Vgradnja hCaptche skladno z GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., ZDA) se pogosto oglašuje kot alternativa reCAPTCHA, prijazna zasebnosti. Nastavlja manj trajnih identifikatorjev, a vseeno nalaga zunanje skripte in prenaša naslov IP v ZDA.

hCaptcha je pogosto predstavljena kot izbira, prijaznejša varstvu podatkov v primerjavi z Google reCAPTCHA. To delno drži: hCaptcha se financira s plačanimi nalogami označevanja namesto z oglaševanjem, po lastnih navedbah ne nastavlja piškotkov za oglaševalske namene in ponuja način „Enterprise“ z zmanjšano obdelavo podatkov. Osnovni postopek pa ostaja enak: naloži se zunanji skript, naslov IP in tehnične značilnosti brskalnika se prenesejo podjetju Intuition Machines v ZDA.

Za pravno presojo je odločilno, ali je klic „nujno potreben“. § 25 odst. 2 št. 2 TDDDG dopušča dostope brez privolitve, če so nujno potrebni za storitev, ki jo je uporabnik izrecno želel. Zaščita pred neželeno pošto na prijavnem obrazcu, ki je brez CAPTCHE redno napaden, lahko spada pod to. CAPTCHA na vsakem kontaktnem obrazcu „za vsak primer“ je težje utemeljiti — tu konservativni nadzorni organi zahtevajo privolitev ali milejšo rešitev.

Tehnično je prenos podatkov mogoče zmanjšati, ne pa se mu izogniti: gradnik se lahko z Lazy Load naloži šele ob fokusiranju obrazca, tako da zgolj obiskovalci strani brez uporabe obrazca niso prizadeti. Način „invisible“ ne spremeni ničesar pri prenosu IP. Kdor se želi povsem izogniti zunanjemu klicu, mora preiti na strežniške metode ali na Friendly Captcha z gostovanjem v EU.

Je to tveganje?

Tudi hCaptcha ob prikazu obrazca nalaga vire s hcaptcha.com in pri tem prenaša naslov IP ameriškemu ponudniku. Ali je ta dostop „nujno potreben“ v smislu § 25 odst. 2 TDDDG, je odvisno od posameznega primera: pri obrazcu za prijavo ali registracijo z resničnim tveganjem zlorabe je to lažje utemeljiti kot pri preprostem kontaktnem obrazcu z malo neželene pošte.

Kaj lahko storite

• Preveriti, ali je CAPTCHA sploh potrebna — pri majhnih kontaktnih obrazcih pogosto zadostujejo polja honeypot, časovne pasti ali strežniški filter neželene pošte.
• Če je hCaptcha potrebna: naložiti jo le na straneh, kjer obrazec dejansko je, ne globalno v nogi.
• Gradnik hCaptche po možnosti naložiti šele po interakciji z obrazcem (Lazy Load), ne ob odprtju strani.
• hCaptcho navesti v izjavi o zasebnosti s ponudnikom, namenom (zaščita pred neželeno pošto/boti), pravno podlago in prenosom v ZDA; nujnost dokumentirati.

Pogosta vprašanja

Ali je hCaptcha res bolj skladna z GDPR kot reCAPTCHA?

Deloma: hCaptcha ne uporablja oglaševalskih piškotkov in ponuja podatkovno varčnejše načine. Osnovni postopek — zunanji skript, prenos IP v ZDA — pa je primerljiv. Razlika je bolj v obsegu kot v načelu.

Ali za hCaptcho potrebujem privolitev?

Če je uporaba „nujno potrebna“ (npr. zaščita prijave ob resničnem tveganju napada), veliko govori za vgradnjo brez privolitve po § 25 odst. 2 TDDDG. Pri preprostih kontaktnih obrazcih je privolitev ali rešitev brez CAPTCHE varnejša izbira.

Kam se podatki prenašajo?

Podjetju Intuition Machines Inc. v ZDA. Prenos se opira na okvir EU-US Data Privacy Framework, dokler je ponudnik certificiran, in mora biti naveden v izjavi o zasebnosti.

Kako vgraditi hCaptcho podatkovno varčno?

Naložiti le na zadevnih straneh z obrazci, z Lazy Load šele ob interakciji z obrazcem, in to pregledno navesti v izjavi o zasebnosti. Prej preveriti, ali honeypot skupaj s strežniškim filtrom zadostuje.

Kako pomaga consentglass

Brezplačno skeniranje preveri dostavljeni HTML in prikaže, katere storitve so vgrajene, ali je zaznana pasica za piškotke ter ali sta povezavi na zasebnost in kolofon prisotni — z umestitvijo pri vsaki ugotovitvi. Ne nadomešča pravnega svetovanja.