Bygge inn hCaptcha i samsvar med GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., USA) markedsføres ofte som et personvernvennlig alternativ til reCAPTCHA. Det setter færre varige identifikatorer, men laster likevel eksterne skript og overfører IP-adressen til USA.

hCaptcha fremstilles ofte som det mer personvernvennlige valget sammenlignet med Google reCAPTCHA. Det stemmer delvis: hCaptcha finansierer seg gjennom betalte merkeoppgaver i stedet for reklame, setter etter egne opplysninger ikke informasjonskapsler for reklameformål og tilbyr en „Enterprise“-modus med redusert databehandling. Den grunnleggende prosessen forblir imidlertid den samme: et eksternt skript lastes, IP-adressen og tekniske nettlesertrekk overføres til Intuition Machines i USA.

For den rettslige vurderingen er det avgjørende om kallet er „absolutt nødvendig“. § 25 nr. 2 bokstav 2 TDDDG tillater tilganger uten samtykke dersom de er absolutt nødvendige for en tjeneste brukeren uttrykkelig har bedt om. Spambeskyttelse på et innloggingsskjema som uten CAPTCHA angripes regelmessig, kan falle inn under dette. En CAPTCHA på hvert kontaktskjema „for sikkerhets skyld“ er vanskeligere å begrunne — her krever konservative tilsynsmyndigheter samtykke eller en mildere løsning.

Teknisk kan dataoverføringen reduseres, men ikke unngås: widgeten kan med Lazy Load lastes først når skjemaet fokuseres, slik at rene sidebesøkende uten skjemabruk ikke berøres. „Invisible“-modusen endrer ingenting ved IP-overføringen. Den som vil klare seg helt uten et eksternt kall, må gå over til metoder på serversiden eller til Friendly Captcha med EU-hosting.

Er dette en risiko?

Også hCaptcha laster ved visning av skjemaet ressurser fra hcaptcha.com og overfører dermed IP-adressen til en amerikansk leverandør. Om denne tilgangen er „absolutt nødvendig“ i betydningen § 25 nr. 2 TDDDG, avhenger av det enkelte tilfellet: for et innloggings- eller registreringsskjema med reell misbruksrisiko lar det seg lettere begrunne enn for et enkelt kontaktskjema med lite spam.

Hva du kan gjøre

• Sjekk om en CAPTCHA i det hele tatt er nødvendig — for små kontaktskjemaer holder det ofte med honeypot-felter, tidsfeller eller et spamfilter på serversiden.
• Hvis hCaptcha er nødvendig: last det bare på sidene der skjemaet faktisk står, ikke globalt i bunnteksten.
• Last hCaptcha-widgeten helst først etter interaksjon med skjemaet (Lazy Load), ikke ved sideåpning.
• Nevn hCaptcha i personvernerklæringen med leverandør, formål (spam-/botbeskyttelse), rettsgrunnlag og USA-overføring; dokumenter nødvendigheten.

Vanlige spørsmål

Er hCaptcha virkelig mer GDPR-konform enn reCAPTCHA?

Delvis: hCaptcha bruker ikke reklameinformasjonskapsler og tilbyr mer datavennlige moduser. Kjerneprosessen — eksternt skript, IP-overføring til USA — er imidlertid sammenlignbar. Forskjellen ligger mer i omfanget enn i prinsippet.

Trenger jeg et samtykke for hCaptcha?

Hvis bruken er „absolutt nødvendig“ (f.eks. innloggingsbeskyttelse ved reell angrepsrisiko), taler mye for innbygging uten samtykke etter § 25 nr. 2 TDDDG. Ved enkle kontaktskjemaer er samtykke eller en CAPTCHA-fri løsning det tryggere valget.

Hvor overføres dataene?

Til Intuition Machines Inc. i USA. Overføringen støtter seg på EU-US Data Privacy Framework så lenge leverandøren er sertifisert, og må stå i personvernerklæringen.

Hvordan bygger jeg inn hCaptcha datavennlig?

Last det bare på de aktuelle skjemasidene, med Lazy Load først ved skjemainteraksjon, og gjør det transparent i personvernerklæringen. Sjekk på forhånd om honeypot pluss et serversidefilter er tilstrekkelig.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.