Pokud provozujete web v EU, vaše CAPTCHA si zaslouží důkladný pohled. Často je to Google reCAPTCHA. Stále zůstává výchozí volbou pro ochranu před boty a načítá do vaší stránky skripty Googlu. Od 2. dubna 2026 pro ni Google podle vlastních FAQ vystupuje jako zpracovatel (docs.cloud.google.com/recaptcha/docs/faq); zda a jak smíte reCAPTCHA používat, zůstává věcí právního posouzení a v praxi se toto posouzení často točí kolem souhlasu.
Krátce řečeno: reCAPTCHA by se do vaší stránky neměla dostat bez posouzení. To je důležité pro každého, jehož podnikání stojí na formulářích — pro SaaS firmy, e-shopy, trychtýře pro získávání leadů i weby veřejné správy.
Proč se GDPR a CAPTCHA střetávají
GDPR stojí na jednom stěžejním principu: minimalizovat sběr dat a chránit soukromí uživatelů. Mnoho tradičních systémů CAPTCHA se s tím snáší jen špatně. Načítají skripty třetích stran, analyzují chování — pohyby myši, kliknutí — a výsledek často zpracovávají na serverech mimo EU.
Vzniká z toho několik otázek, které musíte posoudit: zda existuje pevný právní základ bez souhlasu, zda je přenos mimo EU po rozsudku Schrems II zajištěn a zda je zpracování popsáno transparentně. Mnoho firem přehlíží, že nástroj na ochranu před boty patří do záznamů o činnostech zpracování jako každý jiný zpracovatel.
Která pravidla ve skutečnosti platí
O tom, zda je vaše CAPTCHA problém, rozhodují tři části nařízení — a uplatní se v tomto pořadí.
Čl. 6 — existuje právní základ? Načíst cizí skript, který profiluje návštěvníka, je zpracování. Oprávněný zájem unese jednoduchou obranu proti spamu, ale přestane ji unést ve chvíli, kdy nástroj staví profily chování napříč weby. Pak potřebujete souhlas, a ten musí existovat dřív, než se skript načte — přesně na to je třeba dát pozor při zabudování.
Čl. 28 — kdo je zpracovatel? Váš dodavatel CAPTCHA zpracovává osobní údaje pro vás. Potřebujete s ním tedy zpracovatelskou smlouvu a nástroj patří do vašich záznamů o činnostech zpracování — stejně jako poskytovatel pošty nebo analytický nástroj.
Čl. 44 a násl. — kam data putují? Každé předání mimo EU vyžaduje právní mechanismus a po rozsudku Schrems II samotný mechanismus nestačí: musíte navíc posoudit, zda ho sledovací zákony cílové země nevyprazdňují. Velká část tohoto posouzení odpadá, pokud má poskytovatel sídlo v EU a data uchovává tam.
Co dělá CAPTCHA GDPR-přátelskou?
Načítá CAPTCHA do vaší stránky cizí skript?
- AnoSouhlas je nutný před načtením
- NeSamotný požadavek souhlas nevyžaduje
Ukládá nebo čte cookies či identifikátory zařízení?
- AnoSouhlas je nutný
- NeOprávněný zájem může stačit
Než si vyberete alternativu, je dobré vědět, co „soulad s GDPR“ ve skutečnosti znamená. Rozhoduje o tom pět požadavků:
- Co nejméně osobních údajů, nic se neukládá v otevřeném textu
- Uchovávání dat v EU
- Žádné sledovací cookies a žádné profily napříč weby
- Právní základ, který lze doložit
- Plně transparentní zpracování
Další dva oddělují pouze vyhovující od skutečně dobrého: neviditelný průběh, který po návštěvníkovi nic nechce, a přístupnost podle WCAG.
Zkontrolujte vlastní web za deset minut
Na první průchod nepotřebujete advokáta, ale záložku sítě.
- Otevřete stránku s formulářem a zaznamenejte síťový provoz. Každý požadavek na
google.com/recaptcha,hcaptcha.comnebo podobného hostitele znamená, že vaše návštěvníky vidí třetí strana. - Sledujte, kdy se spustí. Pokud se načte dřív, než návštěvník cokoli přijme, souhlas jako právní základ je už ztracen.
- Hledejte cookies a úložiště.
_GRECAPTCHAa příbuzné jsou viditelná část; položky vlocalStoragese počítají také. - Přečtěte si vlastní zásady ochrany osobních údajů. Pokud tam nástroj není jmenován, používá se bez uvedení.
- Nahlédněte do záznamů o činnostech zpracování. Většina uvádí analytiku a poštu — a na ochranu před boty zapomene úplně.
Vše, co zde najdete, se dá napravit. Nedá se napravit ta část, kterou nikdo nikdy nehledal.
Alternativy — a co skutečně stojí
Následující údaje pocházejí z oficiálních stránek dodavatelů, načteno 4. října 2026. Mění se; zdroje jsou uvedeny u každé položky.
FriendlyCaptcha je na soukromí zaměřená CAPTCHA z Německa, která ověřuje na pozadí. Tarif Starter stojí 9 €/měsíc, Advanced 200 €/měsíc a Enterprise je na dotaz. Zdarma je pro nekomerční projekty (jedna doména, 1 000 požadavků měsíčně) a pro open-source projekty (50 domén, 50 000 požadavků měsíčně). Limity požadavků placených tarifů jsme na oficiální stránce s cenami nedokázali ověřit — zeptejte se na ně dodavatele. Zdroj: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile je zdarma s neomezeným počtem ověření — skutečně zdarma, ne zkušební doba, a váš web nemusí běžet přes Cloudflare. Bezplatný tarif omezuje funkce místo objemu: až 20 widgetů, 10 hostitelských jmen na widget, sedm dní analytiky. Nenačítá žádný skript Googlu a drží interakci na minimu: v režimu Managed zobrazí zaškrtávací políčko, když vidí riziko, bez obrázků či textu k luštění. Režim Invisible vyžaduje upozornění s odkazem na „Turnstile Privacy Addendum“. Cloudflare zůstává americkou společností. Zdroj: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (dnes součást „Google Cloud Fraud Defense“) vám v úrovni Essentials dá 10 000 vyhodnocení měsíčně zdarma; musíte přidat platební metodu. V úrovni Premium stojí 10 001 až 100 000 vyhodnocení paušálně 8 $, poté 1 $ za 1 000; nad tím je Enterprise. Vizuální výzvy jsou k dispozici ve všech úrovních. Od 2. dubna 2026 vystupuje Google podle vlastních FAQ jako zpracovatel. Otázkou tu není cena — je jí cesta dat ke Googlu. Zdroj: docs.cloud.google.com/recaptcha/docs/compare-tiers a /faq.
hCaptcha má bezplatnou úroveň Basic. Pro stojí 99 $/měsíc při roční platbě nebo 139 $ měsíčně a Enterprise je na dotaz. Pasivní režim bez viditelného úkolu je k dispozici jen v Pro a Enterprise; v úrovni Basic zůstává viditelná kontrola. Zdroj: hcaptcha.com/pricing.
SilentShield je ochrana před boty šetrná k soukromí, standardně neviditelná, s uchováváním dat na našich serverech v Německu: v běžném případě žádná interakce (jen krátká početní úloha, když je výsledek nejasný), žádné cookies, žádné sledování napříč weby, žádné profily a volitelný režim Zero-PII, který vlastnosti prohlížeče a zařízení zcela vynechává. Bezplatný tarif pokrývá 500 požadavků měsíčně na jedné doméně; Basic stojí 9 €/měsíc za 5 000 požadavků, Pro 29 €/měsíc za 25 000 požadavků na pěti doménách a Enterprise je individuální.
Rychlé srovnání
| Nástroj | Vstupní cena | Zahrnuto | Interakce | Přenos dat |
|---|---|---|---|---|
| reCAPTCHA | zdarma | 10 000 vyhodnocení | Možný obrázkový úkol | |
| hCaptcha | zdarma / 99 $ měsíčně (ročně) | neověřeno | Hádanka; pasivní jen Pro/Enterprise | neověřeno |
| Turnstile | zdarma | neomezená ověření | většinou žádná; políčko při riziku | Cloudflare (americká společnost) |
| FriendlyCaptcha | 9 € měsíčně | neověřeno | Kontrola na pozadí | neověřeno |
| SilentShield | zdarma / 9 € měsíčně | 500 / 5 000 požadavků | standardně žádná; početní úloha při nejasnosti | Servery v Německu; s koncovým bodem EU bez CDN |
Přečtěte si první sloupec poctivě: podle ceny samotné vyhrává Turnstile. Je zdarma, nemá objemový strop, a u malého webu bez požadavků na soulad se proti tomu argumentuje těžko.
Kde je SilentShield slabší volbou
Každé srovnání, v němž autor vyhrává na každém řádku, si zaslouží nedůvěru. Tady jsou tři řádky, na kterých nevyhráváme.
Náš skript je větší než ten od Turnstile. Modul chování SilentShield váží 45,0 KB komprimovaně, se zavaděčem 48,9 KB (znovu změřeno 23. září 2026). Dne 4. září 2026 jsme v prohlížeči změřili, co každý poskytovatel skutečně doručí: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile je tedy nejlehčí ze čtyř a my jsme druzí. Nahráváme se asynchronně po vykreslení, takže neblokujeme nic, na co návštěvník čeká — pokud se ale na vaší stránce bojuje o každý kilobajt, je to skutečný argument proti nám.
V objemu nejsme zdarma. Turnstile nestojí nic při jakémkoli objemu. Náš bezplatný tarif končí u 500 požadavků měsíčně. Pokud je cena vaším jediným kritériem, nejsme ta volba.
Jsme mladší. reCAPTCHA běží přes deset let a viděla vzorce útoků, které my jsme neviděli. To není maličkost a žádné positioning na tom nic nezmění.
Co za těch 9 € dostanete, je jiný obchod: nenačte se žádný skript Googlu, nenastaví se žádná cookie, návštěvník standardně nevidí žádný úkol — jen krátkou početní úlohu, když je výsledek nejasný — a s koncovým bodem EU probíhá ověření přímo na našich serverech v Německu, bez CDN. Má-li to pro vás větší cenu než „zdarma“, jsme lepší volbou. Pokud ne, vezměte Turnstile — je to obhajitelné rozhodnutí a tento článek nebude předstírat opak.
Soulad, nebo konverze? Už si nemusíte vybírat
Většina firem to považuje za právní rozhodnutí. Není: je to rozhodnutí o růstu. Tradiční CAPTCHA stojí konverze, přidává tření a poškozuje mobilní zážitek, zatímco neviditelné řešení šetrné k soukromí toto tření z formuláře odstraní — právní posouzení za vás ale neudělá.
SilentShield míří na obojí: žádné cookies, žádné sledování napříč weby, žádné profily; IP adresa slouží jen k ověření a neukládá se v otevřeném textu — a ověření, které zůstává standardně neviditelné a krátkou početní úlohu zobrazí jen tehdy, když je výsledek nejasný. Stavěno pro moderní SaaS a evropské firmy.
Vylepšete svou ochranu proti botům — šetrně k soukromí
Nemusíte hazardovat se souladem s GDPR ani obětovat konverze.
Podívejte se, jak SilentShield funguje — a nahraďte svou CAPTCHA