Τι πρέπει να καλύπτει ένας έλεγχος συμμόρφωσης ιστοτόπου στην ΕΕ

«Συμμορφώνεται ο ιστότοπός μας;» ακούγεται σαν μία ερώτηση. Στην ΕΕ είναι τουλάχιστον έξι, που διέπονται από διαφορετικές νομικές πράξεις με διαφορετικές αρχές επιβολής: τις αρχές προστασίας δεδομένων για τα cookies και τις ενημερώσεις απορρήτου, τους φορείς προστασίας των καταναλωτών για τις πληροφορίες των ηλεκτρονικών καταστημάτων και τις αρχές εποπτείας της αγοράς για την προσβασιμότητα. Ένας καλός έλεγχος συμμόρφωσης, είτε τον κάνετε μόνοι σας είτε αγοράσετε έναν σαρωτή, πρέπει να τα καλύπτει όλα και να σας λέει από ποιον κανόνα προκύπτει κάθε εύρημα.

1. Cookies, αποθήκευση και συγκατάθεση

Το άρθρο 5 παράγραφος 3 της Οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (Οδηγία ePrivacy) απαιτεί συγκατάθεση πριν από την αποθήκευση πληροφοριών στη συσκευή του επισκέπτη ή την ανάγνωση πληροφοριών από αυτήν, εκτός αν αυτό είναι απολύτως απαραίτητο για την υπηρεσία που ζήτησε ρητά ο επισκέπτης. Ο κανόνας καλύπτει τα cookies, αλλά και την τοπική αποθήκευση (local storage), τα pixels και τις τεχνικές αποτυπώματος συσκευής (fingerprinting). Το πρότυπο της συγκατάθεσης είναι εκείνο του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ): ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη (άρθρο 4 σημείο 11 και άρθρο 7 ΓΚΠΔ).

Ένας έλεγχος πρέπει επομένως:

• να φορτώνει τον ιστότοπο σε ένα «καθαρό» πρόγραμμα περιήγησης χωρίς καμία αλληλεπίδραση και να καταγράφει κάθε cookie, κάθε καταχώριση αποθήκευσης και κάθε αίτημα δικτύου που εμφανίζεται πριν γίνει οποιαδήποτε επιλογή·
• να επαναλαμβάνει την επίσκεψη μετά από κλικ στην «Απόρριψη» και να επιβεβαιώνει ότι τα μη απαραίτητα εργαλεία παρακολούθησης παραμένουν ανενεργά·
• να επαληθεύει ότι η απόρριψη είναι εξίσου εύκολη με την αποδοχή, ότι καμία επιλογή δεν είναι προεπιλεγμένη και ότι η συγκατάθεση μπορεί να ανακληθεί τόσο εύκολα όσο δόθηκε (άρθρο 7 παράγραφος 3 ΓΚΠΔ)·
• να συγκρίνει όσα δηλώνουν το banner και η λίστα cookies με όσα πραγματικά φορτώνονται.

Ο ξεχωριστός οδηγός μας, Συγκατάθεση για cookies: τι απαιτούν οι κανόνες ePrivacy, εξετάζει τις λεπτομέρειες.

2. Αιτήματα προς τρίτους και διαβιβάσεις δεδομένων

Κάθε ενσωματωμένη γραμματοσειρά, βίντεο, χάρτης, widget συνομιλίας ή ετικέτα ανάλυσης στέλνει τη διεύθυνση IP και τα στοιχεία του προγράμματος περιήγησης του επισκέπτη σε μια άλλη εταιρεία. Κατά τον ΓΚΠΔ, πρόκειται για διαβίβαση δεδομένων προσωπικού χαρακτήρα που χρειάζεται νομική βάση (άρθρο 6) και, αν ο αποδέκτης βρίσκεται εκτός ΕΟΧ, μηχανισμό διαβίβασης σύμφωνα με το Κεφάλαιο V. Το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) έκρινε στην υπόθεση Fashion ID (C-40/17) ότι ο διαχειριστής ιστοτόπου που ενσωματώνει πρόσθετο (plugin) τρίτου μπορεί να είναι από κοινού υπεύθυνος επεξεργασίας για τη συλλογή και τη διαβίβαση των δεδομένων των επισκεπτών.

Ένας σαρωτής πρέπει να καταγράφει κάθε host τρίτου με τον οποίο επικοινωνεί η σελίδα, πότε επικοινωνεί μαζί του (πριν ή μετά τη συγκατάθεση) και, ιδανικά, πού είναι εγκατεστημένος ο αποδέκτης. Η φιλοξενία των γραμματοσειρών και των σεναρίων (scripts) στον δικό σας διακομιστή είναι η απλούστερη λύση για πολλά ευρήματα.

3. Η ενημέρωση απορρήτου

Τα άρθρα 13 και 14 ΓΚΠΔ απαριθμούν τι πρέπει να μάθουν οι επισκέπτες: ποιος είναι ο υπεύθυνος επεξεργασίας και πώς μπορούν να επικοινωνήσουν μαζί του (και με τον υπεύθυνο προστασίας δεδομένων, εφόσον έχει οριστεί), τους σκοπούς και τις νομικές βάσεις κάθε δραστηριότητας επεξεργασίας, τους αποδέκτες, τις διαβιβάσεις εκτός ΕΟΧ, τα διαστήματα διατήρησης, τα δικαιώματα του υποκειμένου των δεδομένων, το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή και αν χρησιμοποιείται αυτοματοποιημένη λήψη αποφάσεων. Το άρθρο 12 προσθέτει ότι οι πληροφορίες πρέπει να είναι συνοπτικές, διαφανείς και εύκολα προσβάσιμες.

Τα αυτοματοποιημένα εργαλεία μπορούν να επιβεβαιώσουν ότι υπάρχει ενημέρωση απορρήτου, ότι υπάρχει σύνδεσμος προς αυτήν από κάθε σελίδα και ότι αναφέρει τα απαιτούμενα στοιχεία. Το αν το περιεχόμενο αντιστοιχεί σε όσα πραγματικά κάνει ο ιστότοπος είναι το πιο σημαντικό σημείο, και αυτό που ένας σαρωτής μπορεί μόνο να προσεγγίσει, συγκρίνοντας την ενημέρωση με τα εργαλεία παρακολούθησης που εντόπισε.

4. Στοιχεία του παρόχου υπηρεσιών (imprint)

Το άρθρο 5 της Οδηγίας για το ηλεκτρονικό εμπόριο υποχρεώνει κάθε υπηρεσία της κοινωνίας της πληροφορίας να καθιστά ορισμένα στοιχεία «εύκολα, άμεσα και μόνιμα προσβάσιμα»: την επωνυμία του παρόχου, τη γεωγραφική διεύθυνση, στοιχεία επικοινωνίας που περιλαμβάνουν διεύθυνση e-mail, την εγγραφή και τον αριθμό στο εμπορικό μητρώο, τον αριθμό μητρώου ΦΠΑ και, όπου χρειάζεται, την εποπτική αρχή ή τους επαγγελματικούς κανόνες. Αρκετά κράτη μέλη εφαρμόζουν αυτή την υποχρέωση με ειδική σελίδα στοιχείων παρόχου (στη Γερμανία το § 5 DDG, στην Αυστρία το § 5 ECG, στη Σλοβακία ο νόμος αριθ. 22/2004 Coll.).

Ένας έλεγχος πρέπει να επιβεβαιώνει ότι η σελίδα υπάρχει, ότι είναι προσβάσιμη με ένα ή δύο κλικ από κάθε σελίδα και ότι περιέχει όλα τα στοιχεία. Περισσότερα: Στοιχεία παρόχου και υποχρεώσεις ενημέρωσης βάσει του δικαίου του καταναλωτή για ηλεκτρονικά καταστήματα στην ΕΕ.

5. Πληροφορίες βάσει του δικαίου του καταναλωτή για ηλεκτρονικά καταστήματα

Αν ο ιστότοπος πωλεί σε καταναλωτές, η Οδηγία για τα δικαιώματα των καταναλωτών προσθέτει την προσυμβατική ενημέρωση (άρθρο 6), τη διατύπωση του κουμπιού παραγγελίας (άρθρο 8 παράγραφος 2) και το δικαίωμα υπαναχώρησης εντός 14 ημερών (άρθρο 9). Από την Οδηγία Omnibus 2019/2161 και μετά, τα ηλεκτρονικά καταστήματα πρέπει επίσης να εξηγούν πώς καθορίζεται η κατάταξη των προϊόντων, να δηλώνουν αν και πώς επαληθεύουν τις κριτικές των καταναλωτών και να εμφανίζουν την προηγούμενη τιμή όταν ανακοινώνουν μείωση (Οδηγία για την αναγραφή των τιμών, άρθρο 6α).

6. Προσβασιμότητα

Από τις 28 Ιουνίου 2025 η Ευρωπαϊκή Πράξη για την Προσβασιμότητα (European Accessibility Act) εφαρμόζεται στο ηλεκτρονικό εμπόριο που απευθύνεται σε καταναλωτές και σε αρκετές άλλες υπηρεσίες. Στην πράξη αυτό σημαίνει συμμόρφωση με τις απαιτήσεις για τον ιστό του EN 301 549, το οποίο παραπέμπει στο WCAG 2.1 επιπέδου AA. Οι αυτοματοποιημένες δοκιμές εντοπίζουν αξιόπιστα ελλείποντα εναλλακτικά κείμενα, ανεπαρκή αντίθεση, πεδία φορμών χωρίς ετικέτα και ελλείποντα χαρακτηριστικά γλώσσας· η χρήση με πληκτρολόγιο και η ροή με αναγνώστη οθόνης εξακολουθούν να απαιτούν χειροκίνητη δοκιμή. Δείτε Προσβασιμότητα (EAA 2025) για ιστοτόπους.

Λίστα ελέγχου σε μία σελίδα

Τι δεν μπορεί να δει κανένας σαρωτής

Τα αρχεία δραστηριοτήτων επεξεργασίας (άρθρο 30 ΓΚΠΔ), οι συμβάσεις με εκτελούντες την επεξεργασία (άρθρο 28), οι εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων (άρθρο 35), η παρακολούθηση από την πλευρά του διακομιστή (server-side tracking) και ό,τι συμβαίνει σε περιοχές με σύνδεση χρήστη είναι αόρατα για έναν crawler. Μια σάρωση είναι το καλύτερο πρώτο βήμα και ένας εξαιρετικός έλεγχος παλινδρόμησης· δεν είναι πλήρης έλεγχος (audit). Ο οδηγός μας Τι μπορούν και τι δεν μπορούν να ελέγξουν οι αυτοματοποιημένοι σαρωτές συμμόρφωσης εξηγεί πού βρίσκεται το όριο.