Η νομοθεσία της ΕΕ για τα cookies: η Οδηγία ePrivacy και ο ΓΚΠΔ

Από πού προέρχεται ο κανόνας της ΕΕ για τα cookies

Ο κανόνας που οι περισσότεροι αποκαλούν «νόμο της ΕΕ για τα cookies» είναι το άρθρο 5 παρ. 3 της Οδηγίας 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (Οδηγία ePrivacy). Μετά την τροποποίησή του από την Οδηγία 2009/136/ΕΚ, ορίζει ότι η αποθήκευση πληροφοριών στη συσκευή ενός χρήστη, ή η πρόσβαση σε πληροφορίες που είναι ήδη αποθηκευμένες εκεί, επιτρέπεται μόνο αν ο χρήστης έχει δώσει τη συγκατάθεσή του αφού έλαβε σαφή και πλήρη ενημέρωση. Τα κράτη μέλη έπρεπε να εφαρμόζουν τον τροποποιημένο κανόνα από τις 25 Μαΐου 2011.

Υπάρχουν δύο εξαιρέσεις. Δεν χρειάζεται συγκατάθεση για αποθήκευση ή πρόσβαση που:

• χρησιμοποιείται μόνο για τη μετάδοση μιας επικοινωνίας μέσω δικτύου, ή
• είναι απολύτως απαραίτητη για την παροχή μιας υπηρεσίας που ζήτησε ρητά ο χρήστης, όπως ένα καλάθι αγορών, μια σύνδεση ή η αποθήκευση της επιλογής του επισκέπτη για τα cookies.

Όλα τα υπόλοιπα, όπως στατιστικά, διαφήμιση, retargeting και pixels social media, χρειάζονται κατ’ αρχήν συγκατάθεση. Ορισμένες εθνικές εποπτικές αρχές επιτρέπουν στενές εξαιρέσεις για μέτρηση επισκεψιμότητας φιλική προς την ιδιωτικότητα· δες τους οδηγούς ανά χώρα παρακάτω.

Όχι μόνο cookies

Ο κανόνας είναι τεχνολογικά ουδέτερος. Στις Κατευθυντήριες γραμμές 2/2023 για το τεχνικό πεδίο εφαρμογής του άρθρου 5 παρ. 3, που εγκρίθηκαν στην τελική τους μορφή τον Οκτώβριο του 2024, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) εξηγεί ότι καλύπτει επίσης pixels παρακολούθησης, συνδέσμους παρακολούθησης, local storage, ορισμένες μορφές fingerprinting και παρόμοιες τεχνικές. Περισσότερα στον οδηγό Τι είναι τα cookies;

Πώς το εφαρμόζουν τα κράτη μέλη

Επειδή πρόκειται για οδηγία, κάθε κράτος μέλος έχει ενσωματώσει τον κανόνα στο δικό του δίκαιο, και το καθένα έχει τη δική του εποπτική αρχή. Η Ελλάδα και μερικά άλλα παραδείγματα:

Στην Ελλάδα, η ΑΠΔΠΧ έχει εξειδικεύσει τον κανόνα με τις Συστάσεις 1/2020: απόρριψη από το ίδιο επίπεδο και με τον ίδιο αριθμό κλικ με την αποδοχή, συγκατάθεση για το Google Analytics και αποφυγή των cookie walls.

Οι διαφορές βρίσκονται στις λεπτομέρειες: αν επιτρέπονται τα cookie walls, πόσο καιρό πρέπει να θυμάται κανείς μια επιλογή, αν τα στατιστικά μπορούν να εξαιρεθούν και πόσο υψηλά είναι τα πρόστιμα. Ο οδηγός μας για τα πρόστιμα για cookies συγκρίνει την πλευρά της επιβολής.

Τι προσθέτει ο ΓΚΠΔ

Η Οδηγία ePrivacy δεν ορίζει η ίδια τη συγκατάθεση· παραπέμπει στον ορισμό της νομοθεσίας για την προστασία δεδομένων, σήμερα τον ΓΚΠΔ. Άρα η συγκατάθεση για τα cookies πρέπει να είναι:

• Ελεύθερη: πραγματική επιλογή, χωρίς πίεση. Η πρόσβαση σε έναν ιστότοπο κατά κανόνα δεν πρέπει να εξαρτάται από την αποδοχή της παρακολούθησης· δες τον οδηγό για τα cookie walls.
• Συγκεκριμένη: ανά σκοπό, όχι δηλαδή ένα «αποδοχή» για όλα χωρίς δυνατότητα επιλογής.
• Εν επιγνώσει: ο επισκέπτης ξέρει ποιος τοποθετεί ποια cookies, για ποιον σκοπό και για πόσο.
• Αδιαμφισβήτητη: με σαφή, ενεργητική πράξη. Η σιωπή, η κύλιση ή η συνέχιση της περιήγησης δεν αποτελούν συγκατάθεση.

Ο επισκέπτης πρέπει επίσης να μπορεί να ανακαλέσει τη συγκατάθεση εξίσου εύκολα με το πώς την έδωσε.

Όταν τα cookies επεξεργάζονται προσωπικά δεδομένα, όπως κάνουν σχεδόν πάντα τα cookies παρακολούθησης, ο ΓΚΠΔ ισχύει και για αυτή την επεξεργασία: χρειάζεσαι νομική βάση, πρέπει να παρέχεις ενημέρωση και να σέβεσαι τα δικαιώματα των υποκειμένων των δεδομένων.

Planet49: η καθοριστική δικαστική υπόθεση

Στην υπόθεση Planet49 (υπόθεση C-673/17, 1 Οκτωβρίου 2019), το Δικαστήριο της ΕΕ έκρινε ότι:

• ένα προεπιλεγμένο κουτάκι δεν αποτελεί έγκυρη συγκατάθεση·
• η απαίτηση συγκατάθεσης ισχύει είτε οι πληροφορίες είναι προσωπικά δεδομένα είτε όχι·
• η ενημέρωση των χρηστών πρέπει να περιλαμβάνει πόσο διαρκούν τα cookies και αν έχουν πρόσβαση σε αυτά τρίτοι.

Τι αλλάζει και τι όχι

Ο Κανονισμός ePrivacy αποσύρθηκε

Το 2017 η Επιτροπή πρότεινε έναν Κανονισμό ePrivacy που θα αντικαθιστούσε την οδηγία. Μετά από χρόνια χωρίς συμφωνία, ανακοίνωσε την απόσυρσή του στο πρόγραμμα εργασίας του 2025, και η απόσυρση δημοσιεύθηκε στην Επίσημη Εφημερίδα στις 6 Οκτωβρίου 2025. Η Οδηγία ePrivacy επομένως εξακολουθεί να ισχύει.

Το Digital Omnibus είναι πρόταση, όχι νόμος

Στις 19 Νοεμβρίου 2025 η Επιτροπή παρουσίασε το Digital Omnibus (διαδικασία 2025/0360(COD)). Προτείνει, μεταξύ άλλων, να μεταφερθούν από την Οδηγία ePrivacy στον ΓΚΠΔ οι κανόνες για την πρόσβαση σε συσκευές που αφορά προσωπικά δεδομένα, να απαιτείται επιλογή άρνησης με ένα κλικ, οι ιστότοποι να σέβονται μια επιλογή για τουλάχιστον έξι μήνες, οι χρήστες να μπορούν να ορίζουν τις επιλογές τους κεντρικά (για παράδειγμα στον browser) και να εξαιρούνται από τη συγκατάθεση ορισμένες χρήσεις χαμηλού κινδύνου, όπως η καταμέτρηση επισκέψεων.

Τον Οκτώβριο του 2026 αυτό παραμένει πρόταση: οι επιτροπές του Ευρωπαϊκού Κοινοβουλίου επεξεργάζονται την έκθεσή τους και το Συμβούλιο δεν έχει υιοθετήσει θέση. Κράτη μέλη και ευρωβουλευτές έχουν προτείνει αλλαγές, οπότε το τελικό κείμενο μπορεί να είναι διαφορετικό. Μέχρι να εγκριθεί και να τεθεί σε εφαρμογή, ισχύουν οι εθνικοί νόμοι για τα cookies που αναφέρονται παραπάνω.

Το Ηνωμένο Βασίλειο είναι ξεχωριστή περίπτωση

Μετά το Brexit, το Ηνωμένο Βασίλειο έχει δικούς του κανόνες: τον κανονισμό 6 των PECR μαζί με τον UK GDPR, με την ICO να τους επιβάλλει. Ο Data (Use and Access) Act 2025 πρόσθεσε νέες εξαιρέσεις, για παράδειγμα για ορισμένα στατιστικά, που δεν υπάρχουν στην ΕΕ. Δες τον οδηγό για τη νομοθεσία για τα cookies στο Ηνωμένο Βασίλειο (στα αγγλικά).

Πώς συμμορφώνεσαι σε όλη την ΕΕ

1. Σάρωσε τον ιστότοπό σου για κάθε cookie, pixel και script, μαζί με όσα προέρχονται από plugins και ενσωματωμένο περιεχόμενο.
2. Απόκλεισε ό,τι χρειάζεται συγκατάθεση μέχρι ο επισκέπτης να συμφωνήσει.
3. Πρόσφερε πραγματική επιλογή: «Αποδοχή» και «Απόρριψη» εξίσου εμφανή στο πρώτο επίπεδο, και ρυθμίσεις ανά σκοπό.
4. Ενημέρωσε με σαφήνεια στο banner και σε μια πολιτική cookies.
5. Κάνε την ανάκληση εύκολη, για παράδειγμα με έναν σύνδεσμο σε κάθε σελίδα.
6. Κράτα αποδείξεις για κάθε συγκατάθεση.
7. Ακολούθησε τους αυστηρότερους κανόνες εκεί όπου έχεις επισκέπτες, ή χρησιμοποίησε γεωγραφικούς κανόνες ανά χώρα.
8. Χρησιμοποίησε το Google Consent Mode v2 αν χρησιμοποιείς Google Ads ή Analytics· δες τον οδηγό Το Google Consent Mode v2 με απλά λόγια.

Το Cookie Confirm καλύπτει αυτά τα βήματα: μηνιαία σάρωση με απεριόριστες νέες σαρώσεις, αποκλεισμό scripts μέχρι τη συγκατάθεση, γεωγραφικούς κανόνες ανά χώρα, ένα banner στο στυλ του brand σου που εμφανίζεται στη γλώσσα του επισκέπτη (29+ γλώσσες), δήλωση cookies που δημιουργείται από τη σάρωση και αρχείο συγκαταθέσεων που τηρείται για 12 μήνες. Με 7,95 € ανά ιστότοπο τον μήνα, με δωρεάν δοκιμή 7 ημερών.

Πηγές

• EUR-Lex: Οδηγία 2002/58/ΕΚ (Οδηγία ePrivacy)
• EUR-Lex: Οδηγία 2009/136/ΕΚ
• EUR-Lex: Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ)
• ΔΕΕ: Υπόθεση C-673/17, Planet49 (1 Οκτωβρίου 2019)
• ΕΣΠΔ: Κατευθυντήριες γραμμές 2/2023 για το τεχνικό πεδίο εφαρμογής του άρθρου 5 παρ. 3 της Οδηγίας ePrivacy
• ΕΣΠΔ: Κατευθυντήριες γραμμές 05/2020 σχετικά με τη συγκατάθεση
• Συμβούλιο της ΕΕ: σημείωμα για τις προτάσεις της Επιτροπής που αποσύρθηκαν, ΕΕ C/2025/5423 (Οκτώβριος 2025)
• EUR-Lex: διαδικασία 2017/0003(COD), Κανονισμός ePrivacy
• Ευρωπαϊκή Επιτροπή: Digital Package (Digital Omnibus), συχνές ερωτήσεις
• Legislative Observatory του Ευρωπαϊκού Κοινοβουλίου: διαδικασία 2025/0360(COD)
• Ν. 3471/2006, άρθρο 4 παρ. 5 (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
• ΑΠΔΠΧ: Συστάσεις 1/2020 για τα cookies και τους άλλους ιχνηλάτες
• Wetten.nl: Telecommunicatiewet, άρθρο 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (άρθρο 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)