reCAPTCHA och GDPR i Sverige
Frågan om reCAPTCHA får användas utan samtycke avgörs i Sverige inte i första hand av GDPR utan av 9 kap. 28 § lagen om elektronisk kommunikation (LEK). Där står att uppgifter får lagras i eller hämtas från en användares terminalutrustning bara om användaren har fått information och samtycker. Undantaget gäller det som är nödvändigt för en tjänst som användaren uttryckligen har begärt. reCAPTCHA sätter en kaka och läser information ur webbläsaren, så du behöver antingen samtycke eller en hållbar motivering till varför undantaget gäller.
Vad PTS säger, och vad ingen har sagt
Post- och telestyrelsen (PTS) är tillsynsmyndighet för regeln. I sin vägledning om kakor skriver PTS att det inte handlar om vilka kakor du själv tycker är nödvändiga. Avgörande är om den tjänst som användaren begär fungerar utan dem. Som exempel nämns varukorgen i en webbutik och inloggningen till en bank. Säkerhet, bedrägeriskydd eller captchas nämns inte.
Varken PTS eller Integritetsskyddsmyndigheten (IMY) har såvitt vi kan se uttalat sig om captchas. Sökningar på båda webbplatserna ger noll träffar, och PTS fyra granskningar 2022 och 2023 handlade om annat. IMY:s sanktionsavgifter från 2023, bland annat tolv miljoner kronor mot Tele2, gällde Google Analytics och tiden före EU-US Data Privacy Framework.
För vägledning får du alltså titta utomlands. Den franska tillsynsmyndigheten CNIL skriver att en captcha som bara skyddar webbplatsen inte kräver samtycke, men att samtycke krävs om leverantören även använder uppgifterna för egna ändamål, och nämner reCAPTCHA som exempel. Finska Traficom förelade 2023 en detaljhandlare att sätta reCAPTCHA-kakorna först efter samtycke; de lades redan när besökaren kom in på sajten, och företaget hade själv klassat kakan som funktionell. Inget av detta binder svenska myndigheter.
Vad som ändrades den 2 april 2026
Google har gått från att vara personuppgiftsansvarig för reCAPTCHA till att vara personuppgiftsbiträde. Webbplatsägaren är enligt Googles FAQ ensam personuppgiftsansvarig, och Google lovar i Service Specific Terms att bara använda uppgifterna för tjänsten och dess säkerhet, inte för exempelvis personlig reklam. Länkarna till Googles integritetspolicy har försvunnit från reCAPTCHA-märket.
Det försvagar argumentet om Googles egna ändamål. Men kakan _GRECAPTCHA finns kvar, och för reCAPTCHA v3 rekommenderar Google att köra kontrollen också i bakgrunden på sidor utan formulär. Det är svårt att förena med kravet att åtkomsten ska vara nödvändig för en tjänst som besökaren faktiskt använder.
Så kan du göra
Ladda reCAPTCHA bara på sidor med formulär eller inloggning. Bestäm om du stöder dig på samtycke eller på undantaget i LEK, och skriv ner varför. Med samtycke uppstår ett praktiskt problem: den som tackar nej kommer förbi kontrollen, så formuläret behöver ett andra skydd. Beskriv reCAPTCHA i integritetspolicyn med ändamål, rättslig grund, mottagare och överföring till USA, där Google LLC är certifierat enligt Data Privacy Framework.
Samma bedömning gäller oss. Myra EU CAPTCHA från Myra Security GmbH i München samlar in webbläsar- och enhetsegenskaper redan när sidan laddas, även beteendesignaler som musrörelser, så även här gäller LEK 9 kap. 28 §, trots att widgeten inte sätter några kakor. Myra är personuppgiftsbiträde och tecknar biträdesavtal.
Vanliga frågor
Har PTS eller IMY uttalat sig om reCAPTCHA?
Vi har inte hittat något sådant uttalande. En sökning på imy.se och pts.se gav noll träffar för captcha och recaptcha, och inget av PTS beslut om kakor från 2022 och 2023 handlar om captchas (status 2026-10-11). IMY:s beslut om Google Analytics från 2023 gällde ett annat verktyg och tiden före EU-US Data Privacy Framework.
Räcker det att Google numera är personuppgiftsbiträde?
Inte för frågan om terminalutrustningen. Sedan den 2 april 2026 beskriver Google sig som personuppgiftsbiträde för reCAPTCHA. Men kakan _GRECAPTCHA finns kvar, och LEK 9 kap. 28 § gäller lagring och åtkomst i användarens utrustning oavsett vem som är personuppgiftsansvarig.
Vad gäller för myndigheters webbplatser?
Samma regel. PTS tillsyn omfattar även myndigheter; två av de fyra granskningarna 2022 och 2023 gällde Folkhälsomyndigheten och Konsumentverket.
Källor
- Lag (2022:482) om elektronisk kommunikation, riksdagen.se, hämtad 2026-10-11
- Förordning (2022:511) om elektronisk kommunikation, riksdagen.se, hämtad 2026-10-11
- PTS, Kakor (cookies), hämtad 2026-10-11
- PTS, Vägledande beslut om kakor, hämtad 2026-10-11
- IMY, Fyra bolag måste sluta använda Google Analytics (2023-07-03), hämtad 2026-10-11
- Traficom (Finland), XXL Sports & Outdoor Oy, 2023-11-21, hämtad 2026-10-11
- CNIL (Frankrike), FAQ om kakor, fråga 17 (2026-04-29), hämtad 2026-10-11
- Google Cloud, reCAPTCHA FAQ (data processing), hämtad 2026-10-11
- Google Cloud, Service Specific Terms, avsnitt 45, hämtad 2026-10-11
- Google Developers, reCAPTCHA v3, hämtad 2026-10-11