Utilizarea Google reCAPTCHA conform protecției datelor

Google reCAPTCHA analizează comportamentul utilizatorilor pentru detectarea boților și încarcă resurse de la Google (SUA), adesea deja la încărcarea formularului.

reCAPTCHA este un caz special, pentru că scopul — protecția împotriva spamului și a abuzului cu boți — se poate baza în principiu pe un interes legitim potrivit art. 6 alin. 1 lit. f GDPR. Aceasta însă nu schimbă nimic la § 25 TDDDG: de îndată ce reCAPTCHA v2/v3 încarcă scripturi de la Google și setează sau citește identificatori care depășesc ceea ce este necesar tehnic, accesul la echipamentul terminal necesită consimțământ. Jurisprudența este aici încă neunitară; linia conservatoare este includerea reCAPTCHA în consimțământ.

Compromisul practic al multor operatori: încărcarea reCAPTCHA doar pe paginile care conțin efectiv un formular (contact, autentificare, înregistrare), și nu global prin șablon. Aceasta limitează transferul de date la cazurile în care îndeplinește un scop concret de protecție și face mai solidă ponderarea intereselor. reCAPTCHA v3, care rulează pe toate paginile pentru a forma un scor, este semnificativ mai greu de justificat din punct de vedere al protecției datelor.

Există alternative mai econome cu datele care evită complet transferul către Google: hCaptcha (opțiune de găzduire în UE), Cloudflare Turnstile (fără captcha vizibil, fără cookie-uri), Friendly Captcha (găzduit în Germania) sau — pentru formulare simple — un honeypot pe partea de server plus limitarea ratei. Pentru multe site-uri mici, ultima variantă este suficientă și se descurcă fără niciun transfer către terți.

Este un risc?

Protecția anti-spam poate fi un interes legitim (art. 6 alin. 1 lit. f GDPR). Dar dacă reCAPTCHA setează identificatori neesențiali sau se încarcă pe toate paginile, intră în discuție § 25 TDDDG. Transferul către SUA trebuie justificat.

Ce puteți face

• Încărcați reCAPTCHA doar pe paginile cu formulare, nu global.
• Luați în considerare alternative economice cu datele (de ex. hCaptcha, honeypot, restricții pe partea de server).
• În politica de confidențialitate menționați scopul, temeiul juridic, Google ca destinatar și transferul către SUA.

Întrebări frecvente

Este reCAPTCHA permis fără banner de cookie-uri?

Apreciat neunitar. Deoarece reCAPTCHA încarcă scripturi de la Google și prelucrează identificatori, linia conservatoare este includerea lui în consimțământ. Unii operatori bazează o utilizare pur pe formular pe un interes legitim — acesta este un risc.

Ce alternativă evită transferul către Google?

Cloudflare Turnstile, hCaptcha cu găzduire în UE sau Friendly Captcha nu transferă date către Google. Pentru formulare simple este adesea suficient un honeypot pe partea de server cu limitarea ratei.

Este suficient să încarci reCAPTCHA doar pe paginile cu formulare?

Reduce considerabil transferul de date și întărește ponderarea intereselor, dar nu elimină complet chestiunea consimțământului potrivit § 25 TDDDG. reCAPTCHA v3 care rulează global este cel mai greu de justificat.

Ce trebuie să figureze în politica de confidențialitate?

Scopul (protecție anti-spam/anti-bot), temeiul juridic, Google ca destinatar, transferul în SUA și temeiul transferului, precum și o trimitere la propriile prevederi de protecție a datelor și condiții de utilizare ale Google.

Cum ajută consentglass

Verificarea gratuită analizează codul HTML livrat și arată ce servicii sunt integrate, dacă bara de cookie-uri este detectată și dacă linkurile către confidențialitate și date de contact există — cu o clasificare la fiecare constatare. Nu înlocuiește consultanța juridică.