Η νομοθεσία για τα cookies στην Ελλάδα

Ποιος νόμος ισχύει για τα cookies στην Ελλάδα;

Ο ελληνικός «νόμος για τα cookies» είναι το άρθρο 4 παρ. 5 του ν. 3471/2006 για την προστασία των δεδομένων προσωπικού χαρακτήρα στις ηλεκτρονικές επικοινωνίες. Με αυτό ενσωματώθηκε η Οδηγία ePrivacy, και η σημερινή του διατύπωση ισχύει από το 2012, όταν αντικαταστάθηκε με το άρθρο 170 του ν. 4070/2012.

Ο κανόνας είναι απλός: η αποθήκευση πληροφοριών στη συσκευή ενός επισκέπτη, ή η πρόσβαση σε πληροφορίες που είναι ήδη αποθηκευμένες εκεί, επιτρέπεται μόνο αν ο επισκέπτης έχει δώσει τη συγκατάθεσή του μετά από σαφή και εκτενή ενημέρωση. Εξαιρούνται δύο περιπτώσεις:

• η τεχνική αποθήκευση ή πρόσβαση που γίνεται αποκλειστικά για τη μετάδοση μιας επικοινωνίας μέσω δικτύου·
• όσα είναι αναγκαία για την παροχή μιας υπηρεσίας που ζήτησε ρητά ο χρήστης, όπως το καλάθι αγορών ή η σύνδεση στον λογαριασμό του.

Ο κανόνας δεν αφορά μόνο τα cookies. Σύμφωνα με την ΑΠΔΠΧ, καλύπτει και το local storage του browser, το ψηφιακό αποτύπωμα της συσκευής (fingerprinting), τα διαφημιστικά αναγνωριστικά των κινητών (IDFA, Android ID) και αναγνωριστικά υλικού όπως η διεύθυνση MAC. Η ΑΠΔΠΧ τα αποκαλεί όλα μαζί «ιχνηλάτες».

Όταν τα cookies επεξεργάζονται προσωπικά δεδομένα, όπως κάνουν σχεδόν πάντα τα cookies παρακολούθησης και διαφήμισης, ισχύει επιπλέον ο ΓΚΠΔ και ο ν. 4624/2019 με τα μέτρα εφαρμογής του στην Ελλάδα. Τον ευρωπαϊκό κανόνα εξηγούμε στον οδηγό Η νομοθεσία της ΕΕ για τα cookies.

Ποια cookies θέλουν συγκατάθεση;

Τα παραδείγματα της πρώτης γραμμής είναι αυτά που αναφέρει η ίδια η ΑΠΔΠΧ ως τεχνικά απαραίτητα. Για τα cookies διαφήμισης η Αρχή τονίζει ότι η συγκατάθεση χρειάζεται είτε τα τοποθετεί ο ίδιος ο ιστότοπος είτε ένα διαφημιστικό δίκτυο μέσω αυτού.

Για τα στατιστικά, οι Συστάσεις 1/2020 λένε ξεκάθαρα ότι το Google Analytics χρειάζεται συγκατάθεση. Στη θεματική της σελίδα για τα cookies στατιστικών, η ΑΠΔΠΧ σημειώνει επιπλέον ότι, όταν τα cookies στατιστικών είναι πρώτου μέρους και τα τοποθετεί ο ίδιος ο ιστότοπος, ο κίνδυνος είναι χαμηλός και αρκεί να δίνεται δυνατότητα εναντίωσης (opt-out). Ο νόμος όμως δεν προβλέπει ρητή εξαίρεση για τα στατιστικά, οπότε αν δεν είσαι σίγουρος, ζήτα συγκατάθεση. Περισσότερα στους οδηγούς Τι είναι τα cookies; και Google Analytics και ΓΚΠΔ.

Και για τα cookies που δεν χρειάζονται συγκατάθεση πρέπει να ενημερώνεις τους επισκέπτες, για παράδειγμα σε μια πολιτική cookies.

Ποιος κάνει τους ελέγχους;

Αρμόδια είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Σύμφωνα με το άρθρο 13 του ν. 3471/2006, η ΑΠΔΠΧ έχει και για την τήρηση αυτού του νόμου τις αρμοδιότητες που έχει για την προστασία δεδομένων, και επιβάλλει τις διοικητικές κυρώσεις του. Η ίδια Αρχή εποπτεύει τον ΓΚΠΔ. Σε αντίθεση με χώρες όπως η Ολλανδία, στην Ελλάδα δεν υπάρχει δεύτερη αρχή για τα cookies: ένας φορέας ελέγχει και το banner και την επεξεργασία των δεδομένων.

Ο νόμος αναθέτει επίσης στην ΑΠΔΠΧ να ορίζει με πράξη της πώς δίνεται η ενημέρωση και πώς δηλώνεται η συγκατάθεση. Αυτό έκανε με τις Συστάσεις 1/2020.

Τι ζητά η ΑΠΔΠΧ: οι Συστάσεις 1/2020

Στις 25 Φεβρουαρίου 2020 η ΑΠΔΠΧ δημοσίευσε τις Συστάσεις 1/2020, αφού διαπίστωσε σε ικανό βαθμό έλλειψη συμμόρφωσης των ελληνικών ιστοτόπων, και έδωσε στους υπευθύνους επεξεργασίας δύο μήνες για να προσαρμοστούν. Τα βασικά σημεία:

Ενημέρωση

• Το banner δίνει ειδική ενημέρωση για τον σκοπό κάθε ιχνηλάτη, όχι ένα γενικό «χρησιμοποιούμε cookies για καλύτερη εμπειρία».
• Για κάθε ιχνηλάτη ή κατηγορία αναφέρεις τη διάρκεια, ποιος είναι ο υπεύθυνος επεξεργασίας και ποιοι είναι οι αποδέκτες.
• Μια γενική αναφορά μέσα στην πολιτική απορρήτου δεν αρκεί. Το κείμενο πρέπει να διαβάζεται άνετα και στο κινητό.

Συγκατάθεση

• Η συγκατάθεση απαιτεί σαφή θετική ενέργεια. Προσυμπληρωμένα κουτάκια, η απλή συνέχιση της περιήγησης ή το scrolling δεν μετρούν. Για τα προσυμπληρωμένα κουτάκια το ίδιο έκρινε το 2019 και το Δικαστήριο της ΕΕ στην υπόθεση Planet49.
• Όσο ο επισκέπτης δεν έχει επιλέξει τίποτα, δεν τοποθετείται κανένας μη απαραίτητος ιχνηλάτης. Το κλείσιμο του banner δεν είναι συγκατάθεση.
• Ο επισκέπτης πρέπει να μπορεί, από το ίδιο επίπεδο και με τον ίδιο αριθμό κλικ, να αποδεχτεί ή να απορρίψει, είτε όλους τους ιχνηλάτες είτε ανά κατηγορία. Μια επιλογή «Απόρριψη» μόνο μέσα στις «Ρυθμίσεις» δεν αρκεί.
• Η Αρχή συνιστά κουμπιά ίδιου μεγέθους, τονισμού και χρώματος, ώστε η αποδοχή να μην «σπρώχνεται».
• Η ανάκληση πρέπει να γίνεται με τον ίδιο τρόπο και την ίδια ευκολία με τη συγκατάθεση, και όχι μόνο από τις ρυθμίσεις του browser.
• Η άρνηση δεν πρέπει να κλειδώνει το περιεχόμενο (όχι cookie walls).
• Η επιλογή του επισκέπτη διατηρείται για το ίδιο διάστημα είτε αποδεχτεί είτε απορρίψει. Δεν ξαναρωτάς συνεχώς όσους απέρριψαν.
• Οι προεπιλεγμένες ρυθμίσεις του browser δεν θεωρούνται συγκατάθεση.

Πώς ελέγχει η ΑΠΔΠΧ στην πράξη

Η ΑΠΔΠΧ ελέγχει κυρίως με αυτεπάγγελτες δράσεις και επιστολές:

• 2015: συμμετείχε στην ευρωπαϊκή δράση «cookie sweep» της Ομάδας Εργασίας του Άρθρου 29, με έλεγχο 30 ελληνικών ιστοτόπων.
• Δεκέμβριος 2018 – Ιανουάριος 2019: σε έλεγχο 65 υπευθύνων επεξεργασίας (τράπεζες, ασφαλιστικές, ηλεκτρονικά καταστήματα, εισιτήρια, δημόσιος τομέας) διαπίστωσε έλλειψη συμμόρφωσης με τη νομοθεσία για τα cookies στο σύνολο σχεδόν των ιστοτόπων.
• Φεβρουάριος 2020: εξέδωσε τις Συστάσεις 1/2020.
• Μάιος 2022: έστειλε επιστολές σε 30 ενημερωτικούς ιστοτόπους με υψηλή επισκεψιμότητα, των οποίων το banner έδειχνε μόνο «Συμφωνώ» και «Περισσότερες επιλογές», με το «Συμφωνώ» τονισμένο. Τους έδωσε 15 ημέρες· συμμορφώθηκαν όλοι εκτός από έναν. Η Αρχή δήλωσε ότι ασκεί τις ελεγκτικές της αρμοδιότητες κατά προτεραιότητα σε αυτόν τον τομέα και ότι μπορεί να επιβάλει διοικητικές κυρώσεις.

Η ΑΠΔΠΧ έχει κρίνει και παράβαση του άρθρου 4 παρ. 5: με την απόφαση 50/2021 απηύθυνε επίπληξη στο Υπουργείο Παιδείας για πρόσβαση σε πληροφορίες στη συσκευή των χρηστών, στο πλαίσιο της εξ αποστάσεως εκπαίδευσης, χωρίς νόμιμη βάση. Πρόστιμο για cookies σε ιστότοπο δεν βρήκαμε στις δημοσιευμένες αποφάσεις της. Αυτό δεν σημαίνει ότι δεν υπάρχει κίνδυνος· δες τον οδηγό Πρόστιμα για cookies.

Οι επισκέπτες μπορούν επίσης να υποβάλουν καταγγελία στην ΑΠΔΠΧ μέσω της ιστοσελίδας της.

Πώς συμμορφώνεσαι

1. Μάθε τι τοποθετεί ο ιστότοπός σου. Ένας σαρωτής cookies βρίσκει και τα cookies από plugins και ενσωματωμένο περιεχόμενο.
2. Αναρωτήσου αν τα χρειάζεσαι όλα. Χωρίς ιχνηλάτες που θέλουν συγκατάθεση, δεν χρειάζεσαι banner συγκατάθεσης.
3. Χώρισε τα υπόλοιπα ανά σκοπό: απαραίτητα, στατιστικά, διαφήμιση.
4. Βάλε banner με «Αποδοχή» και «Απόρριψη» στο πρώτο επίπεδο, ίδιου μεγέθους και χρώματος, και ειδική ενημέρωση για κάθε σκοπό.
5. Απόκλεισε κάθε ιχνηλάτη που χρειάζεται συγκατάθεση μέχρι να πει ναι ο επισκέπτης, και κράτησέ τον αποκλεισμένο μετά από απόρριψη.
6. Χρησιμοποιείς Google Ads ή Google Analytics; Μετάδωσε την επιλογή με το Google Consent Mode v2.
7. Δημοσίευσε πολιτική cookies με κάθε cookie, τον σκοπό, τη διάρκεια και τον πάροχο.
8. Κράτα αποδείξεις συγκατάθεσης και δώσε έναν μόνιμο σύνδεσμο για αλλαγή της επιλογής.

Το Cookie Confirm σε βοηθά στα βήματα 1 και 3 έως 8: ο σαρωτής ελέγχει τον ιστότοπό σου κάθε μήνα (και όποτε θέλεις), το banner αποκλείει scripts μέχρι τη συγκατάθεση και μεταβιβάζει την επιλογή στο Google Consent Mode v2, η πολιτική cookies δημιουργείται και ενημερώνεται αυτόματα και κάθε συγκατάθεση καταγράφεται για 12 μήνες. Δεν θέλεις να το εγκαταστήσεις μόνος σου; Η δωρεάν Setup Service το αναλαμβάνει μέσα σε 24 ώρες αφού μας δώσεις πρόσβαση.

Πηγές

• Ν. 3471/2006, άρθρα 4 παρ. 5, 5 παρ. 3 και 13, με τις τροποποιήσεις του ν. 4070/2012 (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
• Ν. 4624/2019 με ενσωματωμένες τις τροποποιήσεις (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
• ΑΠΔΠΧ: Νομοθεσία για την προστασία προσωπικών δεδομένων
• ΑΠΔΠΧ: Συστάσεις 1/2020 για τη συμμόρφωση υπευθύνων επεξεργασίας με την ειδική νομοθεσία για τις ηλεκτρονικές επικοινωνίες (25 Φεβρουαρίου 2020)
• ΑΠΔΠΧ: Συστάσεις 1/2020 (PDF)
• ΑΠΔΠΧ: Η χρήση cookies και συναφών τεχνολογιών στο διαδίκτυο
• ΑΠΔΠΧ: Ενημέρωση και συγκατάθεση συνδρομητή ή χρήστη
• ΑΠΔΠΧ: Cookies στατιστικής ανάλυσης
• ΑΠΔΠΧ: Cookies διαφήμισης
• ΑΠΔΠΧ: Συμμετοχή της ελληνικής Αρχής στην ευρωπαϊκή δράση cookie sweep (3 Μαρτίου 2015)
• ΑΠΔΠΧ: Αρχικά συμπεράσματα από αυτεπάγγελτη δράση της Αρχής (31 Ιανουαρίου 2019)
• ΑΠΔΠΧ: Δράση της Αρχής για τα cookies σε ιστοσελίδες ενημερωτικού περιεχομένου (9 Μαΐου 2022)
• ΑΠΔΠΧ: Απόφαση 50/2021, εξ αποστάσεως εκπαίδευση από το Υπουργείο Παιδείας
• ΑΠΔΠΧ: Υποβολή καταγγελίας
• ΔΕΕ: Υπόθεση C-673/17, Planet49
• Ευρωπαϊκή Επιτροπή: Digital Package (Digital Omnibus), συχνές ερωτήσεις