Om du driver en webbplats i EU är sannolikheten stor att du redan bryter mot GDPR — utan att veta om det. Orsaken heter Google reCAPTCHA. Det är fortfarande standardvalet för botskydd, men bakom kulisserna överför det användardata till USA, samlar in beteendedata för spårning, kräver samtycke i många fall och har kritiserats av flera europeiska tillsynsmyndigheter.
Kort sagt: reCAPTCHA är inte GDPR-säkert som standard. Det är ett problem för alla vars affär vilar på formulär — SaaS-företag, e-handelsbutiker, trattar för leadgenerering och webbplatser inom offentlig sektor.
Varför GDPR och CAPTCHA krockar
GDPR vilar på en central princip: samla in så lite data som möjligt och skydda användarnas integritet. Traditionella CAPTCHA-system gör precis tvärtom. De spårar användare över webbplatser, analyserar beteende — musrörelser, klick — och skickar resultatet till tredjeländer.
Av detta uppstår flera juridiska risker samtidigt: ingen giltig rättslig grund utan uttryckligt samtycke, en överföring utanför EU som krockar med Schrems II-domen, bristande transparens och möjliga sanktionsavgifter. Det många företag missar: ett verktyg för botskydd hör hemma i registret över behandling, precis som varje annat personuppgiftsbiträde.
Vilka regler som faktiskt gäller
Tre delar av förordningen avgör om din CAPTCHA är ett problem — och de tillämpas i den här ordningen.
Artikel 6 — finns en rättslig grund? Att ladda ett främmande skript som profilerar besökaren är en behandling. Berättigat intresse bär ett enkelt spamskydd, men bär inte längre så snart verktyget bygger beteendeprofiler över webbplatser. Då krävs samtycke, och det måste finnas innan skriptet laddas — precis där brister de flesta implementeringar.
Artikel 28 — vem är personuppgiftsbiträde? Din CAPTCHA-leverantör behandlar personuppgifter för din räkning. Du behöver alltså ett biträdesavtal med denne, och verktyget hör hemma i din behandlingsförteckning — precis som din e-postleverantör eller ditt analysverktyg.
Artikel 44 ff. — vart tar uppgifterna vägen? Varje överföring utanför EU kräver en rättslig mekanism, och efter Schrems II-domen räcker mekanismen inte i sig: du måste dessutom bedöma om mottagarlandets övervakningslagar urholkar den. Den bedömningen bortfaller helt om uppgifterna aldrig lämnar EU.
Vad gör en CAPTCHA GDPR-vänlig?
Laddar CAPTCHA:n ett främmande skript i din sida?
- JaSamtycke krävs innan den laddas
- NejEnbart förfrågan kräver inget samtycke
Lagrar eller läser den kakor eller enhetsidentifierare?
- JaSamtycke krävs
- NejBerättigat intresse kan räcka
Innan du väljer ett alternativ är det bra att veta vad ”GDPR-vänligt” faktiskt betyder. Fem krav avgör saken:
- Ingen insamling av personuppgifter
- Ingen gränsöverskridande dataöverföring
- Ingen spårning eller fingeravtryck
- Fungerar utan samtyckesbanner
- Helt transparent behandling
Två till skiljer det som bara uppfyller kraven från det verkligt bra: ett osynligt förlopp som inte begär något av besökaren, och tillgänglighet enligt WCAG.
Granska din egen webbplats på tio minuter
För en första genomgång behöver du ingen jurist, utan nätverksfliken.
- Öppna en formulärsida och spela in nätverkstrafiken. Varje begäran till
google.com/recaptcha,hcaptcha.comeller liknande värd betyder att en tredje part ser dina besökare. - Se när den avfyras. Laddas den innan besökaren accepterat något är samtycket som grund redan förlorat.
- Leta efter kakor och lagringsposter.
_GRECAPTCHAmed släktingar är den synliga delen; poster i local storage räknas också. - Läs din egen integritetspolicy. Nämns verktyget inte där används det utan att redovisas.
- Titta i din behandlingsförteckning. De flesta listar analys och e-post — och glömmer botskyddet helt.
Allt du hittar här går att åtgärda. Det som inte går att åtgärda är den del ingen någonsin letade efter.
Alternativen — och vad de faktiskt kostar
Priserna nedan kontrollerades den 3 september 2026 på leverantörernas egna sidor. De ändras; källorna anges vid varje punkt.
FriendlyCaptcha är en integritetsinriktad CAPTCHA från Tyskland. Den sätter inga spårningskakor, anger WCAG 2.2 AA och ISO 27001, och arkitekturen är byggd för GDPR. Priserna börjar på 9 €/månad för en domän och 1 000 förfrågningar, 39 €/månad för fem domäner och 5 000 förfrågningar, 200 €/månad för 50 domäner och 50 000. För icke-kommersiella webbplatser finns en gratisnivå upp till 1 000 förfrågningar. En detalj spelar roll för EU-köpare: enbart europeiska datacenter dyker upp från 200-euronivån, inte under. Och besökaren löser fortfarande ett pussel, vilket tillför friktion i varje konverteringsflöde.
Cloudflare Turnstile är gratis, utan publicerat tak för förfrågningar — verkligen gratis, inte en provperiod. Gratisnivån begränsar funktioner i stället för volym: upp till 20 widgets, 10 värdnamn per widget, sju dagars analys, ingen tillgänglighetsutfästelse och inga regler per slutpunkt. Den släpper Googles spårning och håller interaktionen till ett minimum. Den förblir ett amerikanskt bolag, är inte fullt osynlig i alla lägen och säger lite om hur dess detektion fungerar.
Google reCAPTCHA ger dig 10 000 bedömningar i månaden gratis på Essentials-nivån. Däröver tar Standard ut en fast avgift på 8 $ upp till 100 000 bedömningar, och högre upp går du över till Enterprise med 0,001 $ per bedömning. Här är priset inte problemet — datavägen är det.
hCaptcha har en permanent gratis Basic-nivå. Pro kostar 99 $/månad vid årsbetalning eller 139 $ per månad, innehåller 100 000 utvärderingar och tar 0,99 $ per ytterligare 1 000. Dess integritetsposition är bättre än Googles, men besökaren löser fortfarande bilduppgifter.
SilentShield är osynligt, integritetsvänligt botskydd: ingen interaktion, ingen spårning, ingen fingerprinting, ingen insamling av personuppgifter, ingen samtyckesbanner. Gratisnivån täcker 500 förfrågningar i månaden på en domän; Basic kostar 9 €/månad för 5 000 förfrågningar, Pro 29 €/månad för 25 000 förfrågningar på fem domäner, och Enterprise är individuell med dedikerade EU-datacenter.
Snabbjämförelse
| Verktyg | Ingångspris | Ingår | Interaktion | Dataöverföring |
|---|---|---|---|---|
| reCAPTCHA | gratis | 10 000 bedömningar | Uppgift | USA |
| hCaptcha | gratis / 99 $ per månad | 100 000 utvärderingar (Pro) | Uppgift | blandad |
| Turnstile | gratis | inget publicerat tak | oftast ingen | USA |
| FriendlyCaptcha | 9 € per månad | 1 000 förfrågningar | Uppgift | EU från 200-euronivån |
| SilentShield | gratis / 9 € per månad | 500 / 5 000 förfrågningar | ingen | EU |
Läs första kolumnen ärligt: på enbart pris vinner Turnstile. Den är gratis, den har inget volymtak, och för en liten webbplats utan efterlevnadskrav är det svårt att argumentera emot.
Där SilentShield är det sämre valet
Varje jämförelse där författaren vinner på varje rad förtjänar misstro. Här är de tre rader där vi inte gör det.
Vårt skript är större än Turnstiles. SilentShields beteendemodul väger 43,6 KB komprimerad, ungefär 47 KB med laddaren. Den 4 september 2026 mätte vi i en webbläsare vad varje leverantör faktiskt levererar: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile är alltså lättast av de fyra och vi är tvåa. Vi laddas asynkront efter renderingen och blockerar inget som en besökare väntar på — men slåss man på er sida om varje kilobyte är det ett verkligt argument mot oss.
Vi är inte gratis vid volym. Turnstile kostar inget vid någon volym. Vår gratisnivå slutar vid 500 förfrågningar i månaden. Är priset ditt enda kriterium är vi inte valet.
Vi är yngre. reCAPTCHA har rullat i över ett decennium och sett angreppsmönster vi inte sett. Det är inte en småsak, och ingen positionering ändrar det.
Det du får för de 9 € är ett annat byte: inget laddas från en amerikansk leverantör, ingen kaka sätts, ingen besökare behöver bevisa något, och bedömningen stannar i EU. Är det värt mer för dig än gratis är vi det bättre valet. Är det inte det, ta Turnstile — det är ett försvarbart beslut, och den här artikeln kommer inte att låtsas annat.
Efterlevnad eller konvertering? Du behöver inte längre välja
De flesta företag ser detta som ett juridiskt beslut. Det är det inte: det är ett tillväxtbeslut. Traditionell CAPTCHA förstör konverteringsgrader, tillför friktion och skadar mobilupplevelsen, medan en lösning som är GDPR-vänlig och osynlig ger fler konverteringar, bättre upplevelse och ingen juridisk risk.
FriendlyCaptcha löser integriteten. Turnstile förbättrar upplevelsen en aning. Ingen av dem löser båda fullt ut. Det gör SilentShield: en privacy-first-arkitektur, en verifiering besökaren aldrig ser, och en produkt byggd för modern SaaS och europeiska företag.
Uppgradera ditt botskydd (utan juridisk risk)
Du behöver inte chansa med GDPR-efterlevnaden, och du behöver inte offra konverteringar.
Se hur SilentShield fungerar — byt ut din CAPTCHA på minuter