reCAPTCHA y cumplimiento del GDPR - De un vistazo

reCAPTCHA recoge una amplia gama de datos

reCAPTCHA recopila grandes cantidades de datos de los usuarios, incluidas direcciones IP, comportamiento de navegación y capturas de pantalla de las ventanas del navegador, con el fin de determinar si un usuario es un bot.

reCAPTCHA no cumple la normativa GDPR

reCAPTCHA procesa datos personales y utiliza cookies sin el consentimiento explícito del usuario. Sin salvaguardias adicionales y una gestión del consentimiento a prueba de fallos, esto se considera una violación del GDPR.

Critical reCAPTCHA transfiere datos a EE.UU.

Todos los datos recogidos por reCAPTCHA se transfieren a los servidores de Google en Estados Unidos. reCAPTCHA se basa en marcos de transferencia de datos UE-EE.UU. que han sido declarados inválidos en repetidas ocasiones por los tribunales en el pasado. Por lo tanto, garantizar el cumplimiento del GDPR a prueba de futuro es difícil.

Friendly Captcha es la alternativa que cumple el GDPR

A diferencia de Google reCAPTCHA, Friendly Captcha funciona sin cookies, evita la recopilación innecesaria de datos y garantiza que todos los datos permanezcan dentro de la UE. Esto convierte a Friendly Captcha en una alternativa a reCAPTCHA totalmente conforme con el GDPR.
Pruébelo ahora ›

Google reCAPTCHA es un servicio de Google diseñado para proteger los sitios web de ataques de robots, spam y actividades abusivas. Casi todo el mundo conoce reCAPTCHA y sus casillas de verificación "Seleccionar todas las imágenes con semáforo" o "No soy un robot". Sin embargo, muchas personas desconocen el enfoque de Google sobre la privacidad de los datos, qué datos del usuario se recopilan y si el uso de Google reCAPTCHA cumple con el GDPR.

Responderemos a estas preguntas en el siguiente artículo y examinaremos más de cerca la alternativa GDPR al reCAPTCHA, el Friendly Captcha.

Sistema de protección reCAPTCHA

¿Qué es Google reCAPTCHA?

Google reCAPTCHA es un Servicio CAPTCHA que distingue entre usuarios humanos y robots automatizados durante las interacciones web. CAPTCHA es el acrónimo de "Prueba de Turing pública y totalmente automatizada para distinguir entre ordenadores y humanos".

Uno de los primeros servicios CAPTCHA, reCAPTCHA, fue adquirido por Google en 2009. Por aquel entonces, los usuarios de los sitios web aún tenían que descifrar números y letras distorsionados que los programas informáticos no podían descifrar. La privacidad y la protección de datos apenas eran un problema en aquel momento.

Hoy en día, Google reCAPTCHA se utiliza en todo el mundo y se enfrenta a bots e inteligencia artificial cada vez mejores que pueden resolver rápidamente estos sencillos rompecabezas CAPTCHA.

Los propietarios de sitios web utilizan la herramienta CAPTCHA de Google reCAPTCHA para distinguir entre usuarios reales y automatizados o bots. Esto protege a los sitios web de ataques automatizados como credential stuffing, DDoS ataques o adquisición de cuentas.

Existen diferentes versiones de reCAPTCHA:

  • reCAPTCHA v2: Google reCAPTCHA v2 se puede utilizar de dos maneras diferentes. Una posibilidad es utilizar el llamado No CAPTCHA reCAPTCHA. Aquí, los usuarios del sitio web tienen que hacer clic en una casilla para verificar que "no soy un robot", al tiempo que se evalúan innumerables datos personales del cliente. Otra alternativa son los conocidos tareas de reconocimiento de imágenes de reCAPTCHA 2: los visitantes de la web seleccionan entre nueve baldosas las que coinciden con una descripción dada. Con la interacción del usuario, identifican semáforos, ruedas o autobuses. Además de los retos manuales, se recopilan y evalúan los datos de los clientes para valorar el riesgo de un ataque de bots o spam.

  • reCAPTCHA v3: Con reCAPTCHA v3, también conocido como Invisible reCAPTCHAPor lo general, no se requiere la interacción del usuario. En el caso de reCAPTCHA v3, Google recopila datos del usuario, como una captura de pantalla completa de la ventana del navegador o la dirección IP, y los almacena cookies en la memoria persistente del navegador. Basándose en los datos de los visitantes del sitio web, Invisible reCAPTCHA obtiene un puntuación de riesgo para cada usuario individual. Ahora es responsabilidad de los propietarios del sitio web determinar a partir de qué puntuación de riesgo Invisible reCAPTCHA v3 puede pasar un usuario o si se requieren pruebas adicionales CAPTCHA. Para esta verificación adicional, muchos administradores utilizan a su vez las tareas de reconocimiento de imágenes de Google reCAPTCHA v2.

Encontrará una comparación detallada de las ventajas e inconvenientes de las versiones reCAPTCHA actuales en el Comparación reCAPTCHA v2 vs. v3.

Protección de datos europea

GDPR y Google reCAPTCHA - ¿Qué datos se tratarán?

Google reCAPTCHA recopila datos de los usuarios de forma intensiva para detectar usuarios humanos o bots automatizados. En términos de protección de datos y el GDPR, prácticas excesivas de recogida de datos debe considerarse de forma crítica.

Los siguientes datos personales del comportamiento del usuario parece recogerse durante la verificación de Google reCAPTCHA, junto con otros datos, a veces desconocidos:

  • Dirección IP del visitante del sitio web

  • URL del sitio web visitado

  • Captura de pantalla completa de la ventana del navegador

  • URL de referencia (el sitio web del que procede el visitante)

  • Tiempo pasado en el sitio web

  • Movimientos del ratón y entradas del teclado

  • Sistema operativo y navegador

  • Ajustes del dispositivo (como la hora, el idioma y la ubicación)

  • Complementos instalados en el navegador

  • Cookies, incluido Google cookies

Es difícil para los propietarios de sitios web cumplir con los requisitos de información del Art. 13 GDPR porque Google no revela exactamente qué, por qué o cómo los datos personales de los usuarios finales son recogidos por reCAPTCHA. En su Política de privacidad de la UEse limita a indicar que se recogen datos y que los operadores de sitios web deben obtener consentimiento explícito del usuario de los usuarios europeos.

En Oficina Estatal de Control de Protección de Datos de Baviera (BayLDA) ha abordado esta cuestión en su FAQ. Por lo tanto, la autoridad de protección de datos recomienda encarecidamente que los operadores de sitios web consideren una alternativa al reCAPTCHA que cumpla con el GDPR.

Sin duda, los operadores de sitios web deberían comprobar las alternativas. No obstante, si se integra Google reCAPTCHA, el responsable del tratamiento debe ser consciente de que debe poder demostrar el uso lícito de conformidad con el art. 5 (1), (2) GDPR. Aquellos que no puedan demostrar cómo Google procesa los datos personales no podrán informar de forma transparente al usuario ni demostrar el uso lícito. Dado que al activar la herramienta se establece una conexión con los servidores de Google que puede dar lugar a la transferencia de datos a EE.UU., también deben cumplirse los requisitos para la transferencia a terceros países (véase la pregunta frecuente "¿Puede nuestra empresa transferir datos personales a países no pertenecientes a la UE?" en el término de búsqueda "Transferencia internacional de datos"), incluidos los requisitos de la sentencia del Tribunal de Justicia de las Comunidades Europeas (TJCE) en el asunto "Schrems II". En particular, cada usuario debe comprobar si puede cumplir los estrictos requisitos de la sentencia Schrems II. En caso contrario, la transferencia no está permitida.

BayLDA

Friendly Captcha es un reCAPTCHA Alternativa GDPR que no almacena ningún dato en la memoria persistente del navegador y nunca utiliza datos con fines de marketing. Pruebe Friendly Captcha y regístrese en mes de prueba gratuito.

reCAPTCHA v3

¿Cumple Google reCAPTCHA el GDPR?

Los expertos internacionales en protección de datos se muestran bastante críticos con la cuestión de si reCAPTCHA cumple la GDPR. Se critica el análisis invisible del comportamiento de los usuarios y la recopilación de datos personales cuando se trata de reCAPTCHA.

Cualquier recogida o tratamiento de datos personales para herramientas analíticas o fines de marketing sólo puede realizarse bajo requisitos específicos del GDPR. Los operadores de sitios web deben anteponer siempre la privacidad de los datos de los clientes.

Además de las prácticas intensivas de recopilación de datos por parte de Google reCAPTCHA, hay otras razones que hablan en contra del cumplimiento del GDPR: la falta de transparencia con respecto a la privacidad del usuario, la falta de una política de privacidad dedicada reCAPTCHA, el uso cookie y la transferencia de datos a países no pertenecientes a la UE.

A continuación examinaremos más detenidamente estas cuestiones relacionadas con la protección de datos.

reCAPTCHA en el contexto de la transparencia del GDPR

Desde mayo de 2018, la Comisión Europea Reglamento general de protección de datos (GDPR) ha proporcionado el marco jurídico para la protección de datos en la Unión Europea. Garantiza el derecho fundamental a la autodeterminación informativa. Proporciona más transparencia y codeterminación para los usuarios europeos en relación con los datos personales recogidos y tratados.

El GDPR exige a las empresas que recojan y traten datos personales únicamente con el consentimiento expreso del usuario y a limitar la recogida de datos a lo que es esencial para la prestación de un servicio.

Transparencia en el sentido del GDPR significa que, al utilizar reCAPTCHA, los operadores de sitios web deben facilitar lo siguiente información a sus usuarios:

  • ¿Qué datos personales se recogen?

  • ¿Cómo se utilizan los datos personales?

  • ¿Cómo se protegen los datos personales?

  • ¿A qué terceros se transmiten los datos personales?

Sin embargo, los clientes de reCAPTCHA no pueden encontrar esta información específica en la política de privacidad de datos de Google. No obstante, parece claro que Google reCAPTCHA recopila numerosos datos y utiliza a menudo la "GRECAPTCHA"cookie.

Con la ayuda de cookies, reCAPTCHA crea un huella dactilar individual para cada usuario, que Google puede utilizar para rastrear el comportamiento del usuario a través de las páginas. Información sobre las ventajas e inconvenientes de los llamados huellas dactilares se puede encontrar en el Friendly Captcha Wiki.

El incumplimiento de estos requisitos de transparencia puede acarrear consecuencias jurídicas y multas, como demuestra la Cityscoot caso y el NS Tarjetas Francia caso. En estos casos, la autoridad francesa de protección de datos dictaminó que el uso de Google reCAPTCHA no cumplía los requisitos de transparencia del GDPR y que no se había obtenido el consentimiento cookie para el uso de Google reCAPTCHA. La autoridad francesa de protección de datos ordenó a la empresa Cityscoot CNIL pagar un multa de €125,000 y NS Cards France fue condenada a pagar una multa de 105.000 euros.

Encontrará información detallada sobre cómo reCAPTCHA utiliza cookies en la entrada del blog sobre CAPTCHA cookies.

Captcha seguro

En ausencia de un interés legítimo, Google reCAPTCHA requiere consentimiento

¿Existe ahora un interés legítimo para el uso de reCAPTCHA y la recopilación de datos asociada de conformidad con el Art. 6 para. 1 GDPR?

Algunos sostienen que reCAPTCHA protege los sitios y formularios web del spam y los bots. Esta protección contra bots garantiza la disponibilidad del sitio web y, por tanto, hace posible en primer lugar su funcionamiento seguro.

Por otra parte, reCAPTCHA recoge y almacena una gran cantidad de datos, establece cookies y no se puede descartar para fines más allá de la protección bot funcional. Además, ahora hay soluciones CAPTCHA respetuosas con la protección de datos y conformes con la GDPR como Friendly Captcha. Esto hace casi imposible argumentar que existe un interés legítimo.

reCAPTCHA utiliza cookies y recopila y almacena datos personales. De acuerdo con el GDPR y la Sección 25, párrafo 1 de la Ley Alemana de Telemedia (Telemediengesetz, TDDDG), consentimiento del usuario a través de un banner cookie es necesario para la uso de Google reCAPTCHA cookies que no sean necesarias para el funcionamiento de un sitio web.

Para ello, los operadores de sitios web deben obtener el consentimiento explícito del usuario mediante la llamada plataformas de gestión del consentimiento que bloquean todos los scripts de Google mediante reCAPTCHA cookies. Estas plataformas de gestión del consentimiento se utilizan para obtener el consentimiento del usuario a través del opt-in para los datos recopilados por Google. Asimismo, los usuarios deben poder retirar su consentimiento en cualquier momento mediante un procedimiento de exclusión voluntaria.

Estos requisitos plantean un dilema a muchos operadores de sitios web: deben obtener el consentimiento de los usuarios por adelantado utilizando banners cookie para poder utilizar reCAPTCHA de conformidad con el GDPR.

Por lo tanto, cualquier usuario que no quiera o no pueda dar su consentimiento excluido de todas las interacciones web protegidas por reCAPTCHA.

Como consecuencia, los operadores de sitios web que utilizan reCAPTCHA integran barreras para todos los usuarios que no quieren o no pueden compartir información con Google. Los usuarios legítimos pueden enfrentarse repetidamente a pruebas CAPTCHA o ver bloqueado su acceso a los servicios. Este proceso conduce a una mala experiencia de usuario y restringe la Accesibilidad CAPTCHA proporcionado por reCAPTCHA.

A partido político en Austria también ha sabido que el uso de Google reCAPTCHA no puede justificarse por motivos de interés legítimo. Aunque la autoridad austriaca de protección de datos, el Tribunal Administrativo Federal de Austria, confirmó que los reCAPTCHA son útiles para prevenir ciberataques, los cookies utilizados no contribuyen a garantizar la funcionalidad esencial del sitio.

No se obtuvo el consentimiento del usuario a través de un banner cookie, por lo que el uso del reCAPTCHA no era admisible desde el punto de vista de la protección de datos.

Protección de datos segura

reCAPTCHA Las transferencias de datos a EE.UU. eluden el RGPD

Otra razón que dificulta a los responsables de la protección de datos clasificar el reCAPTCHA como conforme al GDPR es la inevitable transferencia de datos a Estados Unidos.

Como ya se ha señalado en varios decisiones por las autoridades europeas de protección de datos en relación con el uso de productos de Google como Google Analytics, Google recopila y procesa datos con sus herramientas y los transmite a EE.UU.. La transferencia de datos entra así en conflicto con la sentencia Schrems II del Tribunal de Justicia de las Comunidades Europeas.

Como operador de un sitio web, debe asumir que un conexión a los servidores de Google se establece cuando se utiliza reCAPTCHA.

Google comienza automáticamente analizar los datos de los usuarios en segundo plano en cuanto el usuario accede a un sitio web. Los datos personales se transmiten inmediatamente a los servidores de Google. Google no define explícitamente qué servidores se utilizan para ello. A transferencia transfronteriza de datos por lo que no puede descartarse con certeza.

Por tanto, todos los operadores de sitios web para los que sea importante el tratamiento seguro y local de los datos deberían utilizar un UE CAPTCHA. Proveedores europeos de CAPTCHA como Friendly Captcha se adhieren a normas de protección de datos más estrictas, tienen seguridad soberanía de los datos y son transparente sobre su tratamiento de datos.

La razón más importante para no utilizar un US CAPTCHA como Google reCAPTCHA es la posibilidad de vigilancia por parte del gobierno estadounidense. En el caso de una empresa estadounidense como Google, se aplican leyes de protección de datos diferentes a las europeas, lo que hace posible esta vigilancia.

Basado en la Ley de Vigilancia de Inteligencia Extranjera y las Cartas de Seguridad Nacional, Autoridades de seguridad estadounidenses tienen derecho a acceder a datos personales de servidores situados en el extranjero. Con ello se pretende seguridad nacional. De este modo, las autoridades de seguridad como el FBI pueden obtener información personal, comunicaciones electrónicas y registros financieros de usuarios y sitios web europeos. sin autorización judicial previa.

Por otro lado, un CAPTCHA como el Friendly Captcha de la UE protege contra la vigilancia exterior y ofrece un tratamiento de datos transparente con documentación clara sobre el cumplimiento del GDPR.

Multas - ¿Cuáles son las sanciones por incumplimiento del GDPR?

Hemos visto que Google reCAPTCHA plantea problemas de protección de datos. Quien no cumpla con las obligaciones mencionadas en materia de transparencia, consentimiento cookie y transferencia de datos a EE.UU., o no pueda cumplirlas por falta de información, es infringiendo el GDPR.

Estas infracciones pueden dar lugar a una multa de hasta 20 millones de euros o hasta el cuatro por ciento de las ventas anuales globales.

Además de las pérdidas financieras, las multas del RGPD también pueden tener un impacto en la reputación de una organización. Este daños a la reputación puede tener un impacto negativo a largo plazo en la confianza de los clientes y en la continuidad del negocio. GDPR CAPTCHA alternativo a Google reCAPTCHA.

Captcha respetuoso con la privacidad

Alternativa a Google reCAPTCHA que cumple la GDPR

Si desea utilizar un CAPTCHA que cumpla con el GDPR, debe considerar una alternativa reCAPTCHA que cumpla con la protección de datos.

Friendly Captcha es una alternativa segura reCAPTCHA que cumple con GDPR para la protección contra bots y spam bots. Con Friendly Captcha, los operadores de sitios web pueden cumplir la requisitos del RGPD, protegiendo al mismo tiempo interacciones web importantes como inicios de sesión, registros y formularios en línea frente a ataques de bots.

Como CAPTCHA GDPR, Friendly Captcha ofrece las siguientes funciones:

  • Friendly Captcha comprueba el dispositivo del usuario final con pruebas de trabajo invisibles en segundo plano.

  • Utiliza señales de riesgo avanzadas para detectar y prevenir la actividad de los bots.

  • Friendly Captcha funciona sin HTTP cookies y no utiliza el almacenamiento persistente del navegador.

  • Friendly Captcha es Conformidad con el GDPR y no recoge datos personales innecesarios.

A diferencia de Google reCAPTCHA, Friendly Captcha no se basa en la recopilación y análisis exhaustivos de datos de usuarios, sino en el análisis de señales de riesgo anonimizadas y en advanced, retos invisibles de prueba de trabajo.

La información sobre la recogida y uso de datos es transparente y no se establecen CAPTCHA cookies. Por lo tanto, no es necesario el consentimiento del usuario a través de cookie banners.

Friendly Captcha es un CAPTCHA de la UE. Por tanto, los datos de los usuarios de la UE permanecen siempre dentro de la UE. No hay transferencias internacionales de datos.

En resumen, Friendly Captcha cumple plenamente los requisitos del GDPR y las leyes internacionales de privacidad de datos, como CCPA y PIPL.

¿Desea cambiar a una solución CAPTCHA que cumpla la normativa GDPR? Pruebe Friendly Captcha para 30 días gratis. El Friendly Captcha Equipo Enterprise estará encantado de ayudarle con cualquier duda que pueda tener sobre la aplicación.

 

FAQ

Google reCAPTCHA no es inherentemente Conformidad con el GDPR y su uso plantea importantes retos a los operadores de sitios web. Para que su uso sea conforme a la ley, deben aplicarse medidas técnicas y organizativas específicas. Entre ellas se incluyen, por ejemplo, obtener el consentimiento explícito, actualizar la política de privacidad, proporcionar un mecanismo de exclusión voluntaria, realizar una DPIA y consultar a un asesor jurídico.

Muchos expertos en protección de datos y APD europeas recomiendan considerar alternativas respetuosas con la privacidad que no se basen en una amplia recopilación de datos personales o cookies, como la Friendly Captcha, ya que puede ofrecer un mejor equilibrio entre seguridad y privacidad del usuario.

Sí, en general se considera que el Friendly Captcha es totalmente Conformidad con el GDPR por diseño y por defecto. Se desarrolló en Europa y emplea un enfoque fundamentalmente diferente para la protección de los bots. en comparación con soluciones como Google reCAPTCHA.

No, Google reCAPTCHA no es ilegal en la UE, pero utilizarlo de forma no conforme constituye una infracción del GDPR y de la Directiva sobre privacidad electrónica, lo que puede acarrear importantes multas y acciones legales. Las autoridades europeas de protección de datos no han prohibido el producto en sí en toda la UE, pero han establecido normas claras sobre cómo debe utilizarse. cantar Google reCAPTCHA sitúa a los operadores de sitios web en una “zona gris” legal.

Aunque no es directamente “ilegal” en la UE, no puede utilizarse “de buenas a primeras” sin aplicar estrictas medidas de cumplimiento, principalmente la obtención del consentimiento informado y explícito del usuario antes de que se cargue el script. Muchos expertos y APD recomiendan utilizar un privacidad, Una alternativa basada en la UE como Friendly Captcha, que no requiere cookies ni una amplia recopilación de datos personales, evita por completo estos riesgos legales.

Sí, necesita el consentimiento explícito e informado del usuario (opt-in) para utilizar Google reCAPTCHA en virtud del GDPR y la Directiva sobre privacidad electrónica si su sitio web tiene visitantes de la UE o del EEE.
Muchos expertos en privacidad de datos recomiendan utilizar una alternativa respetuosa con la privacidad como Friendly Captcha, que no establece cookies ni rastrea datos personales, eliminando así por completo la necesidad de consentimiento.

Al utilizar Google reCAPTCHA, los operadores de sitios web de la UE (o aquellos con visitantes de la UE) deben cumplir los estrictos requisitos del GDPR para el procesamiento de datos, centrándose principalmente en obtener el consentimiento explícito del usuario y garantizar la transparencia.
Una solución mucho más sencilla para proteger su propio sitio web de spam y bots sin necesidad de medidas de seguridad adicionales es Friendly Captcha.

Lo mejor Alternativa conforme al GDPR a Google reCAPTCHA para los usuarios de la Unión Europea se considera en general Friendly Captcha. Friendly Captcha es una solución basada en la UE que da prioridad a la privacidad y que cumple plenamente con el GDPR por diseño y por defecto por varias razones clave. Para los operadores de sitios web que priorizan la máxima protección de datos y el pleno cumplimiento sin necesidad de una extensa revisión legal o mecanismos de consentimiento del usuario, Friendly Captcha es la opción recomendada.

Varias alternativas CAPTCHA se consideran compatibles con GDPR porque se centran en la minimización de datos y no se basan en un amplio seguimiento de usuarios o cookies. La opción más destacada es: Friendly Captcha.

Friendly Captcha se considera generalmente la opción líder en el cumplimiento del GDPR debido a su diseño, que da prioridad a la privacidad por defecto.

Para la mayoría de las empresas que operan en la UE o se dirigen a ella, Friendly Captcha ofrece el mejor equilibrio entre una seguridad sólida, una experiencia de usuario fluida y el cumplimiento inherente del GDPR.

Sí, Google reCAPTCHA establece y utiliza cookies, junto con otras formas de almacenamiento del navegador y los mecanismos de recopilación de datos. El principal conjunto cookie es el  GRECAPTCHA cookie, que Google describe como un cookie funcional necesario para su análisis de riesgos. Sin embargo, cuando se carga el script reCAPTCHA, a menudo interactúa con otros cookies asociados al dominio de Google o los configura, especialmente si el usuario ha iniciado sesión en una cuenta de Google. Estos cookies pueden utilizarse para diversos fines, entre ellos:  

  • NID cookie: Se utiliza para recordar preferencias y personalizar la publicidad en las búsquedas de Google.
  • 1P_JAR cookie: Recopila estadísticas de uso del sitio web y ayuda a medir la eficacia de los anuncios.
  • CONSENTIMIENTO cookie: Almacena el estado de consentimiento de un usuario para los servicios de Google.

 

Para evitar los riesgos legales y de privacidad asociados con requerir el consentimiento del usuario, muchos propietarios de sitios web están cambiando a alternativas que cumplen con el GDPR y que están libres de cookie, como Friendly Captcha o Cloudflare Turnstile.

Google reCAPTCHA procesa una amplia gama de datos personales y de comportamiento para distinguir a los usuarios humanos de los bots automatizados. Esta recopilación de datos es extensa y es una de las principales razones de los retos para hacer que reCAPTCHA cumpla con el GDPR.
La información recopilada por reCAPTCHA, particularmente en la versión invisible v3, puede incluir información del dispositivo y del navegador, métricas de comportamiento del usuario, información contextual y cookies. Esta amplia recopilación de datos, a menudo opaca, es la razón principal por la que se requiere el consentimiento explícito del usuario en virtud del GDPR antes de que se pueda utilizar reCAPTCHA. Encuentre en Friendly Captcha una solución CAPTCHA que cumple con el GDPR sin una recopilación de datos exhaustiva.

Proteja su empresa contra los ataques de bots.
Póngase en contacto con el equipo Friendly Captcha Enterprise para ver cómo puede defender sus sitios web y aplicaciones contra bots y ciberataques.
Contacte con nosotros '