依資料保護要求使用 Google reCAPTCHA

Google reCAPTCHA 會分析使用者行為以偵測機器人，並從 Google（美國）載入資源，往往在表單載入時就已經開始運作。

reCAPTCHA 屬於特殊情況,因為其目的——防範垃圾訊息與機器人濫用——原則上可依據 GDPR 第 6 條第 1 項 f 款的正當利益。但這並不改變 TDDDG 第 25 條的要求:一旦 reCAPTCHA v2/v3 載入 Google 的指令碼並設定或讀取超出技術必要範圍的識別碼,存取終端裝置便須取得同意。此處的判例尚未統一;保守做法是將 reCAPTCHA 納入同意。

許多營運者的務實折衷方案:僅在實際包含表單的頁面(聯絡、登入、註冊)載入 reCAPTCHA,而不透過範本全域載入。這將資料傳輸限制在其發揮具體保護作用的情形,使利益衡量更為穩固。而在所有頁面執行以形成評分的 reCAPTCHA v3,從資料保護角度更難證成。

存在更節省資料、可完全避免向 Google 傳輸的替代方案:hCaptcha(歐盟託管選項)、Cloudflare Turnstile(無可見驗證碼,無 Cookie)、Friendly Captcha(在德國託管),或——對於簡單表單——伺服器端蜜罐加上速率限制。對許多小型網站而言,最後一種方案已經足夠,且無需任何第三方傳輸。

這是風險嗎？

防止垃圾訊息可以構成正當利益（《GDPR》第 6 條第 1 項第 f 款）。但如果 reCAPTCHA 設定了非必要的識別碼，或在所有頁面上都載入，則會涉及《德國電信數位服務資料保護法》第 25 條。向美國的資料傳輸也須予以說明理由。

您可以怎麼做

• 僅在含有表單的頁面載入 reCAPTCHA，而非在全站範圍內載入。
• 可以考慮更節省資料的替代方案（例如 hCaptcha、蜜罐技術、伺服器端限制措施）。
• 在隱私權政策中說明使用目的、法律依據、Google 作為資料接收方，以及向美國的資料傳輸。

常見問題

沒有 Cookie 橫幅可以使用 reCAPTCHA 嗎?

評價不一。由於 reCAPTCHA 載入 Google 指令碼並處理識別碼,保守做法是將其納入同意。部分營運者將純表單用途建立在正當利益之上——這存在風險。

哪種替代方案可避免向 Google 傳輸?

Cloudflare Turnstile、採用歐盟託管的 hCaptcha 或 Friendly Captcha 都不會向 Google 傳輸資料。對於簡單表單,通常伺服器端蜜罐加上速率限制即可。

僅在表單頁面載入 reCAPTCHA 是否足夠?

這會顯著減少資料傳輸並強化利益衡量,但並不能完全消除 TDDDG 第 25 條下的同意問題。全域執行的 reCAPTCHA v3 最難證成。

隱私聲明中必須載明什麼?

目的(防垃圾訊息/機器人)、法律依據、作為接收方的 Google、向美國的傳輸及其傳輸依據,以及對 Google 自身資料保護條款與使用條款的指引。

consentglass 如何提供協助

免費檢測會分析所提供的 HTML，並顯示哪些服務被內嵌、是否偵測到 Cookie 橫幅，以及是否有隱私權政策與營運者資訊連結——每一項發現皆附有分類。不能取代法律諮詢。