Google reCAPTCHA privacyvriendelijk inzetten

Google reCAPTCHA analyseert gebruikersgedrag voor botdetectie en laadt resources van Google (VS), vaak al bij het laden van het formulier.

reCAPTCHA is een bijzonder geval omdat het doel — bescherming tegen spam en botmisbruik — in beginsel op een gerechtvaardigd belang op grond van art. 6 lid 1 sub f AVG kan worden gebaseerd. Dat verandert niets aan § 25 TDDDG: zodra reCAPTCHA v2/v3 scripts van Google laadt en identificatoren plaatst of uitleest die verder gaan dan het technisch noodzakelijke, is toegang tot het apparaat toestemmingsplichtig. De rechtspraak is hier nog niet eenduidig; de conservatieve lijn is reCAPTCHA in de toestemming op te nemen.

Het praktische compromis van veel exploitanten: reCAPTCHA alleen laden op de pagina's die daadwerkelijk een formulier bevatten (contact, login, registratie), en niet globaal via het template. Dit beperkt de gegevensoverdracht tot de gevallen waarin het een concreet beschermingsdoel dient en maakt de belangenafweging robuuster. reCAPTCHA v3, dat op alle pagina's meedraait om een score te vormen, is aanzienlijk moeilijker te rechtvaardigen op het gebied van gegevensbescherming.

Er zijn meer gegevensminimaliserende alternatieven die de Google-doorgifte volledig vermijden: hCaptcha (EU-hostingoptie), Cloudflare Turnstile (geen zichtbare captcha, geen cookies), Friendly Captcha (in Duitsland gehost) of — voor eenvoudige formulieren — een server-side honeypot plus rate limiting. Voor veel kleine websites volstaat de laatste variant en die werkt zonder enige doorgifte aan derden.

Is dit een risico?

Bescherming tegen spam kan een gerechtvaardigd belang zijn (art. 6 lid 1 sub f AVG). Als reCAPTCHA echter niet-noodzakelijke identificatoren plaatst of op alle pagina's laadt, komt § 25 TDDDG in beeld. De doorgifte naar de VS moet worden onderbouwd.

Wat je kunt doen

• Laad reCAPTCHA alleen op pagina's met formulieren, niet globaal.
• Overweeg dataminimaliserende alternatieven (bijv. hCaptcha, honeypot, server-side rate limits).
• Noem in de privacyverklaring het doel, de rechtsgrond, Google als ontvanger en de doorgifte naar de VS.

Veelgestelde vragen

Is reCAPTCHA toegestaan zonder cookiebanner?

Wordt niet eenduidig beoordeeld. Omdat reCAPTCHA scripts van Google laadt en identificatoren verwerkt, is de conservatieve lijn het in de toestemming op te nemen. Sommige exploitanten baseren een puur formuliergebruik op een gerechtvaardigd belang — dat is een risico.

Welk alternatief vermijdt de Google-doorgifte?

Cloudflare Turnstile, hCaptcha met EU-hosting of Friendly Captcha geven geen gegevens door aan Google. Voor eenvoudige formulieren volstaat vaak een server-side honeypot met rate limiting.

Volstaat het reCAPTCHA alleen op formulierpagina's te laden?

Het vermindert de gegevensoverdracht aanzienlijk en versterkt de belangenafweging, maar heft de toestemmingsvraag op grond van § 25 TDDDG niet volledig op. Globaal meedraaiende reCAPTCHA v3 is het moeilijkst te rechtvaardigen.

Wat moet in de privacyverklaring?

Doel (spam-/botbescherming), grondslag, Google als ontvanger, de VS-doorgifte en de doorgiftegrondslag, plus een verwijzing naar Googles eigen privacyvoorwaarden en gebruiksvoorwaarden.

Hoe consentglass helpt

De gratis scan controleert de geleverde HTML en toont welke diensten zijn ingebed, of er een cookiebanner wordt gedetecteerd en of links naar privacy en colofon aanwezig zijn — met duiding per bevinding. Hij is geen vervanging voor juridisch advies.