Vloženie hCaptcha v súlade s GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., USA) sa často propaguje ako alternatíva k reCAPTCHA priateľská k súkromiu. Nastavuje menej trvalých identifikátorov, napriek tomu však načítava externé skripty a prenáša IP adresu do USA.

hCaptcha sa často prezentuje ako voľba šetrnejšia k ochrane údajov oproti Google reCAPTCHA. Sčasti to platí: hCaptcha sa financuje prostredníctvom platených označovacích úloh namiesto reklamy, podľa vlastných údajov nenastavuje súbory cookie na reklamné účely a ponúka režim „Enterprise“ so zníženým spracovaním údajov. Základný postup však zostáva rovnaký: načíta sa externý skript, IP adresa a technické znaky prehliadača sa prenášajú spoločnosti Intuition Machines do USA.

Pre právne posúdenie je rozhodujúce, či je volanie „bezpodmienečne nutné“. § 25 ods. 2 č. 2 TDDDG umožňuje prístupy bez súhlasu, ak sú bezpodmienečne nutné pre službu výslovne požadovanú používateľom. Ochrana proti spamu na prihlasovacom formulári, ktorý je bez CAPTCHA pravidelne napádaný, môže pod to spadať. CAPTCHA na každom kontaktnom formulári „pre istotu“ sa zdôvodňuje ťažšie — tu konzervatívne dozorné úrady vyžadujú súhlas alebo miernejšie riešenie.

Technicky možno prenos údajov obmedziť, ale nie vylúčiť: widget možno pomocou Lazy Load načítať až pri zameraní formulára, takže samotní návštevníci stránky bez použitia formulára nie sú dotknutí. Režim „invisible“ nemení nič na prenose IP. Kto sa chce zaobísť úplne bez externého volania, musí prejsť na serverové metódy alebo Friendly Captcha s hostingom v EÚ.

Je to riziko?

Aj hCaptcha načítava pri zobrazení formulára prostriedky z hcaptcha.com a pritom prenáša IP adresu americkému poskytovateľovi. Či je tento prístup „bezpodmienečne nutný“ v zmysle § 25 ods. 2 TDDDG, závisí od konkrétneho prípadu: pri prihlasovacom alebo registračnom formulári so skutočným rizikom zneužitia to možno zdôvodniť ľahšie než pri jednoduchom kontaktnom formulári s malým množstvom spamu.

Čo môžete urobiť

• Overiť, či je CAPTCHA vôbec potrebná — pri malých kontaktných formulároch často stačia honeypot polia, časové pasce alebo serverový spamový filter.
• Ak je hCaptcha potrebná: načítavať ju len na stránkach, kde formulár skutočne je, nie globálne v pätičke.
• Widget hCaptcha podľa možnosti donačítať až po interakcii s formulárom (Lazy Load), nie pri načítaní stránky.
• hCaptcha uviesť v zásadách ochrany osobných údajov s poskytovateľom, účelom (ochrana proti spamu/botom), právnym základom a prenosom do USA; nutnosť zdokumentovať.

Časté otázky

Je hCaptcha skutočne viac v súlade s GDPR než reCAPTCHA?

Sčasti: hCaptcha nepoužíva reklamné súbory cookie a ponúka režimy šetrnejšie k údajom. Základný postup — externý skript, prenos IP do USA — je však porovnateľný. Rozdiel spočíva skôr v rozsahu než v princípe.

Potrebujem pre hCaptcha súhlas?

Ak je nasadenie „bezpodmienečne nutné“ (napr. ochrana prihlásenia pri reálnom riziku útoku), mnohé hovorí pre vloženie bez súhlasu podľa § 25 ods. 2 TDDDG. Pri jednoduchých kontaktných formulároch je súhlas alebo riešenie bez CAPTCHA bezpečnejšia voľba.

Kam sa údaje prenášajú?

Spoločnosti Intuition Machines Inc. v USA. Prenos sa opiera o rámec EU-US Data Privacy Framework, kým je poskytovateľ certifikovaný, a musí byť uvedený v zásadách ochrany osobných údajov.

Ako vložím hCaptcha šetrne k údajom?

Načítavať len na dotknutých stránkach s formulármi, pomocou Lazy Load až pri interakcii s formulárom, a transparentne to uviesť v zásadách ochrany osobných údajov. Predtým overiť, či honeypot plus serverový filter stačí.

Ako pomáha consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, ktoré služby sú vložené, či je rozpoznaná cookie lišta a či sú odkazy na súkromie a tiráž — so zaradením pri každom zistení. Nenahrádza právne poradenstvo.