Αθήνα, 25/02/2020
Αρ. πρωτ: Γ/ΕΞ/1525/25-02-2020ΣΥΣΤΑΣΕΙΣ 1/2020Συμμόρφωση υπευθύνων επεξεργασίας δεδομένων με την ειδική νομοθεσία για τιςηλεκτρονικές επικοινωνίεςΗ Αρχή έχει διαπιστώσει σε ικανό βαθμό έλλειψη συμμόρφωσης των παρόχων υπηρεσιών τηςκοινωνίας της πληροφορίας στις ειδικές απαιτήσεις της νομοθεσίας για την επεξεργασία
δεδομένων στις ηλεκτρονικές επικοινωνίες και του Γενικού Κανονισμού Προστασίας Δεδομένων
όσον αφορά τη διαχείριση cookies και συναφών τεχνολογιών.
Με σκοπό την πρακτική καθοδήγηση των υπευθύνων επεξεργασίας αλλά και την ενημέρωση τωνχρηστών των ελληνικών ιστοτόπων, η Αρχή εκδίδει κείμενο με ειδικές συστάσεις συμμόρφωσηςστον συγκεκριμένο τομέα. Σε αυτό περιλαμβάνεται, υπό μορφή σημείων, καθοδήγηση για τησύννομη χρήση τέτοιων τεχνολογιών καθώς και πρακτικές που πρέπει να αποφεύγονται.
Επισημαίνεται ότι η κωδικοποίηση των απαιτήσεων αυτών δεν συνιστά αλλαγή του ισχύοντοςθεσμικού πλαισίου και της νομολογίας της Αρχής, προς τις προβλέψεις των οποίων οι υπεύθυνοιεπεξεργασίας έχουν υποχρέωση συμμόρφωσης. Αναγνωρίζοντας όμως ότι μπορεί να απαιτηθείκάποιος χρόνος προσαρμογής των μηχανισμών διαχείρισης που χρησιμοποιούνται από τιςιστοσελίδες, η Αρχή καλεί όλους τους υπευθύνους επεξεργασίας να προσαρμοστούν εντόςδιμήνου το αργότερο.

Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr1Σημεία συμμόρφωσης για υπευθύνους επεξεργασίας που διατηρούν διαδικτυακές
ιστοσελίδες (sites)Οι παρακάτω ρυθμίσεις εφαρμόζονται σε HTTP/S cookies, σε flash cookies, στον "τοπικόαποθηκευτικό χώρο" (local storage) που εφαρμόζεται στην HTML 5, σε αναγνώριση με τονυπολογισμό του ψηφιακού αποτυπώματος της τερματικής συσκευής, σε αναγνωριστικά πουδημιουργούνται από τα λειτουργικά συστήματα (είτε προορίζονται για σκοπό διαφήμισης είτεόχι: IDFA, IDFV, Android ID κ.λπ.), σε αναγνωριστικά υλικού (διεύθυνση MAC, σειριακό αριθμό ήάλλο αναγνωριστικό συσκευής) κ.λπ.
Στο κείμενο που ακολουθεί χρησιμοποιείται ο όρος ιχνηλάτης (“tracker”) ως ο πιο κατάλληλοςνα αποτυπώσει τις τεχνικές αυτές.
Α. Υποχρέωση λήψης συγκατάθεσης και εξαιρέσεις1. Για την τοποθέτηση ενός ιχνηλάτη σε τερματική συσκευή απαιτείται κατ’ αρχήν ησυγκατάθεση του χρήστη, ανεξάρτητα αν μέσω αυτού πραγματοποιείται τελικά
επεξεργασία προσωπικών δεδομένων.
2. Οι ιχνηλάτες που εξαιρούνται από την υποχρέωση λήψης συγκατάθεσης είναι εκείνοι πουθεωρούνται τεχνικά απαραίτητοι για την πραγματοποίηση της σύνδεσης στην ιστοσελίδαή για την παροχή της υπηρεσίας διαδικτύου την οποία έχει ζητήσει ο ίδιος ο χρήστης.
Ενδεικτικές κατηγορίες ιχνηλατών (cookies και συναφών τεχνολογιών) που εμπίπτουν στηνπαραπάνω εξαίρεση είναι όσοι είναι απαραίτητοι:•για την αναγνώριση ή/και διατήρηση περιεχομένου που εισάγει ο συνδρομητής ήχρήστης κατά τη διάρκεια μιας σύνδεσης (session) σε ιστοσελίδα καθ’ όλη τη διάρκειατης συγκεκριμένης σύνδεσης, όπως το «καλάθι αγορών»•για τη σύνδεση του συνδρομητή ή χρήστη σε υπηρεσίες που απαιτούναυθεντικοποίηση

•για την ασφάλεια του χρήστη

Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr2•για την πραγματοποίηση της τεχνικής της κατανομής φορτίου (load balancing) σε μίασύνδεση σε ιστοσελίδα του διαδικτύου•για τη διατήρηση των επιλογών του χρήστη σχετικά με την παρουσίαση τηςιστοσελίδας, π.χ. επιλογή γλώσσας, αποθήκευση ιστορικού αναζητήσεων

3. Οι ιχνηλάτες που εγκαθίστανται με σκοπό τη διαδικτυακή διαφήμιση (online advertizing)δεν εμπίπτουν στην εξαίρεση, επομένως επιτρέπονται μόνο εφόσον έχει ληφθείπροηγουμένως η συγκατάθεση του χρήστη κατόπιν κατάλληλης ενημέρωσης.
4. Η χρήση ιχνηλατών τρίτων, όπως η υπηρεσία Google Analytics με σκοπό την στατιστικήανάλυση (web analytics), μπορεί να γίνει μόνο κατόπιν συγκατάθεσης του χρήστη τηςιστοσελίδας.
Κακές πρακτικές
1. Γίνεται χρήση ιχνηλατών απαραίτητων για τη λειτουργία της ιστοσελίδας, αλλά δενπαρέχεται καμία ενημέρωση στο χρήστη.
2. Η χρήση Google Analytics με σκοπό τη στατιστική ανάλυση (web analytics) γίνεται μόνομε ενημέρωση στο χρήστη χωρίς να δίνεται η δυνατότητα απόρριψης ή χωρίς κανενημέρωση.
Β. Τρόπος και περιεχόμενο ενημέρωσης1. Η ενημέρωση και η συγκατάθεση μπορεί να δίδονται μέσω της ιστοσελίδας τουπαρόχου υπηρεσίας του διαδικτύου με χρήση κατάλληλων μηχανισμών (π.χ. μεαναδυόμενα παράθυρα (pop up) ή με ένα ενημερωτικό πλαίσιο (banner)).
2. Είναι θεμιτή η παροχή της ενημέρωσης μέσω πολλών επιπέδων, αρκεί να εξασφαλιστείότι η συγκατάθεση του χρήστη ζητείται αφού έχει ενημερωθεί ειδικά ο χρήστης,τουλάχιστον για τις κατηγορίες ιχνηλατών που χρησιμοποιούνται.

Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr

3

3. Μέσω του ενημερωτικού μηνύματος (είτε πρόκειται για αναδυόμενο παράθυρο είτεγια άλλο τρόπο) πρέπει να παρέχεται ειδική ενημέρωση για το σκοπό του κάθε ιχνηλάτηπου χρησιμοποιείται, και όχι γενική ενημέρωση για την χρήση ιχνηλατών.
4. Για κάθε ιχνηλάτη ή κατηγορία ιχνηλατών ιδίου σκοπού θα πρέπει να αναφέρονται ηδιάρκεια λειτουργίας, η ταυτότητα του υπευθύνου της επεξεργασίας, οι αποδέκτες ή οικατηγορίες αποδεκτών των δεδομένων.
5. Το περιεχόμενο της ενημέρωσης θα πρέπει να είναι ευανάγνωστο ανεξαρτήτως τηςτερματικής συσκευής από όπου γίνεται η πρόσβαση (φορητή ή σταθερή συσκευή).
Κακές πρακτικές1. Παρέχεται μόνο μια γενική ενημέρωση για τη χρήση ιχνηλατών μέσα σε ένα γενικό
κείμενο πολιτικής προστασίας δεδομένων.
2. Η ενημέρωση για τη χρήση ιχνηλατών στο πρώτο επίπεδο του αναδυόμενου
παραθύρου περιορίζεται μόνο σε γενικό κείμενο το οποίο αναφέρει ότιχρησιμοποιούνται τέτοιες τεχνικές, π.χ. cookies για την καλύτερη εμπειρία, καλύτερηπαρουσίαση, κτλ.
3. Το κείμενο της ενημέρωσης δεν είναι ευανάγνωστο λόγω της μη προσαρμογής στοείδος της τερματικής συσκευής από όπου γίνεται η πρόσβαση (φορητή ή σταθερήσυσκευή).
Γ. Τρόπος λήψης συγκατάθεσης
1. H συγκατάθεση απαιτεί σαφή θετική ενέργεια. Προσυμπληρωμένα τετραγωνίδια, απλήσυνέχιση πλοήγησης ή κύλιση οθόνης (scrolling) δεν είναι αποδεκτοί τρόποι παροχήςσυγκατάθεσης.

Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr

4

2. Δεν θεωρείται ότι υπάρχει συγκατάθεση του χρήστη στην περίπτωση κατά την οποία τοπρόγραμμα πλοήγησης έχει ως επιλογή την αποδοχή των cookies.
3. Ελλείψει οποιασδήποτε εκδήλωσης επιλογής (ούτε αποδοχής ούτε απόρριψης), δενπρέπει να γίνεται χρήση κανενός μη απαραίτητου ιχνηλάτη.
4. Θα πρέπει ο χρήστης να μπορεί, με τον ίδιο αριθμό ενεργειών («κλικ») και από το ίδιοεπίπεδο, είτε να αποδέχεται τη χρήση των ιχνηλατών (εκείνων για τους οποίουςαπαιτείται συγκατάθεση) είτε να την απορρίπτει, είτε όλους είτε κάθε κατηγορία
ξεχωριστά.
5. Ο χρήστης πρέπει να έχει τη δυνατότητα να ανακαλέσει τη συγκατάθεσή του με τον ίδιοτρόπο και με την ίδια ευκολία με τον οποίο τη δήλωσε.
6. Η μη παροχή συγκατάθεσης για τη χρήση ιχνηλατών δεν πρέπει να οδηγεί σεαποκλεισμό από την πρόσβαση στο περιεχόμενο της ιστοσελίδας (αποφυγή “cookiewall”).
7. Για να διασφαλιστεί ότι ο χρήστης δεν έχει επηρεαστεί από επιλογές σχεδιασμού υπέρτης επιλογής αποδοχής έναντι της επιλογής απόρριψης, συνιστάται η χρήση κουμπιών
και γραμματοσειράς ίδιου μεγέθους, τονισμού και χρώματος, που να προσφέρει τηνίδια ευκολία ανάγνωσης.
8. Ανεξαρτήτως αποδοχής ή απόρριψης των ιχνηλατών, η επανεμφάνιση τουαναδυόμενου παραθύρου, ώστε να ερωτηθεί ξανά ο χρήστης, πρέπει να γίνεται μετάαπό τον ίδιο χρόνο. Δηλαδή, η διάρκεια «τήρησης» της επιλογής του χρήστη είναι η ίδιαείτε ο χρήστης απορρίψει είτε αποδεχτεί τους ιχνηλάτες. Εξυπακούεται ότι η χρήσηιχνηλάτη για την αποθήκευση αυτής της επιλογής ενός χρήστη εντάσσεται στα τεχνικάαπαραίτητα.

Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr

5Κακές πρακτικές
1. Για τη λήψη συγκατάθεσης υπάρχει απλά μια επιλογή της μορφής «Εντάξει,ενημερώθηκα» ή «Εντάξει, συμφωνώ», χωρίς δυνατότητα να συνεχιστεί απρόσκοπτα ηπλοήγηση (με απομάκρυνση του εν λόγω μηνύματος) αν ο χρήστης δεν επιλέξει τοανωτέρω.
2. Δεν υπάρχει η δυνατότητα απόρριψης της χρήσης ιχνηλατών στο αναδυόμενοπαράθυρο, παρά μόνο αποδοχής όλων.
3. Η δυνατότητα απόρριψης της χρήσης ιχνηλατών δίνεται μόνο σε δεύτερο επίπεδοπληροφοριών, δηλαδή μετά το «κλικ» σε υπερσύνδεσμο με «περισσότερες
πληροφορίες», «ρυθμίσεις».
4. Το κλείσιμο του αναδυόμενου παραθύρου/ενημερωτικού πλαισίου οδηγεί σε χρήσητων μη απαραίτητων ιχνηλατών.
5. Η συνέχιση πλοήγησης ή το κύλισμα (scrolling) μετά την εμφάνιση του αναδυόμενου
παραθύρου οδηγεί σε εγκατάσταση των μη απαραίτητων ιχνηλατών.
6. Το μέγεθος και το χρώμα του κουμπιού «αποδοχή» ή «συγκατάθεση» προδιαθέτειέντονα το χρήστη στην επιλογή του, π.χ. είναι πολύ μεγάλο και με έντονο χρώμα ή/καιείναι προεπιλεγμένο.
7. Το αναδυόμενο παράθυρο δίνει μόνο τη δυνατότητα αποδοχής των μη απαραίτητωνιχνηλατών παραπέμποντας σε μια γενική πολιτική προστασίας δεδομένων ήαπορρήτου.
8. Μετά την αποδοχή ή την απόρριψη από το χρήστη, δεν υπάρχει τρόπος αλλαγής τωνπροτιμήσεών του.

Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr

6

9. Μετά την αποδοχή ή την απόρριψη από τον χρήστη, μπορεί να πραγματοποιηθείαλλαγή των προτιμήσεών του μόνο μέσω αλλαγής ρυθμίσεων του φυλλομετρητή ιστού.
10. Στην περίπτωση απόρριψης των ιχνηλατών, ο χρήστης καλείται συνεχώς μέσω τουαναδυόμενου παραθύρου να κάνει νέα επιλογή. Δεν ισχύει το ίδιο όταν αποδεχτεί,αφού η επιλογή του αυτή διατηρείται για μεγαλύτερο χρονικό διάστημα.

Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • Email: contact@dpa.gr • www.dpa.gr

7