符合 GDPR 地嵌入 hCaptcha

hCaptcha（hcaptcha.com，Intuition Machines Inc.，美國）常被宣傳為對隱私友善的 reCAPTCHA 替代方案。它設定的持久識別碼較少，但仍會載入外部指令碼並把 IP 位址傳輸到美國。

與 Google reCAPTCHA 相比，hCaptcha 常被描繪為對資料保護更友善的選擇。這部分屬實：hCaptcha 透過付費標註任務而非廣告來取得資金，據其自稱不為廣告目的設定 Cookie，並提供資料處理較少的「Enterprise」模式。但基本流程仍然相同：載入一個外部指令碼，IP 位址和瀏覽器的技術特徵被傳輸給美國的 Intuition Machines。

對法律評估而言，關鍵在於該呼叫是否「絕對必要」。TDDDG 第 25 條第 2 項第 2 款允許在對使用者明確要求的服務絕對必要時進行無需同意的存取。對於沒有 CAPTCHA 就會被定期攻擊的登入表單，其垃圾郵件防護可能屬於此類。而在每個聯絡表單上「以防萬一」設定 CAPTCHA 則較難論證——此處保守的監管機關會要求同意或更溫和的方案。

技術上可以減少資料傳輸，但無法避免：小工具可透過 Lazy Load 僅在表單取得焦點時載入，這樣不使用表單的純頁面訪客就不受影響。「invisible」模式對 IP 傳輸毫無改變。想要完全不進行外部呼叫的人，必須改用伺服器端方法或採用在歐盟託管的 Friendly Captcha。

這是風險嗎？

hCaptcha 在顯示表單時同樣會從 hcaptcha.com 載入資源，並因此把 IP 位址傳輸給一家美國供應商。這種存取是否屬於 TDDDG 第 25 條第 2 項意義上的「絕對必要」，要視具體情況而定：對於存在真實濫用風險的登入或註冊表單，比對於垃圾郵件很少的簡單聯絡表單更容易論證。

您可以怎麼做

• 檢查是否真的需要 CAPTCHA——對小型聯絡表單，honeypot 欄位、時間陷阱或伺服器端垃圾郵件過濾器通常就足夠了。
• 如果確需 hCaptcha：只在表單實際所在的頁面載入，不要在頁尾全域載入。
• 盡量在與表單互動後才延遲載入 hCaptcha 小工具（Lazy Load），而不是在開啟頁面時載入。
• 在隱私聲明中說明 hCaptcha，連同供應商、目的（防垃圾郵件/防機器人）、法律依據和向美國的傳輸；並記錄其必要性。

常見問題

hCaptcha 真的比 reCAPTCHA 更符合 GDPR 嗎？

部分如此：hCaptcha 不使用廣告 Cookie，並提供更節省資料的模式。但核心流程——外部指令碼、向美國傳輸 IP——是類似的。差別更多在於範圍而非原則。

使用 hCaptcha 需要同意嗎？

如果使用是「絕對必要」的（例如存在真實攻擊風險的登入保護），有很多理由支持依據 TDDDG 第 25 條第 2 項在無需同意的情況下嵌入。對於簡單的聯絡表單，取得同意或採用無 CAPTCHA 的方案是更穩妥的選擇。

資料被傳輸到哪裡？

傳輸給美國的 Intuition Machines Inc.。只要該供應商已認證，傳輸即以歐盟-美國資料隱私框架為依據，並且必須寫入隱私聲明。

如何節省資料地嵌入 hCaptcha？

只在相關的表單頁面載入，透過 Lazy Load 僅在與表單互動時載入，並在隱私聲明中做到透明。此前先檢查 honeypot 加上伺服器端過濾器是否已經足夠。

consentglass 如何提供協助

免費檢測會分析所提供的 HTML，並顯示哪些服務被內嵌、是否偵測到 Cookie 橫幅，以及是否有隱私權政策與營運者資訊連結——每一項發現皆附有分類。不能取代法律諮詢。