuma politikā?

Mērķis (aizsardzība pret mēstulēm/botiem), juridiskais pamats, Google kā saņēmējs, pārsūtīšana uz ASV un pārsūtīšanas pamats, kā arī norāde uz paša Google datu aizsardzības noteikumiem un lietošanas noteikumiem.

Kā palīdz consentglass

Bezmaksas pārbaude analizē piegādāto HTML un parāda, kuri pakalpojumi ir iegulti, vai ir atpazīta sīkdatņu josla un vai ir saites uz privātumu un kontaktinformāciju — ar klasifikāciju pie katra atklājuma. Neaizstāj juridisku konsultāciju.