Google reCAPTCHA plantea serias dudas sobre el GDPR
Google reCAPTCHA recopila una gran cantidad de datos personales (IP, comportamiento, configuración del navegador), a menudo sin una transparencia clara ni el consentimiento del usuario, lo que supone un grave problema para el cumplimiento del GDPR.
La falta de transparencia dificulta el cumplimiento
Los operadores de sitios web tienen dificultades para cumplir las obligaciones del GDPR, como informar a los usuarios y obtener un consentimiento válido, debido a las vagas políticas de datos de Google y a las transferencias de datos ocultas a Estados Unidos.
El consentimiento es obligatorio, pero difícil de aplicar
Sin un claro interés legítimo, reCAPTCHA requiere el consentimiento explícito del usuario a través de banners cookie. No hacerlo puede dar lugar a infracciones del GDPR y multas.
Friendly Captcha es una alternativa que cumple el GDPR
A diferencia de Google reCAPTCHA, Friendly Captcha funciona sin cookies, evita la recopilación innecesaria de datos y garantiza que todos los datos permanezcan dentro de la UE, lo que la convierte en una solución totalmente conforme.
Pruébelo ahora ›
Google reCAPTCHA es un servicio de Google diseñado para proteger los sitios web de ataques de robots, spam y actividades abusivas. Casi todo el mundo conoce reCAPTCHA y sus casillas de verificación "Seleccionar todas las imágenes con semáforo" o "No soy un robot". Sin embargo, muchas personas desconocen el enfoque de Google sobre la privacidad de los datos, qué datos del usuario se recopilan y si el uso de Google reCAPTCHA cumple con el GDPR.
Responderemos a estas preguntas en el siguiente artículo y examinaremos más de cerca la alternativa GDPR al reCAPTCHA, el Friendly Captcha.
¿Qué es Google reCAPTCHA?
Google reCAPTCHA es un Servicio CAPTCHA que distingue entre usuarios humanos y robots automatizados durante las interacciones web. CAPTCHA es el acrónimo de "Prueba de Turing pública y totalmente automatizada para distinguir entre ordenadores y humanos".
Uno de los primeros servicios CAPTCHA, reCAPTCHA, fue adquirido por Google en 2009. Por aquel entonces, los usuarios de los sitios web aún tenían que descifrar números y letras distorsionados que los programas informáticos no podían descifrar. La privacidad y la protección de datos apenas eran un problema en aquel momento.
Hoy en día, Google reCAPTCHA se utiliza en todo el mundo y se enfrenta a bots e inteligencia artificial cada vez mejores que pueden resolver rápidamente estos sencillos rompecabezas CAPTCHA.
Los propietarios de sitios web utilizan la herramienta CAPTCHA de Google reCAPTCHA para distinguir entre usuarios reales y automatizados o bots. Esto protege a los sitios web de ataques automatizados como credential stuffing, DDoS ataques o adquisición de cuentas.
Existen diferentes versiones de reCAPTCHA:
-
reCAPTCHA v2: Google reCAPTCHA v2 se puede utilizar de dos maneras diferentes. Una posibilidad es utilizar el llamado No CAPTCHA reCAPTCHA. Aquí, los usuarios del sitio web tienen que hacer clic en una casilla para verificar que "no soy un robot", al tiempo que se evalúan innumerables datos personales del cliente. Otra alternativa son los conocidos tareas de reconocimiento de imágenes de reCAPTCHA 2: los visitantes de la web seleccionan entre nueve baldosas las que coinciden con una descripción dada. Con la interacción del usuario, identifican semáforos, ruedas o autobuses. Además de los retos manuales, se recopilan y evalúan los datos de los clientes para valorar el riesgo de un ataque de bots o spam.
-
reCAPTCHA v3: Con reCAPTCHA v3, también conocido como Invisible reCAPTCHAPor lo general, no se requiere la interacción del usuario. En el caso de reCAPTCHA v3, Google recopila datos del usuario, como una captura de pantalla completa de la ventana del navegador o la dirección IP, y los almacena cookies en la memoria persistente del navegador. Basándose en los datos de los visitantes del sitio web, Invisible reCAPTCHA obtiene un puntuación de riesgo para cada usuario individual. Ahora es responsabilidad de los propietarios del sitio web determinar a partir de qué puntuación de riesgo Invisible reCAPTCHA v3 puede pasar un usuario o si se requieren pruebas adicionales CAPTCHA. Para esta verificación adicional, muchos administradores utilizan a su vez las tareas de reconocimiento de imágenes de Google reCAPTCHA v2.
Encontrará una comparación detallada de las ventajas e inconvenientes de las versiones reCAPTCHA actuales en el Comparación reCAPTCHA v2 vs. v3.
GDPR y Google reCAPTCHA - ¿Qué datos se tratarán?
Google reCAPTCHA recopila datos de los usuarios de forma intensiva para detectar usuarios humanos o bots automatizados. En términos de protección de datos y el GDPR, prácticas excesivas de recogida de datos debe considerarse de forma crítica.
Los siguientes datos personales del comportamiento del usuario parece recogerse durante la verificación de Google reCAPTCHA, junto con otros datos, a veces desconocidos:
-
Dirección IP del visitante del sitio web
-
URL del sitio web visitado
-
Captura de pantalla completa de la ventana del navegador
-
URL de referencia (el sitio web del que procede el visitante)
-
Tiempo pasado en el sitio web
-
Movimientos del ratón y entradas del teclado
-
Sistema operativo y navegador
-
Ajustes del dispositivo (como la hora, el idioma y la ubicación)
-
Complementos instalados en el navegador
-
Cookies, incluido Google cookies
Es difícil para los propietarios de sitios web cumplir con los requisitos de información del Art. 13 GDPR porque Google no revela exactamente qué, por qué o cómo los datos personales de los usuarios finales son recogidos por reCAPTCHA. En su Política de privacidad de la UEse limita a indicar que se recogen datos y que los operadores de sitios web deben obtener consentimiento explícito del usuario de los usuarios europeos.
En Oficina Estatal de Control de Protección de Datos de Baviera (BayLDA) ha abordado esta cuestión en su FAQ. Por lo tanto, la autoridad de protección de datos recomienda encarecidamente que los operadores de sitios web consideren una alternativa al reCAPTCHA que cumpla con el GDPR.
Sin duda, los operadores de sitios web deberían comprobar las alternativas. No obstante, si se integra Google reCAPTCHA, el responsable del tratamiento debe ser consciente de que debe poder demostrar el uso lícito de conformidad con el art. 5 (1), (2) GDPR. Aquellos que no puedan demostrar cómo Google procesa los datos personales no podrán informar de forma transparente al usuario ni demostrar el uso lícito. Dado que al activar la herramienta se establece una conexión con los servidores de Google que puede dar lugar a la transferencia de datos a EE.UU., también deben cumplirse los requisitos para la transferencia a terceros países (véase la pregunta frecuente "¿Puede nuestra empresa transferir datos personales a países no pertenecientes a la UE?" en el término de búsqueda "Transferencia internacional de datos"), incluidos los requisitos de la sentencia del Tribunal de Justicia de las Comunidades Europeas (TJCE) en el asunto "Schrems II". En particular, cada usuario debe comprobar si puede cumplir los estrictos requisitos de la sentencia Schrems II. En caso contrario, la transferencia no está permitida.
Friendly Captcha es un reCAPTCHA Alternativa GDPR que no almacena ningún dato en la memoria persistente del navegador y nunca utiliza datos con fines de marketing. Pruebe Friendly Captcha y regístrese en mes de prueba gratuito.
¿Cumple Google reCAPTCHA el GDPR?
Los expertos internacionales en protección de datos se muestran bastante críticos con la cuestión de si reCAPTCHA cumple la GDPR. Se critica el análisis invisible del comportamiento de los usuarios y la recopilación de datos personales cuando se trata de reCAPTCHA.
Cualquier recogida o tratamiento de datos personales para herramientas analíticas o fines de marketing sólo puede realizarse bajo requisitos específicos del GDPR. Los operadores de sitios web deben anteponer siempre la privacidad de los datos de los clientes.
Además de las prácticas intensivas de recopilación de datos por parte de Google reCAPTCHA, hay otras razones que hablan en contra del cumplimiento del GDPR: la falta de transparencia con respecto a la privacidad del usuario, la falta de una política de privacidad dedicada reCAPTCHA, el uso cookie y la transferencia de datos a países no pertenecientes a la UE.
A continuación examinaremos más detenidamente estas cuestiones relacionadas con la protección de datos.
reCAPTCHA en el contexto de la transparencia del GDPR
Desde mayo de 2018, la Comisión Europea Reglamento general de protección de datos (GDPR) ha proporcionado el marco jurídico para la protección de datos en la Unión Europea. Garantiza el derecho fundamental a la autodeterminación informativa. Proporciona más transparencia y codeterminación para los usuarios europeos en relación con los datos personales recogidos y tratados.
El GDPR exige a las empresas que recojan y traten datos personales únicamente con el consentimiento expreso del usuario y a limitar la recogida de datos a lo que es esencial para la prestación de un servicio.
Transparencia en el sentido del GDPR significa que, al utilizar reCAPTCHA, los operadores de sitios web deben facilitar lo siguiente información a sus usuarios:
-
¿Qué datos personales se recogen?
-
¿Cómo se utilizan los datos personales?
-
¿Cómo se protegen los datos personales?
-
¿A qué terceros se transmiten los datos personales?
Sin embargo, los clientes de reCAPTCHA no pueden encontrar esta información específica en la política de privacidad de datos de Google. No obstante, parece claro que Google reCAPTCHA recopila numerosos datos y utiliza a menudo la "GRECAPTCHA"cookie.
Con la ayuda de cookies, reCAPTCHA crea un huella dactilar individual para cada usuario, que Google puede utilizar para rastrear el comportamiento del usuario a través de las páginas. Información sobre las ventajas e inconvenientes de los llamados huellas dactilares se puede encontrar en el Friendly Captcha Wiki.
El incumplimiento de estos requisitos de transparencia puede acarrear consecuencias jurídicas y multas, como demuestra la Cityscoot caso y el NS Tarjetas Francia caso. En estos casos, la autoridad francesa de protección de datos dictaminó que el uso de Google reCAPTCHA no cumplía los requisitos de transparencia del GDPR y que no se había obtenido el consentimiento cookie para el uso de Google reCAPTCHA. La autoridad francesa de protección de datos ordenó a la empresa Cityscoot CNIL pagar un multa de €125,000 y NS Cards France fue condenada a pagar una multa de 105.000 euros.
Encontrará información detallada sobre cómo reCAPTCHA utiliza cookies en la entrada del blog sobre CAPTCHA cookies.
En ausencia de un interés legítimo, Google reCAPTCHA requiere consentimiento
¿Existe ahora un interés legítimo para el uso de reCAPTCHA y la recopilación de datos asociada de conformidad con el Art. 6 para. 1 GDPR?
Algunos sostienen que reCAPTCHA protege los sitios y formularios web del spam y los bots. Esta protección contra bots garantiza la disponibilidad del sitio web y, por tanto, hace posible en primer lugar su funcionamiento seguro.
Por otra parte, reCAPTCHA recoge y almacena una gran cantidad de datos, establece cookies y no se puede descartar para fines más allá de la protección bot funcional. Además, ahora hay soluciones CAPTCHA respetuosas con la protección de datos y conformes con la GDPR como Friendly Captcha. Esto hace casi imposible argumentar que existe un interés legítimo.
reCAPTCHA utiliza cookies y recopila y almacena datos personales. De acuerdo con el GDPR y la Sección 25, párrafo 1 de la Ley Alemana de Telemedia (Telemediengesetz, TDDDG), consentimiento del usuario a través de un banner cookie es necesario para la uso de Google reCAPTCHA cookies que no sean necesarias para el funcionamiento de un sitio web.
Para ello, los operadores de sitios web deben obtener el consentimiento explícito del usuario mediante la llamada plataformas de gestión del consentimiento que bloquean todos los scripts de Google mediante reCAPTCHA cookies. Estas plataformas de gestión del consentimiento se utilizan para obtener el consentimiento del usuario a través del opt-in para los datos recopilados por Google. Asimismo, los usuarios deben poder retirar su consentimiento en cualquier momento mediante un procedimiento de exclusión voluntaria.
Estos requisitos plantean un dilema a muchos operadores de sitios web: deben obtener el consentimiento de los usuarios por adelantado utilizando banners cookie para poder utilizar reCAPTCHA de conformidad con el GDPR.
Por lo tanto, cualquier usuario que no quiera o no pueda dar su consentimiento excluido de todas las interacciones web protegidas por reCAPTCHA.
Como consecuencia, los operadores de sitios web que utilizan reCAPTCHA integran barreras para todos los usuarios que no quieren o no pueden compartir información con Google. Los usuarios legítimos pueden enfrentarse repetidamente a pruebas CAPTCHA o ver bloqueado su acceso a los servicios. Este proceso conduce a una mala experiencia de usuario y restringe la Accesibilidad CAPTCHA proporcionado por reCAPTCHA.
A partido político en Austria también ha sabido que el uso de Google reCAPTCHA no puede justificarse por motivos de interés legítimo. Aunque la autoridad austriaca de protección de datos, el Tribunal Administrativo Federal de Austria, confirmó que los reCAPTCHA son útiles para prevenir ciberataques, los cookies utilizados no contribuyen a garantizar la funcionalidad esencial del sitio.
No se obtuvo el consentimiento del usuario a través de un banner cookie, por lo que el uso del reCAPTCHA no era admisible desde el punto de vista de la protección de datos.
reCAPTCHA Las transferencias de datos a EE.UU. eluden el RGPD
Otra razón que dificulta a los responsables de la protección de datos clasificar el reCAPTCHA como conforme al GDPR es la inevitable transferencia de datos a Estados Unidos.
Como ya se ha señalado en varios decisiones por las autoridades europeas de protección de datos en relación con el uso de productos de Google como Google Analytics, Google recopila y procesa datos con sus herramientas y los transmite a EE.UU.. La transferencia de datos entra así en conflicto con la sentencia Schrems II del Tribunal de Justicia de las Comunidades Europeas.
Como operador de un sitio web, debe asumir que un conexión a los servidores de Google se establece cuando se utiliza reCAPTCHA.
Google comienza automáticamente analizar los datos de los usuarios en segundo plano en cuanto el usuario accede a un sitio web. Los datos personales se transmiten inmediatamente a los servidores de Google. Google no define explícitamente qué servidores se utilizan para ello. A transferencia transfronteriza de datos por lo que no puede descartarse con certeza.
Por tanto, todos los operadores de sitios web para los que sea importante el tratamiento seguro y local de los datos deberían utilizar un UE CAPTCHA. Proveedores europeos de CAPTCHA como Friendly Captcha se adhieren a normas de protección de datos más estrictas, tienen seguridad soberanía de los datos y son transparente sobre su tratamiento de datos.
La razón más importante para no utilizar un US CAPTCHA como Google reCAPTCHA es la posibilidad de vigilancia por parte del gobierno estadounidense. En el caso de una empresa estadounidense como Google, se aplican leyes de protección de datos diferentes a las europeas, lo que hace posible esta vigilancia.
Basado en la Ley de Vigilancia de Inteligencia Extranjera y las Cartas de Seguridad Nacional, Autoridades de seguridad estadounidenses tienen derecho a acceder a datos personales de servidores situados en el extranjero. Con ello se pretende seguridad nacional. De este modo, las autoridades de seguridad como el FBI pueden obtener información personal, comunicaciones electrónicas y registros financieros de usuarios y sitios web europeos. sin autorización judicial previa.
Por otro lado, un CAPTCHA como el Friendly Captcha de la UE protege contra la vigilancia exterior y ofrece un tratamiento de datos transparente con documentación clara sobre el cumplimiento del GDPR.
Multas - ¿Cuáles son las sanciones por incumplimiento del GDPR?
Hemos visto que Google reCAPTCHA plantea problemas de protección de datos. Quien no cumpla con las obligaciones mencionadas en materia de transparencia, consentimiento cookie y transferencia de datos a EE.UU., o no pueda cumplirlas por falta de información, es infringiendo el GDPR.
Estas infracciones pueden dar lugar a una multa de hasta 20 millones de euros o hasta el cuatro por ciento de las ventas anuales globales.
Además de las pérdidas financieras, las multas del RGPD también pueden tener un impacto en la reputación de una organización. Este daños a la reputación puede tener un impacto negativo a largo plazo en la confianza de los clientes y en la continuidad del negocio. GDPR CAPTCHA alternativo a Google reCAPTCHA.
Alternativa a Google reCAPTCHA que cumple la GDPR
Si desea utilizar un CAPTCHA que cumpla con el GDPR, debe considerar una alternativa reCAPTCHA que cumpla con la protección de datos.
Friendly Captcha es una alternativa segura reCAPTCHA que cumple con GDPR para la protección contra bots y spam bots. Con Friendly Captcha, los operadores de sitios web pueden cumplir la requisitos del RGPD, protegiendo al mismo tiempo interacciones web importantes como inicios de sesión, registros y formularios en línea frente a ataques de bots.
Como CAPTCHA GDPR, Friendly Captcha ofrece las siguientes funciones:
-
Friendly Captcha comprueba el dispositivo del usuario final con pruebas de trabajo invisibles en segundo plano.
-
Utiliza señales de riesgo avanzadas para detectar y prevenir la actividad de los bots.
-
Friendly Captcha funciona sin HTTP cookies y no utiliza el almacenamiento persistente del navegador.
-
Friendly Captcha es Conformidad con el GDPR y no recoge datos personales innecesarios.
A diferencia de Google reCAPTCHA, Friendly Captcha no se basa en la recopilación y análisis exhaustivos de datos de usuarios, sino en el análisis de señales de riesgo anonimizadas y en advanced, retos invisibles de prueba de trabajo.
La información sobre la recogida y uso de datos es transparente y no se establecen CAPTCHA cookies. Por lo tanto, no es necesario el consentimiento del usuario a través de cookie banners.
Friendly Captcha es un CAPTCHA de la UE. Por tanto, los datos de los usuarios de la UE permanecen siempre dentro de la UE. No hay transferencias internacionales de datos.
En resumen, Friendly Captcha cumple plenamente los requisitos del GDPR y las leyes internacionales de privacidad de datos, como CCPA y PIPL.
¿Desea cambiar a una solución CAPTCHA que cumpla la normativa GDPR? Pruebe Friendly Captcha para 30 días gratis. El Friendly Captcha Equipo Enterprise estará encantado de ayudarle con cualquier duda que pueda tener sobre la aplicación.
FAQ
Google reCAPTCHA es problemático en términos del GDPR porque utiliza cookies para su servicio, recopila datos personales y a menudo los transfiere a los EE.UU.. Google reCAPTCHA requiere el consentimiento porque los operadores de sitios web no pueden alegar un interés legítimo. Friendly Captcha ofrece un CAPTCHA conforme al GDPR como alternativa al reCAPTCHA de Google.
Sí, Friendly Captcha cumple totalmente el GDPR porque minimiza la recopilación de datos personales, no establece HTTP cookies, no almacena datos personales en la memoria permanente del navegador y admite el procesamiento de datos limitado a la UE.
Google reCAPTCHA es un servicio de seguridad de sitios web de Google diseñado para proteger los sitios web contra el spam y los ataques automatizados. Analiza el comportamiento de los usuarios para distinguir a las personas reales de los bots. Para ello, utiliza diversas tecnologías, como tareas de reconocimiento de imágenes o análisis de comportamientos invisibles, y también recopila datos personales de los usuarios para su análisis.
Las autoridades europeas de protección de datos están examinando con ojo crítico el uso de reCAPTCHA por parte de los operadores de sitios web. Autoridades como la CNIL francesa han dictado resoluciones judiciales en relación con Google reCAPTCHA.
El uso de reCAPTCHA puede ser ilegal según la legislación de la UE y se ha descubierto que varios propietarios de sitios web lo han hecho. Si desea utilizar reCAPTCHA sin infringir la ley, puede buscar asistencia jurídica profesional.
Como es difícil utilizar reCAPTCHA legalmente bajo la legislación de la UE, vale la pena buscar una alternativa reCAPTCHA compatible con GDPR como Friendly Captcha.
Sí, Google reCAPTCHA requiere cookie consentimiento porque establece cookies y, a menudo transfiere datos personales a los servidores de Google en los Estados Unidos. Estos datos pueden utilizarse para analizar el comportamiento de los usuarios y vincularse a otros servicios de Google. Según el GDPR, se requiere el consentimiento activo a través de una herramienta de consentimiento cookie antes de cargar reCAPTCHA. Sin el consentimiento del usuario, la integración no cumple con el GDPR.
Para cumplir con el GDPR al utilizar reCAPTCHA, es esencial obtener el consentimiento explícito del usuario y limitar la recopilación de datos a lo estrictamente necesario para el servicio. La transferencia de datos personales a países fuera del Espacio Económico Europeo requiere salvaguardias adicionales para los operadores de sitios web. Una solución mucho más sencilla para proteger su propio sitio web del spam y los robots sin necesidad de medidas de seguridad adicionales es Friendly Captcha.
Una alternativa a Google reCAPTCHA que cumple con el GDPR es Friendly Captcha, que no almacena ni rastrea ningún dato personal. El CAPTCHA de la UE ofrece ventajas en materia de protección de datos y puede utilizarse sin el consentimiento del usuario o el cookie.
Al buscar alternativas CAPTCHA que cumplan con GDPR y protejan los sitios web de bots y spam, los operadores de sitios web se encuentran con Friendly Captcha, hCaptcha y honeypot como alternativas CAPTCHA respetuosas con la protección de datos. En comparación con hCaptcha o honeypot, sólo Friendly Captcha resulta convincente en última instancia.
-
Friendly Captcha: Friendly Captcha es el GDPR CAPTCHA que ofrece su widget frontend de código abierto y, por lo tanto, es completamente transparente. Friendly Captcha comprueba el dispositivo del usuario final con retos de Prueba de Trabajo invisibles en segundo plano. Utiliza señales de riesgo advanced para detectar y prevenir la actividad de bots. Friendly Captcha no utiliza HTTP cookies y no utiliza en absoluto el almacenamiento persistente del navegador.
-
hCaptcha: Los retos basados en imágenes de hCaptcha son comparables a los de reCAPTCHA v2. En términos de cumplimiento de GDPR, hCaptcha revela qué datos personales se recopilan. Sin embargo, hCaptcha utiliza cookies, que es fundamental desde el punto de vista del GDPR. Para utilizar hCaptcha, los usuarios europeos envían datos a los servidores de hCaptcha en Estados Unidos. Por tanto, la transferencia de datos y el cookies hacen que el uso de hCaptcha sea crítico desde la perspectiva del GDPR.
-
Honeypots: La honeypot CAPTCHA es un simple señuelo utilizado en seguridad informática para atraer a los bots a campos de entrada ocultos. Los bots simples rellenan estos campos invisibles y así se revelan. Sin embargo, estos honeypot alcanzan rápidamente sus límites con más bots advanced y no pueden garantizar la seguridad integral del sitio web.
Sí, Google reCAPTCHA establece cookies para analizar la actividad del usuario y detectar bots. Los datos personales del usuario almacenados también pueden ser transferidos a los servidores de Google en EE.UU.. Los operadores de sitios web deben mencionar el uso de reCAPTCHA cookies en su política de consentimiento del usuario de la UE; se requiere el consentimiento. Una alternativa libre de cookie CAPTCHA es Friendly Captcha.
Google reCAPTCHA recopila direcciones IP, movimientos del ratón, tiempo de permanencia y otras señales de usuario para distinguir a los humanos de los bots. Estos datos pueden vincularse a otros servicios de Google y procesarse en Estados Unidos. Por lo tanto, una integración conforme a la protección de datos es casi imposible de realizar a pesar de una declaración de protección de datos adaptada.
English 
German 
French 
Spanish 
Italian 
Portuguese