Om du driver en webbplats i EU är din CAPTCHA värd en närmare titt. Ofta är det Google reCAPTCHA. Det är fortfarande standardvalet för botskydd, och det laddar Google-skript i din sida. Sedan den 2 april 2026 agerar Google enligt sin egen FAQ som personuppgiftsbiträde för tjänsten (docs.cloud.google.com/recaptcha/docs/faq); om och hur du får använda reCAPTCHA är ändå en fråga för juridisk bedömning, och i praktiken handlar den bedömningen ofta om samtycke.
Kort sagt: reCAPTCHA ska inte in i din sida utan bedömning. Det berör alla vars affär vilar på formulär — SaaS-företag, e-handelsbutiker, trattar för leadgenerering och webbplatser inom offentlig sektor.
Varför GDPR och CAPTCHA krockar
GDPR vilar på en central princip: samla in så lite data som möjligt och skydda användarnas integritet. Många traditionella CAPTCHA-system går dåligt ihop med det. De laddar skript från tredje part, analyserar beteende — musrörelser, klick — och behandlar ofta resultatet på servrar utanför EU.
Av detta uppstår flera frågor som du behöver bedöma: om det finns en hållbar rättslig grund utan samtycke, om en överföring utanför EU är skyddad efter Schrems II-domen och om behandlingen beskrivs transparent. Det många företag missar: ett verktyg för botskydd hör hemma i registret över behandling, precis som varje annat personuppgiftsbiträde.
Vilka regler som faktiskt gäller
Tre delar av förordningen avgör om din CAPTCHA är ett problem — och de tillämpas i den här ordningen.
Artikel 6 — finns en rättslig grund? Att ladda ett främmande skript som profilerar besökaren är en behandling. Berättigat intresse bär ett enkelt spamskydd, men bär inte längre så snart verktyget bygger beteendeprofiler över webbplatser. Då krävs samtycke, och det måste finnas innan skriptet laddas — just det ska du hålla koll på när du bygger in det.
Artikel 28 — vem är personuppgiftsbiträde? Din CAPTCHA-leverantör behandlar personuppgifter för din räkning. Du behöver alltså ett biträdesavtal med denne, och verktyget hör hemma i din behandlingsförteckning — precis som din e-postleverantör eller ditt analysverktyg.
Artikel 44 ff. — vart tar uppgifterna vägen? Varje överföring utanför EU kräver en rättslig mekanism, och efter Schrems II-domen räcker mekanismen inte i sig: du måste dessutom bedöma om mottagarlandets övervakningslagar urholkar den. En stor del av den bedömningen bortfaller när leverantören själv har säte i EU och håller uppgifterna där.
Vad gör en CAPTCHA GDPR-vänlig?
Laddar CAPTCHA:n ett främmande skript i din sida?
- JaSamtycke krävs innan den laddas
- NejEnbart förfrågan kräver inget samtycke
Lagrar eller läser den kakor eller enhetsidentifierare?
- JaSamtycke krävs
- NejBerättigat intresse kan räcka
Innan du väljer ett alternativ är det bra att veta vad ”GDPR-vänligt” faktiskt betyder. Fem krav avgör saken:
- Så få personuppgifter som möjligt, inget lagrat i klartext
- Datalagring i EU
- Inga spårningskakor och inga profiler över flera webbplatser
- En rättslig grund som går att dokumentera
- Helt transparent behandling
Två till skiljer det som bara uppfyller kraven från det verkligt bra: ett osynligt förlopp som inte begär något av besökaren, och tillgänglighet enligt WCAG.
Granska din egen webbplats på tio minuter
För en första genomgång behöver du ingen jurist, utan nätverksfliken.
- Öppna en formulärsida och spela in nätverkstrafiken. Varje begäran till
google.com/recaptcha,hcaptcha.comeller liknande värd betyder att en tredje part ser dina besökare. - Se när den avfyras. Laddas den innan besökaren accepterat något är samtycket som grund redan förlorat.
- Leta efter kakor och lagringsposter.
_GRECAPTCHAmed släktingar är den synliga delen; poster ilocalStorageräknas också. - Läs din egen integritetspolicy. Nämns verktyget inte där används det utan att redovisas.
- Titta i din behandlingsförteckning. De flesta listar analys och e-post — och glömmer botskyddet helt.
Allt du hittar här går att åtgärda. Det som inte går att åtgärda är den del ingen någonsin letade efter.
Alternativen — och vad de faktiskt kostar
Uppgifterna nedan kommer från leverantörernas officiella sidor, hämtade den 4 oktober 2026. De ändras; källorna anges vid varje punkt.
FriendlyCaptcha är en integritetsinriktad CAPTCHA från Tyskland som kontrollerar i bakgrunden. Starter-planen kostar 9 €/månad, Advanced 200 €/månad, och Enterprise finns på förfrågan. Den är gratis för icke-kommersiella projekt (en domän, 1 000 förfrågningar i månaden) och för projekt med öppen källkod (50 domäner, 50 000 förfrågningar i månaden). Förfrågningsgränserna för de betalda planerna kunde vi inte verifiera på den officiella prissidan — fråga leverantören om dem. Källa: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile är gratis med obegränsat antal verifieringar — verkligen gratis, inte en provperiod, och din webbplats behöver inte gå via Cloudflare. Gratisnivån begränsar funktioner i stället för volym: upp till 20 widgets, 10 värdnamn per widget, sju dagars analys. Den laddar inget Google-skript och håller interaktionen till ett minimum: i läget Managed visar den en kryssruta vid risk, och det finns inga bilder eller texter att tyda. Läget Invisible kräver en hänvisning till ”Turnstile Privacy Addendum”. Cloudflare förblir ett amerikanskt bolag. Källa: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (numera en del av ”Google Cloud Fraud Defense”) ger dig 10 000 bedömningar i månaden gratis på Essentials-nivån; du måste lägga in ett betalningsmedel. På Premium-nivån kostar 10 001 till 100 000 bedömningar fasta 8 $, därefter 1 $ per 1 000; ovanför det finns Enterprise. Bilduppgifter finns på alla nivåer. Sedan den 2 april 2026 agerar Google enligt sin egen FAQ som personuppgiftsbiträde. Här är priset inte frågan — datavägen till Google är det. Källa: docs.cloud.google.com/recaptcha/docs/compare-tiers och /faq.
hCaptcha har en gratis Basic-nivå. Pro kostar 99 $/månad vid årsbetalning eller 139 $ per månad, och Enterprise finns på förfrågan. Passivt läge utan synlig uppgift finns bara i Pro och Enterprise; på Basic-nivån finns en synlig kontroll kvar. Källa: hcaptcha.com/pricing.
SilentShield är integritetsvänligt botskydd som är osynligt som standard, med datalagring på våra servrar i Tyskland: ingen användarinteraktion i normalfallet (bara en kort räkneuppgift när resultatet är oklart), inga kakor, ingen spårning mellan webbplatser, inga profiler och ett valfritt Zero-PII-läge som helt utelämnar webbläsar- och enhetsegenskaper. Gratisnivån täcker 500 förfrågningar i månaden på en domän; Basic kostar 9 €/månad för 5 000 förfrågningar, Pro 29 €/månad för 25 000 förfrågningar på fem domäner, och Enterprise är individuell.
Snabbjämförelse
| Verktyg | Ingångspris | Ingår | Interaktion | Dataöverföring |
|---|---|---|---|---|
| reCAPTCHA | gratis | 10 000 bedömningar | Bilduppgift möjlig | |
| hCaptcha | gratis / 99 $ per månad (årsvis) | inte verifierat | Uppgift; passivt bara Pro/Enterprise | inte verifierat |
| Turnstile | gratis | obegränsat antal verifieringar | oftast ingen; kryssruta vid risk | Cloudflare (amerikanskt bolag) |
| FriendlyCaptcha | 9 € per månad | inte verifierat | kontroll i bakgrunden | inte verifierat |
| SilentShield | gratis / 9 € per månad | 500 / 5 000 förfrågningar | ingen som standard; räkneuppgift vid oklart resultat | servrar i Tyskland; med EU-slutpunkten utan CDN |
Läs första kolumnen ärligt: på enbart pris vinner Turnstile. Den är gratis, den har inget volymtak, och för en liten webbplats utan efterlevnadskrav är det svårt att argumentera emot.
Där SilentShield är det sämre valet
Varje jämförelse där författaren vinner på varje rad förtjänar misstro. Här är de tre rader där vi inte gör det.
Vårt skript är större än Turnstiles. SilentShields beteendemodul väger 45,0 KB komprimerad, 48,9 KB med laddaren (mätt på nytt den 23 september 2026). Den 4 september 2026 mätte vi i en webbläsare vad varje leverantör faktiskt levererar: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile är alltså lättast av de fyra och vi är tvåa. Vi laddas asynkront efter renderingen och blockerar inget som en besökare väntar på — men slåss man på er sida om varje kilobyte är det ett verkligt argument mot oss.
Vi är inte gratis vid volym. Turnstile kostar inget vid någon volym. Vår gratisnivå slutar vid 500 förfrågningar i månaden. Är priset ditt enda kriterium är vi inte valet.
Vi är yngre. reCAPTCHA har rullat i över ett decennium och sett angreppsmönster vi inte sett. Det är inte en småsak, och ingen positionering ändrar det.
Det du får för de 9 € är ett annat byte: inget Google-skript laddas, ingen kaka sätts, besökaren ser som standard ingen uppgift — bara en kort räkneuppgift när resultatet är oklart — och med EU-slutpunkten körs kontrollen direkt på våra servrar i Tyskland, utan CDN. Är det värt mer för dig än gratis är vi det bättre valet. Är det inte det, ta Turnstile — det är ett försvarbart beslut, och den här artikeln kommer inte att låtsas annat.
Efterlevnad eller konvertering? Du behöver inte längre välja
De flesta företag ser detta som ett juridiskt beslut. Det är det inte: det är ett tillväxtbeslut. Traditionell CAPTCHA kostar konverteringar, tillför friktion och skadar mobilupplevelsen, medan en integritetsvänlig, osynlig lösning tar bort den friktionen från formuläret — men den gör inte den juridiska bedömningen åt dig.
SilentShield siktar på båda: inga kakor, ingen spårning mellan webbplatser, inga profiler; IP-adressen används bara för kontrollen och lagras inte i klartext — och en kontroll som är osynlig som standard och bara visar en kort räkneuppgift när resultatet är oklart. Byggt för modern SaaS och europeiska företag.
Uppgradera ditt botskydd — integritetsvänligt
Du behöver inte chansa med GDPR-efterlevnaden, och du behöver inte offra konverteringar.