Zgodne z ochroną danych stosowanie Google reCAPTCHA

Google reCAPTCHA analizuje zachowanie użytkownika w celu wykrywania botów i ładuje zasoby Google (USA), często już przy wczytaniu formularza.

reCAPTCHA to szczególny przypadek, bo cel — ochrona przed spamem i nadużyciami botów — może zasadniczo opierać się na prawnie uzasadnionym interesie na podstawie art. 6 ust. 1 lit. f RODO. Nie zmienia to nic w § 25 TDDDG: gdy tylko reCAPTCHA v2/v3 ładuje skrypty z Google i ustawia lub odczytuje identyfikatory wykraczające poza technicznie niezbędne, dostęp do urządzenia wymaga zgody. Orzecznictwo jest tu jeszcze niejednolite; linia zachowawcza to ujęcie reCAPTCHA w zgodzie.

Praktyczny kompromis wielu operatorów: ładować reCAPTCHA tylko na stronach, które faktycznie zawierają formularz (kontakt, logowanie, rejestracja), a nie globalnie przez szablon. Ogranicza to przekazywanie danych do przypadków, w których pełni konkretny cel ochronny, i czyni ważenie bardziej solidnym. reCAPTCHA v3, które działa na wszystkich stronach, by utworzyć wynik, jest znacznie trudniejsze do uzasadnienia pod kątem ochrony danych.

Istnieją bardziej minimalizujące dane alternatywy, które całkowicie unikają transferu do Google: hCaptcha (opcja hostingu w UE), Cloudflare Turnstile (brak widocznego captcha, brak cookies), Friendly Captcha (hostowane w Niemczech) lub — dla prostych formularzy — honeypot po stronie serwera plus limit żądań. Dla wielu małych witryn ostatnia wersja wystarcza i obywa się bez jakiegokolwiek przekazywania podmiotom trzecim.

Czy to ryzyko?

Ochrona przed spamem może być prawnie uzasadnionym interesem (art. 6 ust. 1 lit. f RODO). Jeśli jednak reCAPTCHA ustawia niekonieczne identyfikatory lub ładuje się na wszystkich stronach, w grę wchodzi § 25 TDDDG. Transfer do USA wymaga uzasadnienia.

Co możesz zrobić

• Ładuj reCAPTCHA tylko na stronach z formularzami, nie globalnie.
• Rozważ alternatywy oszczędne pod względem danych (np. hCaptcha, honeypot, limity po stronie serwera).
• W polityce prywatności wskaż cel, podstawę prawną, Google jako odbiorcę i transfer do USA.

Częste pytania

Czy reCAPTCHA jest dozwolone bez banera cookie?

Oceniane niejednolicie. Ponieważ reCAPTCHA ładuje skrypty z Google i przetwarza identyfikatory, linia zachowawcza to ujęcie go w zgodzie. Niektórzy operatorzy opierają czysto formularzowe użycie na prawnie uzasadnionym interesie — to ryzyko.

Która alternatywa unika transferu do Google?

Cloudflare Turnstile, hCaptcha z hostingiem w UE lub Friendly Captcha nie przekazują danych do Google. Dla prostych formularzy często wystarcza honeypot po stronie serwera z limitem żądań.

Czy wystarczy ładować reCAPTCHA tylko na stronach formularzy?

Znacznie zmniejsza przekazywanie danych i wzmacnia ważenie, ale nie usuwa w pełni kwestii zgody na podstawie § 25 TDDDG. Globalnie działające reCAPTCHA v3 jest najtrudniejsze do uzasadnienia.

Co musi znaleźć się w polityce prywatności?

Cel (ochrona przed spamem/botami), podstawa prawna, Google jako odbiorca, transfer do USA i jego podstawa, a także odesłanie do własnych warunków prywatności i użytkowania Google.

Jak pomaga consentglass

Bezpłatny skan sprawdza dostarczony HTML i pokazuje, jakie usługi są osadzone, czy wykryto baner cookie oraz czy są linki do prywatności i noty prawnej — z omówieniem dla każdego ustalenia. Nie zastępuje porady prawnej.