Server-side tracking και συγκατάθεση

Τι είναι το server-side tracking, σε τι διαφέρει από την παρακολούθηση μέσα στον browser και γιατί το server-side Google Tag Manager, το GA4 μέσω server container ή το Meta Conversions API χρειάζονται και πάλι συγκατάθεση στην Ελλάδα. Και τι βελτιώνει πραγματικά και πώς το συνδέεις με το banner cookies σου.

Τελευταίος έλεγχος: 16 Οκτωβρίου 2026

Με λίγα λόγια

Το server-side tracking μεταφέρει μέρος της δουλειάς από τον browser του επισκέπτη σε έναν server που ελέγχεις εσύ. Τα δεδομένα όμως τα στέλνει ακόμα ο browser.
Το άρθρο 4 παρ. 5 του ν. 3471/2006 αφορά την αποθήκευση και την ανάγνωση πληροφοριών στη συσκευή. Ένα cookie πρώτου μέρους που τοποθετεί ένας server container θέλει συγκατάθεση όπως κάθε άλλο cookie παρακολούθησης.
Για όσα γίνονται στον server χρειάζεσαι επιπλέον νομική βάση κατά τον ΓΚΠΔ. Για διαφήμιση και κατάρτιση προφίλ αυτή είναι στην πράξη η συγκατάθεση.
Το server-side tracking σού δίνει περισσότερο έλεγχο στο τι φτάνει στους παρόχους, αλλά δεν παρακάμπτει το banner cookies.

Τι είναι το server-side tracking;

Στη συνηθισμένη παρακολούθηση όλη τη δουλειά την κάνει ο browser. Η σελίδα σου φορτώνει scripts από τη Google, τη Meta και άλλους παρόχους, και κάθε script στέλνει δεδομένα απευθείας από τον browser του επισκέπτη στους servers του παρόχου.

Στο server-side tracking ο browser στέλνει πρώτα τα δεδομένα σε ένα σημείο: έναν server που ελέγχεις εσύ, συνήθως σε ένα subdomain του ιστοτόπου σου, όπως metrics.example.gr. Ο server λαμβάνει το αίτημα, το μετατρέπει σε γεγονότα (events) και αποφασίζει τι θα προωθήσει και σε ποιον πάροχο. Το πιο γνωστό παράδειγμα είναι το server-side Google Tag Manager: ένας «server container» που τρέχει στο Google Cloud ή σε εξειδικευμένο πάροχο φιλοξενίας, δίπλα στον κανονικό web container του browser. Συνηθισμένες χρήσεις είναι το GA4 μέσω server container και το Meta Conversions API, με το οποίο ο server σου στέλνει μετατροπές απευθείας στη Meta.

	Client-side	Server-side
Πού τρέχουν τα tags	Στον browser του επισκέπτη	Σε έναν server που ελέγχεις
Ποιος λαμβάνει πρώτος τα δεδομένα	Κάθε πάροχος απευθείας	Ο server σου, που τα προωθεί
Cookies	Συχνά τα τοποθετούν τα scripts των παρόχων	Μπορεί να τα τοποθετεί ο server σου στο δικό σου domain
Έλεγχος στο τι λαμβάνουν οι πάροχοι	Λίγος: κάθε script συλλέγει ό,τι θέλει	Μπορείς να αφαιρέσεις ή να αλλάξεις δεδομένα πριν σταλούν

Το σημαντικό: στις περισσότερες ρυθμίσεις ο browser του επισκέπτη εξακολουθεί να τρέχει ένα script και να στέλνει τα δεδομένα. Η διαφορά είναι πού πηγαίνουν πρώτα.

Χρειάζεται συγκατάθεση το server-side tracking;

Ισχύουν δύο σύνολα κανόνων, όπως σε κάθε άλλη παρακολούθηση (δες Η νομοθεσία για τα cookies στην Ελλάδα):

Ο κανόνας για τα cookies, το άρθρο 4 παρ. 5 του ν. 3471/2006, που ενσωματώνει το άρθρο 5 παρ. 3 της Οδηγίας ePrivacy: η αποθήκευση πληροφοριών στη συσκευή του επισκέπτη, ή η πρόσβαση σε πληροφορίες που είναι ήδη εκεί, θέλει συγκατάθεση, εκτός αν είναι αναγκαία για μια υπηρεσία που ζήτησε ρητά ο επισκέπτης.
Ο ΓΚΠΔ και ο ν. 4624/2019: η επεξεργασία προσωπικών δεδομένων χρειάζεται νομική βάση, διαφάνεια και εγγυήσεις.

Το server-side tracking δεν σε βγάζει εκτός του κανόνα για τα cookies. Ο κανόνας αφορά όσα συμβαίνουν στη συσκευή, όχι το πού καταλήγουν τα δεδομένα. Ισχύει για κάθε πληροφορία, είτε είναι προσωπικό δεδομένο είτε όχι, όπως επιβεβαίωσε το Δικαστήριο της ΕΕ στην υπόθεση Planet49 (2019). Και η ΑΠΔΠΧ, στις Συστάσεις 1/2020, δεν περιορίζεται στα cookies: μιλά για «ιχνηλάτες», που περιλαμβάνουν και το local storage, το ψηφιακό αποτύπωμα της συσκευής και άλλα αναγνωριστικά.

Στις Κατευθυντήριες γραμμές 2/2023 για το τεχνικό πεδίο εφαρμογής του άρθρου 5 παρ. 3, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) εξηγεί ότι:

ένας ιστότοπος που με JavaScript βάζει τον browser να στείλει πληροφορίες αποκτά πρόσβαση σε αυτές, κάτι που εμπίπτει στον κανόνα·
η προσθήκη αναγνωριστικών σε URLs ή σε tracking pixels είναι εντολή προς τη συσκευή να στείλει πίσω το αναγνωριστικό, και επίσης μετρά ως πρόσβαση·
η συλλογή ενός μοναδικού αναγνωριστικού, όπως ενός hashed email, μέσω κώδικα στον browser εμπίπτει επίσης στον κανόνα·
ακόμα και η παρακολούθηση μόνο με βάση τη διεύθυνση IP μπορεί να εμπίπτει, εκτός αν μπορείς να διασφαλίσεις ότι η διεύθυνση δεν προέρχεται από τη συσκευή του επισκέπτη.

Ένα server-side setup κάνει ακριβώς αυτά: το Google tag στον browser στέλνει γεγονότα στον server σου, και ο server container μπορεί να τοποθετήσει ένα cookie στο domain σου για να αναγνωρίζει τον επισκέπτη. Άρα ένα cookie πρώτου μέρους που τοποθετείται μέσω server container θέλει συγκατάθεση για στατιστικά ή marketing, όπως και ένα cookie που τοποθετεί ένα script. Η ΑΠΔΠΧ γράφει ρητά ότι η χρήση ιχνηλατών τρίτων, όπως το Google Analytics, για στατιστική ανάλυση επιτρέπεται μόνο κατόπιν συγκατάθεσης· το GA4 δεν γίνεται «πρώτου μέρους» επειδή περνά από τον server σου. Για τα cookies διαφήμισης η Αρχή τονίζει ότι η συγκατάθεση χρειάζεται είτε τα τοποθετεί ο ίδιος ο ιστότοπος είτε ένα διαφημιστικό δίκτυο μέσω αυτού. Αυτό που κρίνει αν χρειάζεσαι συγκατάθεση είναι ο σκοπός, όχι η τεχνολογία.

Ο ΓΚΠΔ ισχύει και στον server

Μόλις τα δεδομένα φτάσουν στον server σου, ο ΓΚΠΔ ισχύει για ό,τι κάνεις με αυτά: την προώθησή τους στη Google ή τη Meta, τον εμπλουτισμό τους με δεδομένα παραγγελιών ή CRM, τη δημιουργία κοινών (audiences). Χρειάζεσαι νομική βάση για κάθε σκοπό, και οι κατευθυντήριες γραμμές του ΕΣΠΔ για τη συγκατάθεση λένε ότι, όταν η βάση είναι η συγκατάθεση, πρέπει να τη λάβεις πριν αρχίσει η επεξεργασία.

Για διαφήμιση και κατάρτιση προφίλ αυτή η βάση είναι στην πράξη η συγκατάθεση. Στην υπόθεση Meta Platforms κατά Bundeskartellamt (C-252/21, 4 Ιουλίου 2023), το Δικαστήριο της ΕΕ έκρινε ότι η εξατομικευμένη διαφήμιση δεν μπορεί να δικαιολογήσει ως έννομο συμφέρον την επεξεργασία δεδομένων χρηστών από τη Meta χωρίς τη συγκατάθεσή τους. Ένας ιστότοπος που στέλνει δεδομένα επισκεπτών σε μια διαφημιστική πλατφόρμα για στόχευση ή μέτρηση μετατροπών δύσκολα θα επικαλεστεί έννομο συμφέρον εκεί όπου δεν μπορεί η ίδια η πλατφόρμα.

Τι αλλάζει πραγματικά το server-side tracking

Το server-side tracking δεν είναι τρόπος να αποφύγεις τη συγκατάθεση, αλλά μπορεί να κάνει την παρακολούθησή σου πιο φιλική προς την ιδιωτικότητα και πιο ελεγχόμενη:

Έλεγχος στο τι λαμβάνουν οι πάροχοι. Η Google αναφέρει ότι μόνο εσύ έχεις πρόσβαση στα δεδομένα του server container μέχρι να αποφασίσεις να τα στείλεις παρακάτω. Μπορείς να αφαιρείς πεδία, να συντομεύεις URLs ή να απορρίπτεις γεγονότα πριν φύγουν από τον server σου.
Διευθύνσεις IP και αναγνωριστικά. Μπορείς να μην προωθείς την πλήρη διεύθυνση IP ή να αντικαθιστάς αναγνωριστικά πριν στείλεις τα δεδομένα. Αυτό υποστηρίζει την ελαχιστοποίηση των δεδομένων (άρθρο 5 παρ. 1 στοιχ. γ΄ ΓΚΠΔ).
Λιγότερα αιτήματα τρίτων στον browser. Λιγότερα scripts παρόχων στη σελίδα σημαίνει λιγότερα μέρη που μπορούν να διαβάζουν δεδομένα απευθείας από τη συσκευή του επισκέπτη.
Διαβιβάσεις εκτός Ευρώπης. Αν ο server σου τρέχει στην ΕΕ και καθαρίζει τα δεδομένα πριν τα προωθήσει, λιγότερα προσωπικά δεδομένα φτάνουν σε παρόχους εκτός Ευρώπης. Η γαλλική αρχή CNIL περιγράφει ένα τέτοιο «proxy» για τη μέτρηση επισκεψιμότητας με αυστηρές προϋποθέσεις: καμία μεταβίβαση της διεύθυνσης IP, αντικατάσταση του αναγνωριστικού, αφαίρεση του referrer και των παραμέτρων URL, κανένα αναγνωριστικό μεταξύ ιστοτόπων και φιλοξενία που αποκλείει διαβιβάσεις εκτός ΕΕ. Η CNIL το παρουσιάζει ως λύση για τις διαβιβάσεις, όχι ως λόγο να παραλείψεις τη συγκατάθεση.

Server-side tracking με banner cookies και Consent Mode

Η ρύθμιση που λειτουργεί είναι η ίδια με αυτή χωρίς server container, με ένα επιπλέον βήμα:

Το banner cookies συλλέγει την επιλογή και μπλοκάρει τα tags στατιστικών και marketing μέχρι να συναινέσει ο επισκέπτης. Σύμφωνα με τις Συστάσεις 1/2020 της ΑΠΔΠΧ, η απόρριψη πρέπει να είναι διαθέσιμη από το ίδιο επίπεδο και με τον ίδιο αριθμό κλικ με την αποδοχή.
Το Google Consent Mode v2 μεταβιβάζει την επιλογή (δες Το Google Consent Mode v2 με απλά λόγια). Σύμφωνα με την τεκμηρίωση της Google, αρκεί να ρυθμίσεις το Consent Mode στον web container: το Google tag προσθέτει την κατάσταση συγκατάθεσης σε κάθε αίτημα που στέλνει στον server container.
Τα tags της Google στον server container ακολουθούν αυτή την κατάσταση. Στη βασική λειτουργία (basic mode) τα tags του Analytics μπλοκάρονται πλήρως και δεν τοποθετούνται ούτε διαβάζονται cookies του Analytics, ούτε στον browser ούτε στον server. Στην προηγμένη λειτουργία (advanced mode) τα tags του Analytics στέλνουν ανώνυμες μετρήσεις. Χωρίς συγκατάθεση, τα tags μετατροπών του Google Ads δεν διαβάζουν ούτε γράφουν cookies, και τα αιτήματα remarketing του Google Ads και του Floodlight μπλοκάρονται.
Τα tags άλλων παρόχων θέλουν τη δική σου προσοχή. Η Google το υπόσχεται μόνο για τα δικά της tags. Ένα tag του Meta Conversions API ή οποιοδήποτε άλλο tag στον server container πρέπει να ενεργοποιείται μόνο όταν το επιτρέπει η κατάσταση συγκατάθεσης· ρύθμισέ το μόνος σου με triggers ή συνθήκες.

Ένα banner όπως το Cookie Confirm ορίζει τις προεπιλογές του Consent Mode πριν φορτώσει οποιοδήποτε Google tag και τις ενημερώνει μόλις επιλέξει ο επισκέπτης, ώστε η κατάσταση συγκατάθεσης να φτάνει στον server container με κάθε αίτημα. Για το GA4 ειδικά, δες τον οδηγό Google Analytics και ΓΚΠΔ.

Meta Conversions API και συγκατάθεση

Το Meta Conversions API συνδέει τον server σου με τη Meta, ώστε να στέλνεις γεγονότα του ιστοτόπου, όπως αγορές και leads, χωρίς να βασίζεσαι μόνο στο Meta Pixel στον browser. Η Meta χρησιμοποιεί αυτά τα γεγονότα για τη μέτρηση και τη βελτιστοποίηση των διαφημίσεων.

Πρόκειται λοιπόν για επεξεργασία για διαφημιστικούς σκοπούς. Οι Όροι Επιχειρηματικών Εργαλείων (Business Tools Terms) της Meta απαιτούν να έχεις όλα τα απαραίτητα δικαιώματα και νόμιμη βάση για τα δεδομένα που μοιράζεσαι και, σε χώρες που απαιτούν συγκατάθεση για την αποθήκευση ή την πρόσβαση σε πληροφορίες σε συσκευές (οι όροι αναφέρουν την ΕΕ), να λαμβάνεις επαληθεύσιμη συγκατάθεση από τους επισκέπτες. Σύμφωνα με αυτούς τους όρους, στην ΕΕ είσαι εσύ ο υπεύθυνος επεξεργασίας για αυτά τα δεδομένα. Στην πράξη:

στέλνε γεγονότα στο Conversions API μόνο για επισκέπτες που αποδέχτηκαν το marketing στο banner σου·
μη χρησιμοποιείς το Conversions API για να «ανακτήσεις» μετατροπές από επισκέπτες που αρνήθηκαν·
ανέφερε τη Meta και το Conversions API στην πολιτική cookies και στην πολιτική απορρήτου σου.

Η επιλογή «Limited Data Use» της Meta προορίζεται για ορισμένους νόμους πολιτειών των ΗΠΑ. Δεν είναι μηχανισμός συγκατάθεσης για την ΕΕ.

Συχνά λάθη

«Είναι cookieless, άρα δεν χρειάζεται συγκατάθεση.» Ο κανόνας καλύπτει περισσότερα από τα cookies: scripts που βάζουν τον browser να στέλνει δεδομένα, tracking pixels, αναγνωριστικά σε URLs και μοναδικά αναγνωριστικά εμπίπτουν όλα σε αυτόν, σύμφωνα με το ΕΣΠΔ.
«Τώρα είναι πρώτου μέρους.» Ο κανόνας δεν κάνει διάκριση ανάμεσα σε πρώτου και τρίτου μέρους, ούτε ανάμεσα σε cookies από script και από server. Αποφασίζει ο σκοπός.
Αποστολή δεδομένων πριν από την επιλογή. Αν ο server container προωθεί προβολές σελίδων ή μετατροπές σε παρόχους πριν ο επισκέπτης κάνει κλικ στο banner, επεξεργάζεσαι δεδομένα χωρίς νομική βάση.
«Το hashed email είναι ανώνυμο.» Μια hashed διεύθυνση email είναι ψευδωνυμοποιημένο δεδομένο, που ο ΓΚΠΔ εξακολουθεί να θεωρεί προσωπικό δεδομένο (αιτιολογική σκέψη 26). Γίνεται hash ακριβώς για να μπορεί μια πλατφόρμα όπως η Meta να το αντιστοιχίσει σε ένα πρόσωπο.
Ξεχνάς τα tags που δεν είναι της Google. Το Consent Mode ελέγχει μόνο τα tags της Google. Κάθε άλλο tag στον server container χρειάζεται δικό του έλεγχο συγκατάθεσης.
Δεν ενημερώνεις την πολιτική cookies. Οι επισκέπτες πρέπει να μαθαίνουν ποιοι πάροχοι λαμβάνουν τα δεδομένα τους, και όταν τα δεδομένα περνούν πρώτα από τον server σου. Δες το πρότυπο πολιτικής cookies και το πρότυπο πολιτικής απορρήτου.

Ηνωμένο Βασίλειο

Από τον Φεβρουάριο του 2026, οι PECR στο Ηνωμένο Βασίλειο έχουν εξαίρεση για αποθήκευση ή πρόσβαση που χρησιμοποιείται μόνο για στατιστικά σχετικά με τη χρήση του ιστοτόπου σου, με σκοπό τη βελτίωσή του. Σύμφωνα με την ICO, καλύπτει μόνο συγκεντρωτικά στατιστικά, όχι την παρακολούθηση μεμονωμένων ατόμων, την κατάρτιση προφίλ ή οτιδήποτε σχετίζεται με διαφήμιση, όπως τη μέτρηση της απόδοσης διαφημίσεων ή την κοινοποίηση δεδομένων μετατροπών σε διαφημιστικούς συνεργάτες. Server-side στατιστικά μπορεί να καλύπτονται αν πληρούν αυτές τις προϋποθέσεις· server-side διαφημιστική παρακολούθηση, όπως το Conversions API, όχι. Η εξαίρεση δεν ισχύει για ελληνικούς επισκέπτες. Περισσότερα στον οδηγό για τη νομοθεσία για τα cookies στο Ηνωμένο Βασίλειο (στα αγγλικά).

Πηγές

Συχνές ερωτήσεις

Είναι το server-side tracking σύμφωνο με τον ΓΚΠΔ;

Μπορεί να είναι, αλλά όχι επειδή τρέχει σε server. Ισχύουν οι ίδιοι κανόνες με την παρακολούθηση στον browser: συγκατάθεση για την αποθήκευση ή ανάγνωση πληροφοριών στη συσκευή του επισκέπτη (άρθρο 4 παρ. 5 ν. 3471/2006), νομική βάση για την επεξεργασία, διαφάνεια και, όταν τα δεδομένα φεύγουν από την Ευρώπη, έγκυρος μηχανισμός διαβίβασης. Το server-side tracking διευκολύνει ορισμένα από αυτά, όπως την αφαίρεση δεδομένων πριν φτάσουν σε έναν πάροχο, αλλά δεν αντικαθιστά τη συγκατάθεση.

Χρειάζομαι banner cookies αν χρησιμοποιώ server-side Google Tag Manager;

Ναι, για tags στατιστικών και marketing. Το Google tag τρέχει ακόμα στον browser του επισκέπτη και στέλνει δεδομένα στον server container σου, και ο server container μπορεί να τοποθετεί cookies στο domain σου. Και τα δύο εμπίπτουν στον κανόνα για τα cookies. Το banner συλλέγει την επιλογή· το Consent Mode τη μεταβιβάζει στον server container.

Χρειάζεται συγκατάθεση το Meta Conversions API;

Στην ΕΕ, ναι, όταν χρησιμοποιείται για διαφήμιση. Οι Όροι Επιχειρηματικών Εργαλείων της Meta σε κάνουν υπεύθυνο να έχεις νόμιμη βάση και, όπου το απαιτεί ο νόμος, επαληθεύσιμη συγκατάθεση. Το Δικαστήριο της ΕΕ έκρινε το 2023 ότι η Meta δεν μπορεί να στηριχθεί στο έννομο συμφέρον για εξατομικευμένη διαφήμιση χωρίς συγκατάθεση. Στέλνε γεγονότα μόνο για επισκέπτες που αποδέχτηκαν το marketing.

Εξαιρούνται από τη συγκατάθεση τα cookies πρώτου μέρους που τοποθετεί ένας server;

Όχι. Ο νόμος δεν κάνει διάκριση ανάμεσα σε cookies πρώτου και τρίτου μέρους, ούτε ανάμεσα σε cookies που τοποθετεί ένα script και σε όσα τοποθετεί ένας server. Μετρά αν το cookie είναι αναγκαίο για μια υπηρεσία που ζήτησε ρητά ο επισκέπτης. Ένα cookie που αναγνωρίζει τον επισκέπτη για στατιστικά τρίτων ή για διαφήμιση δεν είναι.

Είναι ανώνυμα τα κρυπτογραφημένα (hashed) email;

Όχι. Το hashing μετατρέπει μια διεύθυνση email σε σταθερό κωδικό, αλλά η ίδια διεύθυνση δίνει πάντα τον ίδιο κωδικό, οπότε μπορεί να γίνει αντιστοίχιση. Κατά τον ΓΚΠΔ πρόκειται για ψευδωνυμοποιημένα δεδομένα, που παραμένουν προσωπικά δεδομένα. Η Meta ζητά hashed email ακριβώς για να τα αντιστοιχίζει με τους χρήστες της.

Λειτουργεί το server-side tracking με το Google Consent Mode v2;

Ναι. Ρυθμίζεις το Consent Mode στον web container· το Google tag προσθέτει την κατάσταση συγκατάθεσης σε κάθε αίτημα που στέλνει στον server container, και τα tags της Google εκεί προσαρμόζονται. Τα tags άλλων παρόχων στον server container δεν το κάνουν αυτόματα, οπότε πρέπει να φροντίσεις μόνος σου να σέβονται την επιλογή.

Αυτός ο οδηγός είναι γενική πληροφόρηση και όχι νομική συμβουλή. Τον ελέγχουμε τακτικά, αλλά οι νόμοι και οι κατευθυντήριες γραμμές αλλάζουν. Δεν είσαι σίγουρος για τη δική σου περίπτωση; Ρώτα έναν δικηγόρο.

Συνέχισε την ανάγνωση

Περισσότεροι οδηγοί

Όλοι οι οδηγοί →

Οι πρώτες 7 ημέρες εντελώς δωρεάν

Φτιάξε έναν δωρεάν λογαριασμό και δες αν το Cookie Confirm σού ταιριάζει. Έτοιμο σε 5 λεπτά.

Χωρίς πιστωτική κάρτα
Μετά 7,95 € τον μήνα
Εγκατάσταση plug & play

Ξεκίνα τη δωρεάν δοκιμή μου

4,9/5 5.000+ ιστότοποι