hCaptcha'yı GDPR'a uygun yerleştirmek

hCaptcha (hcaptcha.com, Intuition Machines Inc., ABD) sıklıkla gizlilik dostu bir reCAPTCHA alternatifi olarak tanıtılır. Daha az kalıcı tanımlayıcı yerleştirir, ancak yine de harici komut dosyaları yükler ve IP adresini ABD'ye aktarır.

hCaptcha sıklıkla Google reCAPTCHA'ya kıyasla veri korumasına daha dost bir seçenek olarak sunulur. Bu kısmen doğrudur: hCaptcha kendini reklam yerine ücretli etiketleme görevleriyle finanse eder, kendi beyanına göre reklam amaçlı çerez yerleştirmez ve azaltılmış veri işlemeli bir „Enterprise“ modu sunar. Ancak temel işlem aynı kalır: harici bir komut dosyası yüklenir, IP adresi ve tarayıcının teknik özellikleri ABD'deki Intuition Machines'e aktarılır.

Hukuki değerlendirme için belirleyici olan, çağrının „kesinlikle gerekli“ olup olmadığıdır. TDDDG § 25/2 no. 2, kullanıcının açıkça talep ettiği bir hizmet için kesinlikle gerekliyse onaysız erişimlere izin verir. CAPTCHA olmadan düzenli olarak saldırıya uğrayan bir oturum açma formundaki spam koruması bunun kapsamına girebilir. Her iletişim formunda „güvenlik için“ bir CAPTCHA gerekçelendirmek daha zordur — burada muhafazakâr denetim makamları onay veya daha hafif bir çözüm talep eder.

Teknik olarak veri aktarımı azaltılabilir ama önlenemez: widget, Lazy Load ile yalnızca form odaklandığında yüklenebilir, böylece formu kullanmayan salt sayfa ziyaretçileri etkilenmez. „Invisible“ modu IP aktarımında hiçbir şeyi değiştirmez. Harici çağrı olmadan tamamen idare etmek isteyen, sunucu tarafı yöntemlere veya AB barındırmalı Friendly Captcha'ya geçmelidir.

Bu bir risk mi?

hCaptcha da form görüntülenirken hcaptcha.com'dan kaynaklar yükler ve böylece IP adresini bir ABD sağlayıcısına aktarır. Bu erişimin TDDDG § 25/2 anlamında „kesinlikle gerekli“ olup olmadığı somut olaya bağlıdır: gerçek kötüye kullanım riski olan bir oturum açma veya kayıt formu için bunu gerekçelendirmek, az spam alan basit bir iletişim formuna göre daha kolaydır.

Ne yapabilirsiniz

• Bir CAPTCHA'ya gerçekten gerek olup olmadığını kontrol edin — küçük iletişim formlarında genellikle honeypot alanları, zaman tuzakları veya sunucu tarafında bir spam filtresi yeterlidir.
• hCaptcha gerekliyse: yalnızca formun gerçekten bulunduğu sayfalarda yükleyin, alt bilgide global olarak değil.
• hCaptcha widget'ını mümkünse sayfa açılışında değil, formla etkileşimden sonra yükleyin (Lazy Load).
• hCaptcha'yı gizlilik politikasında sağlayıcı, amaç (spam/bot koruması), hukuki dayanak ve ABD'ye aktarım ile belirtin; gerekliliği belgeleyin.

Sık sorulan sorular

hCaptcha gerçekten reCAPTCHA'dan daha GDPR uyumlu mu?

Kısmen: hCaptcha reklam çerezleri kullanmaz ve daha veri tasarruflu modlar sunar. Ancak temel süreç — harici komut dosyası, ABD'ye IP aktarımı — benzerdir. Fark, ilkeden çok kapsamdadır.

hCaptcha için onaya ihtiyacım var mı?

Kullanım „kesinlikle gerekli“ ise (örn. gerçek saldırı riski olan oturum açma koruması), TDDDG § 25/2 uyarınca onaysız yerleştirme için çok şey söylenebilir. Basit iletişim formlarında onay veya CAPTCHA'sız bir çözüm daha güvenli seçenektir.

Veriler nereye aktarılır?

ABD'deki Intuition Machines Inc.'e. Aktarım, sağlayıcı sertifikalı olduğu sürece AB-ABD Veri Gizliliği Çerçevesi'ne dayanır ve gizlilik politikasında yer almalıdır.

hCaptcha'yı veri tasarruflu nasıl yerleştiririm?

Yalnızca ilgili form sayfalarında, Lazy Load ile yalnızca form etkileşiminde yükleyin ve gizlilik politikasında şeffaf hale getirin. Öncesinde honeypot artı sunucu tarafı bir filtrenin yeterli olup olmadığını kontrol edin.

consentglass nasıl yardımcı olur

Ücretsiz kontrol, sunulan HTML'yi analiz eder ve hangi hizmetlerin gömülü olduğunu, çerez banner'ının tespit edilip edilmediğini ve gizlilik ile iletişim bilgilerine bağlantıların bulunup bulunmadığını her bulgu için bir sınıflandırmayla gösterir. Hukuki danışmanlığın yerini tutmaz.