Ένας πελάτης ανοίγει την αρχική σελίδα του site σας. Πριν προλάβει να δει το λογότυπο, ο browser του (το πρόγραμμα με το οποίο ανοίγει σελίδες, όπως το Chrome ή το Safari) έχει ήδη μιλήσει με αρκετές εταιρείες που δεν είναι η δική σας. Μία του έστειλε τη γραμματοσειρά. Μία τον χάρτη. Μία το κουμπί του κοινωνικού δικτύου. Μία το εργαλείο μέτρησης επισκεψιμότητας. Και καθεμία έμαθε κάτι για τον πελάτη σας.

Ο πελάτης δεν το βλέπει. Συνήθως ούτε εσείς.

Στο άρθρο «Τέσσερα πράγματα που δεν ξέρετε για το site σας» εξηγούμε πώς βλέπει κανείς τη λίστα με όσα φορτώνει η σελίδα του, και στο «Το site σας σαπίζει μόνο του» τι γίνεται όταν τέτοια δανεικά κομμάτια σταματούν να δουλεύουν. Εδώ μένουμε σε δύο ερωτήσεις: ποιος ευθύνεται για ό,τι μαθαίνουν οι τρίτοι για τους επισκέπτες σας, και τι γίνεται όταν ο κώδικάς τους αλλάξει.

Μία σελίδα, πολλές συνομιλίες

Όταν ένα κομμάτι της σελίδας σας έρχεται από άλλη εταιρεία, ο browser του επισκέπτη πρέπει να επικοινωνήσει με τον server εκείνης της εταιρείας, δηλαδή τον υπολογιστή της που στέλνει το περιεχόμενο, για να το φέρει. Σε αυτή την επικοινωνία στέλνει τουλάχιστον τη διεύθυνση IP του, δηλαδή τη διεύθυνση της σύνδεσής του στο ίντερνετ, ποιον browser χρησιμοποιεί και σε ποιο site βρίσκεται. Πολλά τέτοια κομμάτια στέλνουν και ακριβώς ποια σελίδα άνοιξε.

Αυτό γίνεται ακόμη κι αν δεν αποθηκεύεται κανένα cookie (το μικρό αρχείο που κρατά ένα site στη συσκευή του επισκέπτη). Και η διεύθυνση IP, για το ευρωπαϊκό δίκαιο, κατά κανόνα είναι προσωπικό δεδομένο.

Η ευθύνη δεν μένει σε αυτόν που έγραψε τον κώδικα

Το εύλογο αντεπιχείρημα είναι ότι τον κώδικα τον έγραψε το Facebook ή η Google, άρα δική τους η ευθύνη. Το Δικαστήριο της Ευρωπαϊκής Ένωσης το έκρινε αλλιώς.

Στην υπόθεση Fashion ID (C-40/17, 29/07/2019), ένα ηλεκτρονικό κατάστημα ρούχων είχε βάλει στις σελίδες του το κουμπί «Μου αρέσει» του Facebook. Το κουμπί έστελνε στοιχεία των επισκεπτών στο Facebook, ακόμη κι αν δεν το πατούσαν και ακόμη κι αν δεν είχαν λογαριασμό. Το Δικαστήριο έκρινε ότι το κατάστημα είναι από κοινού υπεύθυνο με το Facebook για τη συλλογή και τη μεταβίβαση αυτών των στοιχείων. Δεν ευθύνεται, καταρχήν, για ό,τι κάνει μετά το Facebook με αυτά. Ευθύνεται για το ότι έφυγαν από τη σελίδα του καταστήματος.

Με απλά λόγια: αφού εσείς αποφασίσατε να μπει ένα τέτοιο κομμάτι στη σελίδα σας, εσείς ευθύνεστε για το αν οι επισκέπτες σας ενημερώθηκαν και, όπου χρειάζεται, συναίνεσαν. Το ότι δεν βλέπετε ποτέ τα στοιχεία δεν σας απαλλάσσει.

Δεν είμαι νομικός, και το πώς εφαρμόζεται αυτό σε κάθε site θέλει τη δική του ματιά. Οι κανόνες για τα cookies και τη συγκατάθεση στην Ελλάδα είναι στο άρθρο «GDPR και cookies το 2026».

Μια γραμματοσειρά, εκατό ευρώ

Η πιο αθώα περίπτωση είναι η γραμματοσειρά. Πολλά sites φορτώνουν τη γραμματοσειρά τους από τον server της Google σε κάθε επίσκεψη.

Στις 20/01/2022 ένα δικαστήριο του Μονάχου (3 O 17493/20) επιδίκασε 100 ευρώ σε έναν επισκέπτη ενός site. Σε κάθε επίσκεψη, η διεύθυνση IP του επισκέπτη στελνόταν στη Google για να φορτώσει η γραμματοσειρά, χωρίς να έχει δώσει ο ίδιος συγκατάθεση. Το δικαστήριο διέταξε επίσης το site να σταματήσει την αποστολή. Το site υποστήριξε ότι είχε έννομο συμφέρον, δηλαδή ότι μπορούσε να στείλει τα στοιχεία χωρίς συγκατάθεση επειδή το χρειαζόταν η λειτουργία του. Το δικαστήριο το απέρριψε, γιατί η γραμματοσειρά μπορούσε να χρησιμοποιηθεί και χωρίς να φεύγει τίποτα προς τη Google.

Είναι απόφαση γερμανικού δικαστηρίου πρώτου βαθμού και δεν δεσμεύει κανέναν στην Ελλάδα. Το ποσό είναι μικρό, και οι μαζικές επιστολές που ακολούθησαν στη Γερμανία ζητώντας αποζημιώσεις κρίθηκαν από άλλα δικαστήρια καταχρηστικές. Η λογική όμως είναι αυτή που μετράει: αν το ίδιο αποτέλεσμα γίνεται χωρίς να στείλετε στοιχεία σε τρίτον, είναι δύσκολο να υποστηρίξετε ότι έπρεπε να τα στείλετε.

Ο κώδικας τρίτου κάνει ό,τι και ο δικός σας

Το νομικό είναι το ένα μισό. Το άλλο είναι η ασφάλεια.

Ο κώδικας (script) που έρχεται από τρίτον και φορτώνεται απευθείας στη σελίδα δεν είναι απομονωμένος από την υπόλοιπη σελίδα. Τρέχει μέσα στη σελίδα σας με τις ίδιες δυνατότητες που έχει και ο δικός σας: βλέπει ό,τι βλέπει ο επισκέπτης, μπορεί να αλλάξει ό,τι εμφανίζεται, μπορεί να τον στείλει αλλού. Και τρέχει αυτό που στέλνει ο τρίτος σήμερα, όχι αυτό που υπήρχε τη μέρα που τον βάλατε.

Τον Ιούνιο του 2024 φάνηκε τι σημαίνει αυτό. Μια δωρεάν υπηρεσία με το όνομα polyfill.io, που τη χρησιμοποιούσαν πάρα πολλά sites για να δουλεύουν σωστά σε παλιούς browsers, είχε αγοραστεί μήνες νωρίτερα από νέο ιδιοκτήτη. Ο κώδικάς της άλλαξε και άρχισε να στέλνει επισκέπτες, κυρίως από κινητά, σε σελίδες απάτης. Σύμφωνα με την εταιρεία ασφάλειας Sansec, που δημοσιοποίησε την επίθεση, επηρεάστηκαν πάνω από 100.000 sites. Η Google άρχισε να απορρίπτει διαφημίσεις που οδηγούσαν σε σελίδες με αυτόν τον κώδικα.

Κανένα από αυτά τα sites δεν είχε αλλάξει τίποτα. Οι ιδιοκτήτες τους δεν είχαν κάνει κανένα λάθος εκείνη την εβδομάδα. Το λάθος είχε γίνει συνήθως χρόνια πριν, όταν κάποιος έβαλε στη σελίδα ένα κομμάτι που δεν ήταν δικό του και κανείς δεν το ξανακοίταξε.

Τι μένει σε εσάς

Δεν χρειάζεται να βγει κάθε κομμάτι τρίτου από το site σας. Χρειάζεται όμως να ξέρει κάποιος τι υπάρχει στη σελίδα σας και να το προσέχει στον χρόνο. Ένα κομμάτι που μπήκε κάποτε και δεν το ξανακοίταξε κανείς είναι πόρτα που την ανοίγει άλλος. Αν δεν μπορείτε να πείτε σε ποιες εταιρείες μιλάει σήμερα η σελίδα σας, υπάρχει θέμα. Υπάρχει τρόπος να κρατήσετε ό,τι σας χρειάζεται χωρίς να εκθέτετε τους επισκέπτες σας, και συνήθως χωρίς να χάσουν τίποτα από όσα βλέπουν. Δεν είναι συνταγή που χωράει σε μια λίστα: θέλει δουλειά πάνω στο συγκεκριμένο site, και μαθαίνεται στην πράξη.

Αν θέλετε έτοιμη τη λίστα με τα περισσότερα από όσα φορτώνει η σελίδα σας, με το τι κάνει το καθένα γραμμένο δίπλα, αυτό κάνει το MS-Consent: σαρώνει τη σελίδα, σας δείχνει τι βρήκε, και, στην πράξη, μπλοκάρει τα κομμάτια που θέλουν συγκατάθεση μέχρι να συναινέσει ο επισκέπτης. Και το λέω με την επιφύλαξη που αξίζει: είναι δικό μας.

Η σελίδα σας, οι επισκέπτες σας

Ο επισκέπτης που ανοίγει το site σας εμπιστεύεται εσάς, όχι τις εταιρείες που δεν ξέρει ότι υπάρχουν μέσα στη σελίδα. Για τον νόμο, και για τον ίδιο, αυτό που συμβαίνει στη σελίδα σας είναι δική σας ευθύνη.

Αν δεν ξέρετε τι φορτώνει το site σας από τρίτους, το ελέγχουμε εμείς. Σας δίνουμε γραπτώς τι βρήκαμε και τι προτείνουμε να γίνει. Αν έχετε το MS-Consent στο πακέτο Max, η σελίδα ξανασαρώνεται κάθε χρόνο, ώστε να φαίνεται αν μπήκε κάτι καινούργιο. Για τη συνεχή φροντίδα του site υπάρχει η συντήρηση και υποστήριξη. Στείλτε μας μέσα από τη φόρμα τη διεύθυνση του site σας.

Η συνολική εικόνα: το άρθρο αυτό καλύπτει ένα μέρος ενός μεγαλύτερου θέματος. Αν ψάχνετε ολόκληρη την εικόνα, από την αρχή ως το τέλος, είναι στον οδηγό για την ασφάλεια και τα νομικά του site σας.