Встраивание hCaptcha в соответствии с GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., США) часто рекламируется как дружественная к приватности альтернатива reCAPTCHA. Она устанавливает меньше постоянных идентификаторов, но всё же загружает внешние скрипты и передаёт IP-адрес в США.

hCaptcha часто представляют как более дружественный к защите данных выбор по сравнению с Google reCAPTCHA. Отчасти это верно: hCaptcha финансируется за счёт платных задач по разметке вместо рекламы, по собственным данным не устанавливает файлы cookie в рекламных целях и предлагает режим «Enterprise» с сокращённой обработкой данных. Однако основной процесс остаётся тем же: загружается внешний скрипт, IP-адрес и технические характеристики браузера передаются компании Intuition Machines в США.

Для правовой оценки решающим является, «безусловно ли необходим» вызов. § 25 абз. 2 п. 2 TDDDG допускает доступ без согласия, если он безусловно необходим для явно запрошенной пользователем услуги. Защита от спама на форме входа, которая без CAPTCHA регулярно подвергается атакам, может подпадать под это. CAPTCHA на каждой контактной форме «на всякий случай» обосновать сложнее — здесь консервативные надзорные органы требуют согласия или более мягкого решения.

Технически передачу данных можно сократить, но не избежать: виджет можно с помощью Lazy Load загружать только при фокусировке формы, так что обычные посетители страницы без использования формы не затронуты. Режим «invisible» ничего не меняет в передаче IP. Кто хочет полностью обойтись без внешнего вызова, должен перейти на серверные методы или на Friendly Captcha с хостингом в ЕС.

Это риск?

hCaptcha тоже при отображении формы загружает ресурсы с hcaptcha.com и при этом передаёт IP-адрес американскому поставщику. Является ли этот доступ «безусловно необходимым» в смысле § 25 абз. 2 TDDDG, зависит от конкретного случая: для формы входа или регистрации с реальным риском злоупотребления это обосновать легче, чем для простой контактной формы с малым объёмом спама.

Что вы можете сделать

• Проверить, нужна ли CAPTCHA вообще — для небольших контактных форм часто достаточно honeypot-полей, временных ловушек или серверного спам-фильтра.
• Если hCaptcha нужна: загружать её только на страницах, где форма действительно есть, а не глобально в футере.
• Виджет hCaptcha по возможности догружать только после взаимодействия с формой (Lazy Load), а не при открытии страницы.
• Указать hCaptcha в политике конфиденциальности с поставщиком, целью (защита от спама/ботов), правовым основанием и передачей в США; необходимость задокументировать.

Частые вопросы

Действительно ли hCaptcha более соответствует GDPR, чем reCAPTCHA?

Отчасти: hCaptcha не использует рекламные файлы cookie и предлагает более экономные к данным режимы. Однако основной процесс — внешний скрипт, передача IP в США — сопоставим. Разница скорее в объёме, чем в принципе.

Нужно ли мне согласие для hCaptcha?

Если использование «безусловно необходимо» (например, защита входа при реальном риске атаки), многое говорит за встраивание без согласия по § 25 абз. 2 TDDDG. Для простых контактных форм согласие или решение без CAPTCHA — более безопасный выбор.

Куда передаются данные?

Компании Intuition Machines Inc. в США. Передача опирается на рамочное соглашение EU-US Data Privacy Framework, пока поставщик сертифицирован, и должна быть указана в политике конфиденциальности.

Как встроить hCaptcha экономно к данным?

Загружать только на соответствующих страницах с формами, через Lazy Load только при взаимодействии с формой, и сделать это прозрачным в политике конфиденциальности. Предварительно проверить, достаточно ли honeypot плюс серверный фильтр.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.