Se gestisce un sito web nell'UE, vale la pena guardare da vicino il suo CAPTCHA. Spesso si tratta di Google reCAPTCHA. Resta la scelta predefinita per la protezione dai bot e carica script di Google nella sua pagina. Dal 2 aprile 2026 Google agisce, secondo le sue stesse FAQ, come responsabile del trattamento (docs.cloud.google.com/recaptcha/docs/faq); se e come possa utilizzare reCAPTCHA resta comunque una questione di valutazione legale, e in pratica questa valutazione verte spesso sul consenso.
In breve: reCAPTCHA non dovrebbe finire nella sua pagina senza una valutazione. Questo riguarda chiunque affidi il proprio business ai moduli — aziende SaaS, negozi di e-commerce, funnel di lead generation e siti della pubblica amministrazione.
Perché GDPR e CAPTCHA sono in conflitto
Il GDPR poggia su un principio centrale: ridurre al minimo la raccolta di dati e proteggere la privacy degli utenti. Molti CAPTCHA tradizionali si conciliano male con questo principio. Caricano script di terzi, analizzano il comportamento — movimenti del mouse, clic — e spesso elaborano il risultato su server fuori dall'UE.
Ne derivano diverse domande da valutare: se esista una base giuridica solida senza consenso, se un trasferimento fuori dall'UE sia tutelato dopo la sentenza Schrems II e se il trattamento sia descritto in modo trasparente. Ciò che molte aziende trascurano: uno strumento di protezione dai bot fa parte del registro dei trattamenti, come qualsiasi altro responsabile.
Quali regole si applicano davvero
Tre parti del regolamento decidono se il suo CAPTCHA è un problema, e si applicano in quest'ordine.
Articolo 6 — esiste una base giuridica? Caricare uno script di terzi che profila il visitatore è un trattamento. Il legittimo interesse può reggere una semplice difesa antispam, ma smette di reggere non appena lo strumento costruisce profili comportamentali tra siti. Allora serve il consenso, e questo deve esistere prima che lo script venga caricato — ed è esattamente a questo che deve prestare attenzione durante l'integrazione.
Articolo 28 — chi è il responsabile del trattamento? Il suo fornitore di CAPTCHA tratta dati personali per suo conto. Le serve quindi un contratto di nomina a responsabile, e lo strumento appartiene al suo registro dei trattamenti — come il fornitore di posta o lo strumento di analisi.
Articoli 44 e seguenti — dove finiscono i dati? Ogni trasferimento fuori dall'UE richiede un meccanismo giuridico, e dopo la sentenza Schrems II il meccanismo da solo non basta: deve inoltre valutare se le leggi di sorveglianza del paese di destinazione lo svuotino. Buona parte di quella valutazione viene meno quando il fornitore stesso ha sede nell'UE e vi conserva i dati.
Cosa rende un CAPTCHA conforme al GDPR?
Il CAPTCHA carica uno script di terzi nella sua pagina?
- SìConsenso necessario prima del caricamento
- NoLa sola richiesta non richiede consenso
Memorizza o legge cookie o identificatori del dispositivo?
- SìConsenso necessario
- NoIl legittimo interesse può bastare
Prima di scegliere un'alternativa conviene sapere che cosa significhi davvero «conforme al GDPR». Cinque requisiti lo determinano:
- Il minimo possibile di dati personali, nulla salvato in chiaro
- Archiviazione dei dati nell'UE
- Nessun cookie di tracciamento e nessun profilo tra siti
- Una base giuridica che si può documentare
- Trattamento completamente trasparente
Altri due separano il semplicemente conforme dal davvero valido: un'esperienza invisibile che non chiede nulla al visitatore e un'accessibilità conforme alle WCAG.
Verificare il proprio sito in dieci minuti
Per un primo passaggio non serve un avvocato, ma la scheda di rete.
- Apra una pagina con un modulo e registri il traffico di rete. Qualsiasi richiesta verso
google.com/recaptcha,hcaptcha.como un host simile significa che un terzo vede i suoi visitatori. - Guardi quando parte. Se si carica prima che il visitatore abbia accettato qualcosa, il consenso come base giuridica è già perso.
- Cerchi cookie e archiviazione.
_GRECAPTCHAe simili sono la parte visibile; contano anche le voci inlocalStorage. - Rilegga la propria informativa privacy. Se lo strumento non è nominato lì, viene usato senza essere dichiarato.
- Apra il registro dei trattamenti. La maggior parte elenca analisi e posta — e dimentica del tutto la protezione dai bot.
Tutto ciò che trova qui si può correggere. Ciò che non si corregge è la parte che nessuno ha mai cercato.
Le alternative — e quanto costano davvero
Le informazioni seguenti provengono dalle pagine ufficiali dei fornitori, consultate il 4 ottobre 2026. Cambiano; le fonti sono indicate di volta in volta.
FriendlyCaptcha è un CAPTCHA tedesco orientato alla privacy che verifica in background. Il piano Starter costa 9 €/mese, Advanced 200 €/mese ed Enterprise è su richiesta. È gratuito per i progetti non commerciali (un dominio, 1.000 richieste al mese) e per i progetti open source (50 domini, 50.000 richieste al mese). Non siamo riusciti a verificare i limiti di richieste dei piani a pagamento sulla pagina ufficiale dei prezzi — li chieda al fornitore. Fonte: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile è gratuito con verifiche illimitate — gratuito davvero, non un periodo di prova, e senza che il suo sito debba passare attraverso Cloudflare. Il piano gratuito limita le funzioni anziché il volume: fino a 20 widget, 10 nomi host per widget, sette giorni di analisi. Non carica alcuno script di Google e mantiene minima l'interazione: in modalità Managed mostra una casella di controllo quando rileva un rischio, senza immagini o testi da decifrare. La modalità Invisible richiede un avviso che rimandi al «Turnstile Privacy Addendum». Cloudflare resta un'azienda statunitense. Fonte: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (ora parte di «Google Cloud Fraud Defense») offre 10.000 valutazioni al mese gratuite nel livello Essentials; è necessario registrare un metodo di pagamento. Nel livello Premium, da 10.001 a 100.000 valutazioni costano 8 $ forfettari, poi 1 $ ogni 1.000; sopra c'è Enterprise. I compiti con immagini sono disponibili in tutti i livelli. Dal 2 aprile 2026 Google agisce, secondo le sue stesse FAQ, come responsabile del trattamento. Qui il prezzo non è la questione — lo è il percorso dei dati verso Google. Fonte: docs.cloud.google.com/recaptcha/docs/compare-tiers e /faq.
hCaptcha ha un livello Basic gratuito. Pro costa 99 $/mese con pagamento annuale o 139 $ al mese, ed Enterprise è su richiesta. La modalità passiva senza compito visibile è disponibile solo in Pro ed Enterprise; nel livello Basic resta una verifica visibile. Fonte: hcaptcha.com/pricing.
SilentShield è una protezione dai bot rispettosa della privacy, invisibile per impostazione predefinita, con i dati conservati sui nostri server in Germania: nessuna interazione nel caso normale (solo un breve calcolo aritmetico quando il risultato non è chiaro), nessun cookie, nessun tracciamento tra siti, nessun profilo e una modalità Zero-PII opzionale che tralascia del tutto le caratteristiche del browser e del dispositivo. Il piano gratuito copre 500 richieste al mese su un dominio; Basic costa 9 €/mese per 5.000 richieste, Pro 29 €/mese per 25.000 richieste su cinque domini, ed Enterprise è individuale.
Confronto rapido
| Strumento | Prezzo d'ingresso | Incluso | Interazione | Trasferimento dati |
|---|---|---|---|---|
| reCAPTCHA | gratuito | 10.000 valutazioni | Compito con immagini possibile | |
| hCaptcha | gratuito / 99 $ al mese (annuale) | non verificato | Enigma; passivo solo Pro/Enterprise | non verificato |
| Turnstile | gratuito | verifiche illimitate | quasi mai; casella di controllo in caso di rischio | Cloudflare (azienda USA) |
| FriendlyCaptcha | 9 € al mese | non verificato | Verifica in background | non verificato |
| SilentShield | gratuito / 9 € al mese | 500 / 5.000 richieste | nessuna per impostazione predefinita; calcolo aritmetico se il risultato non è chiaro | Server in Germania; nessuna CDN con l'endpoint UE |
Legga la prima colonna con onestà: sul solo prezzo vince Turnstile. È gratuito, non ha limiti di volume, e per un sito piccolo senza requisiti di conformità è difficile argomentare il contrario.
Dove SilentShield è la scelta più debole
Ogni confronto in cui l'autore vince su ogni riga merita diffidenza. Ecco le tre righe su cui non vinciamo.
Il nostro script è più grande di quello di Turnstile. Il modulo comportamentale di SilentShield pesa 45,0 KB compressi, 48,9 KB con il caricatore (misurato di nuovo il 23 settembre 2026). Il 4 settembre 2026 abbiamo misurato nel browser che cosa consegna davvero ciascun fornitore: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile è quindi il più leggero dei quattro e noi siamo secondi. Carichiamo in modo asincrono dopo il rendering, quindi non blocchiamo nulla che il visitatore stia aspettando — ma se sulla sua pagina si combatte per ogni kilobyte, è un argomento reale contro di noi.
Non siamo gratuiti sul volume. Turnstile non costa nulla a qualsiasi volume. Il nostro piano gratuito si ferma a 500 richieste al mese. Se il prezzo è il suo unico criterio, non siamo noi la scelta.
Siamo più giovani. reCAPTCHA gira da oltre un decennio e ha visto schemi di attacco che noi non abbiamo visto. Non è poco, e nessun posizionamento lo cambia.
Quello che ottiene per quei 9 € è un altro scambio: non si carica alcuno script di Google, non viene impostato alcun cookie, il visitatore non vede alcun compito per impostazione predefinita — solo un breve calcolo aritmetico quando il risultato non è chiaro — e con l'endpoint UE la verifica avviene direttamente sui nostri server in Germania, senza CDN. Se questo per lei vale più di gratis, siamo la scelta migliore. Se non lo vale, prenda Turnstile — è una decisione difendibile, e questo articolo non fingerà il contrario.
Conformità o conversione? Non deve più scegliere
La maggior parte delle aziende la considera una decisione legale. Non lo è: è una decisione di crescita. Il CAPTCHA tradizionale costa conversioni, aggiunge attrito e peggiora l'esperienza su mobile, mentre una soluzione rispettosa della privacy e invisibile elimina quell'attrito dal modulo — ma non le risparmia la valutazione legale.
SilentShield punta su entrambe le cose: nessun cookie, nessun tracciamento tra siti, nessun profilo; l'indirizzo IP è usato solo per la verifica e non viene salvato in chiaro — e una verifica che resta invisibile per impostazione predefinita e mostra un breve calcolo aritmetico solo quando il risultato non è chiaro. Pensato per il SaaS moderno e le imprese europee.
Aggiorni la sua protezione bot — nel rispetto della privacy
Non deve giocare d'azzardo con la conformità al GDPR, né sacrificare le conversioni.
Scopra come funziona SilentShield — e sostituisca il suo CAPTCHA