Το cookie banner σου είναι μάλλον παράνομο. Και δεν φταίει ο GDPR

Άνοιξα 200 ιστοσελίδες δικηγόρων, σε 12 πόλεις, χωρίς να πατήσω τίποτα. Στο 46% τα cookies του Google Analytics ή κάποιας διαφήμισης είχαν ήδη γραφτεί στον browser μου, πριν προλάβω να πω «ναι» ή «όχι».

Και από όσες είχαν cookie banner, στις μισές το banner ήταν εκεί, αλλά τα cookies είχαν ήδη φορτώσει. Το banner ρωτούσε για κάτι που είχε ήδη γίνει.

Δεν φταίνε όμως οι ίδιοι οι δικηγόροι. Συνήθως το έστησε όποιος έφτιαξε την ιστοσελίδα, και κανείς δεν το έλεγξε μετά.

Δεν είμαι δικηγόρος. Το άρθρο είναι ενημερωτικό, και για τη δική σου περίπτωση ρώτα έναν ειδικό. Ό,τι ξέρω, το ξέρω ως αυτός που στήνει τις ιστοσελίδες.

Δύο νόμοι, όχι ένας

Οι περισσότεροι ξέρουν τον GDPR. Λίγοι ξέρουν ότι τα cookies τα ρυθμίζει κυρίως ένας άλλος κανόνας: η Οδηγία ePrivacy, που ενσωματώθηκε στην Ελλάδα με τον ν.3471/2006.

• Η ePrivacy αφορά ό,τι αποθηκεύει ή διαβάζει η ιστοσελίδα στη συσκευή του επισκέπτη. Για αυτό χρειάζεται προηγούμενη συγκατάθεση, είτε τα δεδομένα είναι προσωπικά είτε όχι.
• Ο GDPR αφορά το πώς επεξεργάζεσαι προσωπικά δεδομένα. Συχνά ισχύουν και οι δύο μαζί.

Υπάρχει και εξαίρεση: ό,τι είναι απολύτως αναγκαίο για να δουλέψει κάτι που ζήτησε ο ίδιος ο επισκέπτης, όπως το καλάθι αγορών. Το ότι ένα εργαλείο βοηθά την επιχείρηση δεν το κάνει αναγκαίο για τον επισκέπτη. Τα στατιστικά δεν είναι αναγκαία.

Τι βρήκα σε 200 ιστοσελίδες δικηγόρων

Πήρα ιστοσελίδες δικηγόρων με δικό τους domain, από τον χάρτη της Google σε 12 πόλεις, από την Αθήνα μέχρι την Κέρκυρα. Άνοιξα την αρχική καθεμίας σε καθαρό browser, στις 5 Οκτωβρίου 2026. Δεν πάτησα τίποτα και περίμενα οκτώ δευτερόλεπτα.

Το πιο σημαντικό εύρημα είναι το τρίτο. Στη μία στις δύο ιστοσελίδες με banner, το banner ήταν για τα μάτια.

Η βιομηχανία του φόβου, και τι χρειάζεσαι στ' αλήθεια

Αυτή είναι η δική μου γνώμη, όχι νομική συμβουλή.

Γύρω από τα cookies έχει στηθεί μια βιομηχανία φόβου: «έλεγχοι» που κοστίζουν εκατοντάδες ευρώ, συνδρομές κάθε μήνα, πακέτα συμμόρφωσης. Για έναν ελεύθερο επαγγελματία ή μια μικρή επιχείρηση, τα βασικά δεν είναι δύσκολα:

• ένα σωστό banner, που μπλοκάρει πραγματικά ό,τι δεν είναι απαραίτητο
• γραμματοσειρές από τον δικό σου server
• στατιστικά που φορτώνουν μόνο μετά τη συγκατάθεση
• μια σελίδα που λέει ποια cookies χρησιμοποιείς και γιατί

Σε μια καινούργια ιστοσελίδα, αυτά είναι δυο-τρεις ώρες δουλειά. Σε μια υπάρχουσα, λίγο παραπάνω, ανάλογα με το πώς είναι φτιαγμένη.

Το να πληρώνεις ένα εργαλείο που βάζει ένα banner πάνω από την ιστοσελίδα, χωρίς να διορθώνει τα scripts από κάτω, είναι θέατρο, όχι συμμόρφωση. Το είδα και στη μέτρηση: από τις ιστοσελίδες που είχαν έτοιμο εργαλείο συγκατάθεσης, το 43% έγραφε ήδη cookies πριν από την απάντηση του επισκέπτη. Το εργαλείο υπήρχε. Απλώς δεν είχε στηθεί σωστά.

Τα 5 πιο συχνά λάθη

1. Το banner εμφανίζεται, αλλά τα cookies έχουν ήδη φορτώσει. Ο επισκέπτης βλέπει την ερώτηση, αλλά τα στατιστικά έχουν ήδη καταγράψει την επίσκεψη. Είναι το πιο συχνό λάθος: το βρήκα στις μισές ιστοσελίδες με banner.

2. Μόνο «Αποδοχή», χωρίς «Απόρριψη». Η ΑΠΔΠΧ ζητά η αποδοχή και η απόρριψη να είναι στο ίδιο επίπεδο, με τον ίδιο αριθμό κινήσεων. Αν για να πεις «όχι» πρέπει να μπεις σε «Ρυθμίσεις», δεν είναι ίδιες. Στο 58% των banners δεν υπήρχε «Απόρριψη» στην πρώτη οθόνη.

3. «Συνεχίζοντας την περιήγηση, αποδέχεστε τα cookies». Αυτή η φράση δεν είναι συγκατάθεση. Το να συνεχίσεις ή να κάνεις κύλιση δεν σημαίνει «ναι».

4. Προτσεκαρισμένα κουτάκια. Τα στατιστικά και οι διαφημίσεις πρέπει να ξεκινούν απενεργοποιημένα. Τη συγκατάθεση τη δίνει ο επισκέπτης, δεν του τη δίνεις εσύ.

5. Η επιλογή δεν μένει. Ο επισκέπτης πατά «Απόρριψη», αλλάζει σελίδα, και τα cookies φορτώνουν. Ή δεν μπορεί πουθενά να αλλάξει γνώμη αργότερα.

Πώς μοιάζει ένα σωστό banner

• Εμφανίζεται πριν φορτώσει οτιδήποτε μη απαραίτητο. Στατιστικά, διαφημίσεις και social περιμένουν τη συγκατάθεση.
• Η απόρριψη είναι εξίσου εύκολη με την αποδοχή. Στο ίδιο επίπεδο, και η ΑΠΔΠΧ συστήνει να μην είναι η μία πιο χτυπητή από την άλλη.
• Έχει χωριστές κατηγορίες, κλειστές από την αρχή, με σύντομη εξήγηση της καθεμίας.
• Θυμάται την επιλογή, σε όλες τις σελίδες και για αρκετό καιρό, για να μη ρωτά σε κάθε επίσκεψη. Συνήθως μερικούς μήνες· αυτό είναι πρακτική, όχι κανόνας.
• Επιτρέπει να αλλάξεις γνώμη, συνήθως με ένα link «Ρυθμίσεις cookies» στο κάτω μέρος της σελίδας.
• Δουλεύει και χωρίς ποντίκι. Τα κουμπιά του πρέπει να πατιούνται και με το πληκτρολόγιο. Περισσότερα στην προσβασιμότητα ιστοσελίδων.

Τα scripts που δεν λέγονται «cookies»

Γραμματοσειρές της Google. Δεν γράφουν cookies, αλλά όταν φορτώνουν από τους servers της Google, η IP κάθε επισκέπτη πηγαίνει στη Google. Αυτό είναι θέμα GDPR. Το 2022 ένα δικαστήριο στο Μόναχο επιδίκασε 100€ αποζημίωση σε έναν επισκέπτη ιστοσελίδας που το έκανε αυτό χωρίς συγκατάθεση. Η λύση είναι απλή: οι γραμματοσειρές ανεβαίνουν στον δικό σου server. Στους δικηγόρους, το 74% τις φόρτωνε από τη Google.

Χάρτες, βίντεο, chat. Ένας ενσωματωμένος χάρτης της Google, ένα βίντεο από το YouTube ή ένα παράθυρο συνομιλίας φορτώνουν και αυτά δικά τους πράγματα. Στους δικηγόρους, ο χάρτης φόρτωνε μόνος του στο 18%. Αυτά θέλουν κι αυτά συγκατάθεση, ή μια εναλλακτική: μια εικόνα του χάρτη με link, που φορτώνει τον πραγματικό χάρτη μόνο αν τον ζητήσεις.

Πόσο σοβαρό είναι;

Αν τα στατιστικά γράφουν cookies πριν από τη συγκατάθεση, αυτό δεν είναι γκρίζα ζώνη. Η ΑΠΔΠΧ έχει κάνει και δική της δράση ελέγχου σε ιστοσελίδες για τα cookies, και ο GDPR προβλέπει πρόστιμα που για σοβαρές παραβάσεις φτάνουν έως 20 εκατ. ευρώ ή 4% του παγκόσμιου τζίρου.

Δεν χρειάζεται να πανικοβληθείς. Χρειάζεται όμως να το φτιάξεις, γιατί η διόρθωση είναι ένα απόγευμα δουλειάς. Και αν είσαι γιατρός, ψυχολόγος ή δικηγόρος, αξίζει ακόμα περισσότερο: οι επισκέπτες σου ψάχνουν κάτι που δεν θέλουν να το ξέρει κανείς.

9 σημεία να ελέγξεις σήμερα

Τα περισσότερα τα ελέγχει όποιος σου έφτιαξε την ιστοσελίδα σε ένα τέταρτο.

• Πριν πατήσεις οτιδήποτε, υπάρχουν cookies στατιστικών, διαφημίσεων ή social; Αν ναι, είναι το πιο σοβαρό.
• Υπάρχει «Απόρριψη» εξίσου εμφανής με την «Αποδοχή»;
• Οι κατηγορίες ξεκινούν κλειστές;
• Υπάρχει link «Ρυθμίσεις cookies» στο κάτω μέρος της σελίδας;
• Φορτώνουν οι γραμματοσειρές από τη Google;
• Έχεις χάρτη, βίντεο ή chat που φορτώνουν πριν από τη συγκατάθεση;
• Τα στατιστικά φορτώνουν μόνο μετά το «ναι»;
• Υπάρχει σελίδα που εξηγεί κάθε cookie;
• Η επιλογή μένει όταν αλλάζεις σελίδα;

Αν απαντάς «δεν ξέρω» σε δύο ή περισσότερα, θέλει έλεγχο. Όχι κάποιον ακριβό έλεγχο, μια κουβέντα με κάποιον που ξέρει.

Με δυο λόγια

Ένα cookie banner δεν υπάρχει για να εντυπωσιάσει την Αρχή Προστασίας Δεδομένων. Υπάρχει για να σέβεται τον επισκέπτη σου, και να προστατεύει εσένα. Αν θες να δούμε τι φορτώνει η δική σου ιστοσελίδα πριν πει κανείς «ναι», στείλε μου ένα σύντομο brief. Και αν τη φτιάχνεις με AI, αυτό είναι από τα πρώτα που ξεχνιούνται: δες τους AI website builders.

Πηγές

1. ΑΠΔΠΧ, Χρήση cookies και συναφών τεχνολογιών (άρθρο 4§5 ν.3471/2006).
2. ΑΠΔΠΧ, Δράση της Αρχής για τα cookies σε ιστοσελίδες ενημερωτικού περιεχομένου.
3. ΑΠΔΠΧ, Ενημέρωση και συγκατάθεση για τα cookies.
4. EDPB, Guidelines 05/2020 on consent under Regulation 2016/679.
5. Οδηγία 2002/58/ΕΚ (ePrivacy), ενοποιημένη έκδοση, άρθρο 5§3.
6. LG München I, απόφαση 20/1/2022, 3 O 17493/20 (Google Fonts), περίληψη.
7. Δική μου μέτρηση, 5/10/2026: αρχικές σελίδες 200 ιστοσελίδων δικηγόρων σε 12 πόλεις, σε καθαρό browser χωρίς καμία ενέργεια, με αναμονή 8 δευτερολέπτων.

Διάβασε επίσης

• AI website builders
• Προσβασιμότητα ιστοσελίδων
• Η συνεργασία ξεκινά με την παράδοση