Вбудовування hCaptcha відповідно до GDPR

hCaptcha (hcaptcha.com, Intuition Machines Inc., США) часто рекламують як дружню до приватності альтернативу reCAPTCHA. Вона встановлює менше постійних ідентифікаторів, але все одно завантажує зовнішні скрипти й передає IP-адресу до США.

hCaptcha часто подають як більш дружній до захисту даних вибір порівняно з Google reCAPTCHA. Частково це правда: hCaptcha фінансується за рахунок платних завдань з розмічування замість реклами, за власними даними не встановлює файли cookie в рекламних цілях і пропонує режим «Enterprise» зі зменшеним обробленням даних. Проте основний процес лишається тим самим: завантажується зовнішній скрипт, IP-адреса й технічні ознаки браузера передаються компанії Intuition Machines до США.

Для правової оцінки вирішальним є те, чи є виклик «безумовно необхідним». § 25 абз. 2 п. 2 TDDDG дозволяє доступ без згоди, якщо він безумовно необхідний для послуги, яку користувач прямо забажав. Захист від спаму на формі входу, яку без CAPTCHA регулярно атакують, може підпадати під це. CAPTCHA на кожній контактній формі «про всяк випадок» обґрунтувати важче — тут консервативні наглядові органи вимагають згоди або м'якшого рішення.

Технічно передавання даних можна зменшити, але не уникнути: віджет можна за допомогою Lazy Load завантажувати лише під час фокусування форми, тож самі відвідувачі сторінки без використання форми не зачеплені. Режим «invisible» нічого не змінює в передаванні IP. Хто хоче повністю обійтися без зовнішнього виклику, мусить перейти на серверні методи або на Friendly Captcha з хостингом у ЄС.

Це ризик?

hCaptcha теж під час показу форми завантажує ресурси з hcaptcha.com і при цьому передає IP-адресу американському постачальнику. Чи є цей доступ «безумовно необхідним» у розумінні § 25 абз. 2 TDDDG, залежить від конкретного випадку: для форми входу або реєстрації з реальним ризиком зловживання це обґрунтувати легше, ніж для простої контактної форми з малим обсягом спаму.

Що ви можете зробити

• Перевірити, чи потрібна CAPTCHA взагалі — для невеликих контактних форм часто достатньо honeypot-полів, часових пасток або серверного спам-фільтра.
• Якщо hCaptcha потрібна: завантажувати її лише на сторінках, де форма справді є, а не глобально в підвалі.
• Віджет hCaptcha за можливості довантажувати лише після взаємодії з формою (Lazy Load), а не під час відкриття сторінки.
• hCaptcha зазначити в політиці конфіденційності з постачальником, метою (захист від спаму/ботів), правовою підставою та передаванням до США; необхідність задокументувати.

Поширені запитання

Чи справді hCaptcha більше відповідає GDPR, ніж reCAPTCHA?

Частково: hCaptcha не використовує рекламні файли cookie й пропонує економніші до даних режими. Проте основний процес — зовнішній скрипт, передавання IP до США — зіставний. Різниця радше в обсязі, ніж у принципі.

Чи потрібна мені згода для hCaptcha?

Якщо використання «безумовно необхідне» (напр., захист входу за реального ризику атаки), багато що свідчить на користь вбудовування без згоди за § 25 абз. 2 TDDDG. Для простих контактних форм згода або рішення без CAPTCHA — безпечніший вибір.

Куди передаються дані?

Компанії Intuition Machines Inc. до США. Передавання спирається на рамку EU-US Data Privacy Framework, доки постачальник сертифікований, і має бути зазначене в політиці конфіденційності.

Як вбудувати hCaptcha економно до даних?

Завантажувати лише на відповідних сторінках з формами, через Lazy Load лише під час взаємодії з формою, і зробити це прозорим у політиці конфіденційності. Перед цим перевірити, чи достатньо honeypot плюс серверний фільтр.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.