reCAPTCHA et RGPD : ce que dit la CNIL
En 2023, un prestataire de paiement s'est vu infliger par la CNIL une amende dont une partie visait reCAPTCHA, installé sans consentement sur ses pages d'inscription et de connexion. Le texte en cause n'était pas le RGPD mais l'article 82 de la loi Informatique et Libertés, qui transpose l'article 5(3) de la directive ePrivacy et encadre l'accès au terminal. Utiliser reCAPTCHA en France reste possible. Sans consentement, il vous faudra une justification solide, et depuis que Google se dit sous-traitant (2 avril 2026), une partie seulement de l'analyse a changé.
La position de la CNIL
Dans la question 17 de sa FAQ sur les cookies, mise à jour le 29/04/2026, la CNIL écrit que le consentement n'est pas nécessaire « lorsque ces solutions ont pour seule finalité la sécurisation du site ou d'un mécanisme d'authentification au bénéfice des utilisateurs ». Il devient nécessaire lorsque les opérations de lecture et d'écriture poursuivent également d'autres finalités. La CNIL précise que certains fournisseurs indiquent réutiliser les données pour leur propre compte, « par exemple la solution reCAPTCHA de la société Google ».
Elle ajoute un argument pratique que beaucoup oublient. Soumettre l'outil au consentement « rend inopérante la finalité de sécurisation souhaitée », puisqu'un simple refus suffit à contourner le système. D'où la recommandation de la CNIL : des alternatives ou des dispositifs complémentaires qui ne nécessitent pas de consentement.
Les décisions connues
| Décision | Date | Ce qui concerne reCAPTCHA |
|---|---|---|
| CNIL, mise en demeure MED-2020-015 | 15/07/2020 | L'application StopCovid intégrait reCAPTCHA en version invisible, sans information ni consentement des utilisateurs ; la CNIL a ordonné de les informer et de recueillir leur consentement. |
| CNIL, délibération SAN-2023-023 | 29/12/2023 | Un prestataire de paiement utilisait reCAPTCHA sur ses pages d'inscription et de connexion sans consentement. L'entreprise utilisatrice est elle aussi responsable (point 70). La part de l'amende liée à l'article 82 s'élevait à 15 000 euros et visait aussi des cookies Google Analytics. |
| Tribunal administratif fédéral autrichien, W298 2274626-1 | 13/09/2024 | Les cookies de reCAPTCHA sur le site d'un parti n'étaient pas nécessaires au fonctionnement du site ; un consentement aurait été requis. |
Dans la délibération de 2023, la CNIL fonde son raisonnement sur le fait que reCAPTCHA permettait aussi « des opérations d'analyse de la part de Google ». Les trois décisions portent sur la période où Google traitait les données en tant que responsable de traitement.
Ce qui a changé le 2 avril 2026
Google a fait passer reCAPTCHA du statut de responsable de traitement à celui de sous-traitant. Selon la FAQ Google Cloud, les éditeurs de sites sont désormais seuls responsables du traitement, et Google traite les données selon le Cloud Data Processing Addendum. Les liens vers les règles de confidentialité et les conditions de Google ont disparu du badge, et reCAPTCHA fait désormais partie de Google Cloud Fraud Defense. La section 45 des Service Specific Terms précise que Google traite les informations uniquement pour fournir le service et en préserver l'efficacité face aux menaces, et non pour d'autres finalités comme la publicité personnalisée.
D'après les propres conditions de Google, l'argument central de la CNIL perd donc une partie de son poids. Trois points restent toutefois inchangés pour vous :
- Le cookie _GRECAPTCHA demeure, selon Google. Savoir s'il est strictement nécessaire relève de la règle sur l'accès au terminal, pas du contrat.
- Pour reCAPTCHA v3, Google recommande d'exécuter la vérification sur les formulaires et aussi « in the background of pages for analytics ». Une exécution sur toutes les pages s'éloigne de la seule sécurisation d'un formulaire.
- Google vous présente désormais comme seul responsable du traitement : votre politique de confidentialité doit contenir l'ensemble des informations de l'article 13 du RGPD.
Personne n'a encore tranché : à notre connaissance, aucune autorité ni aucun tribunal n'a évalué la nouvelle configuration (octobre 2026). La CNIL n'a pas non plus changé son exemple. Sa FAQ du 29/04/2026, postérieure au changement, cite toujours reCAPTCHA sans mentionner le nouveau rôle de Google.
Et les transferts vers les États-Unis ? Sur la liste du Data Privacy Framework, Google LLC apparaît avec le statut « Active ». Le Tribunal de l'Union européenne a validé ce cadre le 3 septembre 2025 (T-553/23), et le DPA de Google Cloud prévoit en plus des clauses contractuelles types. Un pourvoi devant la Cour de justice, formé le 31 octobre 2025 (C-703/25 P), est à notre connaissance toujours pendant.
Si vous conservez reCAPTCHA
Quatre réglages, chacun avec sa raison :
| Réglage | Pourquoi |
|---|---|
| Charger le script uniquement sur les pages avec formulaire ou connexion | Google conseille pour la v3 une exécution aussi « in the background of pages for analytics » ; s'en écarter rapproche l'usage de la seule sécurisation |
| Trancher entre consentement et exemption au titre de la stricte nécessité, et documenter le raisonnement | L'entreprise utilisatrice est elle aussi responsable (SAN-2023-023, point 70) |
| Décrire reCAPTCHA dans la politique de confidentialité (finalité, base légale, destinataire, transfert hors UE) et supprimer les anciens liens vers les règles de Google | Google vous présente désormais comme seul responsable du traitement |
| Afficher « This site is protected by reCAPTCHA. » si le badge est masqué | Condition posée par la FAQ de Google |
Si vous changez d'outil
Le passage d'un CAPTCHA à un autre ne pose en général pas de difficulté technique : script dans le navigateur, jeton dans le formulaire, vérification sur votre serveur. Ce qui distingue les fournisseurs se lit mieux dans un tableau.
| Question au fournisseur | Ce qui en dépend |
|---|---|
| Quand la vérification démarre-t-elle ? | les autorités allemandes (DSK, point 95) et l'autorité finlandaise Traficom regardent si l'accès au terminal se limite au formulaire |
| Que lit le script, et dépose-t-il des cookies ? | l'article 82 vise toute lecture ou écriture sur le terminal |
| Les données servent-elles uniquement à vous protéger, et le contrat le dit-il ? | c'est le critère central de la question 17 de la CNIL |
| Les visiteurs doivent-ils résoudre une énigme ? | le critère 3.3.8 des WCAG 2.2 exige une alternative aux tests cognitifs lors de la connexion |
Myra EU CAPTCHA, développé et exploité par Myra Security GmbH à Munich, se mesure aux mêmes questions. Le widget ne dépose pas de cookie, mais il recueille dès le chargement de la page des caractéristiques du navigateur et de l'appareil, signaux de comportement comme les mouvements de la souris compris. Selon les critères de la CNIL, c'est donc aussi un accès au terminal. Myra intervient comme sous-traitant au sens de l'article 28 du RGPD.
Questions fréquentes
La CNIL interdit-elle reCAPTCHA ?
Dans sa FAQ sur les cookies (version du 29/04/2026), la CNIL n'interdit pas reCAPTCHA. Elle exige le consentement lorsqu'un CAPTCHA sert aussi à autre chose qu'à la sécurité du site, et c'est reCAPTCHA qu'elle prend comme exemple. La délibération de 2023 visait un prestataire de paiement qui l'utilisait sans consentement à l'inscription et à la connexion.
Le changement de rôle de Google en avril 2026 règle-t-il la question ?
D'après la FAQ Google Cloud, Google agit depuis le 2 avril 2026 comme sous-traitant pour reCAPTCHA, et ses conditions excluent par exemple la publicité personnalisée. Pour l'accès au terminal, cela ne change rien : le cookie _GRECAPTCHA est toujours déposé, et la règle s'applique quel que soit le responsable du traitement. À notre connaissance, aucune autorité n'a encore évalué ce nouveau cadre.
Faut-il mettre reCAPTCHA dans le bandeau cookies ?
Si votre base est le consentement, oui. reCAPTCHA ne doit alors se charger qu'une fois que le visiteur a accepté, et c'est là que la CNIL voit la limite : un refus, et la protection tombe. Elle recommande pour cette raison des outils qui se passent de consentement, ou des dispositifs de sécurité complémentaires.
Quelle mention Google exige-t-il sur la page ?
Le badge peut disparaître, dit la FAQ de Google, tant que la phrase « This site is protected by reCAPTCHA. » reste visible pour l'utilisateur. Les liens vers les règles de confidentialité de Google n'y figurent plus depuis avril 2026. Les informations prévues à l'article 13 du RGPD vont dans votre propre politique de confidentialité.
Sources
- CNIL, Cookies et autres traceurs : FAQ (question 17, 29/04/2026), consulté le 11/10/2026
- CNIL, délibération SAN-2023-023 du 29 décembre 2023, Légifrance, consulté le 11/10/2026
- CNIL, décision MED-2020-015 du 15 juillet 2020, Légifrance, consulté le 11/10/2026
- Tribunal administratif fédéral autrichien, W298 2274626-1 du 13 septembre 2024, RIS, consulté le 11/10/2026
- Google Cloud, FAQ reCAPTCHA (traitement des données), consulté le 11/10/2026
- Google Cloud, Service Specific Terms, section 45, consulté le 11/10/2026
- Google Developers, FAQ reCAPTCHA, consulté le 11/10/2026
- Google Developers, reCAPTCHA v3, consulté le 11/10/2026
- Data Privacy Framework, fiche Google LLC, consulté le 11/10/2026
- Tribunal de l'Union européenne, communiqué 106/25, affaire T-553/23 (3 septembre 2025), consulté le 11/10/2026
- JO C/2025/6610, affaire C-703/25 P, consulté le 11/10/2026
- W3C, WCAG 2.2, critère 3.3.8, consulté le 11/10/2026