EU でウェブサイトを運営しているなら、CAPTCHA をよく確認する価値があります。多くの場合、それは Google reCAPTCHA です。ボット対策の既定の選択肢であり続けており、ページに Google のスクリプトを読み込みます。Google 自身の FAQ（docs.cloud.google.com/recaptcha/docs/faq）によれば、2026 年 4 月 2 日以降、Google はその処理者として行動します。それでも reCAPTCHA を使ってよいか、どう使うかは法的な評価の問題であり、実務ではその評価は同意をめぐることが多くあります。
端的に言えば、reCAPTCHA を評価しないままページに組み込むべきではありません。フォームが事業を支えているすべての企業に関わることです。SaaS 企業、EC サイト、リード獲得のファネル、そして公共部門のサイトが該当します。
GDPRとCAPTCHAが衝突する理由
GDPR は一つの原則に立っています。データの収集を最小限にし、利用者のプライバシーを守ること。 従来の CAPTCHA の多くは、この原則と相容れません。サードパーティのスクリプトを読み込み、マウスの動きやクリックといった行動を分析し、その結果を EU 域外のサーバーで処理することも少なくありません。
ここから、評価すべき問いがいくつか生じます。同意なしに確かな法的根拠があるか、Schrems II 判決の後で EU 域外への移転が保護されているか、そして処理が透明に説明されているか、です。多くの企業が見落としている点があります。ボット対策ツールも、ほかの処理者と同じく処理活動の記録に含まれるということです。
実際に適用される規定はどれか
ご利用の CAPTCHA が問題になるかどうかは、規則の三つの部分が決めます。適用される順序も、この通りです。
第 6 条——法的根拠はあるか。 訪問者をプロファイリングする外部スクリプトを読み込むことは、処理にあたります。正当な利益は単純なスパム対策なら支えられますが、ツールがサイトをまたいで行動プロファイルを組み立て始めた時点で支えきれなくなります。そうなれば同意が必要で、その同意はスクリプトが読み込まれる前に存在していなければなりません。組み込む際に注意すべきなのは、まさにここです。
第 28 条——処理者は誰か。 CAPTCHA の提供者は、お客様の委託を受けて個人データを処理します。したがって処理者契約が必要であり、そのツールは処理活動の記録に含まれます。メール事業者や解析ツールと同じ一行です。
第 44 条以下——データはどこへ行くのか。 EU 域外への移転にはいずれも法的な仕組みが必要で、Schrems II 判決以降は仕組みだけでは足りません。移転先の国の監視法がその仕組みを空洞化させないかどうかを、追加で評価する必要があります。提供事業者自身が EU に拠点を置き、データを EU 内で保管している場合、この評価の多くは不要になります。
CAPTCHAをGDPRフレンドリーにするものとは？
その CAPTCHA は外部のスクリプトをページに読み込みますか。
- はい読み込む前に同意が必要
- いいえリクエストだけなら同意は不要
Cookie や端末識別子を保存または読み取りますか。
- はい同意が必要
- いいえ正当な利益で足りる場合がある
代替を選ぶ前に、「GDPR に適合している」が実際に何を意味するのかを知っておくと役に立ちます。判断を決めるのは五つの要件です。
- 個人データは必要最小限、平文では何も保存しない
- EU内でのデータ保管
- 追跡クッキーなし、サイトをまたぐプロファイルなし
- 文書化できる法的根拠
- 完全に透明な処理
さらに二つが、単に適合しているだけのものと本当に優れたものを分けます。訪問者に何も求めない見えない仕組みと、WCAG に沿ったアクセシビリティです。
自社サイトを十分で確かめる
最初の確認に弁護士は要りません。必要なのはネットワークタブです。
- フォームのあるページを開き、ネットワーク通信を記録する。
google.com/recaptchaやhcaptcha.comなどへのリクエストがあれば、第三者がお客様の訪問者を見ているということです。 - いつ発火するかを見る。 訪問者が何も承諾しないうちに読み込まれているなら、法的根拠としての同意はすでに失われています。
- Cookie と保存領域を探す。
_GRECAPTCHAなどは目に見える部分にすぎず、localStorageの項目も同じく数えます。 - 自社のプライバシーポリシーを読む。 そこにツール名がなければ、開示のないまま使われています。
- 処理活動の記録を確認する。 多くは解析とメールを挙げ、ボット対策だけをすっかり忘れています。
ここで見つかるものは、いずれも直せます。直せないのは、誰も探さなかった部分です。
選択肢と、その実際の費用
以下の情報は各提供元の公式ページから 2026 年 10 月 4 日に取得したものです。内容は変わります。出典はそれぞれの箇所に示します。
FriendlyCaptcha はバックグラウンドでチェックを行う、プライバシーを重視したドイツ発の CAPTCHA です。Starter プランは月額 9 ユーロ、Advanced は月額 200 ユーロ、Enterprise は個別見積もりです。非営利プロジェクト（1 ドメイン、月 1,000 リクエスト）とオープンソースプロジェクト（50 ドメイン、月 50,000 リクエスト）には無料です。有料プランのリクエスト上限は公式の価格ページで確認できませんでした — 提供元にお問い合わせください。出典：friendlycaptcha.com/free-captcha/。
Cloudflare Turnstile は無料で、検証回数に上限はありません。試用期間ではなく本当に無料で、サイトを Cloudflare 経由にする必要もありません。無料プランが制限するのは量ではなく機能です。ウィジェットは 20 個まで、ウィジェットあたりホスト名 10 件、分析は 7 日分です。Google のスクリプトは読み込まず、操作は最小限に抑えます。Managed モードではリスクを検知するとチェックボックスを表示し、判読すべき画像や文字はありません。Invisible モードでは「Turnstile Privacy Addendum」に言及する告知が必要です。Cloudflare は米国企業であることに変わりはありません。出典：developers.cloudflare.com/turnstile/plans/。
Google reCAPTCHA（現在は「Google Cloud Fraud Defense」の一部）は Essentials 段階で月 10,000 件の評価まで無料ですが、支払い方法の登録が必要です。Premium 段階では 10,001 件から 100,000 件まで一律 8 ドル、それを超えると 1,000 件あたり 1 ドルで、その上に Enterprise があります。画像課題はすべての段階で使われます。Google 自身の FAQ によれば、2026 年 4 月 2 日以降、Google は処理者として行動します。ここで問われるのは価格ではなく、Google へのデータの経路です。出典：docs.cloud.google.com/recaptcha/docs/compare-tiers および /faq。
hCaptcha には無料の Basic 段階があります。Pro は年払いで月 99 ドル、月払いで 139 ドル、Enterprise は個別見積もりです。目に見える作業のないパッシブモードは Pro と Enterprise のみで、Basic 段階では目に見えるチェックが残ります。出典：hcaptcha.com/pricing。
SilentShield はデフォルトで見えない、プライバシー重視のボット対策で、データはドイツにある当社のサーバーで保管します。通常は操作不要（結果が不明確な場合のみ短い計算問題）、Cookie なし、サイトをまたぐ追跡なし、プロファイルなし。さらにブラウザーや端末の特徴をまったく使わない任意の Zero-PII モードを備えています。無料枠は 1 ドメインで月 500 リクエスト、Basic は月 9 ユーロで 5,000 リクエスト、Pro は月 29 ユーロで 5 ドメイン・25,000 リクエスト、Enterprise は個別対応です。
クイック比較
| ツール | 開始価格 | 含まれるもの | 訪問者の操作 | データの移転先 |
|---|---|---|---|---|
| reCAPTCHA | 無料 | 10,000 件の評価 | 画像課題の可能性あり | |
| hCaptcha | 無料／月 99 ドル（年払い） | 未確認 | パズル。パッシブは Pro/Enterprise のみ | 未確認 |
| Turnstile | 無料 | 検証回数の上限なし | ほぼなし。リスク時はチェックボックス | Cloudflare（米国企業） |
| FriendlyCaptcha | 月 9 ユーロ | 未確認 | バックグラウンドでのチェック | 未確認 |
| SilentShield | 無料／月 9 ユーロ | 500／5,000 リクエスト | デフォルトでなし。不明確な場合は計算問題 | ドイツのサーバー。EU エンドポイントでは CDN なし |
最初の列は正直に読んでください。価格だけで言えば Turnstile の勝ちです。無料で、量の上限がなく、コンプライアンス要件のない小規模サイトなら、これに反論するのは difficult です。
SilentShield が劣る場面
書き手がすべての行で勝っている比較は、疑ってかかる価値があります。ここでは、私たちが勝てない三つの行を挙げます。
当社のスクリプトはTurnstileより大きい。 SilentShieldの挙動モジュールは圧縮後 45.0 KB、読み込み用を含めて48.9 KBです（2026年9月23日再測定）。2026年9月4日、各社が実際に配信する量をブラウザーで測りました。Turnstileは27.5 KB、reCAPTCHAは423 KB、hCaptchaは742 KBです。四つのうち最も軽いのはTurnstileで、当社は二番目になります。描画後に非同期で読み込むため、訪問者が待つものは何も止めませんが、1キロバイトを争うページであれば、これは当社に不利な本当の論拠です。
量に対しては無料ではない。 Turnstile はどれだけの量でも費用がかかりません。私たちの無料枠は月 500 リクエストで終わります。価格だけが判断基準なら、私たちは選択肢ではありません。
私たちのほうが新しい。 reCAPTCHA は十年以上動き続け、私たちが見ていない攻撃の型を見てきました。これは小さな差ではなく、どんな言い回しでも変わりません。
その 9 ユーロで手に入るのは、別の取引です。Google のスクリプトは読み込まれず、Cookie も設置されず、訪問者にはデフォルトで何の作業も表示されません — 結果が不明確な場合のみ短い計算問題が出ます — 。そして EU エンドポイントを使えば、検証は CDN を介さずドイツにある当社のサーバーで直接行われます。それが無料より価値があるなら、私たちのほうが良い選択です。そうでないなら、Turnstile を選んでください。それは筋の通った判断であり、この記事はそうでないふりをしません。
コンプライアンスかコンバージョンか。もう選ぶ必要はありません
多くの企業はこれを法務の判断だと考えます。そうではありません。これは成長の判断です。従来の CAPTCHA はコンバージョンを損ない、摩擦を加え、モバイルの体験を損ないます。一方、プライバシーに配慮した見えない仕組みは、その摩擦をフォームから取り除きます — ただし、法的な評価まで代わりに行ってくれるわけではありません。
SilentShield は両方を目指しています。Cookie なし、サイトをまたぐ追跡なし、プロファイルなし。IP アドレスはチェックのためだけに使われ、平文では保存されません。そしてチェックはデフォルトで見えないままで、結果が不明確な場合のみ短い計算問題を表示します。現代の SaaS と欧州企業のために作られた製品です。
ボット対策をアップグレード — プライバシーに配慮して
GDPR 適合を賭けにする必要はありませんし、コンバージョンを犠牲にする必要もありません。