Jos verkkosivustoa ylläpidetään EU:ssa, CAPTCHAa kannattaa tarkastella tarkasti. Usein se on Google reCAPTCHA. Se on yhä oletusvalinta bottisuojaukseen, ja se lataa Googlen skriptejä sivulle. Googlen oman FAQ-sivun (docs.cloud.google.com/recaptcha/docs/faq) mukaan Google toimii 2. huhtikuuta 2026 alkaen sen osalta henkilötietojen käsittelijänä; se, saako reCAPTCHAa käyttää ja miten, on silti oikeudellisen arvioinnin asia, ja käytännössä arviointi kääntyy usein suostumukseen.
Lyhyesti: reCAPTCHAa ei pidä ottaa sivulle arvioimatta. Se koskee kaikkia, joiden liiketoiminta lepää lomakkeiden varassa — SaaS-yrityksille, verkkokaupoille, liidisuppiloille ja julkisen sektorin sivustoille.
Miksi GDPR ja CAPTCHA törmäävät
GDPR nojaa yhteen ydinperiaatteeseen: kerätään mahdollisimman vähän tietoa ja suojataan käyttäjien yksityisyyttä. Monet perinteiset CAPTCHA-järjestelmät sopivat tähän huonosti. Ne lataavat kolmansien osapuolten skriptejä, analysoivat käyttäytymistä — hiiren liikkeet, klikkaukset — ja käsittelevät tuloksen usein EU:n ulkopuolisilla palvelimilla.
Tästä syntyy useita kysymyksiä, jotka on arvioitava: onko ilman suostumusta kestävä oikeusperuste, onko EU:n ulkopuolelle suuntautuva siirto turvattu Schrems II -tuomion jälkeen ja onko käsittely kuvattu läpinäkyvästi. Moni yritys ohittaa sen, että bottisuojaustyökalu kuuluu käsittelytoimien selosteeseen kuten mikä tahansa muu käsittelijä.
Mitkä säännöt tosiasiassa pätevät
Kolme asetuksen osaa ratkaisee, onko CAPTCHAnne ongelma — ja ne pätevät tässä järjestyksessä.
6 artikla — onko oikeusperuste? Vieraan skriptin lataaminen, joka profiloi kävijän, on käsittelyä. Oikeutettu etu kantaa yksinkertaisen roskapostisuojan, mutta lakkaa kantamasta heti kun työkalu rakentaa sivustojen välisiä käyttäytymisprofiileja. Silloin tarvitaan suostumus, ja sen on oltava olemassa ennen kuin skripti latautuu — juuri tähän kannattaa kiinnittää huomiota käyttöönotossa.
28 artikla — kuka on käsittelijä? CAPTCHA-toimittajanne käsittelee henkilötietoja teidän lukuunne. Tarvitsette siis hänen kanssaan käsittelysopimuksen, ja työkalu kuuluu käsittelytoimien selosteeseen — kuten sähköpostitoimittaja tai analytiikkatyökalu.
44 artikla ja sitä seuraavat — minne tiedot menevät? Jokainen siirto EU:n ulkopuolelle vaatii oikeudellisen mekanismin, ja Schrems II -tuomion jälkeen pelkkä mekanismi ei riitä: teidän on lisäksi arvioitava, tyhjentävätkö kohdemaan valvontalait sen. Suuri osa tästä arvioinnista jää pois, kun palveluntarjoaja itse sijaitsee EU:ssa ja säilyttää tiedot siellä.
Mikä tekee CAPTCHAsta GDPR-ystävällisen?
Lataako CAPTCHA vieraan skriptin sivullenne?
- KylläSuostumus tarvitaan ennen latausta
- EiPelkkä pyyntö ei vaadi suostumusta
Tallentaako tai lukeeko se evästeitä tai laitetunnisteita?
- KylläSuostumus tarvitaan
- EiOikeutettu etu voi riittää
Ennen vaihtoehdon valintaa kannattaa tietää, mitä ”GDPR-ystävällinen” oikeasti tarkoittaa. Viisi vaatimusta ratkaisee sen:
- Mahdollisimman vähän henkilötietoja, mitään ei tallenneta selväkielisenä
- Tietojen säilytys EU:ssa
- Ei seurantaevästeitä eikä sivustojen välisiä profiileja
- Oikeusperuste, jonka voi dokumentoida
- Täysin läpinäkyvä tietojenkäsittely
Kaksi muuta erottaa pelkästään vaatimukset täyttävän todella hyvästä: näkymätön kulku, joka ei pyydä kävijältä mitään, ja WCAG:n mukainen saavutettavuus.
Tarkastakaa oma sivustonne kymmenessä minuutissa
Ensimmäiseen läpikäyntiin ette tarvitse asianajajaa vaan verkkovälilehden.
- Avatkaa lomakesivu ja tallentakaa verkkoliikenne. Jokainen pyyntö osoitteeseen
google.com/recaptcha,hcaptcha.comtai vastaavaan isäntään tarkoittaa, että kolmas osapuoli näkee kävijänne. - Katsokaa, milloin se laukeaa. Jos se latautuu ennen kuin kävijä on hyväksynyt mitään, suostumus oikeusperusteena on jo menetetty.
- Etsikää evästeitä ja tallennusmerkintöjä.
_GRECAPTCHAja sen sukulaiset ovat näkyvä osa; myöslocalStorage-merkinnät lasketaan. - Lukekaa oma tietosuojaselosteenne. Jos työkalua ei mainita siellä, sitä käytetään ilmoittamatta.
- Katsokaa käsittelytoimien selostetta. Useimmat luettelevat analytiikan ja sähköpostin — ja unohtavat bottisuojauksen kokonaan.
Kaikki, mitä täältä löydätte, on korjattavissa. Korjattavissa ei ole se osa, jota kukaan ei koskaan etsinyt.
Vaihtoehdot — ja mitä ne todella maksavat
Alla olevat tiedot ovat peräisin toimittajien virallisilta sivuilta, haettu 4. lokakuuta 2026. Ne muuttuvat; lähteet on mainittu kunkin kohdalla.
FriendlyCaptcha on yksityisyyteen keskittyvä saksalainen CAPTCHA, joka tarkistaa taustalla. Starter-taso maksaa 9 €/kk, Advanced 200 €/kk, ja Enterprise on saatavilla pyynnöstä. Se on ilmainen ei-kaupallisille projekteille (yksi verkkotunnus, 1 000 pyyntöä kuukaudessa) ja avoimen lähdekoodin projekteille (50 verkkotunnusta, 50 000 pyyntöä kuukaudessa). Maksullisten tasojen pyyntörajoja emme pystyneet tarkistamaan virallisella hinnastosivulla — niitä kannattaa kysyä toimittajalta. Lähde: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile on ilmainen ja tarkistuksia on rajattomasti — todella ilmainen, ei koejakso, eikä sivuston tarvitse kulkea Cloudflaren kautta. Ilmainen taso rajoittaa ominaisuuksia määrän sijaan: enintään 20 widgetiä, 10 isäntänimeä widgetiä kohti, seitsemän päivän analytiikka. Se ei lataa Google-skriptiä ja pitää vuorovaikutuksen vähäisenä: Managed-tilassa se näyttää valintaruudun, kun se havaitsee riskin, eikä kuvia tai tekstejä tarvitse tulkita. Invisible-tila edellyttää ilmoitusta, jossa viitataan ”Turnstile Privacy Addendum” -liitteeseen. Cloudflare on yhä yhdysvaltalainen yhtiö. Lähde: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (nykyään osa ”Google Cloud Fraud Defense” -palvelua) antaa Essentials-tasolla 10 000 arviointia kuukaudessa ilmaiseksi; maksutapa on lisättävä. Premium-tasolla 10 001–100 000 arviointia maksaa kiinteästi 8 $, sen jälkeen 1 $ jokaista 1 000:ta kohti; sen yläpuolella on Enterprise. Kuvatehtäviä on saatavilla kaikilla tasoilla. Googlen oman FAQ-sivun mukaan Google toimii 2. huhtikuuta 2026 alkaen henkilötietojen käsittelijänä. Kysymys ei ole tässä hinta — vaan tiedon reitti Googlelle. Lähde: docs.cloud.google.com/recaptcha/docs/compare-tiers ja /faq.
hCaptcha tarjoaa ilmaisen Basic-tason. Pro maksaa 99 $/kk vuosimaksulla tai 139 $ kuukaudessa, ja Enterprise on saatavilla pyynnöstä. Passiivinen tila ilman näkyvää tehtävää on saatavilla vain Pro- ja Enterprise-tasoilla; Basic-tasolla näkyvä tarkistus säilyy. Lähde: hcaptcha.com/pricing.
SilentShield on yksityisyyttä kunnioittava, oletuksena näkymätön bottisuojaus, jossa tiedot säilytetään palvelimillamme Saksassa: tavallisesti ei vuorovaikutusta (vain lyhyt laskutehtävä, kun tulos on epäselvä), ei evästeitä, ei sivustojen välistä seurantaa, ei profiileja ja valinnainen Zero-PII-tila, joka jättää selain- ja laiteominaisuudet kokonaan pois. Ilmainen taso kattaa 500 pyyntöä kuukaudessa yhdellä verkkotunnuksella; Basic maksaa 9 €/kk 5 000 pyynnöstä, Pro 29 €/kk 25 000 pyynnöstä viidellä verkkotunnuksella, ja Enterprise on yksilöllinen.
Pikavertailu
| Työkalu | Aloitushinta | Sisältyy | Vuorovaikutus | Tiedonsiirto |
|---|---|---|---|---|
| reCAPTCHA | ilmainen | 10 000 arviointia | Kuvatehtävä mahdollinen | |
| hCaptcha | ilmainen / 99 $ kuukaudessa (vuosilaskutus) | ei tarkistettu | Tehtävä; passiivinen vain Pro/Enterprise | ei tarkistettu |
| Turnstile | ilmainen | rajattomasti tarkistuksia | useimmiten ei mitään; valintaruutu riskin yhteydessä | Cloudflare (yhdysvaltalainen yhtiö) |
| FriendlyCaptcha | 9 € kuukaudessa | ei tarkistettu | Tarkistus taustalla | ei tarkistettu |
| SilentShield | ilmainen / 9 € kuukaudessa | 500 / 5 000 pyyntöä | oletuksena ei mitään; laskutehtävä, kun tulos on epäselvä | Palvelimet Saksassa; EU-päätepisteellä ilman CDN:ää |
Lukekaa ensimmäinen sarake rehellisesti: pelkällä hinnalla voittaa Turnstile. Se on ilmainen, sillä ei ole määräkattoa, ja pienelle sivustolle ilman vaatimustenmukaisuusvaadetta sitä vastaan on vaikea väittää.
Missä SilentShield on heikompi valinta
Jokainen vertailu, jossa kirjoittaja voittaa joka rivillä, ansaitsee epäluulon. Tässä ne kolme riviä, joilla emme voita.
Skriptimme on suurempi kuin Turnstilen. SilentShieldin käyttäytymismoduuli painaa 45,0 kt pakattuna, latainten kanssa 48,9 kt (mitattu uudelleen 23. syyskuuta 2026). Mittasimme 4. syyskuuta 2026 selaimessa, mitä kukin palveluntarjoaja todella toimittaa: Turnstile 27,5 kt, reCAPTCHA 423 kt, hCaptcha 742 kt. Turnstile on siis neljästä kevein ja me olemme toisena. Latautumme asynkronisesti piirron jälkeen emmekä estä mitään, mitä kävijä odottaa — mutta jos sivullanne taistellaan jokaisesta kilotavusta, se on todellinen argumentti meitä vastaan.
Määrässä emme ole ilmaisia. Turnstile ei maksa mitään millään määrällä. Ilmainen tasomme päättyy 500 pyyntöön kuukaudessa. Jos hinta on ainoa kriteerinne, emme ole se valinta.
Olemme nuorempia. reCAPTCHA on pyörinyt yli vuosikymmenen ja nähnyt hyökkäyskuvioita, joita me emme ole nähneet. Se ei ole pikkuasia, eikä mikään asemointi muuta sitä.
Se, mitä noilla 9 eurolla saa, on toinen kauppa: Google-skriptiä ei ladata, evästettä ei aseteta, kävijä ei oletuksena näe tehtävää — vain lyhyen laskutehtävän, kun tulos on epäselvä — ja EU-päätepisteellä tarkistus suoritetaan suoraan palvelimillamme Saksassa ilman CDN:ää. Jos se on teille enemmän arvoinen kuin ilmainen, olemme parempi valinta. Jos ei, ottakaa Turnstile — se on puolustettava päätös, eikä tämä artikkeli teeskentele muuta.
Vaatimustenmukaisuus vai konversio? Enää ei tarvitse valita
Useimmat yritykset pitävät tätä oikeudellisena päätöksenä. Ei se ole: se on kasvupäätös. Perinteinen CAPTCHA maksaa konversioita, lisää kitkaa ja heikentää mobiilikokemusta, kun taas yksityisyyttä kunnioittava, näkymätön ratkaisu poistaa tämän kitkan lomakkeesta — oikeudellista arviointia se ei kuitenkaan korvaa.
SilentShield tähtää molempiin: ei evästeitä, ei sivustojen välistä seurantaa, ei profiileja; IP-osoitetta käytetään vain tarkistukseen eikä sitä tallenneta selväkielisenä — ja tarkistus, joka pysyy oletuksena näkymättömänä ja näyttää lyhyen laskutehtävän vain, kun tulos on epäselvä. Rakennettu nykyaikaiselle SaaS:lle ja eurooppalaisille yrityksille.
Päivitä bottisuojauksesi — yksityisyyttä kunnioittaen
Teidän ei tarvitse pelata GDPR-yhteensopivuudella eikä uhrata konversioita.