Ako vodite web-mjesto u EU, velika je vjerojatnost da već sada kršite GDPR — a da to i ne znate. Razlog je Google reCAPTCHA. I dalje ostaje zadani izbor za zaštitu od botova, no iza kulisa prenosi podatke korisnika u SAD, prikuplja bihevioralne podatke radi praćenja, u mnogim slučajevima traži privolu i osporilo ga je nekoliko europskih nadzornih tijela.
Ukratko: reCAPTCHA prema zadanim postavkama nije usklađena s GDPR-om. To je problem za svakoga čiji posao počiva na obrascima — za SaaS tvrtke, internetske trgovine, lijevke za prikupljanje potencijalnih klijenata i stranice javnog sektora.
Zašto se GDPR i CAPTCHA sukobljavaju
GDPR počiva na jednom temeljnom načelu: prikupljati što manje podataka i štititi privatnost korisnika. Tradicionalni sustavi CAPTCHA rade upravo suprotno. Prate korisnike po web-mjestima, analiziraju ponašanje — pokrete miša, klikove — i rezultat šalju u treće zemlje.
Iz toga proizlazi nekoliko pravnih rizika odjednom: nema valjane pravne osnove bez izričite privole, prijenos izvan EU koji se sudara s presudom Schrems II, manjak transparentnosti i moguće kazne. Mnoge tvrtke previde da alat za zaštitu od botova pripada u evidenciju aktivnosti obrade kao i svaki drugi izvršitelj obrade.
Koja pravila doista vrijede
O tome je li vaš CAPTCHA problem, odlučuju tri dijela uredbe — i primjenjuju se ovim redom.
Članak 6. — postoji li pravna osnova? Učitati tuđu skriptu koja profilira posjetitelja jest obrada. Legitimni interes može nositi jednostavnu obranu od neželjene pošte, ali prestaje nositi čim alat gradi profile ponašanja između web-mjesta. Tada vam treba privola, i ona mora postojati prije nego što se skripta učita — upravo na tome posrne većina ugradnji.
Članak 28. — tko je izvršitelj obrade? Vaš dobavljač CAPTCHA-e obrađuje osobne podatke u vaše ime. Treba vam dakle ugovor o obradi s njim, a alat pripada u vašu evidenciju aktivnosti obrade — kao i pružatelj pošte ili alat za analitiku.
Članci 44. i dalje — kamo idu podaci? Svaki prijenos izvan EU-a zahtijeva pravni mehanizam, a nakon presude Schrems II sam mehanizam više nije dovoljan: morate dodatno procijeniti izdubljuju li ga nadzorni zakoni odredišne zemlje. Ta procjena posve otpada ako podaci nikada ne napuste EU.
Što čini CAPTCHA GDPR-prijateljskim?
Učitava li CAPTCHA tuđu skriptu na vašu stranicu?
- DaPrivola je potrebna prije učitavanja
- NeSam zahtjev ne traži privolu
Sprema li ili čita kolačiće ili identifikatore uređaja?
- DaPrivola je potrebna
- NeLegitimni interes može biti dovoljan
Prije nego što odaberete alternativu, dobro je znati što „usklađeno s GDPR-om“ doista znači. O tome odlučuje pet zahtjeva:
- Bez prikupljanja osobnih podataka
- Bez prekograničnog prijenosa podataka
- Bez praćenja ili uzimanja otisaka
- Radi bez bannera za pristanak
- Potpuno transparentna obrada
Još dva razdvajaju tek zadovoljavajuće od uistinu dobrog: nevidljiv tijek koji od posjetitelja ne traži ništa i pristupačnost prema WCAG-u.
Provjerite vlastito web-mjesto u deset minuta
Za prvi prolazak ne treba vam odvjetnik, nego kartica mreže.
- Otvorite stranicu s obrascem i snimite mrežni promet. Svaki zahtjev prema
google.com/recaptcha,hcaptcha.comili sličnom poslužitelju znači da vaše posjetitelje vidi treća strana. - Pogledajte kada se pokreće. Učita li se prije nego što je posjetitelj išta prihvatio, privola kao pravna osnova već je izgubljena.
- Potražite kolačiće i pohranu.
_GRECAPTCHAi srodni vidljivi su dio; unosi u lokalnoj pohrani broje se jednako. - Pročitajte vlastitu izjavu o privatnosti. Ako alat ondje nije naveden, koristi se bez objave.
- Pogledajte u evidenciju aktivnosti obrade. Većina navodi analitiku i poštu — a zaštitu od botova posve zaboravi.
Sve što ovdje nađete može se popraviti. Ne može se popraviti onaj dio koji nitko nikada nije tražio.
Alternative — i koliko doista koštaju
Cijene u nastavku provjerene su 3. rujna 2026. na stranicama samih dobavljača. Mijenjaju se; izvori su navedeni uz svaku stavku.
FriendlyCaptcha je CAPTCHA iz Njemačke usmjerena na privatnost. Ne postavlja kolačiće za praćenje, navodi WCAG 2.2 AA i ISO 27001, a arhitektura je građena za GDPR. Cijene počinju od 9 €/mjesec za jednu domenu i 1.000 zahtjeva, 39 €/mjesec za pet domena i 5.000 zahtjeva, 200 €/mjesec za 50 domena i 50.000. Za nekomercijalna web-mjesta postoji besplatan paket do 1.000 zahtjeva. Jedan detalj važan je europskim kupcima: isključivo europski podatkovni centri pojavljuju se tek na razini od 200 €, niže ne. A posjetitelj i dalje rješava zagonetku, što u svaki put do konverzije unosi trenje.
Cloudflare Turnstile besplatan je, bez objavljene gornje granice zahtjeva — doista besplatan, ne probno razdoblje. Besplatni paket ograničava značajke umjesto količine: do 20 widgeta, 10 naziva poslužitelja po widgetu, sedam dana analitike, bez jamstva dostupnosti i bez pravila po krajnjoj točki. Odriče se Googleova praćenja i drži interakciju na najmanjoj mjeri. Ostaje američka tvrtka, nije u svim slučajevima posve nevidljiv i malo govori o tome kako radi njegovo otkrivanje.
Google reCAPTCHA daje vam na razini Essentials 10.000 procjena mjesečno besplatno. Iznad toga Standard naplaćuje paušalnih 8 $ do 100.000 procjena, a više prelazite u Enterprise s 0,001 $ po procjeni. Problem ovdje nije cijena — problem je put podataka.
hCaptcha ima trajno besplatnu razinu Basic. Pro stoji 99 $/mjesec uz godišnje plaćanje ili 139 $ mjesečno, uključuje 100.000 procjena i naplaćuje 0,99 $ za svakih dodatnih 1.000. Njegov stav prema privatnosti bolji je od Googleova, ali posjetitelj i dalje rješava slikovne zagonetke.
SilentShield je nevidljiva zaštita od botova naklonjena privatnosti: bez interakcije, bez praćenja, bez otiska preglednika, bez prikupljanja osobnih podataka, bez trake za privolu. Besplatni paket pokriva 500 zahtjeva mjesečno na jednoj domeni; Basic stoji 9 €/mjesec za 5.000 zahtjeva, Pro 29 €/mjesec za 25.000 zahtjeva na pet domena, a Enterprise je individualan s namjenskim podatkovnim centrima u EU-u.
Brza usporedba
| Alat | Ulazna cijena | Uključeno | Interakcija | Prijenos podataka |
|---|---|---|---|---|
| reCAPTCHA | besplatno | 10.000 procjena | Zagonetka | SAD |
| hCaptcha | besplatno / 99 $ mjesečno | 100.000 procjena (Pro) | Zagonetka | mješovito |
| Turnstile | besplatno | bez objavljene granice | uglavnom nikakva | SAD |
| FriendlyCaptcha | 9 € mjesečno | 1.000 zahtjeva | Zagonetka | EU od razine 200 € |
| SilentShield | besplatno / 9 € mjesečno | 500 / 5.000 zahtjeva | nikakva | EU |
Pročitajte prvi stupac pošteno: po samoj cijeni pobjeđuje Turnstile. Besplatan je, nema ograničenje količine, a za malo web-mjesto bez zahtjeva za usklađenošću protiv toga je teško argumentirati.
Gdje je SilentShield slabiji izbor
Svaka usporedba u kojoj autor pobjeđuje u svakom retku zaslužuje nepovjerenje. Evo tri retka u kojima ne pobjeđujemo.
Naša je skripta veća od Turnstileove. Modul ponašanja SilentShielda teži 43,6 KB sažeto, s učitavačem oko 47 KB. Dana 4. rujna 2026. izmjerili smo u pregledniku što svaki pružatelj doista isporučuje: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile je dakle najlakši od četvorice, a mi smo drugi. Učitavamo se asinkrono nakon iscrtavanja i ne blokiramo ništa što posjetitelj čeka — ali ako se na vašoj stranici bori za svaki kilobajt, to je stvaran argument protiv nas.
U količini nismo besplatni. Turnstile ne stoji ništa pri bilo kojoj količini. Naš besplatni paket završava na 500 zahtjeva mjesečno. Ako je cijena vaš jedini kriterij, nismo pravi izbor.
Mlađi smo. reCAPTCHA radi više od desetljeća i vidjela je obrasce napada koje mi nismo. To nije sitnica i nikakvo pozicioniranje to ne mijenja.
Ono što za tih 9 € dobivate drukčija je razmjena: ništa se ne učitava od američkog pružatelja, ne postavlja se nijedan kolačić, nijedan posjetitelj ne mora ništa dokazivati, a procjena ostaje u EU-u. Vrijedi li vam to više od besplatnog, mi smo bolji izbor. Ako ne vrijedi, uzmite Turnstile — to je obranjiva odluka i ovaj se članak neće pretvarati da nije.
Usklađenost ili konverzija? Više ne morate birati
Većina tvrtki to smatra pravnom odlukom. Nije: riječ je o odluci o rastu. Tradicionalna CAPTCHA uništava stope konverzije, dodaje trenje i šteti mobilnom iskustvu, dok rješenje usklađeno s GDPR-om i nevidljivo donosi više konverzija, bolje iskustvo i nikakav pravni rizik.
FriendlyCaptcha rješava privatnost. Turnstile malo poboljšava iskustvo. Nijedan ne rješava oboje u cijelosti. SilentShield rješava: arhitektura privacy-first, provjera koju posjetitelj nikada ne vidi i proizvod građen za moderni SaaS i europske tvrtke.
Nadogradite svoju zaštitu od botova (bez pravnog rizika)
Ne morate se kockati s usklađenošću s GDPR-om niti žrtvovati konverzije.
Pogledajte kako SilentShield radi — zamijenite svoj CAPTCHA u minutama