reCAPTCHA og GDPR i Danmark
I Danmark afgøres spørgsmålet om samtykke til reCAPTCHA først og fremmest af cookiebekendtgørelsen, ikke af GDPR. Efter § 3 må man ikke lagre eller hente oplysninger i en slutbrugers terminaludstyr, eller lade en tredjepart gøre det, uden samtykke. Undtagelsen i § 4 kræver, at lagringen er en teknisk forudsætning for en tjeneste, som brugeren udtrykkeligt har bedt om. Overtrædelse straffes med bøde. Da reCAPTCHA sætter en cookie og læser oplysninger fra browseren, skal I enten indhente samtykke eller kunne forklare, hvorfor undtagelsen gælder.
Hvad myndighederne siger
Digitaliseringsstyrelsen fører tilsyn med cookiereglerne, Datatilsynet med GDPR. Deres fælles vejledning fra maj 2025 nævner allerede i forordet, at teknologierne bruges til teknisk nødvendige formål, fx for at opnå tilstrækkelig sikkerhed på tjenesten. Som eksempel på teknisk nødvendige teknologier nævnes teknologier, der skal sikre mod gentagne fejl ved login. Betingelsen er, at oplysningerne ikke bruges til andre formål. Vejledningen gør også klart, at I selv har ansvaret, når en teknisk leverandør placerer cookies på jeres tjeneste.
Captchas nævnes ikke, og vi har ikke fundet nogen dansk afgørelse om reCAPTCHA. Det nærmeste er vejledning nr. 9097 til statslige, obligatoriske selvbetjeningsløsninger. Her kan tredjepartsteknologi, der alene placeres af sikkerhedsmæssige grunde, være teknisk nødvendig. Men ikke, hvis tredjeparten kan bruge de indsamlede data til egne formål, medmindre det er slået fra eller udelukket i en aftale. Samme logik bruger den franske CNIL: En captcha kræver samtykke, hvis leverandøren også bruger data til egne formål, og CNIL nævner reCAPTCHA som eksempel, fordi Google tidligere selv oplyste at genbruge data.
I Finland pålagde tilsynsmyndigheden Traficom i 2023 en detailhandler kun at sætte reCAPTCHA-cookies efter samtykke. De blev sat, så snart den besøgende kom ind på sitet, og virksomheden havde selv kategoriseret cookien som funktionel. Ingen af disse afgørelser binder danske myndigheder, men de viser, hvor grænsen ligger.
Hvad der ændrede sig den 2. april 2026
Google er gået fra at være selvstændigt dataansvarlig for reCAPTCHA til at være databehandler. Ifølge Googles FAQ er hjemmesideejeren nu eneste dataansvarlige, og i Service Specific Terms skriver Google, at oplysningerne kun bruges til at levere tjenesten og holde den sikker, ikke til fx personaliseret reklame. Det svækker argumentet om egne formål, som både CNIL og vejledning 9097 bygger på. En offentlig myndighed vil i givet fald skulle støtte sig på Googles vilkår som aftale med tredjeparten. Cookien _GRECAPTCHA er dog uændret, og for reCAPTCHA v3 anbefaler Google stadig at køre tjekket i baggrunden på sider uden formular.
Sådan kan I gøre
Indlæs kun reCAPTCHA på sider med formular eller login. Beslut, om I bygger på samtykke eller på undtagelsen i § 4, og skriv begrundelsen ned. Vælger I samtykke, kan den, der siger nej, komme uden om tjekket, så formularen har brug for en ekstra beskyttelse. Beskriv reCAPTCHA i privatlivspolitikken med formål, retsgrundlag, modtager og overførsel til USA, hvor Google LLC er certificeret under EU-US Data Privacy Framework.
Det samme gælder os. Myra EU CAPTCHA fra Myra Security GmbH i München indsamler egenskaber ved browser og enhed, allerede når siden indlæses, også adfærdssignaler som musebevægelser. Derfor gælder cookiebekendtgørelsen også her, selv om widgetten ikke sætter cookies. Myra er databehandler og indgår databehandleraftale.
Ofte stillede spørgsmål
Har Datatilsynet eller Digitaliseringsstyrelsen taget stilling til reCAPTCHA?
Vi har ikke fundet nogen udtalelse om captchas eller reCAPTCHA (status 11.10.2026). Den fælles cookievejledning fra maj 2025 nævner sikkerhed og beskyttelse mod gentagne fejl ved login som teknisk nødvendige formål, men ikke captchas.
Hvad gælder for offentlige selvbetjeningsløsninger?
Vejledning nr. 9097 fra Digitaliseringsstyrelsen gælder for statslige, obligatoriske selvbetjeningsløsninger. Tredjepartsteknologi, der alene placeres af sikkerhedsmæssige grunde, kan være teknisk nødvendig, men ikke hvis tredjeparten kan bruge de indsamlede data til egne formål, medmindre det er udelukket ved indstilling eller aftale.
Er reCAPTCHA i orden, nu hvor Google er databehandler?
Det ændrer ikke spørgsmålet om terminaludstyret. Siden 2. april 2026 beskriver Google sig som databehandler for reCAPTCHA og udelukker bl.a. brug til personaliseret reklame. Cookien _GRECAPTCHA findes stadig, og cookiebekendtgørelsen gælder, uanset hvem der er dataansvarlig.
Kilder
- Cookiebekendtgørelsen, BEK nr. 1148 af 09/12/2011, retsinformation.dk, hentet 11.10.2026
- Digitaliseringsstyrelsen, tilsyn med sporingsteknologier, hentet 11.10.2026
- Digitaliseringsstyrelsen og Datatilsynet, Brug af cookies og lignende teknologier (maj 2025), hentet 11.10.2026
- Digitaliseringsstyrelsen, Vejledning om brug af tredjeparts sporingsteknologier (nr. 9097), hentet 11.10.2026
- Traficom (Finland), XXL Sports & Outdoor Oy, 21.11.2023, hentet 11.10.2026
- CNIL (Frankrig), FAQ om cookies, spørgsmål 17 (29.04.2026), hentet 11.10.2026
- Google Cloud, reCAPTCHA FAQ (data processing), hentet 11.10.2026
- Google Cloud, Service Specific Terms, afsnit 45, hentet 11.10.2026