Ποιος επιβάλλει πρόστιμα για cookies στην Ελλάδα;
Στην Ελλάδα ισχύουν δύο νόμοι, αλλά υπάρχει μία αρχή:
- Ο ν. 3471/2006 (άρθρο 4 παρ. 5), ο ελληνικός νόμος για τα cookies. Ορίζει πότε επιτρέπεται να αποθηκεύεις πληροφορίες στη συσκευή του επισκέπτη ή να τις διαβάζεις από εκεί.
- Ο ΓΚΠΔ, μαζί με τον ν. 4624/2019. Ισχύει μόλις τα cookies επεξεργάζονται προσωπικά δεδομένα, κάτι που τα cookies παρακολούθησης κάνουν σχεδόν πάντα.
Και για τους δύο αρμόδια είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Σύμφωνα με το άρθρο 13 του ν. 3471/2006, η ΑΠΔΠΧ επιβάλλει και τις διοικητικές κυρώσεις για τις παραβάσεις αυτού του νόμου.
Επειδή ο κανόνας για τα cookies δεν αποτελεί μέρος του ΓΚΠΔ, ο μηχανισμός μίας στάσης του ΓΚΠΔ δεν ισχύει γι’ αυτόν: κάθε εθνική αρχή μπορεί να ενεργήσει για τις συσκευές των χρηστών της χώρας της. Γι’ αυτό η γαλλική CNIL μπόρεσε να τιμωρήσει τη Google και τη Shein για cookies σε Γάλλους χρήστες, παρότι η ευρωπαϊκή τους έδρα είναι στην Ιρλανδία· το γαλλικό Συμβούλιο της Επικρατείας επικύρωσε τον Ιανουάριο του 2022 την απόφαση της CNIL του 2020 κατά της Google.
Πόσο υψηλά μπορούν να φτάσουν τα πρόστιμα;
| Νόμος | Ανώτατο όριο |
|---|---|
| ΓΚΠΔ, άρθρο 83 παρ. 5 (βασικές αρχές, νομική βάση, προϋποθέσεις συγκατάθεσης) | 20 εκατ. € ή, για επιχειρήσεις, 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο |
| ΓΚΠΔ, άρθρο 83 παρ. 4 (άλλες υποχρεώσεις, όπως η προστασία δεδομένων ήδη από τον σχεδιασμό) | 10 εκατ. € ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών |
| Ν. 4624/2019, άρθρο 39 (φορείς του δημόσιου τομέα) | 10 εκατ. € |
| Ν. 3471/2006, άρθρο 13 παρ. 4, που παραπέμπει στο άρθρο 21 του ν. 2472/1997 | Προειδοποίηση με προθεσμία, πρόστιμο έως 50 εκατ. δραχμές (περίπου 146.735 €) και άλλες κυρώσεις |
Το άρθρο 21 του παλιού ν. 2472/1997 καταργήθηκε μαζί με τον υπόλοιπο νόμο, αλλά το άρθρο 84 του ν. 4624/2019 το διατηρεί σε ισχύ ακριβώς για τις κυρώσεις του ν. 3471/2006. Το ποσό είναι ακόμα γραμμένο σε δραχμές· το ποσό σε ευρώ είναι η μετατροπή με τη σταθερή ισοτιμία. Στην πράξη, όταν τα cookies επεξεργάζονται προσωπικά δεδομένα, η ΑΠΔΠΧ μπορεί να εφαρμόσει και τις εξουσίες του ΓΚΠΔ.
Αυτά είναι ανώτατα όρια. Το πραγματικό ποσό εξαρτάται από τα κριτήρια του άρθρου 83 παρ. 2 ΓΚΠΔ: τη φύση, τη βαρύτητα και τη διάρκεια της παράβασης, τον αριθμό των θιγόμενων, αν έγινε εκ προθέσεως ή από αμέλεια, τι έκανε η επιχείρηση για να περιορίσει τη ζημία και το μέγεθός της. Πρόστιμο δεν είναι η μόνη κύρωση: η Αρχή μπορεί να απευθύνει επίπληξη ή να δώσει εντολή να διορθώσεις την επεξεργασία μέσα σε προθεσμία.
Πώς ελέγχει η ΑΠΔΠΧ στην πράξη
Η ΑΠΔΠΧ μέχρι σήμερα αντιμετωπίζει τα cookies κυρίως με αυτεπάγγελτους ελέγχους, συστάσεις και προθεσμίες:
| Πότε | Τι έκανε η ΑΠΔΠΧ | Αποτέλεσμα |
|---|---|---|
| Δεκέμβριος 2018 – Ιανουάριος 2019 | Έλεγξε 65 υπευθύνους επεξεργασίας (τράπεζες, ασφαλιστικές, ηλεκτρονικά καταστήματα, εισιτήρια, δημόσιος τομέας) | Έλλειψη συμμόρφωσης με τη νομοθεσία για τα cookies στο σύνολο σχεδόν των ιστοτόπων |
| 25 Φεβρουαρίου 2020 | Εξέδωσε τις Συστάσεις 1/2020 για τα cookies και τους άλλους ιχνηλάτες | Προθεσμία δύο μηνών σε όλους τους ιστοτόπους για προσαρμογή |
| 16 Νοεμβρίου 2021 | Απόφαση 50/2021 για την εξ αποστάσεως εκπαίδευση του Υπουργείου Παιδείας | Επίπληξη και εντολή συμμόρφωσης, μεταξύ άλλων για πρόσβαση σε πληροφορίες στη συσκευή των χρηστών κατά παράβαση του άρθρου 4 παρ. 5 |
| Μάιος 2022 | Επιστολές σε 30 ενημερωτικούς ιστοτόπους με υψηλή επισκεψιμότητα: στο banner έλειπε το «Απορρίπτω» και το «Συμφωνώ» ήταν τονισμένο | Προθεσμία 15 ημερών· συμμορφώθηκαν όλοι εκτός από έναν |
Πρόστιμο για cookies σε ιστότοπο δεν βρήκαμε στις δημοσιευμένες αποφάσεις της ΑΠΔΠΧ. Αυτό δεν είναι λόγος για εφησυχασμό. Η Αρχή έγραψε το 2022 ότι παρακολουθεί τη χρήση ιχνηλατών, ότι ασκεί τις ελεγκτικές της αρμοδιότητες κατά προτεραιότητα σε αυτόν τον τομέα και ότι σε περίπτωση μη συμμόρφωσης μπορεί να επιβάλει διοικητικές κυρώσεις. Επιβάλλει ήδη πρόστιμα για άλλα άρθρα του ίδιου νόμου: με την απόφαση 38/2022 επέβαλε σε πάροχο κινητής τηλεφωνίας πρόστιμο 150.000 € για παραβάσεις του άρθρου 12 του ν. 3471/2006. Και οι επισκέπτες μπορούν να υποβάλουν καταγγελία στην ΑΠΔΠΧ.
Τι ελέγχει η Αρχή, θα το βρεις στον οδηγό για τη νομοθεσία για τα cookies στην Ελλάδα.
Τα μεγαλύτερα πρόστιμα για cookies στην Ευρώπη
Σε άλλες χώρες της ΕΕ οι αρχές έχουν ήδη επιβάλει υψηλά πρόστιμα για cookies. Η γαλλική CNIL είναι μακράν η πιο δραστήρια. Όλα τα ποσά προέρχονται από τις δημοσιεύσεις των ίδιων των αρχών:
| Ημερομηνία απόφασης | Εποπτική αρχή | Εταιρεία | Πρόστιμο | Τι πήγε στραβά |
|---|---|---|---|---|
| 7 Δεκεμβρίου 2020 | CNIL (Γαλλία) | Google LLC και Google Ireland | 100 εκατ. € | Διαφημιστικά cookies στο google.fr χωρίς προηγούμενη συγκατάθεση, ελλιπής ενημέρωση |
| 31 Δεκεμβρίου 2021 | CNIL (Γαλλία) | Google LLC και Google Ireland | 150 εκατ. € | Η απόρριψη των cookies στο google.fr και στο youtube.com ήθελε περισσότερα κλικ από την αποδοχή |
| 31 Δεκεμβρίου 2021 | CNIL (Γαλλία) | Facebook Ireland (σήμερα Meta Platforms Ireland) | 60 εκατ. € | Η απόρριψη των cookies στο facebook.com δεν ήταν τόσο εύκολη όσο η αποδοχή |
| 19 Δεκεμβρίου 2022 | CNIL (Γαλλία) | Microsoft Ireland Operations | 60 εκατ. € | Η απόρριψη των cookies στο bing.com δεν ήταν τόσο εύκολη όσο η αποδοχή |
| Ιούλιος 2024 | AP (Ολλανδία) | AS Watson, η εταιρεία πίσω από το Kruidvat.nl | 600.000 €, μειωμένο σε 50.000 € μετά από ένσταση (Μάιος 2025) | Cookies παρακολούθησης με προεπιλεγμένα κουτάκια |
| 1 Σεπτεμβρίου 2025 | CNIL (Γαλλία) | Google LLC και Google Ireland | 325 εκατ. € | Διαφημίσεις στο Gmail χωρίς συγκατάθεση, και cookies κατά τη δημιουργία λογαριασμού χωρίς έγκυρη συγκατάθεση |
| 1 Σεπτεμβρίου 2025 | CNIL (Γαλλία) | Infinite Styles Services (Shein) | 150 εκατ. € | Διαφημιστικά cookies πριν από οποιαδήποτε επιλογή, το «Απόρριψη όλων» δεν γινόταν σεβαστό |
Τα λάθη αυτά είναι τα ίδια που επισημαίνει η ΑΠΔΠΧ στις Συστάσεις 1/2020: η απόρριψη πιο δύσκολη από την αποδοχή, cookies πριν από την επιλογή, προεπιλεγμένα κουτάκια. Και δεν τιμωρούνται μόνο οι κολοσσοί: η CNIL επιβάλλει επίσης πρόστιμα λίγων χιλιάδων ευρώ σε καταστήματα, εκδότες και ακόμα και σε τοπικές αρχές, και μόνο το 2025 επέβαλε κυρώσεις σε 21 οργανισμούς για cookies και άλλους ιχνηλάτες.
Άλλοι κίνδυνοι: αγωγές αποζημίωσης
Εκτός από τα πρόστιμα, οι επισκέπτες μπορούν να ζητήσουν αποζημίωση στα πολιτικά δικαστήρια:
- Άρθρο 82 ΓΚΠΔ. Όποιος υφίσταται υλική ή ηθική ζημία από παράβαση του ΓΚΠΔ δικαιούται αποζημίωση. Στην υπόθεση Österreichische Post (C-300/21, 4 Μαΐου 2023) το Δικαστήριο της ΕΕ έκρινε ότι η παράβαση από μόνη της δεν αρκεί: πρέπει να υπάρχει πραγματική ζημία και αιτιώδης σύνδεσμος, χωρίς όμως ελάχιστο όριο σοβαρότητας.
- Άρθρο 14 ν. 3471/2006. Ο ελληνικός νόμος για τις ηλεκτρονικές επικοινωνίες έχει δική του διάταξη για την αστική ευθύνη: όποιος τον παραβιάζει οφείλει πλήρη αποζημίωση για περιουσιακή ζημία, και η χρηματική ικανοποίηση λόγω ηθικής βλάβης ορίζεται κατ’ ελάχιστο σε 10.000 €, εκτός αν ο ενάγων ζητήσει μικρότερο ποσό. Οι αξιώσεις εκδικάζονται ανεξάρτητα από το αν η ΑΠΔΠΧ έχει εκδώσει απόφαση.
Πώς μένεις μακριά από προβλήματα
- Κανένα cookie πριν από τη συγκατάθεση. Απόκλεισε κάθε script που χρειάζεται συγκατάθεση μέχρι ο επισκέπτης να συμφωνήσει, και κράτησέ το αποκλεισμένο μετά από απόρριψη.
- Απόρριψη εξίσου εύκολη με την αποδοχή. Βάλε το «Απόρριψη» στο πρώτο επίπεδο, με τον ίδιο αριθμό κλικ και με κουμπί ίδιου μεγέθους και χρώματος. Αυτό ακριβώς ζήτησε η ΑΠΔΠΧ από τους ενημερωτικούς ιστοτόπους το 2022.
- Τίποτα προεπιλεγμένο. Ούτε κουτάκια, ούτε «συνεχίζοντας την περιήγηση αποδέχεσαι».
- Ειδική ενημέρωση. Εξήγησε τον σκοπό, τη διάρκεια και τους τρίτους, στο banner και σε μια πολιτική cookies.
- Καμία εξαναγκασμένη συγκατάθεση. Η ΑΠΔΠΧ ζητά να αποφεύγονται τα cookie walls.
- Κράτα αποδείξεις. Ο ν. 3471/2006 ζητά η ηλεκτρονική συγκατάθεση να καταγράφεται με ασφαλή τρόπο και να μπορεί να ανακληθεί οποτεδήποτε.
- Έλεγχε τακτικά. Νέα plugins και tags προσθέτουν cookies χωρίς να το καταλάβει κανείς.
Χρησιμοποιείς Google Analytics ή Google Ads; Διάβασε και τους οδηγούς Google Analytics και ΓΚΠΔ και Google Consent Mode v2.
Το Cookie Confirm φροντίζει τα περισσότερα από αυτά τα βήματα, με 7,95 € ανά ιστότοπο τον μήνα: ο σαρωτής ελέγχει τον ιστότοπό σου κάθε μήνα (συν απεριόριστες νέες σαρώσεις), τα scripts μένουν αποκλεισμένα μέχρι τη συγκατάθεση, η αποδοχή και η απόρριψη βρίσκονται δίπλα δίπλα στο στυλ του brand σου, η πολιτική cookies δημιουργείται από τη σάρωση και κάθε συγκατάθεση καταγράφεται για 12 μήνες και εξάγεται. Δοκίμασέ το δωρεάν για 7 ημέρες.
Πηγές
- Ν. 3471/2006, άρθρα 4 παρ. 5, 5 παρ. 3, 13 και 14 (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
- Ν. 2472/1997, άρθρο 21 (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
- Ν. 4624/2019, άρθρα 39 και 84, με ενσωματωμένες τις τροποποιήσεις (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
- EUR-Lex: Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), άρθρα 82 και 83
- EUR-Lex: Κανονισμός (ΕΚ) 1478/2000 για την ισοτιμία μετατροπής της δραχμής
- ΑΠΔΠΧ: Συστάσεις 1/2020 (25 Φεβρουαρίου 2020)
- ΑΠΔΠΧ: Αρχικά συμπεράσματα από αυτεπάγγελτη δράση της Αρχής (31 Ιανουαρίου 2019)
- ΑΠΔΠΧ: Δράση της Αρχής για τα cookies σε ιστοσελίδες ενημερωτικού περιεχομένου (9 Μαΐου 2022)
- ΑΠΔΠΧ: Απόφαση 50/2021, εξ αποστάσεως εκπαίδευση από το Υπουργείο Παιδείας
- ΑΠΔΠΧ: Απόφαση 38/2022, πρόστιμο για παραβίαση του άρθρου 12 ν. 3471/2006
- ΑΠΔΠΧ: Υποβολή καταγγελίας
- CNIL: Οι κυρώσεις που έχει επιβάλει η CNIL
- CNIL: Το Συμβούλιο της Επικρατείας επικυρώνει την κύρωση του 2020 κατά της Google
- CNIL: Κλείσιμο της εντολής κατά του Facebook
- CNIL: Κλείσιμο της εντολής κατά της Microsoft Ireland Operations Limited
- CNIL: Πρόστιμο 325 εκατ. € στη Google (Σεπτέμβριος 2025)
- CNIL: Πρόστιμο 150 εκατ. € στη Shein (Σεπτέμβριος 2025)
- CNIL: Κυρώσεις και διορθωτικά μέτρα το 2025
- Autoriteit Persoonsgegevens: Πρόστιμο 600.000 € για cookies παρακολούθησης στο Kruidvat.nl (16 Ιουλίου 2024, στα ολλανδικά)
- Autoriteit Persoonsgegevens: Απόφαση επί της ένστασης της AS Watson (Kruidvat), 27 Μαΐου 2025, στα ολλανδικά
- ΔΕΕ: Υπόθεση C-300/21, Österreichische Post (4 Μαΐου 2023)