Consent
Kräver reCAPTCHA samtycke till cookies?
reCAPTCHA kan vara undantaget som nödvändig säkerhet, men inte varje uppsättning är det. Lär dig bedöma din reCAPTCHA-version, granska dess cookies och hålla formulären igång när besökare säger nej.
Kräver reCAPTCHA samtycke till cookies?
Google reCAPTCHA skyddar webbplatser mot automatiserad skräppost, falska registreringar, attacker mot inloggningsuppgifter och misstänkta formulärinlämningar. Tjänsten används flitigt på kontaktformulär, inloggningssidor, kassor och andra delar av en webbplats där bottar kan ställa till problem.
Men den väcker också en fråga för webbplatsägare: kräver reCAPTCHA samtycke till cookies enligt GDPR och brittiska cookieregler?
Svaret beror på vad implementeringen gör och varför den är nödvändig. Säkerhetsrelaterade cookies och åtkomst till enheten kan omfattas av ett undantag från krav på förhandssamtycke. Det betyder inte att varje reCAPTCHA-installation, eller varje teknik den laddar, automatiskt är undantagen.
Så här bedömer du reCAPTCHA utan att blockera nödvändig säkerhet eller bortse från besökarnas integritet.
Använder Google reCAPTCHA cookies?
Ja. Googles reCAPTCHA FAQ anger att reCAPTCHA sätter en cookie som Google beskriver som nödvändig för riskanalys. Av FAQ:n framgår också att webbplatser kan använda www.recaptcha.net i stället för www.google.com för att undvika andra potentiella Google-cookies.
Beroende på version och implementering kan reCAPTCHA utvärdera webbläsarinteraktioner och andra signaler för att avgöra om aktiviteten ser automatiserad ut. Det skiljer sig från att använda en cookie för att bygga annonsmålgrupper, men det förtjänar ändå en integritetsbedömning.
Kontrollera vilka cookies som visas, när skriptet laddas, vilka tjänster som tar emot förfrågningar och om någon orelaterad spårning följer med reCAPTCHA.
Vad kräver cookielagarna egentligen?
Brittiska regler enligt Privacy and Electronic Communications Regulations (PECR), och motsvarande ePrivacy-krav i EU, kräver i allmänhet information och samtycke innan information lagras på eller läses från en besökares enhet, om inte ett undantag gäller.
ICO:s vägledning om undantag för lagring och åtkomst erkänner vissa nödvändiga säkerhetsanvändningar. Lagring eller åtkomst kan till exempel vara undantagen när den är nödvändig för att tillhandahålla en efterfrågad onlinetjänst eller för att uppfylla relevanta rättsliga säkerhetskrav.
Det ger tre viktiga distinktioner:
- Nödvändig säkerhet: en proportionerlig botskyddsmekanism som är nödvändig för en efterfrågad inloggning eller transaktion kan omfattas av ett undantag.
- Frivillig spårning: åtkomst till enheten för annonsering, profilering eller andra icke nödvändiga syften kan inte helt enkelt kallas säkerhetsspårning.
- Blandade syften: om en integration tjänar både säkerhet och marknadsföring bör du bedöma syftena var för sig.
ICO gör också klart att den som åberopar ett säkerhetsundantag faktiskt måste använda tekniken för just det säkerhetssyftet.
Är reCAPTCHA strikt nödvändigt?
Ibland. Tänk dig en inloggningssida som utsätts för automatiserade attacker mot inloggningsuppgifter. Botskydd kan då behövas för att göra den efterfrågade tjänsten säker. Det är ett starkare nödvändighetsargument än att ladda ett brett verktyg för beteendepoängsättning på varje sida av en enkel presentationswebbplats.
Fråga dig vilket hot reCAPTCHA hanterar, om skyddet är proportionerligt, var skriptet körs och om ett mindre ingripande alternativ skulle räcka.
Klassificera inte en cookie som strikt nödvändig bara för att Google kallar den nödvändig. Webbplatsens ägare ansvarar för att avgöra om användningen uppfyller det tillämpliga rättsliga undantaget.
reCAPTCHA v2, v3 och Enterprise
Olika konfigurationer kräver olika granskningar.
reCAPTCHA v2
Version 2 förknippas ofta med en kryssruta eller en utmaning när användaren försöker utföra en åtgärd. Den kan skydda ett specifikt formulär, även om stödskript kan laddas innan en synlig utmaning visas.
reCAPTCHA v3
Version 3 kan ta fram riskpoäng baserade på interaktioner. Om den implementeras över flera sidor i stället för enbart vid en känslig åtgärd bör du undersöka om den bredare insamlingen är nödvändig för det aktuella säkerhetsmålet.
reCAPTCHA Enterprise
Enterprise-implementeringar använder Googles molnbaserade säkerhetstjänster och kan ha andra inställningar och avtalsvillkor. Googles Cloud reCAPTCHA FAQ behandlar dess ställning när det gäller databehandling och _grecaptcha-cookien, inklusive ändringar som infördes i april 2026.
En granskning som gjorts för en version bör inte automatiskt kopieras till en annan. Kontrollera den aktuella produktdokumentationen och din faktiska konfiguration.
Gäller GDPR fortfarande om samtycke till cookies är undantaget?
Potentiellt ja. Samtycke till cookies och den rättsliga grunden enligt GDPR för behandling av personuppgifter är separata frågor.
Även om viss lagring på eller åtkomst till enheten omfattas av ett undantag från samtyckeskravet för cookies behöver personuppgifter som behandlas via reCAPTCHA fortfarande en lämplig rättslig grund enligt GDPR, transparens, skyddsåtgärder och kontroller av lagringstid där GDPR gäller.
Beroende på omständigheterna kan berättigat intresse eller en annan rättslig grund vara relevant för nödvändig säkerhetsbehandling. Rätt grund beror på sammanhanget och bör dokumenteras.
Ett integritetsmeddelande bör förklara botskyddstjänsten, varför den används och relevanta mottagare eller överföringar. Granska de aktuella villkoren från Google i stället för att kopiera ett gammalt integritetsmeddelande.
Bör din cookiebanner blockera reCAPTCHA?
Inte automatiskt. Om din specifika implementering verkligen uppfyller ett undantag för nödvändig säkerhet kan en blockering tills besökaren accepterar frivilliga cookies hindra besökaren från att logga in, skicka formulär eller slutföra transaktioner.
Men om nödvändighetsprövningen inte är uppfylld ska du inte placera den i kategorin nödvändiga som standard.
En vettig implementeringsprocess är att:
- Identifiera reCAPTCHA-versionen och de sidor där den körs.
- Dokumentera säkerhetssyftet och den risk som hanteras.
- Granska cookies, lagring och relevanta nätverksförfrågningar.
- Bedöma om ett undantag gäller för den åtkomst till enheten som är aktuell.
- Separera eventuella orelaterade analys- eller annonstaggar.
- Konfigurera din CMP enligt den dokumenterade bedömningen.
- Testa webbplatsen efter att besökare har avvisat frivillig spårning.
En CMP som CookiePal kan hjälpa till att skanna cookies och hantera kategorier, men den rättsliga klassificeringen kräver ändå att du förstår syftet med varje teknik.
Så granskar du reCAPTCHA på din webbplats
Öppna webbplatsen i en ny webbläsarsession innan du klickar på samtyckesbannern. Besök det aktuella formuläret eller den aktuella inloggningssidan och undersök webbläsarens utvecklarverktyg.
Kontrollera:
- Om
_grecaptchaeller andra cookies visas och vilka domäner som sätter dem. - Om reCAPTCHA använder local storage eller annan åtkomst till enheten.
- När reCAPTCHA-skriptet börjar laddas.
- Om det laddas på sidor som inte behöver botskydd.
- Vilka nätverksförfrågningar som görs innan ett samtyckesval har gjorts.
- Om formulären fortfarande fungerar efter att frivilliga cookies har avvisats.
- Om orelaterade analys- eller annonstaggar från Google fortfarande är blockerade.
Upprepa testet efter att du har godkänt och återkallat frivilligt samtycke. Dokumentera vad du hittar, inklusive datum, webbplatsens sidor, skriptkonfiguration och skälet till kategoriseringen.
ICO:s förklaring av lagrings- och åtkomsttekniker förklarar varför det inte räcker att bara granska traditionella cookies.
Vanliga misstag med reCAPTCHA och samtycke
Anta att varje Google-cookie är en annonscookie
Google tillhandahåller många tjänster. En cookie som används för att skydda ett formulär är inte nödvändigtvis samma sak som en cookie som används för att spåra besökare i marknadsföringssyfte. Kategorisera efter det faktiska syftet.
Anta att varje säkerhetsskript är undantaget
En säkerhetsetikett är inget generellt undantag. Nödvändighet, proportionalitet och den faktiska åtkomsten till enheten är avgörande.
Förstöra formulär när besökare avvisar cookies
Om din CMP blockerar nödvändigt botskydd kan besökare förlora möjligheten att använda formulär eller konton. Testa avvisningsflödet, inte bara ”acceptera alla”.
Ladda reCAPTCHA överallt
Ett globalt skript kan köras på sidor som aldrig behöver skydd. Begränsa onödig laddning när din implementering tillåter det.
Glömma integritetsmeddelandet
Ett undantag från förhandssamtycke till cookies tar inte bort kravet på transparens eller andra tillämpliga skyldigheter enligt dataskyddsreglerna.
Där CookiePal kommer in
CookiePals funktioner för samtyckeshantering hjälper dig att hantera besökarnas val och icke nödvändiga skript. Dess funktionssida beskriver skanning, automatisk kategorisering och automatisk cookieblockering.
Med reCAPTCHA är målet korrekt kategorisering, inte generell blockering. Verkligen nödvändig säkerhet ska fungera utan att av misstag låta orelaterade annons- eller analystekniker kringgå samtycket.
Du kan jämföra alternativen på CookiePals prissida.
Checklista för reCAPTCHA och samtycke till cookies
Innan du publicerar din lösning bör du bekräfta att:
- Du vet vilken reCAPTCHA-version som är installerad.
- Du förstår det specifika säkerhetssyftet.
- Du har kontrollerat cookies och annan åtkomst till enheten.
- Du har dokumenterat varför ett undantag gäller eller inte gäller.
- Du har bedömt den rättsliga grunden enligt GDPR separat.
- Ditt integritetsmeddelande speglar den faktiska behandlingen.
- Frivilliga analys- och marknadsföringstaggar fortfarande styrs oberoende av varandra.
- Ditt formulär, din inloggning eller din kassa fortfarande fungerar efter att frivilligt samtycke har avvisats.
- Du har en plan för att testa igen efter konfigurationsändringar.
Slutsats
reCAPTCHA behöver inte alltid förhandssamtycke till cookies, men är inte heller automatiskt undantaget. Säkerhetsrelaterad lagring och åtkomst kan omfattas av ett undantag när de är verkligen nödvändiga och begränsade till det syftet. All annan spårning behöver en egen bedömning.
Det praktiska tillvägagångssättet är att granska implementeringen, dokumentera dess säkerhetsroll, hålla icke nödvändig spårning separat och testa hur webbplatsen beter sig när besökare avvisar frivilliga cookies.
Ett välkonfigurerat samtyckessystem ska skydda besökare mot oönskad spårning utan att göra nödvändiga säkerhetsfunktioner oanvändbara.
Var det här till hjälp?Tack för att du berättade.
