Υπάρχει μια κουβέντα που την έχω κάνει πολλές φορές τα τελευταία χρόνια με αρκετούς ανθρώπους και είμαι σίγουρος πως την έχετε κάνει κι εσείς! Ο πελάτης έχει δει κάπου μια πολύχρωμη εικόνα με κόκκινα και κίτρινα στατιστικά πάνω σε μια αρχική σελίδα, του άρεσε, και μου ζητάει να «βάλω κι εγώ μια τέτοια για να βλέπει τι κάνουν οι επισκέπτες». Και ενώ έχει δίκιο που το ζητάει αφού το ερώτημα είναι σωστό, αυτό που δεν ξέρει είναι πως η προσδοκία συνήθως δεν είναι! Και μάλιστα από πέρυσι υπάρχει κι ένα νομικό κομμάτι που άλλαξε, χωρίς να το πάρει κανείς είδηση.
Ας τα πάρουμε με τη σειρά, γιατί το θέμα εκτείνεται σε τρία επίπεδα: τι βλέπετε πραγματικά, τι αξίζει αυτό που βλέπετε, και τι χρειάζεται για να το βλέπετε νόμιμα.
Τι είναι στ’ αλήθεια αυτά τα εργαλεία
Δύο πράγματα, που μπορεί να σας μπερδέψουν. Το heatmap είναι συγκεντρωτικό: παίρνει χιλιάδες επισκέψεις και σας δείχνει πού έγιναν τα κλικ, μέχρι πού προχώρησαν οι επισκέπτες, πού στάθηκε το ποντίκι. Το session recording είναι ατομικό: είναι βίντεο μιας συγκεκριμένης επίσκεψης, που το βλέπετε σαν να καθόσασταν πίσω από τον ώμο κάποιου.
Η διαφορά δεν είναι τεχνική λεπτομέρεια, είναι όλη η υπόθεση. Το πρώτο σας δείχνει ένα μοτίβο. Το δεύτερο σας δείχνει έναν άνθρωπο. Και μαζί με τον άνθρωπο, ό,τι έγραψε, ό,τι διόρθωσε, πού δίστασε, τι έσβησε πριν το στείλει. Γι’ αυτό και τα δύο δεν κρίνονται με τα ίδια κριτήρια, ούτε τεχνικά ούτε νομικά.
Το νούμερο που θα θέλατε, δυστυχώς δεν υπάρχει
Θα σας πω κάτι που δεν με συμφέρει να το πω, αλλά θα το κάνω: δεν υπάρχει καμία ανεξάρτητη μελέτη που να δείχνει ότι τα heatmaps ή τα session recordings βελτιώνουν τα αποτελέσματα κατά κάποιο ποσοστό. Το έψαξα. Ό,τι κυκλοφορεί, και κυκλοφορούν πολλά, προέρχεται από τους ίδιους τους κατασκευαστές των εργαλείων, που έχουν προφανές συμφέρον να μας πείσουν.
Αυτό δεν σημαίνει πως δεν χρησιμεύουν πουθενά. Σημαίνει ότι είναι εργαλεία διάγνωσης και όχι θεραπείας. Σας δείχνουν πού πονάει. Δεν κάνουν την εγχείρηση, και δεν υπόσχονται αποτέλεσμα. Όποιος σας δώσει προσφορά με ποσοστό αύξησης επειδή θα εγκαταστήσει ένα script, σας πουλάει κάτι που δεν έχει μετρηθεί ποτέ σοβαρά.
Ο μύθος των πέντε χρηστών, και γιατί δεν σας αφορά
Θα το έχετε ακούσει: «πέντε χρήστες αποκαλύπτουν το 85% των προβλημάτων». Είναι αληθινό, αλλά δεν είναι για σας.
Η φράση είναι του Jakob Nielsen, από τον Μάρτιο του 2000, και αυτό που περιγράφει είναι ότι μετά την πρώτη μελέτη με πέντε συμμετέχοντες θα έχετε βρει το 85% των προβλημάτων ευχρηστίας. Το κρίσιμο όμως είναι τι εννοεί «μελέτη»: δοκιμή ευχρηστίας με συντονιστή, όπου δίνετε στον χρήστη συγκεκριμένη αποστολή, τον παρακολουθείτε, και κυρίως τον ρωτάτε. Δεν εννοεί πέντε βίντεο που τα βλέπετε παθητικά ένα απόγευμα.
Σε μία δοκιμή ρωτάς. Σε μία καταγραφή μαντεύεις. Το λέει καθαρά και η ίδια η Nielsen Norman Group: τα αναλυτικά στατιστικά σας λένε τι κάνουν οι πελάτες, όχι γιατί το κάνουν. Και το «γιατί» είναι ακριβώς αυτό που πληρώνετε για να μάθετε.
Και τώρα το κομμάτι που άλλαξε, και δεν το πρόσεξε κανείς
Στις 31 Οκτωβρίου 2025 η Microsoft άρχισε να επιβάλλει απαίτηση σήματος συγκατάθεσης στο Clarity, για επισκέψεις που προέρχονται από τον ΕΟΧ, το Ηνωμένο Βασίλειο και την Ελβετία. Δεν το λέει κάποιος δικηγόρος, το λέει η ίδια η τεκμηρίωση του προϊόντος: η λειτουργία συγκατάθεσης είναι ενεργή από προεπιλογή για τους χρήστες αυτών των περιοχών.
Τι σημαίνει πρακτικά; Χωρίς ρητή συγκατάθεση δεν χρησιμοποιούνται τα cookies του εργαλείου. Οι προβολές σελίδων και οι βασικές αλληλεπιδράσεις εξακολουθούν να μετριούνται, αλλά οι συνεδρίες κατακερματίζονται και χάνονται οι πλήρεις επαναλήψεις και η συνέχεια της διαδρομής. Δηλαδή, ακριβώς αυτό για το οποίο βάλατε το εργαλείο.
Και εδώ είναι το σημείο που αξίζει να σκεφτείτε λίγο. Αν έχετε Clarity στο site σας από πέρσι και δεν έχετε banner συγκατάθεσης, δεν βλέπετε λάθος δεδομένα. Βλέπετε λιγότερα δεδομένα, χωρίς να το ξέρετε, και βγάζετε συμπεράσματα από αυτά.
Υπεύθυνος ή εκτελών; Η απάντηση μπορεί να σας εκπλήξει
Εδώ υπάρχει μια διαφορά ανάμεσα στα δύο δημοφιλέστερα εργαλεία που δεν την αναφέρει σχεδόν κανείς, και είναι σημαντική.
Η Microsoft δηλώνει ότι το Clarity συμμορφώνεται με τον GDPR ως υπεύθυνος επεξεργασίας. Η Hotjar αντίθετα γράφει στη σύμβαση επεξεργασίας δεδομένων της ότι εσείς είστε ο υπεύθυνος επεξεργασίας και εκείνη ο εκτελών, και ότι η συλλογή της συγκατάθεσης, η διαχείριση της ανάκλησής της και το δικαίωμα πρόσβασης είναι δικές σας υποχρεώσεις.
Δύο εργαλεία που κάνουν φαινομενικά την ίδια δουλειά, με διαφορετική κατανομή ευθύνης. Δεν είναι θέμα προτίμησης, είναι θέμα του τι υπογράφετε και τι αναλαμβάνετε.
Στο ίδιο πνεύμα, μια λεπτομέρεια της Hotjar που κοστίζει: τα δεδομένα πληκτρολόγησης αποκρύπτονται από προεπιλογή σε όλα τα πεδία εισαγωγής, και μάλιστα μέσα στον browser του χρήστη, οπότε δεν φτάνουν ποτέ στους server της. Ωραίο. Αλλά η ίδια τεκμηρίωση αναφέρει ότι η αλλαγή των ρυθμίσεων απόκρυψης δεν ισχύει αναδρομικά. Ό,τι μαζεύτηκε, μαζεύτηκε. Οπότε η ρύθμιση γίνεται πριν, όχι όταν κάποιος το θυμηθεί.
Τι ετοιμάζει η Γαλλία, και γιατί μας αφορά
Η γαλλική αρχή προστασίας δεδομένων ασχολήθηκε ειδικά με αυτά τα εργαλεία. Ξεκίνησε διαβούλευση με τον κλάδο τον Απρίλιο του 2025, και μετά δημοσίευσε σχέδιο σύστασης για τα εργαλεία session replay, με δημόσια διαβούλευση που έκλεισε στις 22 Απριλίου 2026.
Προσοχή στη διατύπωση, γιατί έχει σημασία: παραμένει σχέδιο. Δεν έχει εκδοθεί οριστικό κείμενο μέχρι σήμερα. Δεν πρόκειται λοιπόν να σας πω ότι «η CNIL απαγόρευσε», γιατί μέχρι στιγμής δεν έχει απαγορεύσει τίποτα.
Αυτό που λέει όμως αξίζει να το ξέρετε, γιατί δείχνει προς τα πού πάει το πράγμα. Η CNIL επισημαίνει τον μεγάλο όγκο δεδομένων πλοήγησης που συλλέγεται, ενίοτε εν αγνοία του χρήστη, και τη δυνατότητα να συναχθούν από αυτά πληροφορίες για την ιδιωτική ζωή: συνήθειες, ενδιαφέροντα, σε ορισμένες περιπτώσεις και ευαίσθητα δεδομένα. Θεωρεί ότι απαιτείται προηγούμενη συγκατάθεση, γιατί τα εργαλεία αυτά δεν εξυπηρετούν αποκλειστικά τη διαβίβαση της επικοινωνίας ούτε είναι αυστηρά αναγκαία για την υπηρεσία. Και στο σχέδιό της προτείνει απόκρυψη ευαίσθητων πεδίων από προεπιλογή, διαφορετικό χρόνο διατήρησης ανά σκοπό, και ξεχωριστή συγκατάθεση για κάθε σκοπό.
Να είμαι ειλικρινής και για κάτι ακόμη: δεν εντόπισα καμία απόφαση ή πρόστιμο ευρωπαϊκής αρχής ειδικά εναντίον εργαλείου καταγραφής συνεδριών. Η κίνηση της CNIL είναι μέχρι στιγμής η μόνη στοχευμένη ρυθμιστική πρωτοβουλία, και δεν έχει ολοκληρωθεί ακόμα.
Τι ισχύει εδώ, στα δικά μας
Ο κανόνας για την Ελλάδα δεν είναι καινούριος και δεν είναι ο GDPR. Είναι το άρθρο 4 παρ. 5 του ν.3471/2006, που το διατυπώνει η ίδια η Αρχή ως εξής: η αποθήκευση και η πρόσβαση σε πληροφορίες αποθηκευμένες σε τερματικό εξοπλισμό χρήστη επιτρέπεται μόνο αν ο συνδρομητής ή χρήστης έχει δώσει τη συγκατάθεσή του. Η εξαίρεση αφορά μόνο ό,τι έχει σαν αποκλειστικό σκοπό τη διενέργεια της διαβίβασης μιας επικοινωνίας.
Ένα εργαλείο που βιντεοσκοπεί τη συνεδρία σας για να βελτιώσετε τη σελίδα, δεν είναι διαβίβαση επικοινωνίας. Το ξέρετε και το ξέρω. Και η Αρχή, με τις Συστάσεις 1/2020 της 25ης Φεβρουαρίου 2020, έχει ήδη πει ότι για την τοποθέτηση ιχνηλάτη σε τερματική συσκευή απαιτείται κατ’ αρχήν η συγκατάθεση του χρήστη.
Σε ευρωπαϊκό επίπεδο, οι Κατευθυντήριες Γραμμές 2/2023 του ΕΣΠΔ για το τεχνικό πεδίο του άρθρου 5(3), στην έκδοση 2.0 που εγκρίθηκε στις 7 Οκτωβρίου 2024, καλύπτουν ρητά τα tracking pixels και τον κώδικα JavaScript που εκτελείται στον browser. Οφείλω να πω ότι δεν ονομάζουν το session recording ως ξεχωριστή περίπτωση. Το συμπέρασμα ότι εμπίπτει είναι δικό μου, βάσει της γενικής αρχής του κειμένου, και το γράφω ως συμπέρασμα και όχι ως παράθεση.
Πώς το κάνουμε, όταν το κάνουμε
Δεν είμαι εναντίον αυτών των εργαλείων. Χρησιμοποιούνται σωστά, λύνουν απορίες που κανένα διάγραμμα δεν λύνει. Απλώς μπαίνουν με τρεις προϋποθέσεις, και είναι όλες βαρετές: παγώνουν μέχρι να δοθεί συγκατάθεση, ρυθμίζονται οι αποκρύψεις πριν μαζευτεί το πρώτο byte, και ορίζεται χρόνος διατήρησης που έχει σχέση με τον λόγο που τα βάλαμε.
Το πάγωμα δεν είναι θεωρία, το κάνουμε στο ίδιο μας το site: τα αναλυτικά μας στατιστικά δεν φορτώνουν καθόλου μέχρι ο επισκέπτης να πει ναι. Είναι η ίδια δουλειά που κάνουμε και σε πελάτες με το MS-Consent, και είναι η φυσική συνέχεια όσων γράψαμε για τα cookies και τον GDPR.
Κι έτσι επιστρέφουμε πάλι στην αρχική πολύχρωμη εικόνα. Ωραία είναι, και όντως λέει κάτι. Απλώς δεν λέει «γιατί», δεν έχει αποδειχθεί ότι πουλάει, και δεν μπαίνει χωρίς να ρωτήσετε πρώτα τον επισκέπτη σας. Αν θέλετε να δείτε τι πραγματικά συμβαίνει στο site σας, με τα εργαλεία στημένα σωστά και τη συγκατάθεση σε τάξη, επικοινωνήστε μαζί μου.