reCAPTCHA og GDPR i Norge
Fra 1. januar 2025 er det ikke lenger nok at nettleseren tillater informasjonskapsler. Ekomloven § 3-15 krever nå informasjon og et samtykke som oppfyller kravene i personvernforordningen, før noen lagrer eller skaffer seg tilgang til opplysninger i brukerens utstyr. Unntaket gjelder bare det som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om. Nkom skriver at regelen gjelder uavhengig av om det er snakk om personopplysninger. Siden reCAPTCHA setter en informasjonskapsel og leser opplysninger fra nettleseren, trenger dere enten samtykke eller en holdbar begrunnelse for at unntaket gjelder.
Hvem som vurderer hva
Tilsynet er delt. Nkom vurderer om en teknisk løsning er omfattet av § 3-15 og om unntakene er oppfylt. Datatilsynet vurderer informasjonen og om samtykket holder. Datatilsynet skriver også at andre rettslige grunnlag enn samtykke nesten aldri kan brukes for videre behandling av opplysninger fra informasjonskapsler; berettiget interesse kan bare vurderes når et av unntakene i § 3-15 er oppfylt og behandlingen er et strengt nødvendig ledd i dette.
Verken Nkom eller Datatilsynet har så vidt vi kan se uttalt seg om captchas. Datatilsynets vedtak fra 2023 om Google Analytics gjaldt et annet verktøy; der skrev tilsynet samtidig at overføring til sertifiserte amerikanske selskaper, blant dem Google, nå er mulig under de nye reglene.
Veiledning finnes i andre land. Den franske tilsynsmyndigheten CNIL skriver at en captcha som bare sikrer nettstedet ikke krever samtykke, men at samtykke kreves når leverandøren også bruker dataene til egne formål, og nevner reCAPTCHA som eksempel. Finske Traficom påla i 2023 en forhandler å sette reCAPTCHA-informasjonskapslene først etter samtykke. De ble satt så snart den besøkende kom inn på nettstedet, og selskapet hadde selv kategorisert dem som funksjonelle. Ingen av disse avgjørelsene binder norske myndigheter.
Hva som endret seg 2. april 2026
Google har gått fra å være behandlingsansvarlig for reCAPTCHA til å være databehandler. Ifølge Googles FAQ er nettstedseieren nå eneste behandlingsansvarlige, og i Service Specific Terms lover Google å bruke opplysningene bare til tjenesten og sikkerheten i den, ikke for eksempel til personlig tilpasset reklame. Det svekker argumentet om egne formål. Informasjonskapselen _GRECAPTCHA er likevel uendret, og for reCAPTCHA v3 anbefaler Google fortsatt å kjøre sjekken i bakgrunnen også på sider uten skjema.
Slik kan dere gjøre det
Last inn reCAPTCHA bare på sider med skjema eller innlogging. Bestem om dere bygger på samtykke eller på unntaket i § 3-15, og skriv ned hvorfor. Med samtykke oppstår et praktisk problem: den som sier nei, slipper forbi sjekken, så skjemaet trenger en ekstra beskyttelse. Beskriv reCAPTCHA i personvernerklæringen med formål, rettslig grunnlag, mottaker og overføring til USA.
Den samme vurderingen gjelder oss. Myra EU CAPTCHA fra Myra Security GmbH i München samler inn egenskaper ved nettleser og enhet allerede når siden lastes, også atferdssignaler som musebevegelser. Derfor gjelder § 3-15 også her, selv om widgeten ikke setter informasjonskapsler. Myra er databehandler og inngår databehandleravtale.
Ofte stilte spørsmål
Har Datatilsynet eller Nkom uttalt seg om reCAPTCHA?
Vi har ikke funnet noen slik uttalelse (status 11.10.2026). Det eneste treffet på captcha hos Datatilsynet er en nyhet om retningslinjer for dataskraping, der skrapere oppfordres til å respektere tekniske hindringer som CAPTCHA. Det sier ingenting om samtykke når et nettsted bruker en captcha.
Hvem avgjør om en captcha er strengt nødvendig?
Ifølge Datatilsynet har Nkom ansvaret for å vurdere om en teknisk løsning er omfattet av ekomloven § 3-15 og om unntakene er oppfylt. Datatilsynet vurderer om informasjonen er god nok og om samtykket oppfyller kravene i personvernforordningen.
Holder det at nettleseren tillater informasjonskapsler?
Ikke lenger. Før 2025 var det ifølge Nkom tilstrekkelig at standardinnstillingene i nettleseren tillot informasjonskapsler. Siden 1. januar 2025 må samtykket oppfylle kravene i personvernforordningen, og norsk rett er på dette punktet i samsvar med EU-retten.
Kilder
- Lov om elektronisk kommunikasjon (ekomloven), LOV-2024-12-13-76, lovdata.no, hentet 11.10.2026
- Nkom, Informasjonskapsler (cookies), hentet 11.10.2026
- Datatilsynet, Samtykke til bruk av informasjonskapsler og andre sporingsteknologier, hentet 11.10.2026
- Datatilsynet, Vedtak i Google Analytics-saken (27.07.2023), hentet 11.10.2026
- Traficom (Finland), XXL Sports & Outdoor Oy, 21.11.2023, hentet 11.10.2026
- CNIL (Frankrike), FAQ om informasjonskapsler, spørsmål 17 (29.04.2026), hentet 11.10.2026
- Google Cloud, reCAPTCHA FAQ (data processing), hentet 11.10.2026
- Google Cloud, Service Specific Terms, avsnitt 45, hentet 11.10.2026