Consent
Vaatiiko reCAPTCHA evästesuostumuksen?
reCAPTCHA voi olla vapautettu välttämättömänä tietoturvana, mutta kaikki toteutukset eivät ole. Opi arvioimaan reCAPTCHA-versiosi, tarkastamaan sen evästeet ja pitämään lomakkeet toimivina, kun kävijät kieltäytyvät.
Vaatiiko reCAPTCHA evästesuostumuksen?
Google reCAPTCHA suojaa verkkosivustoja automaattiselta roskapostilta, väärennetyiltä rekisteröitymisiltä, tunnistetietoihin kohdistuvilta hyökkäyksiltä ja epäilyttäviltä lomakelähetyksiltä. Sitä käytetään laajalti yhteydenottolomakkeissa, kirjautumissivuilla, kassoilla ja muissa verkkosivuston osissa, joissa botit voivat aiheuttaa harmia.
Se herättää kuitenkin verkkosivuston omistajalle kysymyksen: vaatiiko reCAPTCHA evästesuostumuksen GDPR:n ja Ison-Britannian evästesääntöjen mukaan?
Vastaus riippuu siitä, mitä toteutus tekee ja miksi se on tarpeen. Tietoturvaan liittyvät evästeet ja laitteen tietojen käyttö voivat kuulua poikkeuksen piiriin, jolloin etukäteissuostumusta ei tarvita. Se ei tarkoita, että jokainen reCAPTCHA-asennus tai jokainen sen lataama tekniikka olisi automaattisesti vapautettu.
Näin arvioit reCAPTCHAa estämättä aidosti välttämätöntä tietoturvaa ja unohtamatta kävijöiden yksityisyyttä.
Käyttääkö Google reCAPTCHA evästeitä?
Kyllä. Googlen reCAPTCHA-usein kysytyt kysymykset -sivun mukaan reCAPTCHA asettaa evästeen, jonka se kuvaa välttämättömäksi riskianalyysiä varten. Sivulla kerrotaan myös, että verkkosivustot voivat käyttää osoitetta www.recaptcha.net osoitteen www.google.com sijaan välttääkseen muut mahdolliset Googlen evästeet.
Versiosta ja toteutuksesta riippuen reCAPTCHA voi arvioida selaimen vuorovaikutuksia ja muita signaaleja selvittääkseen, vaikuttaako toiminta automaattiselta. Tämä on eri asia kuin evästeen käyttö mainosyleisöjen rakentamiseen, mutta se ansaitsee silti tietosuoja-arvioinnin.
Tarkista, mitkä evästeet näkyvät, milloin skripti latautuu, mitkä palvelut vastaanottavat pyyntöjä ja liittyykö reCAPTCHAan mitään aiheeseen kuulumatonta seurantaa.
Mitä evästelait todella vaativat?
Ison-Britannian Privacy and Electronic Communications Regulations (PECR) ja niihin liittyvät EU:n ePrivacy-vaatimukset edellyttävät yleensä tiedottamista ja suostumusta ennen kuin kävijän laitteelle tallennetaan tietoja tai niitä luetaan, ellei jokin poikkeus sovellu.
ICO:n ohjeistus tallennuksen ja käytön poikkeuksista tunnustaa tietyt välttämättömät tietoturvakäytöt. Tallennus tai käyttö voi esimerkiksi olla vapautettu, kun se on olennaista pyydetyn verkkopalvelun tarjoamiseksi tai asiaankuuluvien lakisääteisten tietoturvavaatimusten täyttämiseksi.
Tästä seuraa kolme tärkeää erottelua:
- Välttämätön tietoturva: oikeasuhtainen bottisuojaus, joka on olennainen pyydetyn kirjautumisen tai toimenpiteen kannalta, voi kuulua poikkeuksen piiriin.
- Valinnainen seuranta: laitteen tietojen käyttöä mainontaan, profilointiin tai muihin ei-välttämättömiin tarkoituksiin ei voi yksinkertaisesti kutsua tietoturvaseurannaksi.
- Sekatarkoitukset: jos integraatio palvelee sekä tietoturvaa että markkinointia, arvioi nämä tarkoitukset erikseen.
ICO tekee myös selväksi, että kun tukeudutaan tietoturvapoikkeukseen, kyseistä tekniikkaa on todella käytettävä tähän tietoturvatarkoitukseen.
Onko reCAPTCHA ehdottoman välttämätön?
Joskus. Ajattele kirjautumissivua, johon kohdistuu automaattisia tunnistetietohyökkäyksiä. Bottisuojaus voi olla tarpeen, jotta pyydetty palvelu on turvallinen. Se on vahvempi välttämättömyysperuste kuin laajan käyttäytymispisteytystyökalun lataaminen jokaiselle yksinkertaisen esittelysivuston sivulle.
Kysy, mitä uhkaa reCAPTCHA torjuu, onko suojaus oikeasuhtainen, missä skripti toimii ja täyttäisikö vähemmän tungetteleva vaihtoehto tarpeen.
Älä luokittele evästettä ehdottoman välttämättömäksi vain siksi, että Google kutsuu sitä välttämättömäksi. Verkkosivuston ylläpitäjä vastaa siitä, täyttääkö sen käyttö sovellettavan lakisääteisen poikkeuksen ehdot.
reCAPTCHA v2, v3 ja Enterprise
Eri kokoonpanot vaativat erilaisen arvioinnin.
reCAPTCHA v2
Versio 2 yhdistetään usein valintaruutuun tai haasteeseen, kun käyttäjä yrittää suorittaa toiminnon. Se voi suojata tiettyä lomaketta, vaikka tukiskriptit saattavat latautua ennen kuin näkyvä haaste ilmestyy.
reCAPTCHA v3
Versio 3 voi tuottaa riskipisteitä vuorovaikutusten perusteella. Jos se on otettu käyttöön useilla sivuilla eikä vain arkaluonteisessa toiminnossa, selvitä, onko tämä laajempi tiedonkeruu tarpeen kyseistä tietoturvatavoitetta varten.
reCAPTCHA Enterprise
Enterprise-toteutukset käyttävät Googlen pilvitietoturvapalveluja, ja niiden asetukset ja sopimusjärjestelyt voivat olla erilaiset. Googlen Cloud reCAPTCHA -usein kysytyt kysymykset käsittelee sen tietojenkäsittelyasemaa ja _grecaptcha-evästettä, mukaan lukien huhtikuussa 2026 tehdyt muutokset.
Yhtä versiota varten tehtyä arviota ei pidä automaattisesti kopioida toiseen. Tarkista ajantasainen tuotedokumentaatio ja oma todellinen kokoonpanosi.
Koskeeko GDPR edelleen, jos evästesuostumus on vapautettu?
Mahdollisesti kyllä. Evästesuostumus ja GDPR:n mukainen henkilötietojen käsittelyn oikeusperuste ovat erillisiä kysymyksiä.
Vaikka tietty laitteelle tallentaminen tai laitteen tietojen käyttö kuuluisi evästesuostumuksen poikkeuksen piiriin, reCAPTCHAn kautta käsiteltävät henkilötiedot tarvitsevat silti asianmukaisen GDPR:n mukaisen oikeusperusteen, läpinäkyvyyden, suojatoimet ja säilytysajan hallinnan, kun GDPR:ää sovelletaan.
Olosuhteista riippuen oikeutetut edut tai jokin muu oikeusperuste voi olla asianmukainen välttämättömälle tietoturvakäsittelylle. Oikea peruste riippuu asiayhteydestä, ja se pitäisi dokumentoida.
Tietosuojaselosteessa pitäisi selittää bottisuojauspalvelu, sen käyttötarkoitus sekä asiaankuuluvat vastaanottajat tai siirrot. Tarkista sovellettavat Googlen ehdot sen sijaan, että kopioisit vanhan tietosuojaselosteen.
Pitäisikö evästebannerisi estää reCAPTCHA?
Ei automaattisesti. Jos juuri sinun toteutuksesi täyttää aidosti välttämättömän tietoturvan poikkeuksen ehdot, sen estäminen siihen asti, että kävijä hyväksyy valinnaiset evästeet, voisi estää häntä kirjautumasta, lähettämästä lomakkeita tai viimeistelemästä toimenpiteitä.
Jos välttämättömyyskoe ei kuitenkaan täyty, älä sijoita sitä oletuksena välttämättömiin.
Järkevä toteutusprosessi on seuraava:
- Selvitä reCAPTCHA-versio ja sivut, joilla se toimii.
- Dokumentoi tietoturvatarkoitus ja riski, johon vastataan.
- Tarkasta evästeet, tallennustila ja asiaankuuluvat verkkopyynnöt.
- Arvioi, soveltuuko poikkeus kyseiseen laitteen tietojen käyttöön.
- Erota mahdolliset aiheeseen kuulumattomat analytiikka- tai mainostunnisteet.
- Määritä CMP tämän dokumentoidun arvioinnin mukaan.
- Testaa sivusto sen jälkeen, kun kävijät kieltäytyvät valinnaisesta seurannasta.
CMP, kuten CookiePal, voi auttaa evästeiden skannauksessa ja luokkien hallinnassa, mutta oikeudellinen luokittelu edellyttää kunkin tekniikan tarkoituksen ymmärtämistä.
Miten tarkastat reCAPTCHAn verkkosivustollasi?
Avaa sivusto uudessa selausistunnossa ennen kuin napsautat suostumusbanneria. Siirry kyseiselle lomake- tai kirjautumissivulle ja tarkastele selaimen kehittäjätyökaluja.
Tarkista:
- näkyykö
_grecaptchatai muita evästeitä ja mitkä verkkotunnukset asettavat ne. - käyttääkö reCAPTCHA local storagea tai muuta laitteen tietojen käyttöä.
- milloin reCAPTCHA-skriptin lataus alkaa.
- latautuuko se sivuilla, jotka eivät tarvitse bottisuojausta.
- mitä verkkopyyntöjä tehdään ennen suostumusvalintaa.
- toimivatko lomakkeet edelleen, kun valinnaiset evästeet on hylätty.
- pysyvätkö aiheeseen kuulumattomat Googlen analytiikka- tai mainostunnisteet edelleen estettyinä.
Toista testi sen jälkeen, kun olet hyväksynyt ja perunut valinnaisen suostumuksen. Kirjaa havaintosi, mukaan lukien päivämäärä, sivuston sivut, skriptin kokoonpano ja luokittelun syy.
ICO:n selitys tallennus- ja käyttötekniikoista kertoo, miksi pelkkien perinteisten evästeiden tarkastaminen ei riitä.
Yleiset reCAPTCHAan liittyvät suostumusvirheet
Oletus, että jokainen Googlen eväste on mainontaa
Google tarjoaa monia palveluja. Lomakkeen suojaamiseen käytetty eväste ei välttämättä ole sama asia kuin kävijöiden seurantaan markkinointia varten käytetty eväste. Luokittele todellisen tarkoituksen mukaan.
Oletus, että jokainen tietoturvaskripti on vapautettu
Tietoturvaleima ei ole yleinen poikkeus. Välttämättömyys, oikeasuhtaisuus ja todellinen laitteen tietojen käyttö ratkaisevat.
Lomakkeiden rikkominen, kun kävijät hylkäävät evästeet
Jos CMP estää olennaisen bottisuojauksen, kävijät eivät ehkä pysty käyttämään lomakkeita tai tilejä. Testaa hylkäyspolku, ei vain ”hyväksy kaikki”.
reCAPTCHAn lataaminen kaikkialle
Yleinen skripti voi toimia sivuilla, jotka eivät koskaan tarvitse suojausta. Rajoita tarpeetonta latausta, kun toteutus sen sallii.
Tietosuojaselosteen unohtaminen
Vapautus etukäteisestä evästesuostumuksesta ei poista läpinäkyvyyttä tai muita sovellettavia tietosuojavelvoitteita.
Missä CookiePal tulee kuvaan
CookiePalin suostumustenhallinta-ominaisuudet auttavat hallitsemaan kävijöiden valintoja ja ei-välttämättömiä skriptejä. Sen ominaisuudet-sivu kattaa skannauksen, automaattisen luokittelun ja evästeiden automaattisen eston.
reCAPTCHAn kanssa tavoitteena on täsmällinen luokittelu eikä yleinen esto. Aidosti välttämättömän tietoturvan pitäisi toimia päästämättä vahingossa aiheeseen kuulumattomia mainonta- tai analytiikkatekniikoita suostumuksen ohi.
Voit vertailla vaihtoehtoja CookiePalin hinnoittelusivulla.
reCAPTCHAn evästesuostumuksen tarkistuslista
Varmista ennen asetusten julkaisua, että:
- tiedät, mikä reCAPTCHA-versio on asennettu.
- ymmärrät erityisen tietoturvatarkoituksen.
- olet tarkistanut evästeet ja muun laitteen tietojen käytön.
- olet dokumentoinut, miksi poikkeus soveltuu tai ei sovellu.
- olet pohtinut GDPR:n mukaista oikeusperustetta erikseen.
- tietosuojaselosteesi vastaa todellista käsittelyä.
- valinnaisia analytiikka- ja markkinointitunnisteita hallitaan edelleen itsenäisesti.
- lomakkeesi, kirjautumisesi tai kassasi toimii edelleen, kun valinnainen suostumus on hylätty.
- sinulla on suunnitelma testata uudelleen kokoonpanon muutosten jälkeen.
Yhteenveto
reCAPTCHA ei aina tarvitse etukäteistä evästesuostumusta, mutta se ei myöskään ole automaattisesti vapautettu. Tietoturvaan liittyvä tallennus ja laitteen tietojen käyttö voivat kuulua poikkeuksen piiriin, kun ne ovat aidosti välttämättömiä ja rajoittuvat tähän tarkoitukseen. Kaikki muu seuranta tarvitsee oman arvionsa.
Käytännöllinen tapa on käydä toteutus läpi, dokumentoida sen tietoturvarooli, pitää ei-välttämätön seuranta erillään ja testata, miten sivusto toimii, kun kävijät hylkäävät valinnaiset evästeet.
Hyvin määritetty suostumusjärjestelmä suojaa kävijöitä ei-toivotulta seurannalta tekemättä olennaisista tietoturvaominaisuuksista käyttökelvottomia.
Oliko tästä apua?Kiitos palautteesta.
