Använda Google reCAPTCHA dataskyddsförenligt

Google reCAPTCHA analyserar användarbeteende för botdetektering och laddar resurser från Google (USA), ofta redan vid formulärets inläsning.

reCAPTCHA är ett specialfall, eftersom syftet — skydd mot skräppost och botmissbruk — i princip kan grunda sig på ett berättigat intresse enligt artikel 6.1 f i GDPR. Det ändrar dock ingenting när det gäller § 25 TDDDG: så snart reCAPTCHA v2/v3 laddar skript från Google och sätter eller läser identifierare som går utöver det tekniskt nödvändiga krävs samtycke för åtkomst till terminalutrustningen. Rättspraxis är här ännu inte enhetlig; den konservativa linjen är att ta med reCAPTCHA i samtycket.

Den praktiska kompromissen hos många operatörer: att ladda reCAPTCHA endast på de sidor som faktiskt innehåller ett formulär (kontakt, inloggning, registrering), och inte globalt via mallen. Det begränsar dataöverföringen till de fall där den fyller ett konkret skyddssyfte och gör intresseavvägningen mer hållbar. reCAPTCHA v3, som körs på alla sidor för att bilda ett poängvärde, är betydligt svårare att motivera dataskyddsrättsligt.

Det finns mer datasnåla alternativ som helt undviker Google-överföringen: hCaptcha (EU-hostingalternativ), Cloudflare Turnstile (ingen synlig captcha, inga kakor), Friendly Captcha (hostad i Tyskland) eller — för enkla formulär — en serverbaserad honeypot plus hastighetsbegränsning. För många små webbplatser räcker det sista alternativet och det klarar sig utan någon överföring till tredje part.

Är detta en risk?

Skydd mot spam kan vara ett berättigat intresse (art. 6.1 f GDPR). Men om reCAPTCHA sätter icke-nödvändiga identifierare eller laddas på alla sidor kommer § 25 TDDDG in i bilden. USA-överföringen måste motiveras.

Vad du kan göra

• Ladda reCAPTCHA endast på sidor med formulär, inte globalt.
• Överväg datasnåla alternativ (t.ex. hCaptcha, honeypot, serverside rate limits).
• I integritetspolicyn, ange ändamålet, den rättsliga grunden, Google som mottagare och överföringen till USA.

Vanliga frågor

Är reCAPTCHA tillåtet utan kakbanner?

Bedöms olika. Eftersom reCAPTCHA laddar skript från Google och behandlar identifierare är den konservativa linjen att ta med det i samtycket. Vissa operatörer grundar ren formuläranvändning på ett berättigat intresse — det är en risk.

Vilket alternativ undviker Google-överföringen?

Cloudflare Turnstile, hCaptcha med EU-hosting eller Friendly Captcha överför inga data till Google. För enkla formulär räcker det ofta med en serverbaserad honeypot med hastighetsbegränsning.

Räcker det att ladda reCAPTCHA endast på formulärsidor?

Det minskar dataöverföringen avsevärt och stärker intresseavvägningen, men upphäver inte helt samtyckesfrågan enligt § 25 TDDDG. Globalt körande reCAPTCHA v3 är svårast att motivera.

Vad måste stå i integritetspolicyn?

Syfte (skräppost-/botskydd), rättslig grund, Google som mottagare, USA-överföringen och överföringsgrunden samt en hänvisning till Googles egna dataskyddsbestämmelser och användarvillkor.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.