符合 GDPR 地嵌入 hCaptcha

hCaptcha（hcaptcha.com，Intuition Machines Inc.，美国）常被宣传为对隐私友好的 reCAPTCHA 替代方案。它设置的持久标识符更少，但仍会加载外部脚本并把 IP 地址传输到美国。

与 Google reCAPTCHA 相比，hCaptcha 常被描绘为对数据保护更友好的选择。这部分属实：hCaptcha 通过付费标注任务而非广告来获得资金，据其自称不为广告目的设置 Cookie，并提供数据处理更少的“Enterprise”模式。但基本流程仍然相同：加载一个外部脚本，IP 地址和浏览器的技术特征被传输给美国的 Intuition Machines。

对法律评估而言，关键在于该调用是否“绝对必要”。TDDDG 第 25 条第 2 款第 2 项允许在对用户明确要求的服务绝对必要时进行无需同意的访问。对于没有 CAPTCHA 就会被定期攻击的登录表单，其垃圾邮件防护可能属于此类。而在每个联系表单上“以防万一”设置 CAPTCHA 则较难论证——此处保守的监管机构会要求同意或更温和的方案。

技术上可以减少数据传输，但无法避免：小组件可通过 Lazy Load 仅在表单获得焦点时加载，这样不使用表单的纯页面访问者就不受影响。“invisible”模式对 IP 传输毫无改变。想要完全不进行外部调用的人，必须改用服务器端方法或采用在欧盟托管的 Friendly Captcha。

这是风险吗？

hCaptcha 在显示表单时同样会从 hcaptcha.com 加载资源，并因此把 IP 地址传输给一家美国提供商。这种访问是否属于 TDDDG 第 25 条第 2 款意义上的“绝对必要”，要视具体情况而定：对于存在真实滥用风险的登录或注册表单，比对于垃圾邮件很少的简单联系表单更容易论证。

您可以怎么做

• 检查是否真的需要 CAPTCHA——对小型联系表单，honeypot 字段、时间陷阱或服务器端垃圾邮件过滤器通常就足够了。
• 如果确需 hCaptcha：只在表单实际所在的页面加载，不要在页脚全局加载。
• 尽量在与表单交互后才延迟加载 hCaptcha 小组件（Lazy Load），而不是在打开页面时加载。
• 在隐私声明中说明 hCaptcha，连同提供商、目的（防垃圾邮件/防机器人）、法律依据和向美国的传输；并记录其必要性。

常见问题

hCaptcha 真的比 reCAPTCHA 更符合 GDPR 吗？

部分如此：hCaptcha 不使用广告 Cookie，并提供更节省数据的模式。但核心流程——外部脚本、向美国传输 IP——是类似的。差别更多在于范围而非原则。

使用 hCaptcha 需要同意吗？

如果使用是“绝对必要”的（例如存在真实攻击风险的登录保护），有很多理由支持依据 TDDDG 第 25 条第 2 款在无需同意的情况下嵌入。对于简单的联系表单，取得同意或采用无 CAPTCHA 的方案是更稳妥的选择。

数据被传输到哪里？

传输给美国的 Intuition Machines Inc.。只要该提供商已认证，传输即以欧盟-美国数据隐私框架为依据，并且必须写入隐私声明。

如何节省数据地嵌入 hCaptcha？

只在相关的表单页面加载，通过 Lazy Load 仅在与表单交互时加载，并在隐私声明中做到透明。此前先检查 honeypot 加上服务器端过滤器是否已经足够。

consentglass 如何提供帮助

免费检测会分析提供的 HTML，并显示哪些服务被嵌入、是否检测到 Cookie 横幅，以及是否存在隐私政策和运营者信息链接——每项发现均附有分类。不能替代法律咨询。