RGPD-Express
Οργανώστε τη συμμόρφωσή σας με τον ΓΚΠΔ
Τα βασικά άρθρα του ΓΚΠΔ
Ο ΓΚΠΔ (Κανονισμός (ΕΕ) 2016/679) διαρθρώνει την προσέγγιση RGPD-Express
Άρθ. 30 - Αρχείο δραστηριοτήτων επεξεργασίας
Υποχρέωση τήρησης αρχείου, τόσο από την πλευρά του υπευθύνου επεξεργασίας όσο και από την πλευρά του εκτελούντος την επεξεργασία. Η εξαίρεση της παραγράφου 5 για οργανισμούς με λιγότερους από 250 εργαζομένους ισχύει μόνο για περιστασιακή επεξεργασία.
Άρθ. 28 - Εκτελών την επεξεργασία
Συμβατική πλαισίωση κάθε εκτελούντος την επεξεργασία που χειρίζεται δεδομένα για λογαριασμό σας: επαρκείς εγγυήσεις, υποχρεωτικές ρήτρες, πρόσληψη άλλου εκτελούντος μόνο κατόπιν προηγούμενης έγγραφης άδειας.
Άρθ. 32 - Ασφάλεια της επεξεργασίας
Κατάλληλα τεχνικά και οργανωτικά μέτρα ανάλογα με τον κίνδυνο: ψευδωνυμοποίηση, κρυπτογράφηση, μέσα διασφάλισης του απορρήτου και της διαθεσιμότητας, διαδικασία τακτικής δοκιμής και αξιολόγησης.
Άρθ. 35 - Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ)
Υποχρεωτική μόνο όταν η επεξεργασία ενδέχεται να επιφέρει υψηλό κίνδυνο: συστηματική αξιολόγηση με έννομα αποτελέσματα, ευαίσθητα δεδομένα σε μεγάλη κλίμακα ή συστηματική παρακολούθηση δημόσια προσβάσιμου χώρου.
Ρυθμιστική παρακολούθηση - επίσημες πηγές
Τι λέει πραγματικά το κείμενο, σε απλή γλώσσα. Κάθε σημείο παραπέμπει στο επίσημο κείμενο.
Τι ακριβώς είναι ο ΓΚΠΔ;
Είναι το ευρωπαϊκό κείμενο που διέπει τη συλλογή και τη χρήση δεδομένων προσωπικού χαρακτήρα (πελατών, εργαζομένων, δυνητικών πελατών...). Εκδόθηκε στις 27 Απριλίου 2016 και δημοσιεύθηκε στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης στις 4 Μαΐου 2016.
Από πότε εφαρμόζεται
Ο κανονισμός τέθηκε σε ισχύ είκοσι ημέρες μετά τη δημοσίευσή του, αλλά εφαρμόζεται πραγματικά μόνο από τις 25 Μαΐου 2018. Αυτή είναι η ημερομηνία που μετράει για τις συγκεκριμένες υποχρεώσεις σας.
Το αρχείο δραστηριοτήτων επεξεργασίας: το βασικό έγγραφο
Πρέπει να τηρείτε κατάλογο με όσα κάνετε με δεδομένα προσωπικού χαρακτήρα: για ποιον σκοπό, με ποιους, για πόσο καιρό τα διατηρείτε, πώς τα προστατεύετε. Υπάρχει εξαίρεση για οργανισμούς με λιγότερους από 250 εργαζομένους, αλλά μόνο αν η επεξεργασία είναι περιστασιακή - μια τακτική εμπορική δραστηριότητα δεν την καλύπτει.
Χρειάζεται να ορίσετε Υπεύθυνο Προστασίας Δεδομένων (ΥΠΔ);
Είναι υποχρεωτικό μόνο σε τρεις συγκεκριμένες περιπτώσεις: είστε δημόσιος φορέας ή η κύρια δραστηριότητά σας συνίσταται στην τακτική και συστηματική παρακολούθηση προσώπων σε μεγάλη κλίμακα ή στην επεξεργασία ευαίσθητων δεδομένων σε μεγάλη κλίμακα. Εκτός αυτών των περιπτώσεων, ο ορισμός ΥΠΔ παραμένει προαιρετικός.
Σε περίπτωση παραβίασης δεδομένων: 72 ώρες για γνωστοποίηση στην αρχή
Αν δεδομένα προσωπικού χαρακτήρα χαθούν, κλαπούν ή εκτεθούν, πρέπει να το γνωστοποιήσετε στη CNIL (ή στην αρμόδια αρχή) το αργότερο εντός 72 ωρών αφότου λάβετε γνώση, εκτός εάν ο κίνδυνος για τα πρόσωπα είναι αμελητέος. Πρέπει επίσης να τηρείτε γραπτό αρχείο κάθε περιστατικού.
Αν ο κίνδυνος είναι υψηλός, πρέπει να ενημερωθούν και οι πελάτες ή οι εργαζόμενοί σας
Όταν μια παραβίαση δεδομένων δημιουργεί υψηλό κίνδυνο για τα θιγόμενα πρόσωπα, πρέπει να τα ενημερώσετε απευθείας, με σαφή και απλή διατύπωση. Μπορείτε να απαλλαγείτε από την ανακοίνωση αυτή αν τα δεδομένα ήταν κρυπτογραφημένα ή αν έχετε ήδη εξουδετερώσει τον κίνδυνο.
Οι κυρώσεις, με απλά λόγια
Σε περίπτωση παράβασης, το πρόστιμο μπορεί να φτάσει έως 10 εκατομμύρια ευρώ (ή το 2% του παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης) για τις πιο συνήθεις παραβάσεις και έως 20 εκατομμύρια ευρώ (ή το 4% του παγκόσμιου κύκλου εργασιών) για τις σοβαρότερες προσβολές των δικαιωμάτων των προσώπων - εφαρμόζεται πάντα το υψηλότερο ποσό. Το πραγματικό ποσό εξαρτάται από τη σοβαρότητα, τον εσκεμμένο ή αμελή χαρακτήρα της παράβασης και τη συνεργασία με την αρχή.
Ποιους αφορά ο ΓΚΠΔ;
Η ερώτηση που ακούμε συχνότερα: «Με αφορά πραγματικά, ως μικρή επιχείρηση;» Σύντομη, τεκμηριωμένη απάντηση: ναι, σχεδόν πάντα.
Το πραγματικό έναυσμα: η επεξεργασία ενός δεδομένου προσωπικού χαρακτήρα
Ο ΓΚΠΔ εφαρμόζεται μόλις ένας οργανισμός επεξεργάζεται, έστω και εν μέρει με αυτοματοποιημένα μέσα ή σε δομημένο αρχείο, πληροφορίες που αφορούν ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο: όνομα, email, αριθμό τηλεφώνου, διεύθυνση IP, δεδομένα θέσης...
Στην πράξη, αυτό καλύπτει ένα αρχείο πελατών, τη μισθοδοσία των εργαζομένων, τα βιογραφικά που λαμβάνετε, μια κάμερα παρακολούθησης, ένα ενημερωτικό δελτίο, ένα CRM ή cookies μέτρησης επισκεψιμότητας.
Οι σπάνιες εξαιρέσεις
Ο ΓΚΠΔ δεν εφαρμόζεται σε τέσσερις συγκεκριμένες περιπτώσεις:
- αποκλειστικά προσωπική ή οικιακή χρήση (για παράδειγμα, το ιδιωτικό σας βιβλίο διευθύνσεων)
- δραστηριότητες εκτός του πεδίου εφαρμογής του δικαίου της Ευρωπαϊκής Ένωσης
- δραστηριότητες των κρατών μελών που αφορούν την κοινή εξωτερική πολιτική
- επεξεργασία από αρχές για την πρόληψη ποινικών αδικημάτων (χωριστό καθεστώς)
Δεν έχει σημασία πού είστε εγκατεστημένοι
Ο ΓΚΠΔ εφαρμόζεται μόλις η επιχείρησή σας έχει εγκατάσταση στην Ευρωπαϊκή Ένωση ή μόλις στοχεύετε πρόσωπα που βρίσκονται σε αυτήν: προσφέροντάς τους αγαθά ή υπηρεσίες (ακόμη και δωρεάν) ή παρακολουθώντας τη συμπεριφορά τους (κατάρτιση προφίλ, cookies παρακολούθησης).
Η CNIL δίνει δύο χαρακτηριστικά παραδείγματα: μια γαλλική επιχείρηση που εξάγει μόνο στο Μαρόκο παραμένει υπόκειμενη στον ΓΚΠΔ μόλις επεξεργάζεται δεδομένα προσώπων στην ΕΕ· ένας κινεζικός ιστότοπος ηλεκτρονικού εμπορίου που παραδίδει στη Γαλλία πρέπει επίσης να συμμορφώνεται με αυτόν.
Δύο πιθανοί ρόλοι, δύο επίπεδα υποχρεώσεων
Υπεύθυνος επεξεργασίας: ο οργανισμός που αποφασίζει γιατί και πώς χρησιμοποιούνται τα δεδομένα (η επιχείρησή σας, ένας δήμος, ένας σύλλογος). Συνήθως είστε εσείς.
Εκτελών την επεξεργασία: ο πάροχος που επεξεργάζεται τα δεδομένα αυτά σύμφωνα με τις εντολές σας (πάροχος φιλοξενίας, λογισμικό μισθοδοσίας, διαφημιστική εταιρεία...). Έχει επίσης δικές του υποχρεώσεις, διακριτές από τις δικές σας.
Ιδιωτικές επιχειρήσεις
από πολύ μικρές επιχειρήσεις έως μεγάλους ομίλους, από το πρώτο κιόλας αρχείο πελατών ή εκκαθαριστικό μισθοδοσίας
Δημόσιος τομέας
δήμοι, οργανισμοί τοπικής αυτοδιοίκησης, δημόσιες υπηρεσίες, υγειονομικά ιδρύματα
Σύλλογοι, βιοτέχνες, ελεύθεροι επαγγελματίες
νομοθετικά ρυθμιζόμενα επαγγέλματα, έμποροι, νεοφυείς επιχειρήσεις: καμία εξαίρεση λόγω νομικής μορφής
Οι ερωτήσεις που κάνει πραγματικά ένας επιχειρηματίας
Χωρίς νομική ορολογία: οι 7 συχνότερες ερωτήσεις, μια απλή απάντηση και το επίσημο κείμενο πίσω από κάθε απάντηση.
Κάντε κλικ σε μια ερώτηση για να δείτε την απάντηση και την πηγή της.
Όχι. Η συγκατάθεση είναι μόνο μία από τις έξι επιλογές. Ο ΓΚΠΔ (άρθρο 6) επιτρέπει επίσης την επεξεργασία όταν είναι αναγκαία για την εκτέλεση σύμβασης, για τη συμμόρφωση με νομική υποχρέωση, για τη διαφύλαξη ζωτικών συμφερόντων, για την εκπλήρωση καθήκοντος δημόσιου συμφέροντος ή για το έννομο συμφέρον της επιχείρησής σας (για παράδειγμα, τη διαχείριση της σχέσης με υφιστάμενο πελάτη), εφόσον δεν υπερισχύουν τα δικαιώματα του προσώπου.
Εξαρτάται από το ποιον απευθύνεστε:
- Ιδιώτες (B2C): απαιτείται προηγούμενη συγκατάθεση (πλαίσιο επιλογής, ποτέ προεπιλεγμένο), εκτός αν προτείνετε ξανά παρόμοιο προϊόν σε υφιστάμενο πελάτη.
- Επαγγελματίες (B2B): είναι δυνατόν χωρίς προηγούμενη συγκατάθεση αν το μήνυμα αφορά την επαγγελματική τους δραστηριότητα, εφόσον τους έχετε ενημερώσει και τους δίνετε απλό τρόπο να αρνηθούν.
Σε κάθε περίπτωση: αναγνωρίσιμος αποστολέας και εύκολος σύνδεσμος διαγραφής.
Κατά κανόνα ναι, ιδίως αν τα δεδομένα δεν εξυπηρετούν πλέον κανέναν σκοπό, αν το πρόσωπο ανακαλεί τη συγκατάθεσή του ή αν αντιτάσσεται χωρίς να υπάρχει υπέρτερος νόμιμος λόγος από την πλευρά σας. Μπορείτε ωστόσο να αρνηθείτε αν πρέπει να διατηρήσετε τα δεδομένα λόγω νομικής υποχρέωσης - για παράδειγμα ένα τιμολόγιο που πρέπει να διατηρηθεί 10 έτη για λογιστικούς σκοπούς - ή για να υπερασπιστείτε τον εαυτό σας σε δικαστική διαδικασία.
1 μήνα από την παραλαβή του αιτήματος. Η προθεσμία αυτή μπορεί να παραταθεί κατά 2 μήνες αν το αίτημα είναι σύνθετο ή αν λαμβάνετε μεγάλο αριθμό αιτημάτων, αλλά πρέπει να ενημερώσετε το πρόσωπο για την παράταση εντός του αρχικού μήνα.
Ναι, αλλά όχι χωρίς προφυλάξεις. Τρεις πιθανές περιπτώσεις: η χώρα διαθέτει επίσημη απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής που αναγνωρίζει επαρκές επίπεδο προστασίας· ελλείψει αυτής, ο πάροχός σας πρέπει να παρέχει κατάλληλες εγγυήσεις (τυποποιημένες συμβατικές ρήτρες στις περισσότερες περιπτώσεις)· ή, μόνο για μεμονωμένες περιπτώσεις, εφαρμόζεται ειδική παρέκκλιση (ρητή συγκατάθεση, εκτέλεση σύμβασης...).
Ναι. Τα περισσότερα cookies (εξατομικευμένη διαφήμιση, κουμπιά μέσων κοινωνικής δικτύωσης...) απαιτούν την προηγούμενη συγκατάθεση του επισκέπτη σας, η οποία δίνεται ελεύθερα και ανακαλείται εξίσου εύκολα με όσο δίνεται. Η αποδοχή γενικών όρων χρήσης δεν συνιστά έγκυρη συγκατάθεση. Ορισμένα τεχνικά cookies (καλάθι αγορών, ταυτοποίηση, προτίμηση γλώσσας) εξαιρούνται από την απαίτηση αυτή.
Η CNIL ξεκινά συνήθως με έλεγχο (επιτόπιο ή διαδικτυακό), ακολουθούμενο από επίσημη προειδοποίηση για συμμόρφωση εντός ορισμένης προθεσμίας. Οι χρηματικές κυρώσεις υπάρχουν, αλλά παραμένουν ανάλογες με το μέγεθος του οργανισμού: η CNIL έχει, για παράδειγμα, επιβάλει σε μικρές επιχειρήσεις πρόστιμα μεταξύ 2.000 και 20.000 ευρώ για παραβάσεις σχετικές με την ασφάλεια, τα cookies ή το δικαίωμα πρόσβασης - πολύ κάτω από τα μέγιστα όρια (έως 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου κύκλου εργασιών για τις σοβαρότερες παραβάσεις).
Το χρονολόγιο του ΓΚΠΔ, με απλά λόγια
Ο ΓΚΠΔ δεν γεννήθηκε το 2018 και δεν έμεινε στάσιμος από τότε. Ακολουθούν, με τη σειρά, όσα έχουν ήδη συμβεί (και εξακολουθούν να αποτελούν τον κανόνα σήμερα) και όσα βρίσκονται ακόμη υπό συζήτηση στις Βρυξέλλες - με το επίσημο κείμενο που το αποδεικνύει για κάθε βήμα.
Ήδη σε ισχύ σήμερα
- Ο ΓΚΠΔ εφαρμόζεται πλήρως από τις 25 Μαΐου 2018 - αυτή είναι Η ημερομηνία που μετράει για τις υποχρεώσεις σας.
- Ο γαλλικός νόμος «Informatique et Libertés» (προστασία δεδομένων) επικαιροποιήθηκε αναλόγως (2018).
- Οι νέες τυποποιημένες συμβατικές ρήτρες για διαβιβάσεις εκτός ΕΕ ισχύουν από τα τέλη του 2022.
- Το πλαίσιο διαβίβασης δεδομένων προς τις Ηνωμένες Πολιτείες (Data Privacy Framework) ισχύει από τον Ιούλιο του 2023.
Ακόμη υπό συζήτηση, όχι ακόμη υποχρεωτικά
- Απλούστευση του αρχείου δραστηριοτήτων επεξεργασίας (άρθ. 30) για οργανισμούς με λιγότερους από 750 εργαζομένους, που πρότεινε η Επιτροπή τον Μάιο του 2025 - όχι ακόμη κείμενο σε ισχύ.
- Κανονισμός για την εναρμόνιση των διαδικασιών μεταξύ των εθνικών εποπτικών αρχών στις διασυνοριακές έρευνες - πολιτική συμφωνία τον Ιούνιο του 2025, η επίσημη έκδοση δεν έχει ακόμη επιβεβαιωθεί.
- Μη βασίζεστε σε αυτές τις ανακοινώσεις για να καθυστερήσετε τη συμμόρφωσή σας: το πλαίσιο του 2018 παραμένει ο κανόνας όσο τίποτα δεν έχει δημοσιευθεί στην Επίσημη Εφημερίδα.
Το κείμενο εκδίδεται
Το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο εκδίδουν τον Κανονισμό (ΕΕ) 2016/679, τον ΓΚΠΔ. πηγή EUR-Lex ↗
Επίσημη δημοσίευση
Το κείμενο δημοσιεύεται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης (ΕΕ L 119, σελίδες 1 έως 88). πηγή EUR-Lex ↗
Νομική έναρξη ισχύος
Ο κανονισμός «αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του» (άρθ. 99). Υπάρχει νομικά, αλλά η πραγματική εφαρμογή του στις επιχειρήσεις μετατίθεται ακόμη κατά δύο έτη - χρόνος για να οργανωθούν. πηγή CNIL, άρθ. 99 ↗
Ο ΓΚΠΔ εφαρμόζεται πλήρως
Από την ημερομηνία αυτή, όλοι οι οργανισμοί που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα κατοίκων της Ευρώπης πρέπει να συμμορφώνονται πραγματικά, όχι μόνο «στα χαρτιά». Αυτή είναι η ημερομηνία που πρέπει να θυμάστε. πηγή CNIL, άρθ. 99 ↗
Το γαλλικό δίκαιο επικαιροποιείται
Ο νόμος αριθ. 2018-493 προσαρμόζει το γαλλικό δίκαιο στον ΓΚΠΔ και μεταφέρει την οδηγία «αστυνομίας-δικαιοσύνης» (2016/680), με βάση τον νόμο του 1978 για την προστασία δεδομένων («loi Informatique et Libertés»). πηγή Légifrance ↗
Ο νόμος του 1978 αναδιατυπώνεται πλήρως
Η διάταξη αριθ. 2018-1125 ολοκληρώνει την ευθυγράμμιση του νόμου για την προστασία δεδομένων («loi Informatique et Libertés») με τον ΓΚΠΔ και την οδηγία 2016/680. πηγή Légifrance ↗
1η αξιολόγηση της Ευρωπαϊκής Επιτροπής
Δύο έτη μετά την έναρξη εφαρμογής του, η Επιτροπή δημοσιεύει την πρώτη της έκθεση: ο ΓΚΠΔ επιτυγχάνει τους στόχους του, αλλά απαιτούνται βελτιώσεις (εναρμόνιση μεταξύ χωρών, συνεργασία μεταξύ αρχών). πηγή EUR-Lex (COM 2020) ↗
Η απόφαση «Schrems II»
Το Δικαστήριο της Ευρωπαϊκής Ένωσης ακυρώνει την «Ασπίδα Προστασίας της Ιδιωτικής Ζωής» (Privacy Shield) που διείπε τις διαβιβάσεις δεδομένων προς τις Ηνωμένες Πολιτείες: οι αμερικανικές εγγυήσεις σχετικά με την πρόσβαση των δημόσιων αρχών στα δεδομένα δεν κρίνονται επαρκείς. πηγή EUR-Lex ↗
Νέες τυποποιημένες συμβατικές ρήτρες
Τίθενται σε ισχύ νέες πρότυπες ρήτρες για τη ρύθμιση των διαβιβάσεων δεδομένων εκτός ΕΕ, με μεταβατική περίοδο 15 μηνών για την αντικατάσταση των ήδη υπογεγραμμένων συμβάσεων. πηγή EUR-Lex (2021/914) ↗
Νέο πλαίσιο ΕΕ-ΗΠΑ
Η Επιτροπή εκδίδει την απόφαση επάρκειας «Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ» (EU-US Data Privacy Framework), η οποία αντικαθιστά την Ασπίδα Προστασίας της Ιδιωτικής Ζωής που ακυρώθηκε το 2020 και διασφαλίζει εκ νέου τις διαβιβάσεις προς αμερικανικές επιχειρήσεις. πηγή EUR-Lex (2023/1795) ↗
2η αξιολόγηση της Ευρωπαϊκής Επιτροπής
Σημαντική αύξηση των κυρώσεων κατά μεγάλων εταιρειών τεχνολογίας, αλλά εξακολουθούν να υπάρχουν αποκλίσεις μεταξύ των εθνικών αρχών. Η Επιτροπή συνιστά καλύτερη υποστήριξη των ΜμΕ. πηγή EUR-Lex (COM 2024) ↗
Προτεινόμενη απλούστευση για τις ΜμΕ
Στο πλαίσιο της δέσμης απλούστευσης για την ενιαία αγορά, η Επιτροπή προτείνει την επέκταση έως τους 750 εργαζομένους (αντί για 250) της απαλλαγής από την τήρηση πλήρους αρχείου δραστηριοτήτων επεξεργασίας (άρθ. 30), με εξαίρεση τις επεξεργασίες «υψηλού κινδύνου». Πρόκειται για πρόταση, όχι ακόμη για κείμενο σε ισχύ. πηγή Ευρωπαϊκή Επιτροπή ↗
Συμφωνία για κοινούς διαδικαστικούς κανόνες
Το Συμβούλιο και το Ευρωπαϊκό Κοινοβούλιο καταλήγουν σε πολιτική συμφωνία για πρόσθετους διαδικαστικούς κανόνες που εναρμονίζουν τη συνεργασία των εθνικών εποπτικών αρχών στις διασυνοριακές έρευνες. Η επίσημη έκδοση και η δημοσίευση στην Επίσημη Εφημερίδα μένει να επιβεβαιωθούν. πηγή Ευρωπαϊκή Επιτροπή ↗
Χρονολόγιο καταρτισμένο από επίσημες πηγές (EUR-Lex, CNIL, Légifrance, Ευρωπαϊκή Επιτροπή) που ελέγχθηκαν στις 18 Ιουλίου 2026. Τα δύο τελευταία βήματα είναι προτάσεις ή πολιτικές συμφωνίες σε εξέλιξη. Πρόκειται για εκπαιδευτική σύνοψη και δεν αποτελεί νομική συμβουλή.
Οι κυρώσεις του ΓΚΠΔ, με απλά λόγια
Ο τρομακτικός αριθμός - «20 εκατομμύρια ευρώ» - υπάρχει παντού, αλλά δεν εξηγεί πώς λειτουργεί στην πράξη. Ακολουθεί, με βάση επίσημες πηγές, ποιος επιβάλλει κυρώσεις, πώς και για ποια πραγματικά ποσά.
ή έως 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης (εφαρμόζεται το υψηλότερο ποσό).
Κλίμακα για τις «συνήθεις» παραβάσεις: αρχείο δραστηριοτήτων επεξεργασίας, ασφάλεια δεδομένων, υποχρεώσεις του εκτελούντος την επεξεργασία, έλλειψη εκτίμησης αντικτύπου...
ή έως 4% του παγκόσμιου ετήσιου κύκλου εργασιών (ίδιος κανόνας, εφαρμόζεται το υψηλότερο ποσό).
Κλίμακα για τις σοβαρότερες παραβάσεις: απουσία νομικής βάσης, προσβολή των δικαιωμάτων των προσώπων, παράνομες διαβιβάσεις εκτός ΕΕ...
Ποιος αποφασίζει; Το περιορισμένο τμήμα της CNIL
Δεν επιβάλλει κυρώσεις η «γενική» CNIL, αλλά ένα χωριστό, ανεξάρτητο όργανο: το περιορισμένο τμήμα («formation restreinte»), που αποτελείται από 5 μέλη και πρόεδρο διαφορετικό από τον πρόεδρο της CNIL. Μόνο αυτό εξετάζει τις υποθέσεις και επιβάλλει κυρώσεις. Οι σημαντικότερες αποφάσεις δημοσιοποιούνται.
Τι διαφοροποιεί το πραγματικό ποσό
Το άρθρο 83 του ΓΚΠΔ υποχρεώνει τη CNIL να λαμβάνει υπόψη διάφορα κριτήρια πριν καθορίσει ένα πρόστιμο, ιδίως:
- τη σοβαρότητα, τη φύση και τη διάρκεια της παράβασης
- αν ήταν εσκεμμένη ή απλώς οφειλόταν σε αμέλεια
- τα μέτρα που έχουν ήδη ληφθεί για τον περιορισμό της ζημίας
- τη συνεργασία με τη CNIL και τις προηγούμενες παραβάσεις
- τις κατηγορίες δεδομένων που αφορά
Πριν από το πρόστιμο: κλιμακωτή αντίδραση (άρθρο 58 του ΓΚΠΔ)
- Προειδοποίηση
- Επίπληξη
- Επίσημη όχληση
- Εντολή συμμόρφωσης
- Διοικητικό πρόστιμο (άρθ. 83)
| Ημερομηνία | Οργανισμός | Ποσό | Αιτιολογία |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 εκατ. € | Έλλειψη διαφάνειας, απουσία έγκυρης συγκατάθεσης για εξατομικευμένη διαφήμιση |
| 07/12/2020 | Amazon Europe Core | 35 εκατ. € | Τοποθέτηση cookies χωρίς προηγούμενη συγκατάθεση |
| 31/12/2021 | Google LLC / Google Ireland | 150 εκατ. € | Η άρνηση των cookies ήταν πιο περίπλοκη από την αποδοχή τους |
| 31/12/2021 | Facebook Ireland (Meta) | 60 εκατ. € | Ίδια αιτιολογία: υπερβολικά δύσκολη άρνηση των cookies |
| 17/10/2022 | Clearview AI | 20 εκατ. € | Αναγνώριση προσώπου χωρίς νομική βάση, άρνηση συνεργασίας |
| 10/11/2022 | Discord Inc. | 800 000 € | Υπερβολική διατήρηση δεδομένων, ανεπαρκής ασφάλεια και ενημέρωση |
| 15/06/2023 | Criteo | 40 εκατ. € | Παραβάσεις σχετικά με τη συγκατάθεση για cookies και τα δικαιώματα των προσώπων |
Και ένας μικρότερος οργανισμός; Αναλογικά ποσά
Η CNIL επιβάλλει κυρώσεις και σε μικρούς και μεσαίους οργανισμούς, αλλά με ποσά πολύ χαμηλότερα από εκείνα που επιβάλλονται σε διεθνείς ομίλους. Μόνο από τις αποφάσεις του Δεκεμβρίου 2025, παραδείγματα: 5 000 € για εταιρεία διαχείρισης ξενοδοχείου (μη σύμφωνη βιντεοεπιτήρηση), 7 000 € και 5 000 € για δύο εκδοτικές εταιρείες εφημερίδων (μη έγκυρα cookies), 10 000 € για εταιρεία αεροπορικών εμπορευματικών μεταφορών (παράνομη βιντεοεπιτήρηση) ή 20 000 € για ένα πανεπιστήμιο (μη τήρηση των σκοπών). Στο άλλο άκρο της κλίμακας, μια εταιρεία του τομέα υπηρεσιών τιμωρήθηκε τον ίδιο μήνα με πρόστιμο 3,5 εκατ. € για σωρεία σοβαρών παραβάσεων (ασφάλεια, διαφάνεια, cookies). Το ποσό ακολουθεί τη σοβαρότητα και το μέγεθος, όχι το αντίστροφο.
Η εποπτική σας αρχή, ανά χώρα
Στην Ευρώπη, κάθε χώρα έχει τις δικές της αρχές. Ακολουθεί, για τις 30 χώρες του Ευρωπαϊκού Οικονομικού Χώρου, η αρχή προστασίας δεδομένων (ο αρμόδιος φορέας σας για τον ΓΚΠΔ) και η εθνική αρχή κυβερνοασφάλειας. Κάθε όνομα παραπέμπει στον επίσημο ιστότοπο.
Πηγές: επίσημοι ιστότοποι των αρχών και κατάλογος μελών του ΕΣΠΔ (edpb.europa.eu), που ελέγχθηκαν στις 18 Ιουλίου 2026. Επιβεβαιωμένες αρχές προστασίας δεδομένων: 30/30. Επιβεβαιωμένες αρχές κυβερνοασφάλειας: 28/30. Οι ενδείξεις «προς επιβεβαίωση» σημαίνουν επίσημη πηγή που δεν είχε ακόμη σταθεροποιηθεί κατά την ημερομηνία αυτή.