Μετάβαση στο περιεχόμενο
Δομημένη, τεκμηριωμένη υποστήριξη σε επίπεδο εγγράφων. Η σελίδα αυτή δεν αποτελεί νομική συμβουλή: οι νομικά δεσμευτικές πτυχές απαιτούν εξειδικευμένο επαγγελματία (δικηγόρο, Υπεύθυνο Προστασίας Δεδομένων ή ανεξάρτητο ελεγκτή).
ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2016/679 - ΓΚΠΔ

RGPD-Express
Οργανώστε τη συμμόρφωσή σας με τον ΓΚΠΔ

4
πυλώνες συμμόρφωσης που καλύπτονται
Άρθ. 30
Αρχείο δραστηριοτήτων επεξεργασίας
Άρθ. 28
Πλαισίωση των εκτελούντων την επεξεργασία
Άρθ. 83
Κυρώσεις έως 20 εκατ. EUR ή 4% του παγκόσμιου κύκλου εργασιών

Τα βασικά άρθρα του ΓΚΠΔ

Ο ΓΚΠΔ (Κανονισμός (ΕΕ) 2016/679) διαρθρώνει την προσέγγιση RGPD-Express

30

Άρθ. 30 - Αρχείο δραστηριοτήτων επεξεργασίας

Υποχρέωση τήρησης αρχείου, τόσο από την πλευρά του υπευθύνου επεξεργασίας όσο και από την πλευρά του εκτελούντος την επεξεργασία. Η εξαίρεση της παραγράφου 5 για οργανισμούς με λιγότερους από 250 εργαζομένους ισχύει μόνο για περιστασιακή επεξεργασία.

28

Άρθ. 28 - Εκτελών την επεξεργασία

Συμβατική πλαισίωση κάθε εκτελούντος την επεξεργασία που χειρίζεται δεδομένα για λογαριασμό σας: επαρκείς εγγυήσεις, υποχρεωτικές ρήτρες, πρόσληψη άλλου εκτελούντος μόνο κατόπιν προηγούμενης έγγραφης άδειας.

32

Άρθ. 32 - Ασφάλεια της επεξεργασίας

Κατάλληλα τεχνικά και οργανωτικά μέτρα ανάλογα με τον κίνδυνο: ψευδωνυμοποίηση, κρυπτογράφηση, μέσα διασφάλισης του απορρήτου και της διαθεσιμότητας, διαδικασία τακτικής δοκιμής και αξιολόγησης.

35

Άρθ. 35 - Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ)

Υποχρεωτική μόνο όταν η επεξεργασία ενδέχεται να επιφέρει υψηλό κίνδυνο: συστηματική αξιολόγηση με έννομα αποτελέσματα, ευαίσθητα δεδομένα σε μεγάλη κλίμακα ή συστηματική παρακολούθηση δημόσια προσβάσιμου χώρου.

Ρυθμιστική παρακολούθηση - επίσημες πηγές

Τι λέει πραγματικά το κείμενο, σε απλή γλώσσα. Κάθε σημείο παραπέμπει στο επίσημο κείμενο.

Τι ακριβώς είναι ο ΓΚΠΔ;

Είναι το ευρωπαϊκό κείμενο που διέπει τη συλλογή και τη χρήση δεδομένων προσωπικού χαρακτήρα (πελατών, εργαζομένων, δυνητικών πελατών...). Εκδόθηκε στις 27 Απριλίου 2016 και δημοσιεύθηκε στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης στις 4 Μαΐου 2016.

Από πότε εφαρμόζεται

Ο κανονισμός τέθηκε σε ισχύ είκοσι ημέρες μετά τη δημοσίευσή του, αλλά εφαρμόζεται πραγματικά μόνο από τις 25 Μαΐου 2018. Αυτή είναι η ημερομηνία που μετράει για τις συγκεκριμένες υποχρεώσεις σας.

Το αρχείο δραστηριοτήτων επεξεργασίας: το βασικό έγγραφο

Πρέπει να τηρείτε κατάλογο με όσα κάνετε με δεδομένα προσωπικού χαρακτήρα: για ποιον σκοπό, με ποιους, για πόσο καιρό τα διατηρείτε, πώς τα προστατεύετε. Υπάρχει εξαίρεση για οργανισμούς με λιγότερους από 250 εργαζομένους, αλλά μόνο αν η επεξεργασία είναι περιστασιακή - μια τακτική εμπορική δραστηριότητα δεν την καλύπτει.

Χρειάζεται να ορίσετε Υπεύθυνο Προστασίας Δεδομένων (ΥΠΔ);

Είναι υποχρεωτικό μόνο σε τρεις συγκεκριμένες περιπτώσεις: είστε δημόσιος φορέας ή η κύρια δραστηριότητά σας συνίσταται στην τακτική και συστηματική παρακολούθηση προσώπων σε μεγάλη κλίμακα ή στην επεξεργασία ευαίσθητων δεδομένων σε μεγάλη κλίμακα. Εκτός αυτών των περιπτώσεων, ο ορισμός ΥΠΔ παραμένει προαιρετικός.

Σε περίπτωση παραβίασης δεδομένων: 72 ώρες για γνωστοποίηση στην αρχή

Αν δεδομένα προσωπικού χαρακτήρα χαθούν, κλαπούν ή εκτεθούν, πρέπει να το γνωστοποιήσετε στη CNIL (ή στην αρμόδια αρχή) το αργότερο εντός 72 ωρών αφότου λάβετε γνώση, εκτός εάν ο κίνδυνος για τα πρόσωπα είναι αμελητέος. Πρέπει επίσης να τηρείτε γραπτό αρχείο κάθε περιστατικού.

Αν ο κίνδυνος είναι υψηλός, πρέπει να ενημερωθούν και οι πελάτες ή οι εργαζόμενοί σας

Όταν μια παραβίαση δεδομένων δημιουργεί υψηλό κίνδυνο για τα θιγόμενα πρόσωπα, πρέπει να τα ενημερώσετε απευθείας, με σαφή και απλή διατύπωση. Μπορείτε να απαλλαγείτε από την ανακοίνωση αυτή αν τα δεδομένα ήταν κρυπτογραφημένα ή αν έχετε ήδη εξουδετερώσει τον κίνδυνο.

Οι κυρώσεις, με απλά λόγια

Σε περίπτωση παράβασης, το πρόστιμο μπορεί να φτάσει έως 10 εκατομμύρια ευρώ (ή το 2% του παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης) για τις πιο συνήθεις παραβάσεις και έως 20 εκατομμύρια ευρώ (ή το 4% του παγκόσμιου κύκλου εργασιών) για τις σοβαρότερες προσβολές των δικαιωμάτων των προσώπων - εφαρμόζεται πάντα το υψηλότερο ποσό. Το πραγματικό ποσό εξαρτάται από τη σοβαρότητα, τον εσκεμμένο ή αμελή χαρακτήρα της παράβασης και τη συνεργασία με την αρχή.

Η παρούσα παρακολούθηση είναι εκπαιδευτική σύνοψη που καταρτίστηκε από τα επίσημα κείμενα που αναφέρονται παραπάνω (EUR-Lex και CNIL). Δεν υποκαθιστά τη νομική ανάγνωση του κειμένου και δεν αποτελεί νομική συμβουλή.

Ποιους αφορά ο ΓΚΠΔ;

Η ερώτηση που ακούμε συχνότερα: «Με αφορά πραγματικά, ως μικρή επιχείρηση;» Σύντομη, τεκμηριωμένη απάντηση: ναι, σχεδόν πάντα.

Το μέγεθος της επιχείρησης δεν αλλάζει τίποτα στην υποχρέωση

Η CNIL είναι σαφής: «όπως όλες οι επιχειρήσεις, οι πολύ μικρές επιχειρήσεις και οι ΜμΕ οφείλουν να συμμορφώνονται με τον κανονισμό για την προστασία των δεδομένων προσωπικού χαρακτήρα.» Δεν υπάρχει όριο αριθμού εργαζομένων ή κύκλου εργασιών που να απαλλάσσει έναν οργανισμό από τον ΓΚΠΔ.

Το πραγματικό έναυσμα: η επεξεργασία ενός δεδομένου προσωπικού χαρακτήρα

Ο ΓΚΠΔ εφαρμόζεται μόλις ένας οργανισμός επεξεργάζεται, έστω και εν μέρει με αυτοματοποιημένα μέσα ή σε δομημένο αρχείο, πληροφορίες που αφορούν ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο: όνομα, email, αριθμό τηλεφώνου, διεύθυνση IP, δεδομένα θέσης...

Στην πράξη, αυτό καλύπτει ένα αρχείο πελατών, τη μισθοδοσία των εργαζομένων, τα βιογραφικά που λαμβάνετε, μια κάμερα παρακολούθησης, ένα ενημερωτικό δελτίο, ένα CRM ή cookies μέτρησης επισκεψιμότητας.

Οι σπάνιες εξαιρέσεις

Ο ΓΚΠΔ δεν εφαρμόζεται σε τέσσερις συγκεκριμένες περιπτώσεις:

  • αποκλειστικά προσωπική ή οικιακή χρήση (για παράδειγμα, το ιδιωτικό σας βιβλίο διευθύνσεων)
  • δραστηριότητες εκτός του πεδίου εφαρμογής του δικαίου της Ευρωπαϊκής Ένωσης
  • δραστηριότητες των κρατών μελών που αφορούν την κοινή εξωτερική πολιτική
  • επεξεργασία από αρχές για την πρόληψη ποινικών αδικημάτων (χωριστό καθεστώς)

Δεν έχει σημασία πού είστε εγκατεστημένοι

Ο ΓΚΠΔ εφαρμόζεται μόλις η επιχείρησή σας έχει εγκατάσταση στην Ευρωπαϊκή Ένωση ή μόλις στοχεύετε πρόσωπα που βρίσκονται σε αυτήν: προσφέροντάς τους αγαθά ή υπηρεσίες (ακόμη και δωρεάν) ή παρακολουθώντας τη συμπεριφορά τους (κατάρτιση προφίλ, cookies παρακολούθησης).

Η CNIL δίνει δύο χαρακτηριστικά παραδείγματα: μια γαλλική επιχείρηση που εξάγει μόνο στο Μαρόκο παραμένει υπόκειμενη στον ΓΚΠΔ μόλις επεξεργάζεται δεδομένα προσώπων στην ΕΕ· ένας κινεζικός ιστότοπος ηλεκτρονικού εμπορίου που παραδίδει στη Γαλλία πρέπει επίσης να συμμορφώνεται με αυτόν.

Δύο πιθανοί ρόλοι, δύο επίπεδα υποχρεώσεων

Υπεύθυνος επεξεργασίας: ο οργανισμός που αποφασίζει γιατί και πώς χρησιμοποιούνται τα δεδομένα (η επιχείρησή σας, ένας δήμος, ένας σύλλογος). Συνήθως είστε εσείς.

Εκτελών την επεξεργασία: ο πάροχος που επεξεργάζεται τα δεδομένα αυτά σύμφωνα με τις εντολές σας (πάροχος φιλοξενίας, λογισμικό μισθοδοσίας, διαφημιστική εταιρεία...). Έχει επίσης δικές του υποχρεώσεις, διακριτές από τις δικές σας.

🏢

Ιδιωτικές επιχειρήσεις
από πολύ μικρές επιχειρήσεις έως μεγάλους ομίλους, από το πρώτο κιόλας αρχείο πελατών ή εκκαθαριστικό μισθοδοσίας

🏛️

Δημόσιος τομέας
δήμοι, οργανισμοί τοπικής αυτοδιοίκησης, δημόσιες υπηρεσίες, υγειονομικά ιδρύματα

🤝

Σύλλογοι, βιοτέχνες, ελεύθεροι επαγγελματίες
νομοθετικά ρυθμιζόμενα επαγγέλματα, έμποροι, νεοφυείς επιχειρήσεις: καμία εξαίρεση λόγω νομικής μορφής

Η ενότητα αυτή είναι εκπαιδευτική σύνοψη που καταρτίστηκε από τα επίσημα κείμενα και τις σελίδες που αναφέρονται παραπάνω (CNIL, άρθρα 2, 3 και 4 του ΓΚΠΔ). Δεν υποκαθιστά τη νομική ανάγνωση του κειμένου και δεν αποτελεί νομική συμβουλή.

Οι ερωτήσεις που κάνει πραγματικά ένας επιχειρηματίας

Χωρίς νομική ορολογία: οι 7 συχνότερες ερωτήσεις, μια απλή απάντηση και το επίσημο κείμενο πίσω από κάθε απάντηση.

Κάντε κλικ σε μια ερώτηση για να δείτε την απάντηση και την πηγή της.

Χρειάζομαι πάντα τη συγκατάθεση των πελατών μου για να χρησιμοποιήσω τα δεδομένα τους;

Όχι. Η συγκατάθεση είναι μόνο μία από τις έξι επιλογές. Ο ΓΚΠΔ (άρθρο 6) επιτρέπει επίσης την επεξεργασία όταν είναι αναγκαία για την εκτέλεση σύμβασης, για τη συμμόρφωση με νομική υποχρέωση, για τη διαφύλαξη ζωτικών συμφερόντων, για την εκπλήρωση καθήκοντος δημόσιου συμφέροντος ή για το έννομο συμφέρον της επιχείρησής σας (για παράδειγμα, τη διαχείριση της σχέσης με υφιστάμενο πελάτη), εφόσον δεν υπερισχύουν τα δικαιώματα του προσώπου.

Μπορώ να επικοινωνώ με πελάτες και δυνητικούς πελάτες μέσω email για σκοπούς προώθησης;

Εξαρτάται από το ποιον απευθύνεστε:

  • Ιδιώτες (B2C): απαιτείται προηγούμενη συγκατάθεση (πλαίσιο επιλογής, ποτέ προεπιλεγμένο), εκτός αν προτείνετε ξανά παρόμοιο προϊόν σε υφιστάμενο πελάτη.
  • Επαγγελματίες (B2B): είναι δυνατόν χωρίς προηγούμενη συγκατάθεση αν το μήνυμα αφορά την επαγγελματική τους δραστηριότητα, εφόσον τους έχετε ενημερώσει και τους δίνετε απλό τρόπο να αρνηθούν.

Σε κάθε περίπτωση: αναγνωρίσιμος αποστολέας και εύκολος σύνδεσμος διαγραφής.

Πηγή: CNIL, εμπορική προώθηση μέσω email (σελίδα επικαιροποιημένη στις 10/06/2026)
Ένας πελάτης μού ζητά να διαγράψω τα δεδομένα του - είμαι υποχρεωμένος να συμμορφωθώ;

Κατά κανόνα ναι, ιδίως αν τα δεδομένα δεν εξυπηρετούν πλέον κανέναν σκοπό, αν το πρόσωπο ανακαλεί τη συγκατάθεσή του ή αν αντιτάσσεται χωρίς να υπάρχει υπέρτερος νόμιμος λόγος από την πλευρά σας. Μπορείτε ωστόσο να αρνηθείτε αν πρέπει να διατηρήσετε τα δεδομένα λόγω νομικής υποχρέωσης - για παράδειγμα ένα τιμολόγιο που πρέπει να διατηρηθεί 10 έτη για λογιστικούς σκοπούς - ή για να υπερασπιστείτε τον εαυτό σας σε δικαστική διαδικασία.

Πόσο χρόνο έχω για να απαντήσω στο αίτημα ενός πελάτη (πρόσβαση, διαγραφή...);

1 μήνα από την παραλαβή του αιτήματος. Η προθεσμία αυτή μπορεί να παραταθεί κατά 2 μήνες αν το αίτημα είναι σύνθετο ή αν λαμβάνετε μεγάλο αριθμό αιτημάτων, αλλά πρέπει να ενημερώσετε το πρόσωπο για την παράταση εντός του αρχικού μήνα.

Μπορώ να αποθηκεύω τα δεδομένα των πελατών μου σε αμερικανικό πάροχο cloud;

Ναι, αλλά όχι χωρίς προφυλάξεις. Τρεις πιθανές περιπτώσεις: η χώρα διαθέτει επίσημη απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής που αναγνωρίζει επαρκές επίπεδο προστασίας· ελλείψει αυτής, ο πάροχός σας πρέπει να παρέχει κατάλληλες εγγυήσεις (τυποποιημένες συμβατικές ρήτρες στις περισσότερες περιπτώσεις)· ή, μόνο για μεμονωμένες περιπτώσεις, εφαρμόζεται ειδική παρέκκλιση (ρητή συγκατάθεση, εκτέλεση σύμβασης...).

Καλύπτονται τα cookies του ιστοτόπου μου από τον ΓΚΠΔ;

Ναι. Τα περισσότερα cookies (εξατομικευμένη διαφήμιση, κουμπιά μέσων κοινωνικής δικτύωσης...) απαιτούν την προηγούμενη συγκατάθεση του επισκέπτη σας, η οποία δίνεται ελεύθερα και ανακαλείται εξίσου εύκολα με όσο δίνεται. Η αποδοχή γενικών όρων χρήσης δεν συνιστά έγκυρη συγκατάθεση. Ορισμένα τεχνικά cookies (καλάθι αγορών, ταυτοποίηση, προτίμηση γλώσσας) εξαιρούνται από την απαίτηση αυτή.

Τι κινδυνεύει πραγματικά η επιχείρησή μου σε περίπτωση ελέγχου από τη CNIL;

Η CNIL ξεκινά συνήθως με έλεγχο (επιτόπιο ή διαδικτυακό), ακολουθούμενο από επίσημη προειδοποίηση για συμμόρφωση εντός ορισμένης προθεσμίας. Οι χρηματικές κυρώσεις υπάρχουν, αλλά παραμένουν ανάλογες με το μέγεθος του οργανισμού: η CNIL έχει, για παράδειγμα, επιβάλει σε μικρές επιχειρήσεις πρόστιμα μεταξύ 2.000 και 20.000 ευρώ για παραβάσεις σχετικές με την ασφάλεια, τα cookies ή το δικαίωμα πρόσβασης - πολύ κάτω από τα μέγιστα όρια (έως 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου κύκλου εργασιών για τις σοβαρότερες παραβάσεις).

Οι παρούσες συχνές ερωτήσεις αποτελούν εκπαιδευτική σύνοψη που καταρτίστηκε από τα επίσημα κείμενα και τις σελίδες που αναφέρονται παραπάνω (CNIL). Δεν υποκαθιστούν τη νομική ανάγνωση του κειμένου και δεν αποτελούν νομική συμβουλή.

Το χρονολόγιο του ΓΚΠΔ, με απλά λόγια

Ο ΓΚΠΔ δεν γεννήθηκε το 2018 και δεν έμεινε στάσιμος από τότε. Ακολουθούν, με τη σειρά, όσα έχουν ήδη συμβεί (και εξακολουθούν να αποτελούν τον κανόνα σήμερα) και όσα βρίσκονται ακόμη υπό συζήτηση στις Βρυξέλλες - με το επίσημο κείμενο που το αποδεικνύει για κάθε βήμα.

Ήδη σε ισχύ σήμερα

  • Ο ΓΚΠΔ εφαρμόζεται πλήρως από τις 25 Μαΐου 2018 - αυτή είναι Η ημερομηνία που μετράει για τις υποχρεώσεις σας.
  • Ο γαλλικός νόμος «Informatique et Libertés» (προστασία δεδομένων) επικαιροποιήθηκε αναλόγως (2018).
  • Οι νέες τυποποιημένες συμβατικές ρήτρες για διαβιβάσεις εκτός ΕΕ ισχύουν από τα τέλη του 2022.
  • Το πλαίσιο διαβίβασης δεδομένων προς τις Ηνωμένες Πολιτείες (Data Privacy Framework) ισχύει από τον Ιούλιο του 2023.

Ακόμη υπό συζήτηση, όχι ακόμη υποχρεωτικά

  • Απλούστευση του αρχείου δραστηριοτήτων επεξεργασίας (άρθ. 30) για οργανισμούς με λιγότερους από 750 εργαζομένους, που πρότεινε η Επιτροπή τον Μάιο του 2025 - όχι ακόμη κείμενο σε ισχύ.
  • Κανονισμός για την εναρμόνιση των διαδικασιών μεταξύ των εθνικών εποπτικών αρχών στις διασυνοριακές έρευνες - πολιτική συμφωνία τον Ιούνιο του 2025, η επίσημη έκδοση δεν έχει ακόμη επιβεβαιωθεί.
  • Μη βασίζεστε σε αυτές τις ανακοινώσεις για να καθυστερήσετε τη συμμόρφωσή σας: το πλαίσιο του 2018 παραμένει ο κανόνας όσο τίποτα δεν έχει δημοσιευθεί στην Επίσημη Εφημερίδα.
1
27 Απριλίου 2016

Το κείμενο εκδίδεται

Το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο εκδίδουν τον Κανονισμό (ΕΕ) 2016/679, τον ΓΚΠΔ. πηγή EUR-Lex ↗

2
4 Μαΐου 2016

Επίσημη δημοσίευση

Το κείμενο δημοσιεύεται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης (ΕΕ L 119, σελίδες 1 έως 88). πηγή EUR-Lex ↗

3
24 Μαΐου 2016

Νομική έναρξη ισχύος

Ο κανονισμός «αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του» (άρθ. 99). Υπάρχει νομικά, αλλά η πραγματική εφαρμογή του στις επιχειρήσεις μετατίθεται ακόμη κατά δύο έτη - χρόνος για να οργανωθούν. πηγή CNIL, άρθ. 99 ↗

★
25 Μαΐου 2018 - ΒΑΣΙΚΗ ΗΜΕΡΟΜΗΝΙΑ

Ο ΓΚΠΔ εφαρμόζεται πλήρως

Από την ημερομηνία αυτή, όλοι οι οργανισμοί που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα κατοίκων της Ευρώπης πρέπει να συμμορφώνονται πραγματικά, όχι μόνο «στα χαρτιά». Αυτή είναι η ημερομηνία που πρέπει να θυμάστε. πηγή CNIL, άρθ. 99 ↗

4
20 Ιουνίου 2018 (Γαλλία)

Το γαλλικό δίκαιο επικαιροποιείται

Ο νόμος αριθ. 2018-493 προσαρμόζει το γαλλικό δίκαιο στον ΓΚΠΔ και μεταφέρει την οδηγία «αστυνομίας-δικαιοσύνης» (2016/680), με βάση τον νόμο του 1978 για την προστασία δεδομένων («loi Informatique et Libertés»). πηγή Légifrance ↗

5
12 Δεκεμβρίου 2018 (Γαλλία)

Ο νόμος του 1978 αναδιατυπώνεται πλήρως

Η διάταξη αριθ. 2018-1125 ολοκληρώνει την ευθυγράμμιση του νόμου για την προστασία δεδομένων («loi Informatique et Libertés») με τον ΓΚΠΔ και την οδηγία 2016/680. πηγή Légifrance ↗

6
24 Ιουνίου 2020

1η αξιολόγηση της Ευρωπαϊκής Επιτροπής

Δύο έτη μετά την έναρξη εφαρμογής του, η Επιτροπή δημοσιεύει την πρώτη της έκθεση: ο ΓΚΠΔ επιτυγχάνει τους στόχους του, αλλά απαιτούνται βελτιώσεις (εναρμόνιση μεταξύ χωρών, συνεργασία μεταξύ αρχών). πηγή EUR-Lex (COM 2020) ↗

7
16 Ιουλίου 2020

Η απόφαση «Schrems II»

Το Δικαστήριο της Ευρωπαϊκής Ένωσης ακυρώνει την «Ασπίδα Προστασίας της Ιδιωτικής Ζωής» (Privacy Shield) που διείπε τις διαβιβάσεις δεδομένων προς τις Ηνωμένες Πολιτείες: οι αμερικανικές εγγυήσεις σχετικά με την πρόσβαση των δημόσιων αρχών στα δεδομένα δεν κρίνονται επαρκείς. πηγή EUR-Lex ↗

8
27 Ιουνίου 2021 → 27 Δεκεμβρίου 2022

Νέες τυποποιημένες συμβατικές ρήτρες

Τίθενται σε ισχύ νέες πρότυπες ρήτρες για τη ρύθμιση των διαβιβάσεων δεδομένων εκτός ΕΕ, με μεταβατική περίοδο 15 μηνών για την αντικατάσταση των ήδη υπογεγραμμένων συμβάσεων. πηγή EUR-Lex (2021/914) ↗

9
10 Ιουλίου 2023

Νέο πλαίσιο ΕΕ-ΗΠΑ

Η Επιτροπή εκδίδει την απόφαση επάρκειας «Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ» (EU-US Data Privacy Framework), η οποία αντικαθιστά την Ασπίδα Προστασίας της Ιδιωτικής Ζωής που ακυρώθηκε το 2020 και διασφαλίζει εκ νέου τις διαβιβάσεις προς αμερικανικές επιχειρήσεις. πηγή EUR-Lex (2023/1795) ↗

10
25 Ιουλίου 2024

2η αξιολόγηση της Ευρωπαϊκής Επιτροπής

Σημαντική αύξηση των κυρώσεων κατά μεγάλων εταιρειών τεχνολογίας, αλλά εξακολουθούν να υπάρχουν αποκλίσεις μεταξύ των εθνικών αρχών. Η Επιτροπή συνιστά καλύτερη υποστήριξη των ΜμΕ. πηγή EUR-Lex (COM 2024) ↗

⏳
21 Μαΐου 2025 (σε εξέλιξη)

Προτεινόμενη απλούστευση για τις ΜμΕ

Στο πλαίσιο της δέσμης απλούστευσης για την ενιαία αγορά, η Επιτροπή προτείνει την επέκταση έως τους 750 εργαζομένους (αντί για 250) της απαλλαγής από την τήρηση πλήρους αρχείου δραστηριοτήτων επεξεργασίας (άρθ. 30), με εξαίρεση τις επεξεργασίες «υψηλού κινδύνου». Πρόκειται για πρόταση, όχι ακόμη για κείμενο σε ισχύ. πηγή Ευρωπαϊκή Επιτροπή ↗

⏳
16 Ιουνίου 2025 (σε εξέλιξη)

Συμφωνία για κοινούς διαδικαστικούς κανόνες

Το Συμβούλιο και το Ευρωπαϊκό Κοινοβούλιο καταλήγουν σε πολιτική συμφωνία για πρόσθετους διαδικαστικούς κανόνες που εναρμονίζουν τη συνεργασία των εθνικών εποπτικών αρχών στις διασυνοριακές έρευνες. Η επίσημη έκδοση και η δημοσίευση στην Επίσημη Εφημερίδα μένει να επιβεβαιωθούν. πηγή Ευρωπαϊκή Επιτροπή ↗

Χρονολόγιο καταρτισμένο από επίσημες πηγές (EUR-Lex, CNIL, Légifrance, Ευρωπαϊκή Επιτροπή) που ελέγχθηκαν στις 18 Ιουλίου 2026. Τα δύο τελευταία βήματα είναι προτάσεις ή πολιτικές συμφωνίες σε εξέλιξη. Πρόκειται για εκπαιδευτική σύνοψη και δεν αποτελεί νομική συμβουλή.

Οι κυρώσεις του ΓΚΠΔ, με απλά λόγια

Ο τρομακτικός αριθμός - «20 εκατομμύρια ευρώ» - υπάρχει παντού, αλλά δεν εξηγεί πώς λειτουργεί στην πράξη. Ακολουθεί, με βάση επίσημες πηγές, ποιος επιβάλλει κυρώσεις, πώς και για ποια πραγματικά ποσά.

Το μέγιστο πρόστιμο δεν είναι ούτε αυτόματο ούτε ο κανόνας

Η CNIL διαθέτει πλήρη κλίμακα μέτρων πριν φτάσει σε πρόστιμο, και το πραγματικό ποσό εξαρτάται πάντα από τη σοβαρότητα, το μέγεθος του οργανισμού και τον εσκεμμένο ή αμελή χαρακτήρα της παράβασης. Τα επίσημα παραδείγματα που ακολουθούν το δείχνουν: από 5 000 € για μια μικρή επιχείρηση έως αρκετές δεκάδες εκατομμύρια για έναν μεγάλο υπότροπο όμιλο.

Έως 10 εκατ. €

ή έως 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης (εφαρμόζεται το υψηλότερο ποσό).

Κλίμακα για τις «συνήθεις» παραβάσεις: αρχείο δραστηριοτήτων επεξεργασίας, ασφάλεια δεδομένων, υποχρεώσεις του εκτελούντος την επεξεργασία, έλλειψη εκτίμησης αντικτύπου...

Έως 20 εκατ. €

ή έως 4% του παγκόσμιου ετήσιου κύκλου εργασιών (ίδιος κανόνας, εφαρμόζεται το υψηλότερο ποσό).

Κλίμακα για τις σοβαρότερες παραβάσεις: απουσία νομικής βάσης, προσβολή των δικαιωμάτων των προσώπων, παράνομες διαβιβάσεις εκτός ΕΕ...

Ποιος αποφασίζει; Το περιορισμένο τμήμα της CNIL

Δεν επιβάλλει κυρώσεις η «γενική» CNIL, αλλά ένα χωριστό, ανεξάρτητο όργανο: το περιορισμένο τμήμα («formation restreinte»), που αποτελείται από 5 μέλη και πρόεδρο διαφορετικό από τον πρόεδρο της CNIL. Μόνο αυτό εξετάζει τις υποθέσεις και επιβάλλει κυρώσεις. Οι σημαντικότερες αποφάσεις δημοσιοποιούνται.

Τι διαφοροποιεί το πραγματικό ποσό

Το άρθρο 83 του ΓΚΠΔ υποχρεώνει τη CNIL να λαμβάνει υπόψη διάφορα κριτήρια πριν καθορίσει ένα πρόστιμο, ιδίως:

  • τη σοβαρότητα, τη φύση και τη διάρκεια της παράβασης
  • αν ήταν εσκεμμένη ή απλώς οφειλόταν σε αμέλεια
  • τα μέτρα που έχουν ήδη ληφθεί για τον περιορισμό της ζημίας
  • τη συνεργασία με τη CNIL και τις προηγούμενες παραβάσεις
  • τις κατηγορίες δεδομένων που αφορά

Πριν από το πρόστιμο: κλιμακωτή αντίδραση (άρθρο 58 του ΓΚΠΔ)

  1. Προειδοποίηση
  2. Επίπληξη
  3. Επίσημη όχληση
  4. Εντολή συμμόρφωσης
  5. Διοικητικό πρόστιμο (άρθ. 83)
Πηγή: CNIL, άρθρο 58 του ΓΚΠΔ (πλήρης κλίμακα διορθωτικών μέτρων)
Πραγματικά παραδείγματα κυρώσεων της CNIL (μεγάλοι όμιλοι, για ενδεικτική τάξη μεγέθους)
ΗμερομηνίαΟργανισμόςΠοσόΑιτιολογία
21/01/2019Google LLC50 εκατ. €Έλλειψη διαφάνειας, απουσία έγκυρης συγκατάθεσης για εξατομικευμένη διαφήμιση
07/12/2020Amazon Europe Core35 εκατ. €Τοποθέτηση cookies χωρίς προηγούμενη συγκατάθεση
31/12/2021Google LLC / Google Ireland150 εκατ. €Η άρνηση των cookies ήταν πιο περίπλοκη από την αποδοχή τους
31/12/2021Facebook Ireland (Meta)60 εκατ. €Ίδια αιτιολογία: υπερβολικά δύσκολη άρνηση των cookies
17/10/2022Clearview AI20 εκατ. €Αναγνώριση προσώπου χωρίς νομική βάση, άρνηση συνεργασίας
10/11/2022Discord Inc.800 000 €Υπερβολική διατήρηση δεδομένων, ανεπαρκής ασφάλεια και ενημέρωση
15/06/2023Criteo40 εκατ. €Παραβάσεις σχετικά με τη συγκατάθεση για cookies και τα δικαιώματα των προσώπων

Και ένας μικρότερος οργανισμός; Αναλογικά ποσά

Η CNIL επιβάλλει κυρώσεις και σε μικρούς και μεσαίους οργανισμούς, αλλά με ποσά πολύ χαμηλότερα από εκείνα που επιβάλλονται σε διεθνείς ομίλους. Μόνο από τις αποφάσεις του Δεκεμβρίου 2025, παραδείγματα: 5 000 € για εταιρεία διαχείρισης ξενοδοχείου (μη σύμφωνη βιντεοεπιτήρηση), 7 000 € και 5 000 € για δύο εκδοτικές εταιρείες εφημερίδων (μη έγκυρα cookies), 10 000 € για εταιρεία αεροπορικών εμπορευματικών μεταφορών (παράνομη βιντεοεπιτήρηση) ή 20 000 € για ένα πανεπιστήμιο (μη τήρηση των σκοπών). Στο άλλο άκρο της κλίμακας, μια εταιρεία του τομέα υπηρεσιών τιμωρήθηκε τον ίδιο μήνα με πρόστιμο 3,5 εκατ. € για σωρεία σοβαρών παραβάσεων (ασφάλεια, διαφάνεια, cookies). Το ποσό ακολουθεί τη σοβαρότητα και το μέγεθος, όχι το αντίστροφο.

Πηγή: CNIL, κατάλογος επιβληθεισών κυρώσεων (αποφάσεις Δεκεμβρίου 2025)
Η ενότητα αυτή είναι εκπαιδευτική σύνοψη που καταρτίστηκε από τα επίσημα κείμενα και τις σελίδες που αναφέρονται παραπάνω (CNIL, άρθρα 58 και 83 του ΓΚΠΔ, επίσημος κατάλογος επιβληθεισών κυρώσεων). Τα ονόματα που αναφέρονται για τις μεγάλες κυρώσεις είναι αυτά που δημοσίευσε η ίδια η CNIL στα δελτία τύπου της. Δεν υποκαθιστά τη νομική ανάγνωση του κειμένου και δεν αποτελεί νομική συμβουλή.

Η εποπτική σας αρχή, ανά χώρα

Στην Ευρώπη, κάθε χώρα έχει τις δικές της αρχές. Ακολουθεί, για τις 30 χώρες του Ευρωπαϊκού Οικονομικού Χώρου, η αρχή προστασίας δεδομένων (ο αρμόδιος φορέας σας για τον ΓΚΠΔ) και η εθνική αρχή κυβερνοασφάλειας. Κάθε όνομα παραπέμπει στον επίσημο ιστότοπο.

ΧώραΠροστασία δεδομένωνΚυβερνοασφάλεια
ΓερμανίαBfDI - Die Bundesbeauftragte für den Datenschutz und die InformationsfreiheitBSI - Bundesamt für Sicherheit in der Informationstechnik (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών)
ΑυστρίαOsterreichische Datenschutzbehorde (DSB)CERT.at
ΒέλγιοAutorite de la protection des donnees - Gegevensbeschermingsautoriteit (APD-GBA)Centre for Cybersecurity Belgium (CCB)
ΒουλγαρίαΕπιτροπή Προστασίας Προσωπικών Δεδομένων (CPDP)CERT Bulgaria (Εθνική Ομάδα Απόκρισης σε Περιστατικά Κυβερνοασφάλειας, Κρατικός Οργανισμός Ηλεκτρονικής Διακυβέρνησης)
ΚύπροςΓραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Κύπρος)Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ)
ΚροατίαAgencija za zastitu osobnih podataka (AZOP) - Κροατική Υπηρεσία Προστασίας Προσωπικών ΔεδομένωνΕθνικό Κέντρο Κυβερνοασφάλειας (NCSC-HR), υπαγόμενο στην Υπηρεσία Ασφάλειας και Πληροφοριών (SOA)
ΔανίαDatatilsynetForsvarets Efterretningstjeneste (FE) - Cybersituationscenter, εθνική CSIRT (Υπηρεσία Πληροφοριών Άμυνας της Δανίας)
ΙσπανίαAgencia Espanola de Proteccion de Datos (AEPD)INCIBE - Instituto Nacional de Ciberseguridad (Εθνικό Ινστιτούτο Κυβερνοασφάλειας της Ισπανίας)
ΕσθονίαΕπιθεώρηση Προστασίας Δεδομένων της Εσθονίας (Andmekaitse Inspektsioon)Αρχή Πληροφοριακών Συστημάτων (RIA) - Εθνικό Κέντρο Κυβερνοασφάλειας της Εσθονίας (NCSC-EE), φιλοξενεί τη CERT-EE
ΦινλανδίαΓραφείο του Επιτρόπου Προστασίας Δεδομένων (Tietosuojavaltuutetun toimisto)Εθνικό Κέντρο Κυβερνοασφάλειας της Φινλανδίας (NCSC-FI)
ΓαλλίαCNIL (Commission Nationale de l'Informatique et des Libertes)ANSSI (Agence Nationale de la Securite des Systemes d'Information)
ΕλλάδαΑρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)Εθνική Αρχή Κυβερνοασφάλειας
ΟυγγαρίαNemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH) - Εθνική Αρχή Προστασίας Δεδομένων και Ελευθερίας της Πληροφόρησης της ΟυγγαρίαςΕθνικό Κέντρο Κυβερνοασφάλειας της Ουγγαρίας (NCSC-HU / NKI), εντός της Ειδικής Υπηρεσίας Εθνικής Ασφάλειας (SSNS)
ΙρλανδίαΕπιτροπή Προστασίας Δεδομένων (DPC)Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC-IE), συμπεριλαμβανομένης της CSIRT-IE
ΙσλανδίαPersonuvernd (Αρχή Προστασίας Δεδομένων της Ισλανδίας)CERT-IS
ΙταλίαGarante per la protezione dei dati personaliAgenzia per la Cybersicurezza Nazionale (ACN)
ΛετονίαΚρατική Επιθεώρηση Δεδομένων (Datu valsts inspekcija)CERT.LV - Φορέας Απόκρισης σε Κυβερνοπεριστατικά της Δημοκρατίας της Λετονίας
ΛιχτενστάινDatenschutzstelle Fürstentum LiechtensteinCSIRT.LI (Computer Security Incident Response Team Liechtenstein / National Cyber Security Unit)
ΛιθουανίαΚρατική Επιθεώρηση Προστασίας Δεδομένων (Valstybine duomenu apsaugos inspekcija - VDAI)Εθνικό Κέντρο Κυβερνοασφάλειας (Nacionalinis kibernetinio saugumo centras - NKSC)
ΛουξεμβούργοCommission Nationale pour la Protection des Données (CNPD)Agence nationale de la sécurité des systèmes d'information (ANSSI Luxembourg), υπό την Ανώτατη Επιτροπεία Εθνικής Προστασίας (HCPN)
ΜάλταΓραφείο του Επιτρόπου Πληροφόρησης και Προστασίας Δεδομένων (IDPC)CSIRTMalta (Μονάδα Προστασίας Κρίσιμων Πληροφοριακών Υποδομών, Υπουργείο Εσωτερικών και Εθνικής Ασφάλειας)
ΝορβηγίαDatatilsynetNSM (Nasjonal sikkerhetsmyndighet / Εθνική Αρχή Ασφάλειας) (προς επιβεβαίωση)
Κάτω ΧώρεςAutoriteit Persoonsgegevens (AP)Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC-NL)
ΠολωνίαUrząd Ochrony Danych Osobowych (UODO)CSIRT NASK (CERT Polska)
ΠορτογαλίαComissão Nacional de Proteção de Dados (CNPD)Centro Nacional de Cibersegurança (CNCS)
ΡουμανίαANSPDCP - Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (Εθνική Εποπτική Αρχή για την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα)προς επιβεβαίωση
ΣλοβακίαUrad na ochranu osobnych udajov Slovenskej republikyNarodny bezpecnostny urad (Εθνική Αρχή Ασφάλειας) - SK-CERT / Εθνικό Κέντρο Κυβερνοασφάλειας
ΣλοβενίαΕπίτροπος Πληροφόρησης της Δημοκρατίας της Σλοβενίας (Informacijski pooblascenec)Κυβερνητική Υπηρεσία Ασφάλειας Πληροφοριών (GISO / URSIV - Urad Vlade RS za Informacijsko Varnost)
ΣουηδίαIntegritetsskyddsmyndigheten (IMY) - Σουηδική Αρχή Προστασίας της Ιδιωτικής ΖωήςNationellt cybersakerhetscenter (NCSC-SE), υπαγόμενο στην FRA, ενσωματώνει τη CERT-SE (εθνική CSIRT)
ΤσεχίαUrad pro ochranu osobnich udaju (UOOU) - Υπηρεσία Προστασίας Προσωπικών ΔεδομένωνNarodni urad pro kybernetickou a informacni bezpecnost (NUKIB) - Εθνική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Πληροφοριών

Πηγές: επίσημοι ιστότοποι των αρχών και κατάλογος μελών του ΕΣΠΔ (edpb.europa.eu), που ελέγχθηκαν στις 18 Ιουλίου 2026. Επιβεβαιωμένες αρχές προστασίας δεδομένων: 30/30. Επιβεβαιωμένες αρχές κυβερνοασφάλειας: 28/30. Οι ενδείξεις «προς επιβεβαίωση» σημαίνουν επίσημη πηγή που δεν είχε ακόμη σταθεροποιηθεί κατά την ημερομηνία αυτή.