Google reCAPTCHA'nın veri korumasına uygun kullanımı

Google reCAPTCHA, bot tespiti için kullanıcı davranışını analiz eder ve Google'dan (ABD) kaynaklar yükler, sıklıkla form yüklenirken zaten çalışır.

reCAPTCHA özel bir durumdur, çünkü amaç — spam ve bot kötüye kullanımına karşı koruma — ilke olarak GDPR md. 6(1)(f) uyarınca meşru bir menfaate dayandırılabilir. Ancak bu, § 25 TDDDG bakımından hiçbir şeyi değiştirmez: reCAPTCHA v2/v3 Google'dan komut dosyaları yüklediği ve teknik olarak gerekli olanın ötesine geçen tanımlayıcıları ayarladığı veya okuduğu anda, uç cihaza erişim rızaya tabi olur. Buradaki içtihat henüz yeknesak değildir; muhafazakâr çizgi reCAPTCHA'yı rızaya dâhil etmektir.

Birçok işletmecinin pratik uzlaşısı: reCAPTCHA'yı yalnızca gerçekten bir form içeren sayfalarda (iletişim, oturum açma, kayıt) yüklemek ve şablon üzerinden global olarak yüklememek. Bu, veri aktarımını somut bir koruma amacına hizmet ettiği durumlarla sınırlar ve menfaat dengelemesini daha sağlam kılar. Bir puan oluşturmak için tüm sayfalarda çalışan reCAPTCHA v3'ü veri koruma hukuku açısından gerekçelendirmek belirgin biçimde daha zordur.

Google'a aktarımdan tamamen kaçınan veri açısından daha tutumlu alternatifler vardır: hCaptcha (AB barındırma seçeneği), Cloudflare Turnstile (görünür captcha yok, çerez yok), Friendly Captcha (Almanya'da barındırılır) veya — basit formlar için — sunucu tarafında bir honeypot artı hız sınırlaması. Birçok küçük web sitesi için son seçenek yeterlidir ve herhangi bir üçüncü taraf aktarımı olmadan çalışır.

Bu bir risk mi?

Spam koruması meşru bir menfaat olabilir (GDPR madde 6 fıkra 1 (f)). Ancak reCAPTCHA gereksiz tanımlayıcılar ayarlarsa veya tüm sayfalarda yüklenirse, TDDDG § 25 söz konusu olur. ABD'ye aktarım gerekçelendirilmelidir.

Ne yapabilirsiniz

• reCAPTCHA'yı yalnızca formların bulunduğu sayfalarda yükleyin, genel olarak değil.
• Veri açısından tutumlu alternatifleri düşünün (ör. hCaptcha, honeypot, sunucu tarafı kısıtlamalar).
• Gizlilik politikasında amacı, hukuki dayanağı, alıcı olarak Google'ı ve ABD'ye aktarımı belirtin.

Sık sorulan sorular

reCAPTCHA çerez banner'ı olmadan izinli midir?

Yeknesak olmayan biçimde değerlendirilir. reCAPTCHA Google'dan komut dosyaları yüklediği ve tanımlayıcıları işlediği için muhafazakâr çizgi onu rızaya dâhil etmektir. Bazı işletmeciler yalnızca form kullanımını meşru bir menfaate dayandırır — bu bir risktir.

Hangi alternatif Google'a aktarımdan kaçınır?

Cloudflare Turnstile, AB barındırmalı hCaptcha veya Friendly Captcha Google'a veri aktarmaz. Basit formlar için çoğu zaman hız sınırlamalı bir sunucu tarafı honeypot yeterlidir.

reCAPTCHA'yı yalnızca form sayfalarında yüklemek yeterli mi?

Veri aktarımını önemli ölçüde azaltır ve menfaat dengelemesini güçlendirir, ancak § 25 TDDDG uyarınca rıza sorununu tamamen ortadan kaldırmaz. Global çalışan reCAPTCHA v3'ü gerekçelendirmek en zorudur.

Gizlilik politikasında ne yer almalıdır?

Amaç (spam/bot koruması), hukuki dayanak, alıcı olarak Google, ABD'ye aktarım ve aktarım dayanağı ile Google'ın kendi veri koruma hükümlerine ve kullanım koşullarına bir atıf.

consentglass nasıl yardımcı olur

Ücretsiz kontrol, sunulan HTML'yi analiz eder ve hangi hizmetlerin gömülü olduğunu, çerez banner'ının tespit edilip edilmediğini ve gizlilik ile iletişim bilgilerine bağlantıların bulunup bulunmadığını her bulgu için bir sınıflandırmayla gösterir. Hukuki danışmanlığın yerini tutmaz.