Bädda in Friendly Captcha i enlighet med GDPR

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Tyskland) avstår från användargåtor och spårning: i stället för interaktion löser webbläsaren en beräkningsuppgift i bakgrunden (proof of work). Servrarna står i EU.

Friendly Captcha följer ett annat angreppssätt än de klassiska CAPTCHA:erna: det finns ingen bildgåta och ingen beteendeanalys. I stället får webbläsaren vid laddning av formuläret en kryptografisk beräkningsuppgift som den löser i bakgrunden. För människor är det osynligt, för botnät blir massutskick beräkningstungt och därmed dyrt. Inga cookies sätts och ingen användarprofil byggs.

Den stora fördelen för GDPR är leverantörens plats och hostingen: Friendly Captcha är ett tyskt företag, och behandlingen sker enligt leverantörens uppgifter i EU. Därmed bortfaller tredjelandsproblematiken som reCAPTCHA och hCaptcha för med sig. Ett personuppgiftsbiträdesavtal är ändå nödvändigt, eftersom IP-adressen behandlas under kontrollen av token.

Man måste vara uppmärksam på skillnaden mellan versionerna: äldre inbäddningar (v1) använde delvis andra endpoints och lagringstider. v2-inbäddningen är utformad för EU-behandling och kortare lagring. Vid en befintlig integration lönar det sig att titta i källkoden vilken skript-URL och vilken API-endpoint som faktiskt kontaktas, och jämföra med leverantörens aktuella dokumentation.

Är detta en risk?

Friendly Captcha är tydligt datasnålare än reCAPTCHA eller hCaptcha, men inte helt utan databehandling: widgeten laddar ett skript från Friendly Captchas CDN och webbläsaren kontaktar API:et för utfärdande och kontroll av token. Under tiden behandlas IP-adressen. I version 2 marknadsför leverantören databehandling i EU; den exakta inbäddningen (v1 vs. v2, endpoint) bör kontrolleras.

Vad du kan göra

• Använd widgetens aktuella version (v2) med EU-endpoint och kontrollera inbäddningen mot leverantörens dokumentation.
• Ladda skriptet bara på formulärsidor, helst via Lazy Load vid formulärfokus.
• Ingå ett personuppgiftsbiträdesavtal med Friendly Captcha GmbH.
• Nämn Friendly Captcha i integritetspolicyn med ändamål (botskydd), rättslig grund (i regel berättigat intresse / nödvändighet) och en anmärkning om den kortvariga IP-behandlingen.

Vanliga frågor

Behöver Friendly Captcha en samtyckesbanner?

I regel inte. Eftersom inga cookies sätts, behandlingen sker i EU och botskyddet är nödvändigt för det formulärutskick användaren önskar, kan användningen oftast stödjas på § 25.2 TDDDG respektive art. 6.1 f GDPR.

Behandlas personuppgifter hos Friendly Captcha?

Ja, kortvarigt IP-adressen under utfärdande och kontroll av token. Men ingen bestående identifierare sätts och ingen profil byggs. Ett personuppgiftsbiträdesavtal med leverantören krävs.

Är Friendly Captcha tillgänglig?

Ja. Eftersom det inte finns visuella eller ljudbaserade gåtor bortfaller den typiska barriären hos bild-CAPTCHA:er. Proof of work körs automatiskt i bakgrunden.

Vad är skillnaden mellan Friendly Captcha v1 och v2?

v2 är utformad för databehandling i EU, kortare lagringstider och en omarbetad widget. Befintliga v1-inbäddningar bör migreras till v2 och integritetspolicyn anpassas därefter.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.