Использование Google reCAPTCHA в соответствии с защитой данных

Google reCAPTCHA анализирует поведение пользователей для обнаружения ботов и загружает ресурсы из Google (США), часто уже при загрузке формы.

reCAPTCHA — особый случай, поскольку цель — защита от спама и злоупотреблений ботами — в принципе может опираться на законный интерес по ст. 6(1)(f) GDPR. Однако это ничего не меняет в отношении § 25 TDDDG: как только reCAPTCHA v2/v3 загружает скрипты Google и устанавливает или считывает идентификаторы, выходящие за пределы технически необходимого, доступ к конечному устройству требует согласия. Судебная практика здесь пока неоднородна; консервативная линия — включить reCAPTCHA в согласие.

Практический компромисс многих операторов: загружать reCAPTCHA только на страницах, которые действительно содержат форму (контакты, вход, регистрация), а не глобально через шаблон. Это ограничивает передачу данных случаями, когда она выполняет конкретную защитную функцию, и делает взвешивание интересов более устойчивым. reCAPTCHA v3, работающую на всех страницах для формирования оценки, с точки зрения защиты данных обосновать значительно труднее.

Существуют более экономные по данным альтернативы, полностью избегающие передачи в Google: hCaptcha (вариант хостинга в ЕС), Cloudflare Turnstile (без видимой капчи, без файлов cookie), Friendly Captcha (хостинг в Германии) или — для простых форм — серверный honeypot плюс ограничение частоты запросов. Для многих небольших сайтов последнего варианта достаточно, и он обходится без какой-либо передачи третьим лицам.

Это риск?

Защита от спама может быть законным интересом (ст. 6 ч. 1 п. f GDPR). Но если reCAPTCHA устанавливает ненужные идентификаторы или загружается на всех страницах, возникает § 25 TDDDG. Передачу в США нужно обосновать.

Что вы можете сделать

• Загружайте reCAPTCHA только на страницах с формами, а не глобально.
• Рассмотрите экономные по данным альтернативы (напр. hCaptcha, honeypot, ограничения на стороне сервера).
• В политике конфиденциальности укажите цель, правовое основание, Google как получателя и передачу в США.

Частые вопросы

Допустима ли reCAPTCHA без баннера cookie?

Оценивается неоднозначно. Поскольку reCAPTCHA загружает скрипты Google и обрабатывает идентификаторы, консервативная линия — включить её в согласие. Некоторые операторы обосновывают чисто формовое применение законным интересом — это риск.

Какая альтернатива избегает передачи в Google?

Cloudflare Turnstile, hCaptcha с хостингом в ЕС или Friendly Captcha не передают данные в Google. Для простых форм часто достаточно серверного honeypot с ограничением частоты запросов.

Достаточно ли загружать reCAPTCHA только на страницах с формами?

Это существенно снижает передачу данных и усиливает взвешивание интересов, но не снимает полностью вопрос согласия по § 25 TDDDG. Труднее всего обосновать глобально работающую reCAPTCHA v3.

Что должно быть в политике конфиденциальности?

Цель (защита от спама/ботов), правовое основание, Google как получатель, передача в США и её основание, а также ссылка на собственные положения Google о защите данных и условия использования.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.