EU でウェブサイトを運営しているなら、知らないうちに GDPR に違反している可能性が高いといえます。理由は Google reCAPTCHA です。ボット対策の既定の選択肢であり続けていますが、その裏では利用者のデータを米国へ送り、追跡のために行動データを収集し、多くの場合に同意を必要とし、複数の欧州監督機関から問題を指摘されてきました。
端的に言えば、reCAPTCHA は既定の状態では GDPR に適合していません。フォームが事業を支えているすべての企業にとって問題です。SaaS 企業、EC サイト、リード獲得のファネル、そして公共部門のサイトが該当します。
GDPRとCAPTCHAが衝突する理由
GDPR は一つの原則に立っています。データの収集を最小限にし、利用者のプライバシーを守ること。 従来の CAPTCHA はその正反対を行います。サイトをまたいで利用者を追跡し、マウスの動きやクリックといった行動を分析し、その結果を第三国へ送信します。
ここから複数の法的リスクが同時に生じます。明確な同意のない有効な法的根拠の欠如、Schrems II 判決とぶつかる EU 域外への移転、透明性の欠如、そして制裁金の可能性です。多くの企業が見落としている点があります。ボット対策ツールも、ほかの処理者と同じく処理活動の記録に含まれるということです。
実際に適用される規定はどれか
あなたの CAPTCHA が問題になるかどうかは、規則の三つの部分が決めます。適用される順序も、この通りです。
第 6 条——法的根拠はあるか。 訪問者をプロファイリングする外部スクリプトを読み込むことは、処理にあたります。正当な利益は単純なスパム対策なら支えられますが、ツールがサイトをまたいで行動プロファイルを組み立て始めた時点で支えきれなくなります。そうなれば同意が必要で、その同意はスクリプトが読み込まれる前に存在していなければなりません。ほとんどの実装がつまずくのは、まさにここです。
第 28 条——処理者は誰か。 CAPTCHA の提供者は、あなたの委託を受けて個人データを処理します。したがって処理者契約が必要であり、そのツールは処理活動の記録に含まれます。メール事業者や解析ツールと同じ一行です。
第 44 条以下——データはどこへ行くのか。 EU 域外への移転にはいずれも法的な仕組みが必要で、Schrems II 判決以降は仕組みだけでは足りません。移転先の国の監視法がその仕組みを空洞化させないかどうかを、追加で評価する必要があります。この評価は、データが EU を一度も離れないなら、まるごと不要になります。
CAPTCHAをGDPRフレンドリーにするものとは？
その CAPTCHA は外部のスクリプトをページに読み込みますか。
- はい読み込む前に同意が必要
- いいえリクエストだけなら同意は不要
Cookie や端末識別子を保存または読み取りますか。
- はい同意が必要
- いいえ正当な利益で足りる場合がある
代替を選ぶ前に、「GDPR に適合している」が実際に何を意味するのかを知っておくと役に立ちます。判断を決めるのは五つの要件です。
- 個人データの収集なし
- 国境を越えたデータ転送なし
- 追跡やフィンガープリンティングなし
- 同意バナーなしで機能
- 完全に透明な処理
さらに二つが、単に適合しているだけのものと本当に優れたものを分けます。訪問者に何も求めない見えない仕組みと、WCAG に沿ったアクセシビリティです。
自社サイトを十分で確かめる
最初の確認に弁護士は要りません。必要なのはネットワークタブです。
- フォームのあるページを開き、ネットワーク通信を記録する。
google.com/recaptchaやhcaptcha.comなどへのリクエストがあれば、第三者があなたの訪問者を見ているということです。 - いつ発火するかを見る。 訪問者が何も承諾しないうちに読み込まれているなら、法的根拠としての同意はすでに失われています。
- Cookie と保存領域を探す。
_GRECAPTCHAなどは目に見える部分にすぎず、ローカルストレージの項目も同じく数えます。 - 自社のプライバシーポリシーを読む。 そこにツール名がなければ、開示のないまま使われています。
- 処理活動の記録を確認する。 多くは解析とメールを挙げ、ボット対策だけをすっかり忘れています。
ここで見つかるものは、いずれも直せます。直せないのは、誰も探さなかった部分です。
選択肢と、その実際の費用
以下の価格は 2026 年 9 月 3 日に各提供元のページで確認したものです。価格は変わります。出典はそれぞれの箇所に示します。
FriendlyCaptcha はプライバシーを重視したドイツ発の CAPTCHA です。追跡クッキーを設置せず、WCAG 2.2 AA と ISO 27001 を掲げ、設計は GDPR に沿っています。価格は 1 ドメイン・月 1,000 リクエストで月額 9 ユーロから、5 ドメイン・5,000 リクエストで 39 ユーロ、50 ドメイン・50,000 リクエストで 200 ユーロ。非営利サイト向けには月 1,000 リクエストまでの無料枠があります。EU の購入者にとって効いてくる点が一つあります。欧州のみのデータセンターは 200 ユーロの段階からで、それ未満にはありません。そして訪問者は依然としてパズルを解くため、あらゆるコンバージョン導線に摩擦が加わります。
Cloudflare Turnstile は無料で、公表されたリクエスト上限もありません。試用期間ではなく、本当に無料です。無料プランが制限するのは量ではなく機能です。ウィジェットは 20 個まで、ウィジェットあたりホスト名 10 件、分析は 7 日分、可用性の約束はなく、エンドポイントごとのポリシーもありません。Google の追跡をやめ、操作は最小限に抑えます。ただし米国企業であることに変わりはなく、すべての場面で完全に見えないわけでもなく、検知の仕組みについてはほとんど語りません。
Google reCAPTCHA は Essentials 段階で月 10,000 件の評価まで無料です。それを超えると Standard が 100,000 件まで一律 8 ドル、さらに上は Enterprise に移り、1 件あたり 0.001 ドルになります。ここで問題なのは価格ではなく、データの経路です。
hCaptcha には恒久的に無料の Basic 段階があります。Pro は年払いで月 99 ドル、月払いで 139 ドル、100,000 件の評価を含み、超過分は 1,000 件あたり 0.99 ドルです。プライバシーの位置づけは Google より優れていますが、訪問者は依然として画像課題を解きます。
SilentShield は見えない、プライバシー重視のボット対策です。操作なし、追跡なし、フィンガープリントなし、個人データの収集なし、同意バナーなし。無料枠は 1 ドメインで月 500 リクエスト、Basic は月 9 ユーロで 5,000 リクエスト、Pro は月 29 ユーロで 5 ドメイン・25,000 リクエスト、Enterprise は個別対応で専用の EU データセンターが付きます。
クイック比較
| ツール | 開始価格 | 含まれるもの | 訪問者の操作 | データの移転先 |
|---|---|---|---|---|
| reCAPTCHA | 無料 | 10,000 件の評価 | パズル | 米国 |
| hCaptcha | 無料／月 99 ドル | 100,000 件の評価（Pro） | パズル | 混在 |
| Turnstile | 無料 | 公表上限なし | ほぼなし | 米国 |
| FriendlyCaptcha | 月 9 ユーロ | 1,000 リクエスト | パズル | 200 ユーロ段階から EU |
| SilentShield | 無料／月 9 ユーロ | 500／5,000 リクエスト | なし | EU |
最初の列は正直に読んでください。価格だけで言えば Turnstile の勝ちです。無料で、量の上限がなく、コンプライアンス要件のない小規模サイトなら、これに反論するのは difficult です。
SilentShield が劣る場面
書き手がすべての行で勝っている比較は、疑ってかかる価値があります。ここでは、私たちが勝てない三つの行を挙げます。
当社のスクリプトはTurnstileより大きい。 SilentShieldの挙動モジュールは圧縮後 43.6 KB、読み込み用を含めて約47 KBです。2026年9月4日、各社が実際に配信する量をブラウザーで測りました。Turnstileは27.5 KB、reCAPTCHAは423 KB、hCaptchaは742 KBです。四つのうち最も軽いのはTurnstileで、当社は二番目になります。描画後に非同期で読み込むため、訪問者が待つものは何も止めませんが、1キロバイトを争うページであれば、これは当社に不利な本当の論拠です。
量に対しては無料ではない。 Turnstile はどれだけの量でも費用がかかりません。私たちの無料枠は月 500 リクエストで終わります。価格だけが判断基準なら、私たちは選択肢ではありません。
私たちのほうが新しい。 reCAPTCHA は十年以上動き続け、私たちが見ていない攻撃の型を見てきました。これは小さな差ではなく、どんな言い回しでも変わりません。
その 9 ユーロで手に入るのは、別の取引です。米国の提供元から何も読み込まれず、Cookie も設置されず、訪問者は何も証明する必要がなく、判定は EU 内にとどまります。それが無料より価値があるなら、私たちのほうが良い選択です。そうでないなら、Turnstile を選んでください。それは筋の通った判断であり、この記事はそうでないふりをしません。
コンプライアンスかコンバージョンか。もう選ぶ必要はありません
多くの企業はこれを法務の判断だと考えます。そうではありません。これは成長の判断です。従来の CAPTCHA はコンバージョン率を壊し、摩擦を加え、モバイルの体験を損ないます。一方、GDPR に適合し、かつ見えない仕組みは、より多くのコンバージョン、より良い体験、そして法的リスクのない状態をもたらします。
FriendlyCaptcha はプライバシーを解決します。Turnstile は体験を少しだけ改善します。どちらも両方を完全には解決しません。SilentShield は解決します。プライバシー優先の設計、訪問者が決して目にしない検証、そして現代の SaaS と欧州企業のために作られた製品です。
ボット対策をアップグレード（法的リスクなし）
GDPR 適合を賭けにする必要はありませんし、コンバージョンを犠牲にする必要もありません。