Pokud provozujete web v EU, je velmi pravděpodobné, že už nyní porušujete GDPR — aniž byste o tom věděli. Důvodem je Google reCAPTCHA. Stále zůstává výchozí volbou pro ochranu před boty, ale v pozadí přenáší data uživatelů do USA, sbírá behaviorální data pro sledování, v mnoha případech vyžaduje souhlas a byla napadena několika evropskými dozorovými úřady.
Krátce řečeno: reCAPTCHA ve výchozím nastavení není v souladu s GDPR. To je problém pro každého, jehož podnikání stojí na formulářích — pro SaaS firmy, e-shopy, trychtýře pro získávání leadů i weby veřejné správy.
Proč se GDPR a CAPTCHA střetávají
GDPR stojí na jednom stěžejním principu: minimalizovat sběr dat a chránit soukromí uživatelů. Tradiční systémy CAPTCHA dělají přesný opak. Sledují uživatele napříč weby, analyzují chování — pohyby myši, kliknutí — a výsledek posílají do třetích zemí.
Vzniká z toho několik právních rizik naráz: žádný platný právní základ bez výslovného souhlasu, přenos mimo EU, který naráží na rozsudek Schrems II, nedostatek transparentnosti a možné pokuty. Mnoho firem přehlíží, že nástroj na ochranu před boty patří do záznamů o činnostech zpracování jako každý jiný zpracovatel.
Která pravidla ve skutečnosti platí
O tom, zda je vaše CAPTCHA problém, rozhodují tři části nařízení — a uplatní se v tomto pořadí.
Čl. 6 — existuje právní základ? Načíst cizí skript, který profiluje návštěvníka, je zpracování. Oprávněný zájem unese jednoduchou obranu proti spamu, ale přestane ji unést ve chvíli, kdy nástroj staví profily chování napříč weby. Pak potřebujete souhlas, a ten musí existovat dřív, než se skript načte — přesně na tom většina implementací ztroskotá.
Čl. 28 — kdo je zpracovatel? Váš dodavatel CAPTCHA zpracovává osobní údaje pro vás. Potřebujete s ním tedy zpracovatelskou smlouvu a nástroj patří do vašich záznamů o činnostech zpracování — stejně jako poskytovatel pošty nebo analytický nástroj.
Čl. 44 a násl. — kam data putují? Každé předání mimo EU vyžaduje právní mechanismus a po rozsudku Schrems II samotný mechanismus nestačí: musíte navíc posoudit, zda ho sledovací zákony cílové země nevyprazdňují. Toto posouzení zcela odpadá, pokud data EU nikdy neopustí.
Co dělá CAPTCHA GDPR-přátelskou?
Načítá CAPTCHA do vaší stránky cizí skript?
- AnoSouhlas je nutný před načtením
- NeSamotný požadavek souhlas nevyžaduje
Ukládá nebo čte cookies či identifikátory zařízení?
- AnoSouhlas je nutný
- NeOprávněný zájem může stačit
Než si vyberete alternativu, je dobré vědět, co „soulad s GDPR“ ve skutečnosti znamená. Rozhoduje o tom pět požadavků:
- Žádný sběr osobních údajů
- Žádný přeshraniční přenos dat
- Žádné sledování nebo fingerprinting
- Funguje bez souhlasového banneru
- Plně transparentní zpracování
Další dva oddělují pouze vyhovující od skutečně dobrého: neviditelný průběh, který po návštěvníkovi nic nechce, a přístupnost podle WCAG.
Zkontrolujte vlastní web za deset minut
Na první průchod nepotřebujete advokáta, ale záložku sítě.
- Otevřete stránku s formulářem a zaznamenejte síťový provoz. Každý požadavek na
google.com/recaptcha,hcaptcha.comnebo podobného hostitele znamená, že vaše návštěvníky vidí třetí strana. - Sledujte, kdy se spustí. Pokud se načte dřív, než návštěvník cokoli přijme, souhlas jako právní základ je už ztracen.
- Hledejte cookies a úložiště.
_GRECAPTCHAa příbuzné jsou viditelná část; položky v local storage se počítají také. - Přečtěte si vlastní zásady ochrany osobních údajů. Pokud tam nástroj není jmenován, používá se bez uvedení.
- Nahlédněte do záznamů o činnostech zpracování. Většina uvádí analytiku a poštu — a na ochranu před boty zapomene úplně.
Vše, co zde najdete, se dá napravit. Nedá se napravit ta část, kterou nikdo nikdy nehledal.
Alternativy — a co skutečně stojí
Následující ceny byly ověřeny 3. září 2026 na stránkách samotných dodavatelů. Mění se; zdroje jsou uvedeny u každé položky.
FriendlyCaptcha je na soukromí zaměřená CAPTCHA z Německa. Nenastavuje sledovací cookies, uvádí WCAG 2.2 AA a ISO 27001 a architektura je navržena pro GDPR. Ceny začínají na 9 €/měsíc za jednu doménu a 1 000 požadavků, 39 €/měsíc za pět domén a 5 000 požadavků, 200 €/měsíc za 50 domén a 50 000. Pro nekomerční weby existuje bezplatný tarif do 1 000 požadavků. Jeden detail je pro evropské kupující zásadní: výhradně evropská datová centra se objevují až na úrovni 200 €, níže ne. A návštěvník stále řeší hádanku, což do každé konverzní cesty vnáší tření.
Cloudflare Turnstile je zdarma, bez zveřejněného stropu požadavků — skutečně zdarma, ne zkušební doba. Bezplatný tarif omezuje funkce místo objemu: až 20 widgetů, 10 hostitelských jmen na widget, sedm dní analytiky, žádný závazek dostupnosti a žádná pravidla pro jednotlivé koncové body. Vzdává se sledování Googlem a drží interakci na minimu. Zůstává americkou společností, není ve všech případech zcela neviditelná a o fungování své detekce říká málo.
Google reCAPTCHA vám v úrovni Essentials dá 10 000 vyhodnocení měsíčně zdarma. Nad ni účtuje Standard paušálně 8 $ do 100 000 vyhodnocení a výše přecházíte do Enterprise s 0,001 $ za vyhodnocení. Problémem tu není cena — je jím cesta dat.
hCaptcha má trvale bezplatnou úroveň Basic. Pro stojí 99 $/měsíc při roční platbě nebo 139 $ měsíčně, zahrnuje 100 000 vyhodnocení a účtuje 0,99 $ za každých dalších 1 000. Postoj k soukromí je lepší než u Googlu, ale návštěvník stále řeší obrázkové hádanky.
SilentShield je neviditelná ochrana před boty šetrná k soukromí: žádná interakce, žádné sledování, žádný fingerprinting, žádný sběr osobních údajů, žádná lišta se souhlasem. Bezplatný tarif pokrývá 500 požadavků měsíčně na jedné doméně; Basic stojí 9 €/měsíc za 5 000 požadavků, Pro 29 €/měsíc za 25 000 požadavků na pěti doménách a Enterprise je individuální s vyhrazenými datovými centry v EU.
Rychlé srovnání
| Nástroj | Vstupní cena | Zahrnuto | Interakce | Přenos dat |
|---|---|---|---|---|
| reCAPTCHA | zdarma | 10 000 vyhodnocení | Hádanka | USA |
| hCaptcha | zdarma / 99 $ měsíčně | 100 000 vyhodnocení (Pro) | Hádanka | smíšené |
| Turnstile | zdarma | bez zveřejněného stropu | většinou žádná | USA |
| FriendlyCaptcha | 9 € měsíčně | 1 000 požadavků | Hádanka | EU od úrovně 200 € |
| SilentShield | zdarma / 9 € měsíčně | 500 / 5 000 požadavků | žádná | EU |
Přečtěte si první sloupec poctivě: podle ceny samotné vyhrává Turnstile. Je zdarma, nemá objemový strop, a u malého webu bez požadavků na soulad se proti tomu argumentuje těžko.
Kde je SilentShield slabší volbou
Každé srovnání, v němž autor vyhrává na každém řádku, si zaslouží nedůvěru. Tady jsou tři řádky, na kterých nevyhráváme.
Náš skript je větší než ten od Turnstile. Modul chování SilentShield váží 43,6 KB komprimovaně, se zavaděčem asi 47 KB. Dne 4. září 2026 jsme v prohlížeči změřili, co každý poskytovatel skutečně doručí: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile je tedy nejlehčí ze čtyř a my jsme druzí. Nahráváme se asynchronně po vykreslení, takže neblokujeme nic, na co návštěvník čeká — pokud se ale na vaší stránce bojuje o každý kilobajt, je to skutečný argument proti nám.
V objemu nejsme zdarma. Turnstile nestojí nic při jakémkoli objemu. Náš bezplatný tarif končí u 500 požadavků měsíčně. Pokud je cena vaším jediným kritériem, nejsme ta volba.
Jsme mladší. reCAPTCHA běží přes deset let a viděla vzorce útoků, které my jsme neviděli. To není maličkost a žádné positioning na tom nic nezmění.
Co za těch 9 € dostanete, je jiný obchod: nenačte se nic od amerického poskytovatele, nenastaví se žádná cookie, žádný návštěvník nemusí nic dokazovat a vyhodnocení zůstává v EU. Má-li to pro vás větší cenu než „zdarma“, jsme lepší volbou. Pokud ne, vezměte Turnstile — je to obhajitelné rozhodnutí a tento článek nebude předstírat opak.
Soulad, nebo konverze? Už si nemusíte vybírat
Většina firem to považuje za právní rozhodnutí. Není: je to rozhodnutí o růstu. Tradiční CAPTCHA ničí konverzní poměry, přidává tření a poškozuje mobilní zážitek, zatímco řešení, které je v souladu s GDPR a neviditelné, přináší více konverzí, lepší zážitek a žádné právní riziko.
FriendlyCaptcha řeší soukromí. Turnstile trochu vylepšuje zážitek. Ani jeden neřeší obojí zcela. SilentShield ano: architektura privacy-first, ověření, které návštěvník nikdy nevidí, a produkt stavěný pro moderní SaaS a evropské firmy.
Vylepšete svou ochranu proti botům (bez právního rizika)
Nemusíte hazardovat se souladem s GDPR ani obětovat konverze.
Podívejte se, jak SilentShield funguje — nahraďte svou CAPTCHA během minut