Používanie Google reCAPTCHA v súlade s ochranou údajov

Google reCAPTCHA analyzuje správanie používateľa na detekciu botov a načítava zdroje z Google (USA), často už pri načítaní formulára.

reCAPTCHA je osobitný prípad, pretože účel — ochrana pred spamom a zneužitím botmi — sa v zásade dá oprieť o oprávnený záujem podľa čl. 6 ods. 1 písm. f GDPR. To však nič nemení na § 25 TDDDG: hneď ako reCAPTCHA v2/v3 načítava skripty od Google a nastavuje alebo číta identifikátory, ktoré presahujú technicky nevyhnutné, je prístup ku koncovému zariadeniu podmienený súhlasom. Judikatúra je tu ešte nejednotná; konzervatívnou líniou je zahrnúť reCAPTCHA do súhlasu.

Praktický kompromis mnohých prevádzkovateľov: načítavať reCAPTCHA len na stránkach, ktoré skutočne obsahujú formulár (kontakt, prihlásenie, registrácia), a nie globálne cez šablónu. To obmedzuje prenos údajov na prípady, keď plní konkrétny ochranný účel, a robí zvažovanie záujmov odolnejším. reCAPTCHA v3, ktoré beží na všetkých stránkach, aby vytvorilo skóre, je z hľadiska ochrany osobných údajov výrazne ťažšie ospravedlniť.

Existujú šetrnejšie alternatívy, ktoré prenos do Google úplne vylučujú: hCaptcha (možnosť hostingu v EÚ), Cloudflare Turnstile (žiadne viditeľné captcha, žiadne súbory cookie), Friendly Captcha (hostovaná v Nemecku) alebo — pre jednoduché formuláre — serverový honeypot plus rate-limiting. Pre mnohé malé weby posledný variant stačí a zaobíde sa úplne bez akéhokoľvek prenosu tretej strane.

Je to riziko?

Ochrana proti spamu môže byť oprávneným záujmom (čl. 6 ods. 1 písm. f GDPR). Ak však reCAPTCHA nastavuje nenutné identifikátory alebo sa načítava na všetkých stránkach, prichádza ku slovu § 25 TDDDG. Prenos do USA treba odôvodniť.

Čo môžete urobiť

• Načítavajte reCAPTCHA iba na stránkach s formulármi, nie globálne.
• Zvážte alternatívy úsporné na dáta (napr. hCaptcha, honeypot, obmedzenia na strane servera).
• V zásadách ochrany osobných údajov uveďte účel, právny základ, Google ako príjemcu a prenos do USA.

Časté otázky

Je reCAPTCHA bez cookie bannera povolená?

Posudzuje sa nejednotne. Keďže reCAPTCHA načítava skripty od Google a spracúva identifikátory, konzervatívnou líniou je zahrnúť ju do súhlasu. Niektorí prevádzkovatelia opierajú čisto formulárové nasadenie o oprávnený záujem — to je riziko.

Ktorá alternatíva sa vyhne prenosu do Google?

Cloudflare Turnstile, hCaptcha s hostingom v EÚ alebo Friendly Captcha neprenášajú do Google žiadne údaje. Pre jednoduché formuláre často stačí serverový honeypot s rate-limitingom.

Stačí načítavať reCAPTCHA len na stránkach s formulármi?

Výrazne to znižuje prenos údajov a posilňuje zvažovanie záujmov, otázku súhlasu podľa § 25 TDDDG to však úplne neruší. Globálne bežiace reCAPTCHA v3 sa najťažšie ospravedlňuje.

Čo musí byť v zásadách ochrany osobných údajov?

Účel (ochrana proti spamu/botom), právny základ, Google ako príjemca, prenos do USA a jeho základ, ako aj odkaz na vlastné zásady ochrany osobných údajov a podmienky používania Google.

Ako pomáha consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, ktoré služby sú vložené, či je rozpoznaná cookie lišta a či sú odkazy na súkromie a tiráž — so zaradením pri každom zistení. Nenahrádza právne poradenstvo.