Google reCAPTCHA è un servizio di Google progettato per proteggere i siti web da attacchi bot, spam e attività abusive. Quasi tutti conoscono reCAPTCHA e le sue caselle "Seleziona tutte le immagini con semaforo" o "Non sono un robot". Tuttavia, molti non conoscono l'approccio di Google alla privacy dei dati, quali dati degli utenti vengono raccolti e se l'uso di Google reCAPTCHA è conforme al GDPR.
Nel seguente articolo risponderemo a queste domande e daremo un'occhiata più da vicino all'alternativa GDPR all'reCAPTCHA, l'Friendly Captcha.
Che cos'è Google reCAPTCHA?
Google reCAPTCHA è un Servizio CAPTCHA che distingue tra utenti umani e bot automatizzati durante le interazioni sul web. CAPTCHA è un acronimo che sta per "Test di Turing pubblico completamente automatizzato per distinguere computer e umani".
Uno dei primi servizi CAPTCHA, reCAPTCHA, è stato acquisito da Google nel 2009. A quel tempo, gli utenti dei siti web dovevano ancora decifrare numeri e lettere distorte che i programmi informatici non erano in grado di decifrare. La privacy e la protezione dei dati non erano un problema all'epoca.
Oggi Google reCAPTCHA è utilizzato in tutto il mondo e si confronta con bot e intelligenze artificiali in continuo miglioramento, in grado di risolvere rapidamente questi semplici CAPTCHA puzzle.
I proprietari di siti web utilizzano lo strumento CAPTCHA di Google reCAPTCHA per distinguere tra utenti reali e automatizzati o bot. Questo protegge i siti web da attacchi automatici come credential stuffing, Attacchi DDoS o acquisizione del conto.
Esistono diversi versioni di reCAPTCHA:
-
reCAPTCHA v2: Google reCAPTCHA v2 può essere utilizzato in due modi diversi. Una possibilità è quella di utilizzare il cosiddetto N. CAPTCHA reCAPTCHA. In questo caso, gli utenti del sito web devono cliccare su una casella di controllo per verificare che "non sono un robot", mentre allo stesso tempo vengono valutati innumerevoli dati personali dei clienti. In alternativa, ci sono i ben noti compiti di riconoscimento delle immagini di reCAPTCHA 2: i visitatori del sito web selezionano tra nove tessere quelle che corrispondono a una determinata descrizione. Con l'interazione dell'utente, identificano semafori, ruote o autobus. Oltre alle sfide manuali, vengono raccolti e valutati i dati dei clienti per valutare il rischio di un attacco bot o di spam.
-
reCAPTCHA v3: Con reCAPTCHA v3, noto anche come Invisibile reCAPTCHAdi solito non è richiesta alcuna interazione da parte dell'utente. Per reCAPTCHA v3, Google raccoglie i dati dell'utente, come l'immagine completa della finestra del browser o l'indirizzo IP, e li memorizza cookies nella memoria persistente del browser. In base ai dati dei visitatori del sito web, Invisibile reCAPTCHA deriva un punteggio di rischio per ogni singolo utente. Ora è responsabilità dei proprietari del sito web determinare da quale punteggio di rischio Invisible reCAPTCHA v3 un utente può passare o se sono necessari ulteriori test CAPTCHA. Per questa verifica aggiuntiva, molti amministratori utilizzano a loro volta i compiti di riconoscimento delle immagini di Google reCAPTCHA v2.
Un confronto dettagliato dei vantaggi e degli svantaggi delle attuali versioni reCAPTCHA è riportato nel documento Confronto reCAPTCHA v2 vs. v3.
GDPR e Google reCAPTCHA - Quali dati saranno trattati?
Google reCAPTCHA raccoglie i dati degli utenti in modo intensivo per rilevare gli utenti umani o i bot automatizzati. In termini di protezione dei dati e del GDPR, pratiche di raccolta dati eccessive deve essere considerato in modo critico.
Il seguente dati personali del comportamento dell'utente sembra essere raccolto durante la verifica di Google reCAPTCHA, insieme ad altri dati, talvolta sconosciuti:
-
Indirizzo IP del visitatore del sito web
-
URL del sito web visitato
-
Schermata completa della finestra del browser
-
URL di riferimento (il sito web da cui proviene il visitatore)
-
Tempo trascorso sul sito web
-
Movimenti del mouse e input della tastiera
-
Sistema operativo e browser
-
Impostazioni del dispositivo (come ora, lingua e posizione)
-
Plugin del browser installati
-
Cookies, incluso Google cookies
È difficile per i proprietari di siti web soddisfare i requisiti di informazione ai sensi dell'art. 13 GDPR perché Google non rivela esattamente quali sono i motivi o le modalità di raccolta dei dati personali degli utenti finali da parte di reCAPTCHA. 13 GDPR perché Google non rivela esattamente cosa, perché e come i dati personali degli utenti finali vengono raccolti da reCAPTCHA. Nella sua Informativa sulla privacy dell'UEsi limita ad affermare che i dati vengono raccolti e che i gestori dei siti web devono ottenere consenso esplicito dell'utente dagli utenti europei.
Il Ufficio statale bavarese per il controllo della protezione dei dati (BayLDA) ha affrontato la questione nella sua FAQ. L'autorità per la protezione dei dati raccomanda pertanto vivamente agli operatori di siti web di prendere in considerazione un'alternativa conforme al GDPR all'reCAPTCHA.
I gestori di siti web dovrebbero assolutamente verificare le alternative. Tuttavia, se Google reCAPTCHA è integrato, il responsabile del trattamento deve essere consapevole che deve essere in grado di dimostrare l'uso legittimo ai sensi dell'art. 5 (1, 2) del Gdpr. 5 (1), (2) GDPR. Chi non è in grado di dimostrare come Google elabora i dati personali non può informare in modo trasparente l'utente e dimostrare l'uso legittimo. Poiché con l'attivazione dello strumento viene stabilita una connessione ai server di Google, che può comportare il trasferimento dei dati negli Stati Uniti, devono essere soddisfatti anche i requisiti per il trasferimento verso Paesi terzi (si veda la FAQ "La nostra azienda può trasferire i dati personali in Paesi non appartenenti all'UE?" sotto il termine di ricerca "Trasferimento internazionale di dati"), compresi i requisiti della sentenza della Corte di giustizia europea (CGUE) nel caso "Schrems II". In particolare, ogni utente deve verificare se i severi requisiti della sentenza Schrems II possono essere soddisfatti. In caso contrario, il trasferimento non è consentito.
Friendly Captcha è un reCAPTCHA Alternativa GDPR che non memorizza alcun dato nella memoria persistente del browser e non utilizza mai i dati per scopi di marketing. Provate Friendly Captcha e iscrivetevi per un mese di prova gratuito.
Google reCAPTCHA è conforme al GDPR?
Gli esperti internazionali di protezione dei dati sono piuttosto critici sulla questione della conformità di reCAPTCHA al GDPR. L'analisi invisibile del comportamento degli utenti e la raccolta di dati personali sono criticati quando si tratta di reCAPTCHA.
Qualsiasi raccolta o trattamento di dati personali per strumenti di analisi o per scopi di marketing può avvenire solo in base a specifici requisiti del GDPR. Gli operatori dei siti web devono sempre mettere al primo posto la privacy dei dati dei clienti.
Oltre alle pratiche intensive di raccolta dei dati da parte di Google reCAPTCHA, ci sono altri motivi che depongono a sfavore della conformità al GDPR: la mancanza di trasparenza sulla privacy degli utenti, l'assenza di un'informativa sulla privacy reCAPTCHA dedicata, l'utilizzo cookie e il trasferimento dei dati in Paesi non appartenenti all'UE.
Di seguito analizzeremo più da vicino questi problemi di protezione dei dati.
reCAPTCHA nel contesto della trasparenza del GDPR
Da maggio 2018, l'Unione Europea Regolamento generale sulla protezione dei dati (GDPR) ha fornito il quadro giuridico per la protezione dei dati nell'Unione europea. Garantisce il diritto fondamentale all'autodeterminazione informativa. Fornisce più trasparenza e co-determinazione per gli utenti europei in merito ai dati personali raccolti e trattati.
Il GDPR richiede alle aziende di raccogliere ed elaborare i dati personali solo con il consenso esplicito dell'utente e di limitare la raccolta dei dati a ciò che è essenziali per la prestazione di un servizio.
La trasparenza ai sensi del GDPR significa che quando si utilizza l'reCAPTCHA, gli operatori del sito web devono fornire quanto segue informazioni ai loro utenti:
-
Quali dati personali vengono raccolti?
-
Come vengono utilizzati i dati personali?
-
Come vengono protetti i dati personali?
-
A quali terzi vengono trasmessi i dati personali?
Tuttavia, i clienti di reCAPTCHA non possono trovare queste informazioni specifiche nell'informativa sulla privacy di Google. Sembra chiaro, tuttavia, che Google reCAPTCHA raccolga numerosi dati e utilizzi spesso il sistema "_GRECAPTCHA" cookie.
Con l'aiuto dell'cookies, l'reCAPTCHA crea una impronta digitale individuale per ogni utente, che Google può utilizzare per tracciare il comportamento degli utenti nelle varie pagine. Informazioni sui vantaggi e gli svantaggi dei cosiddetti impronte digitali si trova nella Wiki Friendly Captcha.
L'inosservanza di questi requisiti di trasparenza può portare a conseguenze legali e multe, come dimostra il caso del Città di Scozia e il caso Carte NS Francia caso. In questi casi, l'autorità francese per la protezione dei dati ha stabilito che l'uso di Google reCAPTCHA non soddisfaceva i requisiti di trasparenza del GDPR e che non era stato ottenuto il consenso cookie per l'uso di Google reCAPTCHA. L'autorità francese per la protezione dei dati ha ordinato alla società Cityscoot di CNIL di pagare un multa di €125,000 e NS Cards France è stata condannata a pagare una multa di 105.000 euro.
Informazioni dettagliate su come l'reCAPTCHA utilizza l'cookies sono disponibili nel post del blog su CAPTCHA cookies.
In assenza di un interesse legittimo, Google reCAPTCHA richiede un consenso
Esiste ora un interesse legittimo per l'utilizzo dell'reCAPTCHA e la relativa raccolta dei dati ai sensi dell'Art. 6 para. 1 GDPR?
Alcuni sostengono che reCAPTCHA protegga i siti e i moduli web dallo spam e dai bot. Questa protezione dai bot garantisce la disponibilità del sito web e rende quindi possibile il funzionamento sicuro del sito stesso.
D'altra parte, l'reCAPTCHA raccoglie e memorizza una grande quantità di dati, imposta l'cookies e non può essere escluso per scopi che vanno oltre la protezione funzionale dei bot. Inoltre, ora ci sono soluzioni CAPTCHA rispettose della protezione dei dati e conformi al GDPR come Friendly Captcha. Ciò rende quasi impossibile sostenere l'esistenza di un interesse legittimo.
reCAPTCHA utilizza cookies e raccoglie e memorizza dati personali. Ai sensi del GDPR e dell'articolo 25, paragrafo 1 della legge tedesca sui media telematici (Telemediengesetz, TDDDG), consenso dell'utente tramite un banner cookie è richiesto per il utilizzo di Google reCAPTCHA cookies che non sono necessari per il funzionamento di un sito web.
A tal fine, i gestori dei siti web devono ottenere il consenso esplicito dell'utente con i cosiddetti piattaforme di gestione del consenso che bloccano tutti gli script di Google utilizzando reCAPTCHA cookies. Queste piattaforme di gestione del consenso vengono utilizzate per ottenere il consenso degli utenti tramite opt-in per i dati raccolti da Google. Allo stesso modo, gli utenti devono poter ritirare il proprio consenso in qualsiasi momento utilizzando una procedura di opt-out.
Questi requisiti pongono molti operatori di siti web di fronte a un dilemma: devono ottenere il consenso degli utenti prima di utilizzare i banner cookie per poter utilizzare l'reCAPTCHA in conformità con il GDPR.
Gli utenti che non vogliono o non possono dare il loro consenso sono quindi escluso da tutte le interazioni web protette da reCAPTCHA.
Di conseguenza, i gestori di siti web che utilizzano l'reCAPTCHA integrano barriere per tutti gli utenti che non vogliono o non possono condividere informazioni con Google. Gli utenti legittimi possono essere ripetutamente sottoposti a test CAPTCHA o bloccati nell'accesso ai servizi. Questo processo porta a un scarsa esperienza dell'utente e limita la Accessibilità CAPTCHA fornito dall'reCAPTCHA.
A partito politico in Austria ha inoltre appreso che l'uso degli reCAPTCHA di Google non può essere giustificato sulla base del legittimo interesse. Sebbene l'autorità austriaca per la protezione dei dati, il Tribunale amministrativo federale austriaco, abbia confermato che l'reCAPTCHA è utile per prevenire i cyberattacchi, l'cookies utilizzato non contribuisce a garantire la funzionalità essenziale del sito.
Non è stato ottenuto il consenso dell'utente tramite un banner cookie e l'uso dell'reCAPTCHA non è quindi ammissibile dal punto di vista della protezione dei dati.
reCAPTCHA I trasferimenti di dati verso gli Stati Uniti eludono il GDPR
Un'altra ragione che rende difficile per i responsabili della protezione dei dati classificare l'reCAPTCHA come conforme al GDPR è l'inevitabile trasferimento dati negli Stati Uniti.
Come già affermato in diverse decisioni dalle autorità europee per la protezione dei dati in merito all'utilizzo di prodotti Google come Google Analytics, Google raccoglie ed elabora i dati con i suoi strumenti e li trasmette negli Stati Uniti. Il trasferimento dei dati è quindi in contrasto con la sentenza Schrems II della Corte di giustizia europea.
Come gestore di un sito web, dovete partire dal presupposto che una connessione ai server di Google viene stabilito quando si utilizza reCAPTCHA.
Google inizia automaticamente analizzare i dati degli utenti in background non appena l'utente accede a un sito web. I dati personali vengono immediatamente trasmessi ai server di Google. Google non definisce esplicitamente quali siano i server utilizzati a tale scopo. A trasferimento transfrontaliero dei dati non può quindi essere esclusa con certezza.
Tutti i gestori di siti web per i quali è importante un'elaborazione sicura e locale dei dati dovrebbero quindi utilizzare un UE CAPTCHA. Fornitori europei CAPTCHA come Friendly Captcha aderiscono a standard di protezione dei dati più severi, avere una sicurezza sovranità dei dati e sono trasparente sul trattamento dei dati.
La ragione più importante per non utilizzare un CAPTCHA statunitense come il reCAPTCHA di Google è la possibilità di sorveglianza da parte del governo statunitense. Per un'azienda statunitense come Google, si applicano leggi sulla protezione dei dati diverse da quelle europee, che rendono possibile questa sorveglianza.
Sulla base del Foreign Intelligence Surveillance Act e delle National Security Letters, Autorità di sicurezza statunitensi hanno il diritto di accedere ai dati personali provenienti da server situati all'estero. Ciò ha lo scopo di servire sicurezza nazionale. Le autorità di sicurezza come l'FBI sono quindi in grado di ottenere informazioni personali, comunicazioni elettroniche e registrazioni finanziarie di utenti e siti web europei. senza previa autorizzazione giudiziaria.
Un CAPTCHA UE come un Friendly Captcha, d'altra parte, protegge contro le sorveglianza estera e offre un trattamento dei dati trasparente con una chiara documentazione di conformità al GDPR.
Multe - Quali sono le sanzioni per la violazione del GDPR?
Abbiamo visto che Google reCAPTCHA solleva problemi di protezione dei dati. Chi non rispetta i suddetti obblighi di trasparenza, consenso e trasferimento dei dati negli Stati Uniti o non è in grado di farlo per mancanza di informazioni è in violazione del GDPR.
Queste violazioni possono comportare una ammenda fino a 20 milioni di euro o fino al quattro per cento del fatturato annuo globale.
Oltre alla perdita finanziaria, le multe previste dal GDPR possono avere anche un impatto sulla reputazione di un'organizzazione. Questo danni alla reputazione può avere un impatto negativo a lungo termine sulla fiducia dei clienti e sull'attività commerciale. Alternativa GDPR CAPTCHA a Google reCAPTCHA.
Alternativa conforme al GDPR a Google reCAPTCHA
Se si desidera utilizzare un CAPTCHA conforme al GDPR, è necessario considerare un'alternativa reCAPTCHA conforme alla protezione dei dati.
Friendly Captcha è un'alternativa sicura a reCAPTCHA conforme al GDPR per la protezione contro bot e spam bot. Con l'Friendly Captcha, gli operatori di siti web possono soddisfare i requisiti di requisiti del GDPR, proteggendo al contempo interazioni web importanti come login, registrazioni e moduli online da attacchi bot.
Come CAPTCHA GDPR, Friendly Captcha offre le seguenti funzioni:
-
L'Friendly Captcha controlla il dispositivo dell'utente finale con sfide invisibili di proof-of-work in background.
-
Utilizza segnali di rischio avanzati per rilevare e prevenire l'attività dei bot.
-
Friendly Captcha funziona senza HTTP cookies e non utilizza la memorizzazione persistente del browser.
-
Friendly Captcha è Conformità al GDPR e non raccoglie dati personali non necessari.
A differenza dell'reCAPTCHA di Google, l'Friendly Captcha non si basa sulla raccolta e sull'analisi approfondita dei dati degli utenti, ma sull'analisi di segnali di rischio anonimizzati e su advanced, sfide proof-of-work invisibili.
Le informazioni sulla raccolta e l'utilizzo dei dati sono trasparenti e non vengono impostate CAPTCHA cookies. Il consenso dell'utente tramite cookie banner non è quindi necessario.
Friendly Captcha è un CAPTCHA dell'UE. I dati degli utenti dell'UE rimangono quindi sempre all'interno dell'UE. Non vi sono trasferimenti internazionali di dati.
In sintesi, l'Friendly Captcha è pienamente conforme ai requisiti del GDPR e alle leggi internazionali sulla privacy dei dati, quali CCPA e PIPL.
Volete passare a una soluzione CAPTCHA conforme al GDPR? Testate la Friendly Captcha per 30 giorni gratis. Il modello Friendly Captcha Squadra Enterprise sarà lieto di aiutarvi a rispondere a qualsiasi domanda sull'implementazione.
FAQ
Google reCAPTCHA è problematico in termini di GDPR perché utilizza cookies per il suo servizio, raccoglie dati personali e spesso li trasferisce negli Stati Uniti. Google reCAPTCHA richiede il consenso perché i gestori di siti web non possono sostenere l'esistenza di un interesse legittimo. Friendly Captcha offre un CAPTCHA conforme al GDPR come alternativa al reCAPTCHA di Google.
Sì, Friendly Captcha è pienamente conforme al GDPR perché riduce al minimo la raccolta di dati personali, non imposta HTTP cookies, non memorizza dati personali nella memoria permanente del browser e supporta un'elaborazione dei dati limitata all'UE.
Google reCAPTCHA è un servizio di sicurezza per siti web di Google progettato per proteggere i siti web da spam e attacchi automatici. Analizza il comportamento degli utenti per distinguere le persone reali dai bot. A tal fine, utilizza varie tecnologie, come il riconoscimento delle immagini o l'analisi del comportamento invisibile, e raccoglie anche i dati personali degli utenti per l'analisi.
Le autorità europee per la protezione dei dati stanno esaminando criticamente l'uso dell'reCAPTCHA da parte degli operatori di siti web. Ci sono state decisioni legali riguardanti l'reCAPTCHA di Google da parte di autorità come la CNIL francese.
L'uso dell'reCAPTCHA può essere illegale ai sensi della legislazione dell'UE e diversi proprietari di siti web sono stati scoperti a farlo. Se si desidera utilizzare l'reCAPTCHA senza violare la legge, è consigliabile rivolgersi a un professionista per ottenere assistenza legale.
Poiché è difficile utilizzare l'reCAPTCHA in modo legale secondo le leggi dell'UE, vale la pena cercare un'alternativa all'reCAPTCHA conforme al GDPR, come l'Friendly Captcha.
Sì, Google reCAPTCHA richiede il consenso cookie perché imposta cookies e spesso trasferisce i dati personali ai server di Google negli Stati Uniti. Questi dati possono essere utilizzati per analizzare il comportamento degli utenti e collegati ad altri servizi di Google. Secondo il GDPR, è necessario un consenso attivo tramite uno strumento di consenso cookie prima che venga caricato reCAPTCHA. Senza il consenso dell'utente, l'integrazione non è conforme al GDPR.
Per rispettare il GDPR quando si utilizza reCAPTCHA, è essenziale ottenere il consenso esplicito degli utenti e limitare la raccolta dei dati allo stretto necessario per il servizio. Il trasferimento di dati personali in Paesi al di fuori dello Spazio Economico Europeo richiede ulteriori garanzie per gli operatori di siti web. Una soluzione molto più semplice per proteggere il proprio sito web da spam e bot, senza la necessità di ulteriori misure di sicurezza, è l'Friendly Captcha.
Un'alternativa conforme al GDPR al reCAPTCHA di Google è il Friendly Captcha, che non memorizza né traccia alcun dato personale. L'CAPTCHA dell'UE offre vantaggi in termini di protezione dei dati e può essere utilizzato senza il consenso dell'utente o cookie.
Quando cercano alternative CAPTCHA conformi al GDPR che proteggano i siti web da bot e spam, gli operatori di siti web si imbattono in Friendly Captcha, hCaptcha e honeypot come alternative CAPTCHA compatibili con la protezione dei dati. Rispetto all'hCaptcha o all'honeypot, solo l'Friendly Captcha è in definitiva convincente.
-
Friendly Captcha: Friendly Captcha è l'CAPTCHA GDPR che offre il suo widget frontend open source ed è quindi completamente trasparente. Friendly Captcha controlla il dispositivo dell'utente finale con sfide invisibili di Proof of Work in background. Utilizza i segnali di rischio advanced per rilevare e prevenire le attività dei bot. L'EU CAPTCHA Friendly Captcha non utilizza HTTP cookies e non utilizza affatto la memorizzazione persistente del browser.
-
hCaptcha: Le sfide basate sulle immagini dell'hCaptcha sono paragonabili a quelle dell'reCAPTCHA v2. In termini di conformità al GDPR, l'hCaptcha rivela quali dati personali vengono raccolti. Tuttavia, l'hCaptcha utilizza l'cookies, che è fondamentale dal punto di vista del GDPR. Per utilizzare hCaptcha, gli utenti europei inviano i dati ai server di hCaptcha negli Stati Uniti. Il trasferimento dei dati e l'cookies rendono quindi l'uso dell'hCaptcha critico dal punto di vista del GDPR.
-
Vasi di miele: Il honeypot CAPTCHA è una semplice esca utilizzata nella sicurezza informatica per attirare i bot in campi di input nascosti. I bot semplici riempiono questi campi invisibili e si rivelano così. Tuttavia, questi honeypot raggiungono rapidamente i loro limiti con altri advanced e non possono garantire una sicurezza completa del sito web.
Sì, Google reCAPTCHA imposta cookies per analizzare le attività degli utenti e rilevare i bot. I dati personali dell'utente memorizzati possono anche essere trasferiti ai server di Google negli Stati Uniti. I gestori di siti Web devono menzionare l'uso di reCAPTCHA cookies nella loro politica di consenso degli utenti dell'UE; è necessario il consenso. Un'alternativa senza cookie CAPTCHA è Friendly Captcha.
Google reCAPTCHA raccoglie indirizzi IP, movimenti del mouse, tempo di permanenza e altri segnali dell'utente per distinguere gli esseri umani dai bot. Questi dati possono essere collegati ad altri servizi di Google ed elaborati negli Stati Uniti. Pertanto, un'integrazione conforme alla protezione dei dati è quasi impossibile da realizzare nonostante una dichiarazione di protezione dei dati adattata.
