Bruk av Google reCAPTCHA i samsvar med personvern

Google reCAPTCHA analyserer brukeratferd for å oppdage roboter, og laster ressurser fra Google (USA), ofte allerede når skjemaet lastes.

reCAPTCHA er et spesialtilfelle, fordi formålet — beskyttelse mot spam og botmisbruk — i prinsippet kan bygge på en berettiget interesse etter GDPR artikkel 6 nr. 1 bokstav f. Det endrer likevel ingenting ved § 25 TDDDG: så snart reCAPTCHA v2/v3 laster skript fra Google og setter eller leser identifikatorer som går ut over det teknisk nødvendige, krever tilgangen til terminalutstyret samtykke. Rettspraksis er her fortsatt ikke enhetlig; den konservative linjen er å ta reCAPTCHA med i samtykket.

Det praktiske kompromisset til mange operatører: å laste reCAPTCHA bare på sidene som faktisk inneholder et skjema (kontakt, innlogging, registrering), og ikke globalt via malen. Det begrenser dataoverføringen til tilfellene der den oppfyller et konkret beskyttelsesformål, og gjør interesseavveiningen mer holdbar. reCAPTCHA v3, som kjører på alle sider for å danne en score, er betydelig vanskeligere å begrunne personvernrettslig.

Det finnes mer dataøkonomiske alternativer som helt unngår Google-overføringen: hCaptcha (EU-hostingalternativ), Cloudflare Turnstile (ingen synlig captcha, ingen informasjonskapsler), Friendly Captcha (hostet i Tyskland) eller — for enkle skjemaer — en serverbasert honeypot pluss ratebegrensning. For mange små nettsteder holder det siste alternativet, og det klarer seg uten enhver overføring til tredjepart.

Er dette en risiko?

Beskyttelse mot spam kan være en berettiget interesse (art. 6 stk. 1 bokstav f GDPR). Men dersom reCAPTCHA setter unødvendige identifikatorer eller lastes på alle sider, blir § 25 TDDDG relevant. Overføringen til USA må begrunnes.

Hva du kan gjøre

• Last reCAPTCHA kun på sider med skjemaer, ikke globalt.
• Vurder datasparsomme alternativer (f.eks. hCaptcha, honeypot, begrensninger på serversiden).
• Oppgi i personvernerklæringen formålet, rettslig grunnlag, Google som mottaker og overføringen til USA.

Vanlige spørsmål

Er reCAPTCHA tillatt uten informasjonskapsel-banner?

Vurderes ulikt. Siden reCAPTCHA laster skript fra Google og behandler identifikatorer, er den konservative linjen å ta det med i samtykket. Noen operatører bygger ren skjemabruk på en berettiget interesse — det er en risiko.

Hvilket alternativ unngår Google-overføringen?

Cloudflare Turnstile, hCaptcha med EU-hosting eller Friendly Captcha overfører ingen data til Google. For enkle skjemaer holder det ofte med en serverbasert honeypot med ratebegrensning.

Er det nok å laste reCAPTCHA bare på skjemasider?

Det reduserer dataoverføringen betydelig og styrker interesseavveiningen, men opphever ikke fullt ut samtykkespørsmålet etter § 25 TDDDG. Globalt kjørende reCAPTCHA v3 er vanskeligst å begrunne.

Hva må stå i personvernerklæringen?

Formål (spam-/botbeskyttelse), rettsgrunnlag, Google som mottaker, USA-overføringen og overføringsgrunnlaget samt en henvisning til Googles egne personvernbestemmelser og bruksvilkår.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.