Bädda in hCaptcha i enlighet med GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., USA) marknadsförs ofta som ett integritetsvänligt alternativ till reCAPTCHA. Det sätter färre bestående identifierare, men laddar ändå externa skript och överför IP-adressen till USA.

hCaptcha framställs ofta som det mer dataskyddsvänliga valet jämfört med Google reCAPTCHA. Det stämmer delvis: hCaptcha finansierar sig genom betalda märkningsuppgifter i stället för reklam, sätter enligt egna uppgifter inte cookies för reklamändamål och erbjuder ett „Enterprise“-läge med reducerad databehandling. Den grundläggande processen förblir dock densamma: ett externt skript laddas, IP-adressen och tekniska webbläsaregenskaper överförs till Intuition Machines i USA.

För den rättsliga bedömningen är det avgörande om anropet är „absolut nödvändigt“. § 25.2 nr 2 TDDDG tillåter åtkomster utan samtycke om de är absolut nödvändiga för en tjänst som användaren uttryckligen har begärt. Skräppostskydd på ett inloggningsformulär som utan CAPTCHA regelbundet angrips kan falla under detta. En CAPTCHA på varje kontaktformulär „för säkerhets skull“ är svårare att motivera — här kräver konservativa tillsynsmyndigheter samtycke eller en mildare lösning.

Tekniskt kan dataöverföringen minskas, men inte undvikas: widgeten kan med Lazy Load laddas först när formuläret fokuseras, så att rena sidbesökare utan formuläranvändning inte berörs. „Invisible“-läget ändrar ingenting när det gäller IP-överföringen. Den som vill klara sig helt utan ett externt anrop måste gå över till metoder på serversidan eller till Friendly Captcha med EU-hosting.

Är detta en risk?

Även hCaptcha laddar vid visning av formuläret resurser från hcaptcha.com och överför därmed IP-adressen till en amerikansk leverantör. Om denna åtkomst är „absolut nödvändig“ i den mening som avses i § 25.2 TDDDG beror på det enskilda fallet: för ett inloggnings- eller registreringsformulär med reell missbruksrisk går det lättare att motivera än för ett enkelt kontaktformulär med lite skräppost.

Vad du kan göra

• Kontrollera om en CAPTCHA överhuvudtaget behövs — för små kontaktformulär räcker ofta honeypot-fält, tidsfällor eller ett skräppostfilter på serversidan.
• Om hCaptcha behövs: ladda det bara på de sidor där formuläret faktiskt finns, inte globalt i sidfoten.
• Ladda hCaptcha-widgeten om möjligt först efter interaktion med formuläret (Lazy Load), inte vid sidöppning.
• Nämn hCaptcha i integritetspolicyn med leverantör, ändamål (skräppost-/botskydd), rättslig grund och USA-överföring; dokumentera nödvändigheten.

Vanliga frågor

Är hCaptcha verkligen mer GDPR-förenlig än reCAPTCHA?

Delvis: hCaptcha använder inga reklamcookies och erbjuder mer datasnåla lägen. Kärnprocessen — externt skript, IP-överföring till USA — är dock jämförbar. Skillnaden ligger mer i omfattningen än i principen.

Behöver jag ett samtycke för hCaptcha?

Om användningen är „absolut nödvändig“ (t.ex. inloggningsskydd vid reell attackrisk) talar mycket för inbäddning utan samtycke enligt § 25.2 TDDDG. Vid enkla kontaktformulär är samtycke eller en CAPTCHA-fri lösning det säkrare valet.

Vart överförs uppgifterna?

Till Intuition Machines Inc. i USA. Överföringen stöder sig på EU-US Data Privacy Framework så länge leverantören är certifierad, och måste stå i integritetspolicyn.

Hur bäddar jag in hCaptcha datasnålt?

Ladda bara på de berörda formulärsidorna, med Lazy Load först vid formulärinteraktion, och gör det transparent i integritetspolicyn. Kontrollera i förväg om honeypot plus ett serversidefilter räcker.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.