Integrarea hCaptcha în conformitate cu GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., SUA) este adesea promovată ca alternativă la reCAPTCHA prietenoasă cu confidențialitatea. Setează mai puțini identificatori permanenți, dar încarcă totuși scripturi externe și transmite adresa IP în SUA.

hCaptcha este adesea prezentată ca alegerea mai prietenoasă cu protecția datelor față de Google reCAPTCHA. Parțial este adevărat: hCaptcha se finanțează prin sarcini de etichetare plătite în loc de publicitate, potrivit propriilor declarații nu setează cookie-uri în scopuri publicitare și oferă un mod „Enterprise“ cu prelucrare redusă a datelor. Procesul de bază rămâne însă același: se încarcă un script extern, adresa IP și caracteristicile tehnice ale browserului sunt transmise către Intuition Machines în SUA.

Pentru evaluarea juridică este decisiv dacă apelul este „strict necesar“. § 25 alin. 2 nr. 2 TDDDG permite accesul fără consimțământ dacă este strict necesar pentru un serviciu solicitat în mod expres de utilizator. Protecția anti-spam pe un formular de autentificare care este atacat regulat fără CAPTCHA poate intra sub incidența acestuia. Un CAPTCHA pe fiecare formular de contact „pentru siguranță“ se justifică mai greu — aici autoritățile de supraveghere conservatoare cer consimțământ sau o soluție mai blândă.

Tehnic, transferul de date poate fi redus, dar nu evitat: widgetul poate fi încărcat prin Lazy Load abia la focalizarea formularului, astfel încât simplii vizitatori ai paginii care nu folosesc formularul nu sunt afectați. Modul „invisible“ nu schimbă nimic în transmiterea IP. Cine dorește complet fără apel extern trebuie să treacă la metode pe partea de server sau la Friendly Captcha cu găzduire în UE.

Este un risc?

Și hCaptcha încarcă la afișarea formularului resurse de pe hcaptcha.com și transmite astfel adresa IP către un furnizor din SUA. Dacă acest acces este „strict necesar“ în sensul § 25 alin. 2 TDDDG depinde de la caz la caz: pentru un formular de autentificare sau de înregistrare cu risc real de abuz, acest lucru se poate justifica mai ușor decât pentru un simplu formular de contact cu spam puțin.

Ce puteți face

• Verificați dacă este nevoie de un CAPTCHA — pentru formularele de contact mici sunt adesea suficiente câmpurile honeypot, capcanele de timp sau un filtru de spam pe partea de server.
• Dacă hCaptcha este necesară: încărcați-o doar pe paginile pe care se află efectiv formularul, nu global în subsol.
• Widgetul hCaptcha, pe cât posibil, să fie încărcat abia după interacțiunea cu formularul (Lazy Load), nu la deschiderea paginii.
• Menționați hCaptcha în politica de confidențialitate cu furnizorul, scopul (protecție anti-spam/anti-bot), temeiul juridic și transferul în SUA; documentați necesitatea.

Întrebări frecvente

Este hCaptcha într-adevăr mai conformă cu GDPR decât reCAPTCHA?

Parțial: hCaptcha nu folosește cookie-uri publicitare și oferă moduri mai econome cu datele. Procesul de bază — script extern, transmiterea IP în SUA — este însă comparabil. Diferența ține mai mult de amploare decât de principiu.

Am nevoie de consimțământ pentru hCaptcha?

Dacă utilizarea este „strict necesară“ (de ex. protecția autentificării la un risc real de atac), multe pledează pentru integrarea fără consimțământ conform § 25 alin. 2 TDDDG. Pentru formularele de contact simple, consimțământul sau o soluție fără CAPTCHA este alegerea mai sigură.

Unde sunt transferate datele?

Către Intuition Machines Inc. în SUA. Transferul se bazează pe cadrul EU-US Data Privacy Framework atât timp cât furnizorul este certificat și trebuie menționat în politica de confidențialitate.

Cum integrez hCaptcha într-un mod econom cu datele?

Încărcați doar pe paginile de formular vizate, prin Lazy Load abia la interacțiunea cu formularul, și faceți acest lucru transparent în politica de confidențialitate. Înainte verificați dacă honeypot plus un filtru pe partea de server sunt suficiente.

Cum ajută consentglass

Verificarea gratuită analizează codul HTML livrat și arată ce servicii sunt integrate, dacă bara de cookie-uri este detectată și dacă linkurile către confidențialitate și date de contact există — cu o clasificare la fiecare constatare. Nu înlocuiește consultanța juridică.