Uporaba Google reCAPTCHA skladno z varstvom podatkov

Google reCAPTCHA analizira vedenje uporabnika za zaznavanje botov in nalaga vire z Googla (ZDA), pogosto že ob nalaganju obrazca.

reCAPTCHA je poseben primer, ker se namen — zaščita pred neželeno pošto in zlorabo botov — načeloma lahko opira na zakoniti interes po členu 6(1)(f) GDPR. To pa nič ne spremeni glede § 25 TDDDG: takoj ko reCAPTCHA v2/v3 naloži Googlove skripte ter nastavi ali prebere identifikatorje, ki presegajo tehnično nujno, je dostop do končne naprave pogojen s privolitvijo. Sodna praksa tu še ni enotna; konservativna linija je vključiti reCAPTCHA v privolitev.

Praktični kompromis mnogih upravljavcev: reCAPTCHA naložiti samo na straneh, ki dejansko vsebujejo obrazec (stik, prijava, registracija), in ne globalno prek predloge. To omeji prenos podatkov na primere, v katerih izpolnjuje konkreten zaščitni namen, in naredi tehtanje interesov trdnejše. reCAPTCHA v3, ki teče na vseh straneh za oblikovanje ocene, je z vidika varstva podatkov bistveno težje utemeljiti.

Obstajajo do podatkov varčnejše alternative, ki se povsem izognejo prenosu k Googlu: hCaptcha (možnost gostovanja v EU), Cloudflare Turnstile (brez vidne kode captcha, brez piškotkov), Friendly Captcha (gostovana v Nemčiji) ali — za preproste obrazce — strežniški honeypot z omejevanjem hitrosti. Za mnoge majhne spletne strani zadnja možnost zadostuje in deluje brez vsakršnega prenosa tretji osebi.

Je to tveganje?

Zaščita pred neželeno pošto je lahko zakoniti interes (čl. 6 odst. 1 tč. f GDPR). Če pa reCAPTCHA nastavi nenujne identifikatorje ali se nalaga na vseh straneh, pride v poštev § 25 TDDDG. Prenos v ZDA je treba utemeljiti.

Kaj lahko storite

• reCAPTCHA nalagajte le na straneh z obrazci, ne globalno.
• Razmislite o podatkovno varčnih alternativah (npr. hCaptcha, honeypot, omejitve na strani strežnika).
• V politiki zasebnosti navedite namen, pravno podlago, Google kot prejemnika in prenos v ZDA.

Pogosta vprašanja

Ali je reCAPTCHA dovoljena brez pasice o piškotkih?

Ocenjuje se neenotno. Ker reCAPTCHA nalaga Googlove skripte in obdeluje identifikatorje, je konservativna linija vključiti jo v privolitev. Nekateri upravljavci čisto uporabo na obrazcu opirajo na zakoniti interes — to je tveganje.

Katera alternativa se izogne prenosu k Googlu?

Cloudflare Turnstile, hCaptcha z gostovanjem v EU ali Friendly Captcha ne prenašajo podatkov h Googlu. Za preproste obrazce pogosto zadostuje strežniški honeypot z omejevanjem hitrosti.

Ali zadostuje, da reCAPTCHA naložimo samo na straneh z obrazci?

To znatno zmanjša prenos podatkov in okrepi tehtanje interesov, vendar vprašanja privolitve po § 25 TDDDG ne odpravi povsem. Globalno delujočo reCAPTCHA v3 je najtežje utemeljiti.

Kaj mora biti v izjavi o varstvu podatkov?

Namen (zaščita pred neželeno pošto/boti), pravna podlaga, Google kot prejemnik, prenos v ZDA in podlaga za prenos ter napotilo na Googlove lastne določbe o varstvu podatkov in pogoje uporabe.

Kako pomaga consentglass

Brezplačno skeniranje preveri dostavljeni HTML in prikaže, katere storitve so vgrajene, ali je zaznana pasica za piškotke ter ali sta povezavi na zasebnost in kolofon prisotni — z umestitvijo pri vsaki ugotovitvi. Ne nadomešča pravnega svetovanja.