hCaptcha et RGPD : données, transferts et consentement

hCaptcha est-il conforme au RGPD ?

hCaptcha répond oui : chaque offre affiche « Complies with GDPR, CCPA, LGPD, PIPL, and more », et ses conditions incluent un accord de traitement des données. Cela couvre la part de hCaptcha. La conformité de votre utilisation dépend de trois points que l’éditeur vous laisse : le transfert de données vers les États-Unis, les cookies qu’il pose et la façon dont votre politique de confidentialité le décrit.

En bref : le « oui » de hCaptcha ne couvre que sa propre part, pas toute votre évaluation. Le transfert, les cookies et la politique de confidentialité restent de votre ressort.

Qui est derrière hCaptcha

hCaptcha est exploité par Intuition Machines, Inc., une société du Delaware basée à Miami, en Floride. C’est un service CAPTCHA pour les formulaires de connexion, d’inscription et de paiement, proposé en trois offres :

• Basic est gratuite et fonctionne en mode « Always Challenge » : les visiteurs résolvent des défis d’images.
• Pro coûte 139 $ par mois, ou 99 $ par mois en facturation annuelle, et ajoute le mode que hCaptcha appelle « 99.9% Passive », qui affiche beaucoup moins de défis.
• Enterprise est sur demande et ajoute un mode passif sans CAPTCHA et des scores de risque.

L’offre ne change pas que le prix. Avec l’offre gratuite, chaque visiteur voit un puzzle d’images, ce qui touche l’accessibilité autant que la confidentialité. Comme options d’accessibilité, hCaptcha propose une vérification par e-mail et des défis textuels dans plus de 100 langues. Pour comparer avec d’autres fournisseurs, voyez nos alternatives à hCaptcha.

Quelles données hCaptcha traite

Tout CAPTCHA traite des données techniques issues du navigateur du visiteur pour distinguer les humains des bots, au minimum l’adresse IP et des informations sur le navigateur et la requête. Au sens du RGPD, une adresse IP est en général une donnée personnelle : le traitement a donc besoin d’une base juridique et d’une description dans votre politique de confidentialité, quel que soit le CAPTCHA utilisé.

hCaptcha agit comme votre sous-traitant pour les données des utilisateurs finaux qu’il traite pour votre compte. La liste complète des finalités et des catégories de données figure dans sa politique de confidentialité.

Où peuvent aller les données de hCaptcha

La politique de confidentialité de hCaptcha indique que les données peuvent être stockées et traitées « in any country where we have facilities or in which we engage service providers », c’est-à-dire dans tout pays où hCaptcha a des installations ou des prestataires, États-Unis compris. Les transferts hors de l’UE reposent sur l’EU-U.S. Data Privacy Framework et les clauses contractuelles types. Sur sa page RGPD, hCaptcha ajoute qu’il traite la grande majorité des données sur ses serveurs régionaux dans le monde et qu’il stocke déjà les données d’analyse dans l’UE.

Pour un site dans l’UE, il reste une question : un transfert vers une entreprise américaine sous le Data Privacy Framework est-il acceptable pour votre organisation ? Le cadre s’applique depuis juillet 2023. Son prédécesseur, le Privacy Shield, a été annulé en 2020 par la Cour de justice de l’UE dans l’arrêt Schrems II, et c’est pourquoi de nombreux DPO examinent de près les transferts vers les États-Unis. La réponse de votre organisation se décide avec votre délégué à la protection des données (DPO).

Cookies de hCaptcha et consentement

La politique de confidentialité de hCaptcha liste les cookies qu’il utilise, dont hmt_id, hc_accessibility, __cf_bm et des cookies de répartition de charge de Cloudflare. hCaptcha les classe tous strictement nécessaires.

Ce classement est le point de vue de hCaptcha. Savoir si le dépôt de ces cookies sur l’appareil d’un visiteur nécessite un consentement au titre des règles ePrivacy relève d’une évaluation juridique de votre site, et le classement d’un éditeur ne la tranche pas. Si la réponse est oui, le CAPTCHA doit attendre le consentement, et un formulaire de connexion ou de contact placé derrière risque de ne pas fonctionner pour les visiteurs qui refusent. Voyez ce point avec votre DPO avant d’utiliser hCaptcha sans bannière de consentement.

hCaptcha dans votre politique de confidentialité

Si vous utilisez hCaptcha, votre politique de confidentialité doit le mentionner. Selon l’article 13 du RGPD, cela comprend : qui traite les données, dans quel but, sur quelle base juridique, si des données sont transférées hors de l’UE et combien de temps elles sont conservées. Nous ne fournissons volontairement pas de modèle, car la formulation dépend de votre intégration. Ceci n’est pas un conseil juridique ; validez la formulation avec votre délégué à la protection des données (DPO).

Avec TrustCaptcha, il n’y a ni cookies ni transfert vers les États-Unis. Ce qui doit figurer dans votre politique de confidentialité est expliqué dans notre guide RGPD de TrustCaptcha.

Existe-t-il une alternative à hCaptcha conforme au RGPD ?

Les questions de transfert et de cookies disparaissent quand le CAPTCHA vient d’une entreprise de l’UE, traite les données dans l’UE et ne pose pas de cookies. C’est le profil d’un CAPTCHA conforme au RGPD, et notre aperçu du CAPTCHA européen présente les fournisseurs européens.

Le reCAPTCHA de Google soulève les mêmes questions avec un autre modèle contractuel : depuis avril 2026, Google agit comme sous-traitant, mais les transferts des données reCAPTCHA vers Google demandent toujours un examen juridique. Ces dernières années, les régulateurs et les défenseurs de la vie privée ont examiné de près la manière dont des services comme reCAPTCHA traitent les données, notamment le pistage et les transferts internationaux. En Autriche le Tribunal administratif fédéral (BVwG), et en France la CNIL, ont estimé que reCAPTCHA, tel qu’il était utilisé avant avril 2026, nécessitait un consentement. Cet examen a conduit de nombreuses organisations à revoir leur protection contre les bots et à étudier des solutions conçues selon le principe de privacy by design. Les détails se trouvent dans reCAPTCHA est-il conforme au RGPD ?, et la comparaison directe des deux services américains dans hCaptcha vs reCAPTCHA.

TrustCaptcha : sans cookies, centres de données dans l’UE

TrustCaptcha vérifie les visiteurs en arrière-plan avec une preuve de travail qui se durcit quand le risque d’une requête augmente, et avec un score de bot à partir de l’offre Solo. Les visiteurs n’ont rien à résoudre. TrustCaptcha ne pose aucun cookie, traite les données dans des centres de données de l’UE et inclut un accord de traitement des données (DPA) pour chaque client : les questions de transfert et de cookies ci-dessus ne se posent pas.

Essayer TrustCaptcha

Chaque offre commence par un essai gratuit de 14 jours, et les sites non commerciaux peuvent utiliser TrustCaptcha gratuitement avec 500 vérifications par mois. Démarrez votre essai gratuit et remplacez hCaptcha sans ajouter de cookie à votre site.