CAPTCHA et consentement : ce que dit la CNIL
Votre formulaire de contact reçoit des messages de robots, vous ajoutez un CAPTCHA, et votre DPO demande s'il faut l'inscrire dans le bandeau cookies. La CNIL a répondu à cette question dans la FAQ de sa page sur les cookies, question 17, mise à jour le 29/04/2026. Le consentement n'est pas nécessaire « lorsque ces solutions ont pour seule finalité la sécurisation du site ou d'un mécanisme d'authentification au bénéfice des utilisateurs ». Il l'est dès que les opérations de lecture et d'écriture poursuivent aussi d'autres finalités.
La CNIL donne elle-même la raison pour laquelle cette distinction compte en pratique. Certains fournisseurs indiquent réutiliser les données pour leur propre compte, et elle cite « la solution reCAPTCHA de la société Google » ; d'autres n'indiquent pas précisément les données utilisées. Et un CAPTCHA soumis au consentement « rend inopérante la finalité de sécurisation souhaitée », puisqu'un visiteur qui refuse passe à travers. D'où sa recommandation d'outils qui s'en passent.
Ce qui fait pencher la balance
| Critère | Sans consentement possible si… | Consentement probablement requis si… |
|---|---|---|
| Finalité | les données servent uniquement à protéger votre site | le fournisseur les réutilise pour son propre compte |
| Moment | le CAPTCHA ne s'active qu'au formulaire ou à la connexion | il tourne dès l'arrivée sur le site, sur toutes les pages |
| Transparence | vous savez quelles données sont lues et pourquoi | le fournisseur reste vague sur les données et les finalités |
| Contrat | le contrat de sous-traitance exclut toute autre utilisation | aucune clause ne limite l'usage des données |
Le critère du moment ne figure pas tel quel dans la FAQ de la CNIL, mais deux décisions de l'autorité finlandaise Traficom l'illustrent bien. En 2021, un CAPTCHA tiers qui ne se chargeait qu'à l'ouverture du formulaire de contact a été jugé nécessaire. En 2023, un commerçant a dû soumettre au consentement les cookies de reCAPTCHA, déposés dès l'arrivée du visiteur et qu'il avait lui-même classés comme « fonctionnels ». Les autorités allemandes posent une exigence proche : l'accès au terminal ne devrait commencer qu'au moment où la fonction est réellement utilisée.
La sanction de 2023
Le cas qui fait référence date du 29 décembre 2023. Un prestataire de paiement avait placé reCAPTCHA sur ses pages d'inscription et de connexion, sans demander l'accord des visiteurs. Le but, selon la délibération, était de bloquer les robots. Pour la CNIL, cela ne suffisait pas : le mécanisme de Google permettait « par ailleurs des opérations d'analyse de la part de Google », et l'entreprise qui l'intègre « est également responsable » du respect de la loi (délibération SAN-2023-023, point 70). Sur l'amende, 15 000 euros portaient sur l'article 82, cookies Google Analytics compris.
Google a changé de statut le 2 avril 2026 et se présente depuis comme sous-traitant pour reCAPTCHA. Qu'en pense la CNIL ? Nous n'avons trouvé aucune prise de position à ce sujet ; le contexte est expliqué dans le guide reCAPTCHA et RGPD.
Documenter votre choix
| Ce que la note doit contenir | Pourquoi |
|---|---|
| fournisseur et contrat de sous-traitance | la finalité unique doit figurer quelque part |
| pages où le script se charge, moment du démarrage | dans la décision Innowise (2021), Traficom a jugé le CAPTCHA nécessaire parce qu'il ne se chargeait qu'avec le formulaire |
| ce que le script lit et écrit dans le navigateur | l'article 82 vise toute lecture ou écriture, pas seulement les cookies |
| serveurs auxquels il se connecte | destinataires et transferts hors UE |
| pourquoi un champ piège ou un contrôle de temps ne suffisaient pas | la nécessité doit être démontrée |
Faites valider la note par votre DPO. Le traitement des données lui-même a encore besoin d'une base légale au titre de l'article 6 du RGPD, et votre politique de confidentialité doit le mentionner.
Les mêmes questions valent pour Myra EU CAPTCHA, développé et exploité par Myra Security GmbH à Munich. Le widget ne dépose pas de cookie, mais il recueille dès le chargement de la page des caractéristiques du navigateur et de l'appareil, y compris des signaux de comportement comme les mouvements de la souris. Myra agit en tant que sous-traitant au sens de l'article 28 du RGPD. Évaluez-le avec les critères du tableau, comme n'importe quel autre fournisseur.
Questions fréquentes
Un CAPTCHA sans cookie échappe-t-il à la règle ?
Pas forcément. La règle de l'article 82 vise les opérations de lecture et d'écriture sur le terminal, pas seulement les cookies. Les autorités allemandes considèrent par exemple qu'un script qui lit les caractéristiques de l'appareil pour les envoyer à un serveur accède au terminal.
Puis-je fonder mon CAPTCHA sur le consentement ?
Juridiquement oui, mais la CNIL pointe elle-même le problème : « un simple refus permettrait de contourner le système ». Si vous choisissez le consentement, prévoyez une seconde protection pour les visiteurs qui refusent, par exemple un champ piège et un contrôle du temps de saisie côté serveur.
La CNIL a-t-elle sanctionné l'usage d'un CAPTCHA ?
Oui, à propos de Google reCAPTCHA. En 2023, elle a sanctionné un prestataire de paiement qui l'utilisait sans consentement sur ses pages d'inscription et de connexion ; la part de l'amende liée à l'article 82 visait aussi des cookies Google Analytics. Les faits sont antérieurs au passage de Google au statut de sous-traitant en avril 2026.
Sources
- CNIL, Cookies et autres traceurs : FAQ (question 17, 29/04/2026), consulté le 11/10/2026
- CNIL, délibération SAN-2023-023 du 29 décembre 2023, Légifrance, consulté le 11/10/2026
- DSK (conférence des autorités allemandes), lignes directrices sur les services numériques, version 1.2, novembre 2024, consulté le 11/10/2026
- Traficom (Finlande), décision Innowise du 29/12/2021, consulté le 11/10/2026
- Traficom (Finlande), décision XXL Sports & Outdoor du 21/11/2023, consulté le 11/10/2026