符合数据保护要求使用 Google reCAPTCHA

Google reCAPTCHA 会分析用户行为以检测机器人，并从 Google（美国）加载资源，往往在表单加载时就已经开始运行。

reCAPTCHA 是一种特殊情况,因为其目的——防范垃圾信息和机器人滥用——原则上可以依据 GDPR 第 6 条第 1 款 f 项的正当利益。但这并不改变 TDDDG 第 25 条的要求:一旦 reCAPTCHA v2/v3 加载 Google 的脚本并设置或读取超出技术必要范围的标识符,访问终端设备就需要征得同意。此处的判例尚不统一;保守做法是将 reCAPTCHA 纳入同意。

许多运营者的务实折中方案:仅在实际包含表单的页面(联系、登录、注册)加载 reCAPTCHA,而不通过模板全局加载。这将数据传输限制在其发挥具体保护作用的情形,使利益权衡更为稳固。而在所有页面运行以形成评分的 reCAPTCHA v3,从数据保护角度更难证成。

存在更节省数据、可完全避免向 Google 传输的替代方案:hCaptcha(欧盟托管选项)、Cloudflare Turnstile(无可见验证码,无 Cookie)、Friendly Captcha(在德国托管),或——对于简单表单——服务器端蜜罐加速率限制。对许多小型网站而言,最后一种方案已经足够,且无需任何第三方传输。

这是风险吗？

防止垃圾信息可以构成正当利益（《GDPR》第 6 条第 1 款 f 项）。但如果 reCAPTCHA 设置了非必要的标识符，或在所有页面上都加载，则会涉及《德国电信数字服务数据保护法》第 25 条。向美国的数据传输也须予以说明理由。

您可以怎么做

• 仅在含有表单的页面加载 reCAPTCHA，而非在全站范围内加载。
• 可以考虑更节省数据的替代方案（例如 hCaptcha、蜜罐技术、服务器端限制措施）。
• 在隐私政策中说明使用目的、法律依据、Google 作为数据接收方，以及向美国的数据传输。

常见问题

没有 Cookie 横幅可以使用 reCAPTCHA 吗?

评价不一。由于 reCAPTCHA 加载 Google 脚本并处理标识符,保守做法是将其纳入同意。一些运营者将纯表单用途建立在正当利益之上——这存在风险。

哪种替代方案可避免向 Google 传输?

Cloudflare Turnstile、采用欧盟托管的 hCaptcha 或 Friendly Captcha 都不会向 Google 传输数据。对于简单表单,通常服务器端蜜罐加速率限制即可。

仅在表单页面加载 reCAPTCHA 是否足够?

这会显著减少数据传输并强化利益权衡,但并不能完全消除 TDDDG 第 25 条下的同意问题。全局运行的 reCAPTCHA v3 最难证成。

隐私声明中必须写明什么?

目的(防垃圾信息/机器人)、法律依据、作为接收方的 Google、向美国的传输及其传输依据,以及对 Google 自身数据保护条款和使用条款的指引。

consentglass 如何提供帮助

免费检测会分析提供的 HTML，并显示哪些服务被嵌入、是否检测到 Cookie 横幅，以及是否存在隐私政策和运营者信息链接——每项发现均附有分类。不能替代法律咨询。