Нарушает ли использование Google reCAPTCHA требования законодательства о персональных данных?
По позиции Роскомнадзора, использование сервиса Google reCAPTCHA не предполагает обработку персональных данных, в том числе их трансграничную передачу.
Такой ответ юридическая фирма «Солнцев и партнёры» получила от Роскомнадзора после официального запроса о применении Федерального закона № 152-ФЗ «О персональных данных» при использовании reCAPTCHA на российских сайтах.
Вопрос возник у нас на практике во время переделки собственного сайта. Google reCAPTCHA широко используется для защиты веб-форм от автоматизированных действий, однако вокруг возможности её применения на российских сайтах существуют разные мнения.
Чтобы не опираться на предположения, мы решили обратиться непосредственно в Роскомнадзор и получить позицию ведомства.
Почему возник вопрос к Google reCAPTCHA
Google reCAPTCHA — сервис, который помогает отличить действия реального пользователя от действий автоматизированных программ.
При подготовке запроса мы исходили из того, что при загрузке страницы с reCAPTCHA браузер пользователя взаимодействует с серверами Google, а сервис может анализировать техническую информацию, в частности IP-адрес, сведения об операционной системе и браузере, cookie-файлы, параметры устройства и некоторые характеристики взаимодействия пользователя со страницей.
Из-за этого возникли сразу несколько юридических вопросов.
Первый — можно ли считать такую информацию персональными данными и, соответственно, применять к её обработке требования Федерального закона № 152-ФЗ.
Второй — возникает ли при взаимодействии с серверами Google трансграничная передача персональных данных.
Третий — если обработка персональных данных всё-таки происходит, какое правовое основание необходимо использовать владельцу сайта: получать согласие пользователя либо можно исходить из законного интереса оператора, поскольку reCAPTCHA применяется для защиты сайта от спама и других злоупотреблений.
Именно эти вопросы юрист «Солнцев и партнёры» Анна Афиногенова направила в Роскомнадзор.
Что ответил Роскомнадзор
27 августа 2026 года Роскомнадзор направил официальный ответ на обращение.
Ведомство сослалось на условия предоставления услуг Google LLC, согласно которым компания с помощью reCAPTCHA собирает информацию об аппаратном и программном обеспечении, такую как данные об устройстве и приложении, только в случаях, когда это необходимо для предоставления, поддержки и улучшения сервиса, а также в целях общей безопасности.
После этого Роскомнадзор сформулировал свой вывод:
«С учетом изложенного полагаем, что использование сервиса reCAPTCHA не предполагает обработку персональных данных, в том числе их трансграничную передачу».
Таким образом, применительно к поставленным в обращении вопросам ведомство не рассматривает использование reCAPTCHA как обработку персональных данных и их трансграничную передачу.
Нужно ли получать согласие пользователя на обработку персональных данных для reCAPTCHA
В первоначальном запросе мы отдельно спрашивали Роскомнадзор, какое основание обработки должно применяться при использовании reCAPTCHA: согласие субъекта персональных данных либо законный интерес оператора.
Также был поставлен вопрос о том, может ли такое согласие при необходимости быть выражено через интерфейс сайта, в том числе посредством cookie-баннера.
Отдельного ответа на этот вопрос ведомство не дало.
Это логически связано с основной позицией Роскомнадзора: если использование reCAPTCHA, по мнению ведомства, не предполагает обработку персональных данных, вопрос о выборе правового основания для такой обработки в ответе отдельно не рассматривался.
Что означает ответ Роскомнадзора для владельцев сайтов
Полученный ответ позволяет снять один из вопросов, который возникает у российских компаний при использовании Google reCAPTCHA.
Позиция Роскомнадзора состоит в том, что использование самого сервиса reCAPTCHA не предполагает обработку персональных данных и их трансграничную передачу.
При этом важно учитывать пределы полученного разъяснения.
Ответ дан на конкретный запрос о применении reCAPTCHA. В нём Роскомнадзор не анализировал всю обработку данных, которая может происходить на конкретном сайте, другие сервисы Google, системы аналитики, формы обратной связи, cookie-файлы и иные используемые владельцем сайта инструменты.
Поэтому полученное разъяснение касается именно поставленного вопроса об использовании Google reCAPTCHA.
Почему мы решили запросить позицию Роскомнадзора
На практике владельцы сайтов сталкиваются с большим количеством требований, связанных с персональными данными: от содержания политики обработки персональных данных до локализации баз данных и правил трансграничной передачи.
При этом технические сервисы не всегда позволяют однозначно определить, какие требования необходимо выполнять владельцу сайта.
Именно такая ситуация возникла с reCAPTCHA: мнения о допустимости её использования расходились, тогда как сервис применяется на большом количестве сайтов.
Поэтому вместо того, чтобы исходить из предположений, мы направили официальный запрос регулятору.
Ответ Роскомнадзора от 27 августа 2026 года № 08-924328 можно использовать как ориентир при оценке вопроса об использовании reCAPTCHA на сайте.
Запрос в Роскомнадзор подготовила Анна Афиногенова, юрист юридической фирмы «Солнцев и партнёры».
Часто задаваемые вопросы
Можно ли использовать Google reCAPTCHA на российском сайте?
Согласно полученному юридической фирмой «Солнцев и партнёры» разъяснению Роскомнадзора, использование reCAPTCHA не предполагает обработку персональных данных, в том числе их трансграничную передачу.
Считает ли Роскомнадзор данные, обрабатываемые reCAPTCHA, персональными?
В ответе ведомство не квалифицирует по отдельности IP-адрес, сведения об устройстве, браузере и другие перечисленные в запросе данные. Роскомнадзор сформулировал общий вывод о том, что использование сервиса reCAPTCHA не предполагает обработку персональных данных.
Является ли использование reCAPTCHA трансграничной передачей персональных данных?
По позиции Роскомнадзора — нет. Ведомство прямо указало, что использование reCAPTCHA не предполагает обработку персональных данных, в том числе их трансграничную передачу.
Нужно ли получать согласие пользователя на обработку персональных данных из-за reCAPTCHA?
Этот вопрос был прямо поставлен перед Роскомнадзором, однако отдельного ответа о необходимости согласия или возможности использования законного интереса ведомство не дало. Роскомнадзор исходил из того, что само использование reCAPTCHA не предполагает обработку персональных данных.
Распространяется ли этот вывод на другие сервисы Google?
В полученном ответе такой вывод не содержится. Разъяснение Роскомнадзора касается использования сервиса Google reCAPTCHA, поэтому автоматически распространять его на Google Analytics, другие сервисы Google или иные иностранные инструменты некорректно.
Афиногенва А.И 05.10.2026