GDPR και cookies το 2026: τι ισχύει πραγματικά για ένα ελληνικό site

Αν έχετε ελληνικό site με Google Analytics, pixel της Meta ή ενσωματωμένα βίντεο, τότε χρειάζεστε συγκατάθεση πριν φορτώσει οτιδήποτε από αυτά, και το banner σας πρέπει να έχει κουμπί άρνησης εξίσου εύκολο με το κουμπί αποδοχής. Δεν είναι δική μου ερμηνεία, ούτε κάτι που σκέφτηκα ένα βράδυ επειδή μου τελείωναν τα θέματα. Είναι γραμμένο σε επίσημο κείμενο της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα από το 2020.

Θα σας πω ποιο είναι το πιο συνηθισμένο λάθος που βλέπω σε ελληνικά sites, και δεν είναι η κακή διατύπωση στο υποσέλιδο. Είναι η πεποίθηση ότι το θέμα των cookies το ρυθμίζει ο GDPR. Δεν το ρυθμίζει, τουλάχιστον όχι μόνος του, και αυτή η παρανόηση οδηγεί σε λάθος συμπεράσματα. Ας δούμε από πού ξεκινά.

Δεν είναι ένας νόμος, είναι δύο

Ο Κανονισμός (ΕΕ) 2016/679 ρυθμίζει την επεξεργασία προσωπικών δεδομένων. Στο άρθρο 4 παρ. 11 ορίζει τη συγκατάθεση ως «ελεύθερα δοθείσα, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει ένδειξη βουλήσεως», και στο άρθρο 7 προσθέτει ότι ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να την αποδείξει και ότι η ανάκληση πρέπει να είναι εξίσου εύκολη με την παροχή. Κρατήστε αυτό το «να την αποδείξει», θα μας απασχολήσει παρακάτω.

Τα cookies όμως τα ρυθμίζει άλλη διάταξη, και εδώ ακριβώς χάνονται οι περισσότεροι: το άρθρο 5 παρ. 3 της Οδηγίας 2002/58/ΕΚ, όπως ενσωματώθηκε στην Ελλάδα με το άρθρο 4 παρ. 5 του ν. 3471/2006. Η διάταξη λέει ότι η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες στον τερματικό εξοπλισμό του χρήστη επιτρέπεται μόνο μετά από συγκατάθεση, ύστερα από σαφή και εκτενή ενημέρωση.

Σκεφτείτε το με μια εικόνα. Η συσκευή του επισκέπτη είναι το σπίτι του. Ο GDPR ασχολείται με το τι κάνετε με ό,τι πήρατε από μέσα. Ο ν. 3471/2006 ασχολείται με το ίδιο το χτύπημα της πόρτας, πριν καν μιλήσουμε για το τι πήρατε.

Η διαφορά έχει μία σημαντική συνέπεια. Ο κανόνας ισχύει ανεξάρτητα από το αν η αποθηκευμένη πληροφορία είναι προσωπικό δεδομένο. Και πάλι δεν το λέω εγώ: το Δικαστήριο της Ευρωπαϊκής Ένωσης το επιβεβαίωσε ρητά στην υπόθεση C-673/17 Planet49 την 1η Οκτωβρίου 2019, όπου έκρινε επίσης ότι ένα προσυμπληρωμένο τετραγωνίδιο δεν συνιστά έγκυρη συγκατάθεση.

Άρα το επιχείρημα «δεν συλλέγω προσωπικά δεδομένα, άρα δεν χρειάζομαι banner» είναι νομικά λάθος από τη ρίζα του. Το έχω ακούσει πολλάκις, και πάντα με πολλή σιγουριά.

Τι περνάει χωρίς να ρωτήσετε και τι όχι

Η τελευταία γραμμή αξίζει προσοχή, γιατί εκεί κρύβεται μια παγίδα που πολλοί την πληρώνουν κιόλας. Η Έκθεση της Ομάδας Εργασίας του ΕΣΠΔ για τα cookie banners, που εγκρίθηκε στις 17 Ιανουαρίου 2023, καταγράφει ως κοινή θέση των ευρωπαϊκών αρχών ότι το έννομο συμφέρον δεν μπορεί να αποτελέσει νομική βάση για την τοποθέτηση cookies υπό το άρθρο 5 παρ. 3. Και όμως, πολλά έτοιμα banner στην ελληνική αγορά εξακολουθούν να προσφέρουν αυτή την επιλογή στις ρυθμίσεις τους. Την έχετε δει, μια αθώα γραμμούλα στις ρυθμίσεις που δεν στέκει.

Οι οκτώ κανόνες που έχει ήδη γράψει η Αρχή

Το κείμενο που πρέπει να διαβάσει όποιος έχει ελληνικό site λέγεται Συστάσεις 1/2020 και εκδόθηκε στις 25 Φεβρουαρίου 2020. Χρησιμοποιεί τον όρο «ιχνηλάτης» και καλύπτει όχι μόνο τα cookies αλλά και το HTML5 local storage, το device fingerprinting, τα αναγνωριστικά λειτουργικού συστήματος και υλικού.

Οι πρακτικοί κανόνες, όπως τους διατυπώνει η Αρχή:

1. Τα προσυμπληρωμένα τετραγωνίδια, η απλή συνέχιση πλοήγησης και η κύλιση οθόνης δεν είναι συγκατάθεση.

2. Οι προεπιλεγμένες ρυθμίσεις του browser που δέχονται cookies δεν είναι συγκατάθεση.

3. Αν ο χρήστης δεν εκφράσει επιλογή, δεν χρησιμοποιείται κανένας μη απαραίτητος ιχνηλάτης.

4. Η αποδοχή και η άρνηση πρέπει να είναι εφικτές με τον ίδιο αριθμό κλικ και από το ίδιο επίπεδο.

5. Η ανάκληση γίνεται με τα ίδια μέσα και την ίδια ευκολία με την παροχή.

6. Η άρνηση δεν επιτρέπεται να οδηγεί σε αποκλεισμό από το περιεχόμενο.

7. Τα κουμπιά πρέπει να έχουν ίδιο μέγεθος, ίδια έμφαση και ίδιο χρώμα.

8. Το banner πρέπει να επανεμφανίζεται μετά το ίδιο διάστημα, είτε ο χρήστης δέχτηκε είτε αρνήθηκε.

Διαβάστε τους ξανά και μετά ανοίξτε νοερά το banner σας. Πόσους από τους οκτώ τηρεί;

Και ένα σημείο που εκπλήσσει τους περισσότερους, το κρατάω επίτηδες για το τέλος: η Σύσταση Α.4 αναφέρει ονομαστικά το Google Analytics και ορίζει ότι τα εργαλεία στατιστικής ανάλυσης τρίτων μπορούν να χρησιμοποιηθούν μόνο με τη συγκατάθεση του χρήστη. Δεν υπάρχει «στατιστική εξαίρεση» στο ελληνικό πλαίσιο σήμερα.

Μέχρι πού φτάνει τελικά ο κανόνας

Αν σκεφτήκατε «ωραία, βγάζω τα cookies και τελείωσα», ας μη βιαστούμε. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων εξέδωσε τον Οκτώβριο του 2024 τις Κατευθυντήριες Γραμμές 2/2023 για το τεχνικό πεδίο εφαρμογής του άρθρου 5 παρ. 3. Το συμπέρασμα είναι ότι ο κανόνας δεν αφορά μόνο τα cookies.

Καλύπτονται ρητά: τα tracking pixels και οι παρακολουθούμενοι σύνδεσμοι, γιατί ακόμα και η προσωρινή αποθήκευση στην cache του browser συνιστά «αποθήκευση». Το local storage. Τα μοναδικά αναγνωριστικά. Η παρακολούθηση βάσει IP όταν η διεύθυνση προέρχεται από τον εξοπλισμό του χρήστη. Ακόμα και οι κεφαλίδες HTTP και τα ETag.

Πρακτικά αυτό σημαίνει ότι μια σελίδα που δεν βάζει κανένα cookie αλλά φορτώνει ένα pixel της Meta βρίσκεται μέσα στο πεδίο εφαρμογής. Το «εγώ δεν βάζω cookies» δεν είναι, δυστυχώς, απάντηση.

Τι αλλάζει το 2026 και τι δεν έχει αλλάξει ακόμα

Δύο εξελίξεις που δεν έχουν φτάσει στην ελληνική αγορά.

Η πρόταση Κανονισμού ePrivacy αποσύρθηκε. Η πρόταση COM(2017)10, που περίμενε η αγορά επί οκτώ χρόνια, περιλαμβάνεται στον κατάλογο αποσύρσεων προτάσεων της Επιτροπής που δημοσιεύτηκε στην Επίσημη Εφημερίδα στις 6 Οκτωβρίου 2025. Δεν έρχεται. Οκτώ χρόνια αναμονής, και η απάντηση ήταν μια γραμμή σε κατάλογο.

Στη θέση της ήρθε ο Digital Omnibus. Στις 19 Νοεμβρίου 2025 η Επιτροπή κατέθεσε την πρόταση COM(2025) 837, που μεταφέρει τον κανόνα των cookies από την Οδηγία ePrivacy μέσα στον ίδιο τον GDPR, ως νέο άρθρο 88α. Τα σημεία που έχουν σημασία για μια μικρή επιχείρηση:

• Προστίθεται εξαίρεση από τη συγκατάθεση για τη μέτρηση επισκεψιμότητας που κάνει ο ίδιος ο ιδιοκτήτης της υπηρεσίας αποκλειστικά για δική του χρήση. Δηλαδή first-party analytics χωρίς banner, κάτι που σήμερα δεν επιτρέπεται στην Ελλάδα.
• Η άρνηση πρέπει να είναι εφικτή «με ένα κουμπί ενός κλικ ή ισοδύναμο μέσο».
• Μετά από άρνηση, απαγορεύεται νέα ερώτηση για τον ίδιο σκοπό για τουλάχιστον έξι μήνες.
• Νέο άρθρο 88β: οι επιλογές θα δηλώνονται με μηχαναγνώσιμο τρόπο από τον browser και οι ιστότοποι θα υποχρεούνται να τις σέβονται.

Προσοχή στη διατύπωση, και εδώ θέλω να είμαι απόλυτα καθαρός: πρόκειται για πρόταση, δεν έχει ψηφιστεί. Το ΕΣΠΔ και ο ΕΕΠΔ δημοσίευσαν κοινή γνώμη τον Φεβρουάριο του 2026 στην οποία στηρίζουν τον στόχο της αντιμετώπισης της κόπωσης από τα banner, με επιφυλάξεις σε άλλα σημεία. Μέχρι να ψηφιστεί, ισχύει ό,τι περιγράφηκε παραπάνω.

Ας μιλήσουμε ειλικρινά για την επιβολή στην Ελλάδα

Εδώ χρειάζεται ειλικρίνεια, γιατί κυκλοφορούν αριθμοί που δεν υπάρχουν.

Τον Μάιο του 2022 η Αρχή έλεγξε αυτεπάγγελτα 30 ενημερωτικούς ιστότοπους και διαπίστωσε παραβάσεις των Συστάσεων 1/2020, κυρίως απουσία ισότιμης δυνατότητας άρνησης και οπτική έμφαση στο κουμπί «Συμφωνώ». Μετά την ειδοποίηση συμμορφώθηκαν όλοι εκτός από έναν. Δεν επιβλήθηκε πρόστιμο.

Το μοναδικό δημοσιευμένο πρόστιμο που επικαλείται το άρθρο 4 παρ. 5 του ν. 3471/2006 είναι η απόφαση 50/2017, ύψους 75.000 ευρώ, και αφορούσε ιχνηλάτες μέσα σε διαφημιστικά email.

Αν κάποιος σας πουλάει συμμόρφωση με τον φόβο ενός συγκεκριμένου ελληνικού προστίμου για banner, ζητήστε του τον αριθμό της απόφασης. Θα δείτε τι θα σας απαντήσει. Ο πραγματικός κίνδυνος δεν είναι το πρόστιμο. Είναι η καταγγελία, ο έλεγχος, ο χρόνος που θα φάει και το γεγονός ότι μια μη συμμορφούμενη ρύθμιση συνήθως σημαίνει ότι και τα υπόλοιπα δεδομένα σας δεν είναι σε τάξη.

Μισή ώρα με το site σας και οκτώ ερωτήσεις

Ανοίξτε το site σας σε ανώνυμο παράθυρο και ελέγξτε:

1. Πριν πατήσετε οτιδήποτε, ανοίξτε τα Developer Tools και δείτε αν έχουν ήδη σταλεί αιτήματα σε google-analytics.com ή facebook.net. Αν ναι, το banner σας είναι διακοσμητικό.
2. Υπάρχει κουμπί άρνησης στο πρώτο επίπεδο, όχι πίσω από «Ρυθμίσεις»;
3. Έχουν τα δύο κουμπιά ίδιο μέγεθος και χρώμα;
4. Το κλείσιμο του banner με το X ενεργοποιεί ιχνηλάτες;
5. Υπάρχει τρόπος να αλλάξει κάποιος γνώμη αργότερα, χωρίς να ψάξει;
6. Η πολιτική cookies αναφέρει ανά ιχνηλάτη τον σκοπό, τη διάρκεια και τον αποδέκτη, ή είναι γενικόλογο κείμενο;
7. Κρατάτε αρχείο των συγκαταθέσεων, με χρονοσήμανση και έκδοση κειμένου;
8. Αν κάποιος αρνηθεί, επανεμφανίζεται το banner πιο συχνά απ’ ό,τι σε όποιον δέχτηκε;

Το έβδομο σημείο είναι αυτό που αποτυγχάνει σχεδόν παντού, και δεν είναι τυχαίο. Το άρθρο 7 παρ. 1 του GDPR απαιτεί να αποδεικνύετε τη συγκατάθεση. Ένα banner που δείχνει σωστό αλλά δεν κρατά τεκμήριο δεν σας καλύπτει την ημέρα που θα σας ζητηθεί. Και αυτή η ημέρα, αν έλθει, δεν προειδοποιεί.

Έρχεται το MS-Consent

Το δύσκολο κομμάτι σε όλα τα παραπάνω δεν είναι το banner. Είναι η απόδειξη: το άρθρο 7 παρ. 1 ζητάει να μπορείτε να αποδείξετε ότι ο επισκέπτης συναίνεσε, και τα περισσότερα δωρεάν banner δεν κρατούν τίποτα. Ωραίο σχεδιαστικά, άδειο από μέσα.

Αυτό το κενό καλύπτει το MS-Consent, το επόμενο εργαλείο του οικοσυστήματος MS-Logic. Είναι σε τελικό στάδιο και θα ανακοινωθεί σύντομα. Τι κάνει:

• Δείχνει και καταγράφει τη συγκατάθεση σύμφωνα με τον GDPR, με διακριτικό banner στο κάτω μέρος της σελίδας.
• Κρατάει τους ιχνηλάτες παγωμένους μέχρι ο επισκέπτης να πει «ναι». Το Google Analytics, το pixel του Facebook, τα ενσωματωμένα βίντεο δεν φορτώνουν πριν την αποδοχή.
• Η επιλογή του καθενός αποθηκεύεται ως ανώνυμη απόδειξη: τι δέχτηκε και πότε. Όχι όνομα, όχι email, κανένα προσωπικό στοιχείο.
• Μόνιμο κουμπί απορρήτου κάτω-αριστερά, ώστε ο επισκέπτης να αλλάζει γνώμη οποτεδήποτε. Αυτό είναι η απαίτηση του άρθρου 7 παρ. 3 και της σύστασης Γ.5.
• Ελληνικά και αγγλικά, με αυτόματη εναλλαγή στις αγγλικές διευθύνσεις. Σε κινητό και σε υπολογιστή.
• Δύο γραμμές κώδικα στην κορυφή της σελίδας. Δουλεύει σε οποιονδήποτε ιστότοπο, WordPress, Wix ή custom, όχι μόνο σε όσους φιλοξενούμε εμείς. Τις ρυθμίσεις τις κάνουμε εμείς κεντρικά.

Και τώρα δύο πράγματα που δεν θα σας πω, επειδή δεν είναι αλήθεια. Πρώτον, κανένα εργαλείο δεν σας κάνει «100% νομικά καλυμμένους». Το MS-Consent είναι ισχυρό εργαλείο συμμόρφωσης, αλλά η τελική ευθύνη παραμένει στον ιδιοκτήτη του ιστότοπου, και ούτε εγώ είμαι νομικός σύμβουλος. Δεύτερον, το πάγωμα των ιχνηλατών σε ιστότοπο που δεν ελέγχουμε εμείς θέλει μια επιπλέον ρύθμιση ανά site. Στους δικούς μας γίνεται σχεδόν αυτόματα, αλλού το επιβεβαιώνουμε πριν σας πούμε ότι είστε εντάξει.

Γιατί έχει τελικά σημασία

Η συμμόρφωση με τα cookies δεν είναι νομικό κείμενο στο υποσέλιδο. Είναι τεχνική ρύθμιση: τι φορτώνει πότε, τι καταγράφεται και τι μπορείτε να αποδείξετε. Οι κανόνες υπάρχουν γραμμένοι από το 2020, είναι συγκεκριμένοι, και τα περισσότερα ελληνικά sites δεν τους τηρούν επειδή κανείς δεν τους διάβασε.

Το 2026 θα φέρει πιθανότατα χαλάρωση στη μέτρηση επισκεψιμότητας και αυστηρότητα στη διαχείριση της άρνησης. Μέχρι τότε, ο έλεγχος των οκτώ σημείων είναι μισή ώρα δουλειάς και σας λέει ακριβώς πού βρίσκεστε.

Και γυρίζουμε εκεί που ξεκινήσαμε, στην πόρτα. Ο επισκέπτης σάς ανοίγει το σπίτι του για λίγα δευτερόλεπτα. Το ελάχιστο που του χρωστάτε είναι να χτυπήσετε πρώτα.

Αν θέλετε να δούμε τι φορτώνει πραγματικά το site σας πριν πατήσει κανείς τίποτα, επικοινωνήστε μαζί μου.