Najlepsze alternatywy CAPTCHA zgodne z GDPR (przewodnik dla UE)

Jeśli prowadzi Pan witrynę w UE, Pana CAPTCHA zasługuje na dokładne przyjrzenie się. Często jest to Google reCAPTCHA. Nadal pozostaje domyślnym wyborem w ochronie przed botami i wczytuje skrypty Google do Pana strony. Od 2 kwietnia 2026 Google działa przy tym według własnego FAQ jako podmiot przetwarzający (docs.cloud.google.com/recaptcha/docs/faq); czy i jak może Pan używać reCAPTCHA, nadal wymaga oceny prawnej, a w praktyce ocena ta często sprowadza się do zgody.

Krótko mówiąc: reCAPTCHA nie powinna trafić do Pana strony bez oceny. Ma to znaczenie dla każdego, czyj biznes opiera się na formularzach — firm SaaS, sklepów internetowych, lejków pozyskiwania leadów oraz witryn sektora publicznego.

Dlaczego GDPR i CAPTCHA się kłócą

RODO opiera się na jednej zasadzie nadrzędnej: ograniczać zbieranie danych i chronić prywatność użytkowników. Wiele tradycyjnych systemów CAPTCHA słabo się z tym godzi. Wczytują skrypty podmiotów trzecich, analizują zachowanie — ruchy myszy, kliknięcia — i często przetwarzają wynik na serwerach poza UE.

Powstaje z tego kilka pytań, które musi Pan ocenić: czy bez zgody istnieje solidna podstawa prawna, czy przekazanie poza UE jest po wyroku Schrems II odpowiednio zabezpieczone i czy przetwarzanie jest przejrzyście opisane. Wiele firm przeocza, że narzędzie do ochrony przed botami należy do rejestru czynności przetwarzania, jak każdy inny podmiot przetwarzający.

Które przepisy naprawdę mają zastosowanie

O tym, czy Pana CAPTCHA jest problemem, decydują trzy części rozporządzenia — i stosuje się je w tej kolejności.

Art. 6 — czy istnieje podstawa prawna? Wczytanie obcego skryptu, który profiluje odwiedzającego, jest przetwarzaniem. Uzasadniony interes uniesie prostą ochronę przed spamem, ale przestaje ją unosić, gdy narzędzie buduje profile zachowań między witrynami. Wtedy potrzebna jest zgoda, i musi ona istnieć zanim skrypt się wczyta — właśnie na to trzeba uważać przy wdrażaniu.

Art. 28 — kto jest podmiotem przetwarzającym? Dostawca CAPTCHA przetwarza dane osobowe w Pana imieniu. Potrzebuje Pan zatem umowy powierzenia, a narzędzie należy do rejestru czynności przetwarzania — tak samo jak dostawca poczty czy narzędzie analityczne.

Art. 44 i nast. — dokąd trafiają dane? Każde przekazanie poza UE wymaga mechanizmu prawnego, a po wyroku Schrems II sam mechanizm już nie wystarcza: trzeba dodatkowo ocenić, czy przepisy inwigilacyjne państwa docelowego go nie wydrążają. Duża część tej oceny odpada, gdy sam dostawca ma siedzibę w UE i tam przechowuje dane.

Co sprawia, że CAPTCHA jest zgodna z GDPR?

Zanim wybierze Pan alternatywę, warto wiedzieć, co naprawdę oznacza „zgodność z RODO”. Decyduje o tym pięć wymagań:

• Jak najmniej danych osobowych, nic nie jest przechowywane w postaci jawnej
• Przechowywanie danych w UE
• Brak śledzących plików cookie i profili między witrynami
• Podstawa prawna, którą da się udokumentować
• W pełni przejrzyste przetwarzanie

Dwa kolejne oddzielają to, co jedynie zgodne, od tego, co naprawdę dobre: niewidoczne działanie, które niczego nie wymaga od odwiedzającego, oraz dostępność zgodna z WCAG.

Sprawdzenie własnej witryny w dziesięć minut

Do pierwszego przeglądu nie potrzeba prawnika, lecz zakładki sieci.

• Proszę otworzyć stronę z formularzem i nagrać ruch sieciowy. Każde żądanie do google.com/recaptcha, hcaptcha.com lub podobnego hosta oznacza, że osoba trzecia widzi Pana odwiedzających.
• Proszę sprawdzić, kiedy się uruchamia. Jeśli wczytuje się, zanim odwiedzający cokolwiek zaakceptował, zgoda jako podstawa prawna jest już stracona.
• Proszę poszukać plików cookie i wpisów w pamięci. _GRECAPTCHA i pokrewne to część widoczna; wpisy w localStorage liczą się tak samo.
• Proszę przeczytać własną politykę prywatności. Jeśli narzędzia tam nie ma, jest używane bez ujawnienia.
• Proszę zajrzeć do rejestru czynności przetwarzania. Większość wymienia analitykę i pocztę — a o ochronie przed botami zapomina zupełnie.

Wszystko, co Pan tu znajdzie, da się naprawić. Nie da się naprawić tej części, której nikt nigdy nie szukał.

Alternatywy — i ile naprawdę kosztują

Poniższe informacje pochodzą z oficjalnych stron dostawców, stan na 4 października 2026. Zmieniają się; źródła podano przy każdej pozycji.

FriendlyCaptcha to zorientowana na prywatność CAPTCHA z Niemiec, która weryfikuje w tle. Plan Starter kosztuje 9 €/miesiąc, Advanced 200 €/miesiąc, a Enterprise jest dostępny na zapytanie. Jest bezpłatna dla projektów niekomercyjnych (jedna domena, 1000 zapytań miesięcznie) i dla projektów open source (50 domen, 50 000 zapytań miesięcznie). Limitów zapytań w planach płatnych nie udało nam się zweryfikować na oficjalnej stronie z cenami — proszę zapytać o nie dostawcę. Źródło: friendlycaptcha.com/free-captcha/.

Cloudflare Turnstile jest bezpłatna z nieograniczoną liczbą weryfikacji — naprawdę bezpłatna, nie okres próbny, a Pana witryna nie musi działać przez Cloudflare. Plan bezpłatny ogranicza funkcje, a nie wolumen: do 20 widżetów, 10 nazw hostów na widżet, siedem dni analityki. Nie wczytuje skryptu Google i utrzymuje minimalną interakcję: w trybie zarządzanym pokazuje pole wyboru, gdy wykryje ryzyko, bez obrazków czy tekstu do odczytania. Tryb niewidoczny wymaga informacji z odwołaniem do "Turnstile Privacy Addendum". Cloudflare pozostaje firmą amerykańską. Źródło: developers.cloudflare.com/turnstile/plans/.

Google reCAPTCHA (obecnie część "Google Cloud Fraud Defense") daje 10 000 ocen miesięcznie za darmo w poziomie Essentials; trzeba przy tym dodać metodę płatności. W poziomie Premium od 10 001 do 100 000 ocen kosztuje ryczałtowo 8 $, potem 1 $ za 1000; powyżej jest Enterprise. Wyzwania wizualne są dostępne we wszystkich poziomach. Od 2 kwietnia 2026 Google działa według własnego FAQ jako podmiot przetwarzający. Pytaniem nie jest tu cena — jest nim przepływ danych do Google. Źródło: docs.cloud.google.com/recaptcha/docs/compare-tiers i /faq.

hCaptcha ma bezpłatny poziom Basic. Pro kosztuje 99 $/miesiąc przy płatności rocznej lub 139 $ miesięcznie, a Enterprise jest dostępny na zapytanie. Tryb pasywny bez widocznego zadania jest dostępny tylko w Pro i Enterprise; w poziomie Basic pozostaje widoczna weryfikacja. Źródło: hcaptcha.com/pricing.

SilentShield to przyjazna prywatności ochrona przed botami, domyślnie niewidoczna, z przechowywaniem danych na naszych serwerach w Niemczech: w normalnym przypadku bez interakcji (tylko krótkie zadanie rachunkowe, gdy wynik jest niejasny), bez plików cookie, bez śledzenia między witrynami, bez profili i z opcjonalnym trybem Zero-PII, który całkowicie pomija cechy przeglądarki i urządzenia. Plan bezpłatny obejmuje 500 zapytań miesięcznie na jednej domenie; Basic kosztuje 9 €/miesiąc za 5000 zapytań, Pro 29 €/miesiąc za 25 000 zapytań na pięciu domenach, a Enterprise jest indywidualny.

Szybkie porównanie

Proszę uczciwie przeczytać pierwszą kolumnę: pod względem samej ceny wygrywa Turnstile. Jest bezpłatna, nie ma limitu wolumenu, a dla małej witryny bez wymogów zgodności trudno z tym polemizować.

Gdzie SilentShield jest słabszym wyborem

Każde porównanie, w którym autor wygrywa w każdym wierszu, zasługuje na nieufność. Oto trzy wiersze, w których nie wygrywamy.

Nasz skrypt jest większy niż skrypt Turnstile. Moduł behawioralny SilentShield waży 45,0 KB po kompresji, 48,9 KB wraz z programem ładującym (ponowny pomiar z 23 września 2026). 4 września 2026 zmierzyliśmy w przeglądarce, co każdy dostawca faktycznie dostarcza: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile jest zatem najlżejszy z czwórki, a my jesteśmy drudzy. Wczytujemy się asynchronicznie po wyrenderowaniu i nie blokujemy niczego, na co odwiedzający czeka — ale jeśli na Pana stronie walczy się o każdy kilobajt, to prawdziwy argument przeciwko nam.

Nie jesteśmy bezpłatni przy wolumenie. Turnstile nie kosztuje nic przy dowolnej wielkości. Nasz bezpłatny plan kończy się na 500 zapytaniach miesięcznie. Jeśli cena jest Pana jedynym kryterium, nie jesteśmy tym wyborem.

Jesteśmy młodsi. reCAPTCHA działa od ponad dekady i widziała wzorce ataków, których my nie widzieliśmy. To nie drobiazg i żadne pozycjonowanie tego nie zmieni.

To, co dostaje Pan za te 9 €, to inna wymiana: nie wczytuje się skrypt Google, nie ustawia się żadnego pliku cookie, odwiedzający domyślnie nie widzi żadnego zadania — tylko krótkie zadanie rachunkowe, gdy wynik jest niejasny — a przy punkcie końcowym UE weryfikacja odbywa się bezpośrednio na naszych serwerach w Niemczech, bez CDN. Jeśli jest to dla Pana warte więcej niż darmowe, jesteśmy lepszym wyborem. Jeśli nie — proszę wziąć Turnstile; to obronna decyzja, a ten artykuł nie będzie udawał, że jest inaczej.

Zgodność czy konwersja? Nie musi już Pan wybierać

Większość firm traktuje to jako decyzję prawną. Nią nie jest: to decyzja o wzroście. Tradycyjna CAPTCHA kosztuje konwersje, dodaje tarcia i pogarsza doświadczenie mobilne, podczas gdy przyjazne prywatności, niewidoczne rozwiązanie usuwa to tarcie z formularza — choć nie przeprowadzi za Pana oceny prawnej.

SilentShield celuje w jedno i drugie: bez plików cookie, bez śledzenia między witrynami, bez profili; adres IP służy wyłącznie do weryfikacji i nie jest przechowywany w postaci jawnej — oraz weryfikacja, która domyślnie pozostaje niewidoczna i pokazuje krótkie zadanie rachunkowe tylko wtedy, gdy wynik jest niejasny. Stworzony dla nowoczesnego SaaS oraz firm z UE.

Lepsza ochrona przed botami — przyjazna prywatności

Nie musi Pan igrać ze zgodnością z RODO ani poświęcać konwersji.

Jak działa SilentShield — i jak zastąpić CAPTCHA