Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Google ha annunciato che riclassificherà il suo ruolo nell'uso di reCAPTCHA in base alla legge sulla protezione dei dati. A partire dal 2 aprile 2026, Google non agirà più come responsabile del trattamento in relazione a reCAPTCHA, ma come incaricato del trattamento ai sensi dell'art. 4 n. 8. GDPR. Cosa significa concretamente per le aziende e a cosa devono ancora prestare attenzione.
Nuova distribuzione dei ruoli a partire da aprile 2026
La valutazione legale della precedente ripartizione dei ruoli è stata a lungo controversa. In precedenza Google si considerava il responsabile del trattamento dei dati elaborati nell'ambito di reCAPTCHA. Ciò significava che l'azienda era responsabile degli scopi e dei mezzi del trattamento dei dati. Elaborazione compresa la possibilità di utilizzare le informazioni raccolte nell'ambito dei controlli CAPTCHA per i propri scopi.
È proprio qui che si inserisce la critica di molti protezionisti dei dati. Sebbene i gestori di siti web integrino tecnicamente il reCAPTCHA, hanno solo un'influenza limitata sul modo in cui Google elabora i dati degli utenti raccolti nel processo. In particolare, è stato criticato il fatto che l'elaborazione dei dati potrebbe andare oltre la semplice prevenzione degli abusi ed essere utilizzata da Google per scopi di analisi o miglioramento. Ciò ha sollevato notevoli problemi di protezione dei dati in merito alla GDPR e § 25 TDDDG.
Con l'annuncio dell'inizio del 2026, Google sta apportando una modifica fondamentale. In futuro, per reCAPTCHA sarà previsto un contratto per l'elaborazione degli ordini; il Google Nuvola Addendum all'elaborazione dei dati.
Suggerimento per il collegamento: Addendum al trattamento dei dati di Google
In questa configurazione, Google tratterà in futuro i dati raccolti nell’ambito di reCAPTCHA, in linea di principio, per conto e secondo le istruzioni dei rispettivi gestori dei siti web. I dati potranno quindi essere trattati, in linea di principio, solo ai fini della fornitura e della protezione del servizio e non più per finalità autonome di Google.
La responsabilità principale ai sensi della legge sulla protezione dei dati spetta quindi chiaramente ai gestori dei siti web che utilizzano i reCAPTCHA.
Tecnicamente, tutto rimane invariato con reCAPTCHA
Il cambiamento non comporta alcuna modifica al funzionamento tecnico di reCAPTCHA. Le funzionalità, i meccanismi di protezione e le integrazioni rimangono invariati. La modifica riguarda esclusivamente la ripartizione dei ruoli in materia di protezione dei dati e la struttura contrattuale sottostante.
Google sta già informando i propri clienti in merito alla modifica e sottolinea che, in particolare, è necessario aggiornare le informative sulla privacy presenti sui rispettivi siti web.
Suggerimento di lettura: Ecco le modifiche previste per i banner sui cookie
Cosa devono tenere presente le aziende con reCAPTCHA
Per le aziende, la nuova ripartizione dei ruoli porta maggiore chiarezza, ma ciò non significa una riduzione dei loro obblighi. Chiunque utilizzi reCAPTCHA sarà chiaramente il responsabile del trattamento ai sensi dell'articolo 4, paragrafo 7, in futuro. GDPR e deve adempiere ai relativi obblighi di protezione dei dati.
Le aziende dovrebbero quindi verificare in particolare se,
- se reCAPTCHA è coperto dall'attuale Addendum sul trattamento dei dati di Google,
- se le condizioni contrattuali aggiornate sono state effettivamente incluse,
- se il Elenco delle attività di trattamento deve essere adattato,
- e se il Informativa sulla privacy descrive in modo trasparente la nuova assegnazione dei ruoli e l'elaborazione dei dati.
Il fatto che Google sia considerato un responsabile del trattamento non esonera quindi le aziende dai propri obblighi di verifica e documentazione. Anzi, pone ancora maggiormente l’accento su tali obblighi.
In molti casi l'obbligo di consenso rimane in vigore
Anche se in futuro Google opererà in qualità di responsabile del trattamento, in molti casi l'obbligo di consenso rimarrà invariato.
Quando si utilizza reCAPTCHA, vengono regolarmente Informazioni memorizzate o lette sul dispositivo degli utenti, circa Biscotti o altri identificatori tecnici. Lo scopo è quello di analizzare il comportamento dei visitatori del sito web e di rilevare gli accessi automatizzati. Di conseguenza, il loro utilizzo continua a rientrare nell'articolo 25 (1) del TDDDG.
In pratica, questo significa che reCAPTCHA dovrebbe essere utilizzato regolarmente solo dopo una preventiva Consenso essere caricati tramite uno strumento di gestione del consenso. Le aziende dovrebbero quindi verificare questo aspetto,
- se lo script reCAPTCHA venga effettivamente attivato solo dopo il consenso e
- se il servizio è descritto correttamente nel banner di consenso.
Inoltre, può essere opportuno valutare alternative meno invasive oppure integrare reCAPTCHA in modo tale da ridurre il più possibile il trasferimento dei dati.
Fate controllare subito il vostro sito web
Il passaggio è terminato Conformità-Da questo punto di vista, si tratta di un passo significativo. Mette fine a una discussione di lunga data sulla ripartizione dei ruoli in materia di protezione dei dati nell’ambito di reCAPTCHA e fa maggiore chiarezza nell’attribuzione delle responsabilità.
Le aziende non dovrebbero tuttavia considerare questa modifica come una mera formalità. Al contrario, essa offre l’occasione per riesaminare in modo strutturato il proprio utilizzo di reCAPTCHA dal punto di vista tecnico, contrattuale e organizzativo.
I nostri esperti aiutano le aziende a, Tracciamento- integrare in modo conforme alla normativa servizi di sicurezza come reCAPTCHA e verificare la conformità dei siti web esistenti alle norme sulla protezione dei dati.
Nell'ambito di un controllo del sito web, analizziamo, tra l'altro, i seguenti aspetti:
servizi di terze parti utilizzati e Tracciamento-Tecnologie
Meccanismi di consenso e banner di consenso
Trasferimenti di dati verso paesi terzi
Informativa sulla privacy e obblighi di documentazione
Basta mettersi in contatto con noi.
Yussef Benjabri, Conformità Consigli dell'esperto 2B
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French