hCaptcha og GDPR: er captcha lovlig på nettsiden din?

Hva hCaptcha selv oppgir om GDPR

hCaptcha drives av Intuition Machines, et selskap med hovedkontor i USA og virksomhet flere steder i verden. Selskapet beskriver tjenesten som bygget på en Zero PII-arkitektur, altså at den skal samle inn minst mulig personopplysninger mens den fortsatt stopper automatiserte bots. De publiserer egne GDPR-sider, personvernerklæring og en databehandlingsavtale (DPA) som kunder kan gjennomgå før de tar tjenesten i bruk.

I materialet viser de til eksterne revisjoner og sertifiseringer, blant annet ISO 27001, ISO 27701 og SOC 2 Type II, i tillegg til standard personvernbestemmelser (SCC) og tilknytning til Data Privacy Framework. For deg som driver en liten bedrift betyr det at det finnes noe konkret å be om og arkivere, ikke bare en markedsføringspåstand på en nettside.

En viktig detalj: hCaptcha hevder selv at anti-bot-tjenesten bare setter informasjonskapsler som er unntatt fra samtykkekravet etter GDPR. Det er leverandørens vurdering av sin egen tjeneste. Den flytter ikke ansvaret over på dem, og den bør ikke siteres ukritisk i din egen dokumentasjon.

Grunnreglene for hva en nettside må ha på plass, enten den bruker captcha eller ikke, finner du i regler for nettsider og netthandel: komplett guide for bedrifter.

Du er behandlingsansvarlig, ikke leverandøren

Når du legger inn hCaptcha for å hindre søppelhenvendelser i skjemaet, bestemmer du formålet med behandlingen. Da er du behandlingsansvarlig, og hCaptcha er databehandleren din. Etter artikkel 28 i GDPR skal det inngås en databehandleravtale med Intuition Machines, Inc., og avtalen skal kunne legges fram for tilsynsmyndigheten hvis det blir spørsmål. Last den ned, signer der det kreves, og legg den i en mappe sammen med de andre leverandøravtalene dine.

Du må også oppdatere personvernerklæringen. Den skal forklare hvorfor du bruker captcha, hvilke opplysninger som behandles, hvem som er mottaker, og at opplysninger kan bli overført til USA. Skriv det på norsk, i klartekst, og plasser det der folk faktisk ser det, ikke gjemt bakerst i en svær tekst.

Det rettslige grunnlaget er ofte berettiget interesse: du har en reell grunn til å beskytte skjemaet mot bots, og inngrepet i den enkeltes personvern er begrenset. Andre velger å knytte det til avtaleinngåelse der captcha er en del av en tjeneste kunden ber om. Uansett grunnlag bør du kunne forklare avveiningen skriftlig, i noen få setninger, og oppbevare notatet. GDPR for små bedrifter og foreninger går gjennom hvordan du bygger denne typen dokumentasjon uten å gjøre det større enn nødvendig.

Cookies og samtykke: der mange går feil

Cookie-kravet og GDPR er to separate regelverk. Ekomregelverket krever samtykke før du setter informasjonskapsler eller leser informasjon fra brukerens utstyr, med mindre det finnes et snevert unntak for det som er strengt nødvendig. At du har et gyldig grunnlag etter GDPR, løser altså ikke cookie-spørsmålet. Dette er den vanligste misforståelsen vi ser hos små nettsideeiere.

Unntaket for strengt nødvendige informasjonskapsler er smalt og må vurderes per brukstilfelle. Det er ikke en generell åpning for sikkerhets- eller anti-bot-verktøy. Derfor er «samtykkefrie» i praksis en konklusjon du må teste selv: hvilke informasjonskapsler settes, hva brukes de til, og er de nødvendige for at tjenesten skal fungere i det hele tatt. Hvordan reglene rundt banner og samtykke praktiseres, er beskrevet i informasjonskapsler på nettsiden: dette sier reglene.

Praktisk betyr det to ting. Hvis du har et samtykkebanner, skal hCaptcha omtales der hvis tjenesten faktisk setter informasjonskapsler, med formål og varighet. Hvis du mener unntaket gjelder, bør du skrive ned hvorfor, hvilke kapsler du har observert i nettleseren, og hva de gjør. Da står du med et svar hvis noen spør.

En enkel test du kan gjøre selv: åpne skjemaet i et privat vindu, se hvilke informasjonskapsler som dukker opp, og før dem opp med navn, formål og utløpstid. Gjenta etter at du har endret innlogging eller lagt til nye skript. En vurdering fra i fjor er ofte utdatert.

Overføring til USA krever eget grunnlag

Siden hCaptcha er et amerikansk selskap, innebærer bruk på en norsk nettside at personopplysninger kan bli overført ut av EØS. Det utløser kravene i kapittel V i GDPR: du må ha et overføringsgrunnlag, enten det er en beslutning om tilstrekkelig beskyttelsesnivå, standard personvernbestemmelser eller et annet godkjent virkemiddel. Leverandøren oppgir å ha både SCC og tilknytning til Data Privacy Framework, og du bør sjekke at dette dekker tjenesten du faktisk kjøper.

I praksis betyr det at du leser vedlegget i databehandlingsavtalen som beskriver sikkerhetstiltak for data som overføres fra EØS til USA. Ta vare på versjonen som gjaldt da du tok tjenesten i bruk. Overføringsspørsmål er også en av grunnene til at mange velger å begrense hvilke opplysninger som i det hele tatt sendes til tredjeparter. GDPR og kryptering: hva kreves? forklarer hvordan tekniske tiltak spiller inn i den vurderingen.

Hva er risikoen hvis du hopper over dette? At du ikke kan vise at overføringen har grunnlag, er et selvstendig problem, uavhengig av hvor god tjenesten er teknisk. Nivået på reaksjoner fra tilsynsmyndighetene er omtalt i GDPR-bøter i Norge og bøtenivå, men den viktigste grunnen til å rydde er at du skal kunne svare raskt og riktig hvis en kunde eller en tilsynsmyndighet spør.

Slik gjør du en praktisk vurdering

Start med behovet. Hvorfor vil du ha captcha? Er problemet søppelhenvendelser i et kontaktskjema, eller er det et forsøk på å stoppe masseinnsendinger? Noen ganger løser en enkel honeypot-felle eller en tidsbegrensning problemet uten tredjepart i det hele tatt. Hvis du først tar i bruk en tjeneste, bør du kunne begrunne hvorfor akkurat den er valgt.

Deretter dokumentasjonen. Hent databehandlingsavtalen, noter hvilket overføringsgrunnlag som gjelder, og skriv en kort intern beskrivelse av hvilke data som går gjennom tjenesten. Legg det inn i personvernerklæringen og, hvis relevant, i cookie-banneret. Til slutt setter du opp en årlig gjennomgang, slik at vurderingen ikke blir liggende urørt mens skjemaene og sporingen endres. GDPR i drift: årshjul for etterlevelse viser hvordan du får dette inn i en fast rytme.

Vurder også alternativene åpent. Det finnes captcha-tjenester som hosts i EU og markedsfører seg med at de ikke bruker informasjonskapsler eller sporing. De kan gjøre vurderingen enklere for en liten virksomhet, men de krever fortsatt at du har avtale, informasjon og grunnlag på plass. Ingen leverandør fjerner din plikt til å vite hva som skjer på nettsiden din.

På Nettsagas tjeneste for nettsider bygger vi nettsider der skjema, personvernerklæring og samtykkeløsning henger sammen fra start, slik at du slipper å oppdage hullene først når noen spør. Vil du se hvordan det ser ut i praksis, kan du book en demo.

Vanlige spørsmål

Er hCaptcha godkjent av GDPR?

Det finnes ingen godkjenning av verktøy i GDPR. Leverandøren publiserer personvernerklæring, databehandlingsavtale og sertifiseringer, men det er du som behandlingsansvarlig som må vurdere og dokumentere at bruken på din nettside er lovlig.

Må jeg ha samtykke i cookie-banneret for hCaptcha?

Det avhenger av hvilke informasjonskapsler tjenesten faktisk setter og om de er strengt nødvendige. Leverandøren hevder de er unntatt, men unntaket er smalt og må vurderes for din bruk. Test selv og dokumenter funnet.

Trenger jeg databehandleravtale med hCaptcha?

Ja. Du er behandlingsansvarlig og leverandøren er databehandler, så det skal inngås en databehandleravtale etter artikkel 28 i GDPR. Avtalen bør arkiveres sammen med de øvrige leverandøravtalene.

Er hCaptcha tryggere enn reCAPTCHA?

Det kan vi ikke avgjøre generelt. Begge er tredjeparter som behandler data for deg, og begge krever egen vurdering av grunnlag, informasjon, cookies og overføring. Sammenlign dokumentasjonen og hva tjenesten faktisk gjør på din nettside.

Hva bør jeg gjøre først hvis jeg allerede bruker hCaptcha?

Sjekk at databehandleravtalen er på plass, at personvernerklæringen nevner tjenesten og overføring til USA, og at cookie-banneret stemmer med det som faktisk settes. Deretter setter du opp en fast årlig gjennomgang.