Ο GDPR ισχύει για κάθε επιχείρηση που κρατά στοιχεία πελατών, όσο μικρή κι αν είναι. Για μια εφαρμογή ή φόρμα χρειάζεσαι πέντε πράγματα: νομική βάση για κάθε στοιχείο, σύντομη ενημέρωση απορρήτου, απάντηση στα αιτήματα των πελατών μέσα σε έναν μήνα, συμβάσεις με τους παρόχους σου και σχέδιο για διαρροές.

Ο οδηγός είναι για ιδιοκτήτες μικρών επιχειρήσεων στην Ελλάδα που φτιάχνουν την πρώτη τους εφαρμογή, ιστοσελίδα με φόρμα ή σύστημα κρατήσεων. Βασίζεται στον Κανονισμό (ΕΕ) 2016/679, στον ελληνικό νόμο 4624/2019 και στους οδηγούς της Αρχής Προστασίας Δεδομένων, όπως ισχύουν τον Οκτώβριο του 2026. Δεν είναι νομική συμβουλή.

Με λίγα λόγια:

  • Για μια κράτηση δεν χρειάζεσαι κουτάκι συγκατάθεσης. Βάση είναι η συμφωνία με τον πελάτη.
  • Τα διαφημιστικά email και SMS θέλουν κατά κανόνα συγκατάθεση.
  • Στην Ελλάδα, για online υπηρεσίες που προσφέρονται απευθείας στο παιδί και βασίζουν την επεξεργασία στη συγκατάθεση, κάτω των 15 συναινεί ο νόμιμος αντιπρόσωπός του.
  • Μια διαρροή δηλώνεται στην Αρχή μέσα σε 72 ώρες, αν υπάρχει κίνδυνος.

Ο GDPR ισχύει και για τον μικρό

Ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ, ή GDPR στα αγγλικά) δεν εξαιρεί τις μικρές επιχειρήσεις. Ισχύει από τη στιγμή που κρατάς ένα όνομα και ένα τηλέφωνο. Στην Ελλάδα την εφαρμογή του επιβλέπει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ).

Παράδειγμα: ένα φανταστικό φροντιστήριο στη Λάρισα φτιάχνει εφαρμογή για τους γονείς. Κρατά ονόματα γονέων, κινητά, ονόματα παιδιών, τάξη και πληρωμές διδάκτρων. Θέλει και ένα ενημερωτικό δελτίο για τα νέα τμήματα.

Η καλή είδηση: οι κανόνες είναι λογικοί, και τα περισσότερα τα κάνει ήδη μια προσεκτική επιχείρηση. Ο οδηγός για μικρές επιχειρήσεις του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων τα εξηγεί στα ελληνικά, βήμα βήμα.

Κάθε στοιχείο θέλει νομική βάση

Ο Κανονισμός δίνει έξι νομικές βάσεις (άρθρο 6), και η συγκατάθεση είναι μόνο μία από αυτές. Το πιο συχνό λάθος είναι να ζητάς συγκατάθεση για όλα, ακόμη κι εκεί που δεν χρειάζεται.

Για το φροντιστήριο, κάθε στοιχείο έχει τη δική του βάση:

Τι κρατά Γιατί Νομική βάση
Όνομα, κινητό γονέα Για την εγγραφή Σύμβαση με τον γονέα
Αποδείξεις διδάκτρων Τις ζητά η φορολογική νομοθεσία Νομική υποχρέωση
Email για νέα τμήματα Ενημερωτικό δελτίο Συγκατάθεση
Ιστορικό σύνδεσης Ασφάλεια της εφαρμογής Έννομο συμφέρον

Η συγκατάθεση πρέπει να δίνεται ελεύθερα και να ανακαλείται εύκολα (άρθρο 7). Άρα το κουτάκι για το ενημερωτικό δελτίο μένει κενό από προεπιλογή και δεν είναι προϋπόθεση για την εγγραφή.

Για τα διαφημιστικά email και SMS ισχύει και ο ν. 3471/2006 (άρθρο 11). Η Αρχή εξηγεί τους κανόνες στη θεματική ενότητα για την προώθηση προϊόντων και υπηρεσιών.

Η ενημέρωση απορρήτου χωράει σε μία σελίδα

Πριν ο πελάτης δώσει στοιχεία, πρέπει να ξέρει τι γίνεται με αυτά. Μια σύντομη σελίδα απορρήτου σε απλά ελληνικά είναι καλύτερη από δέκα σελίδες νομικής γλώσσας που δεν διαβάζει κανείς.

Οι παρακάτω επτά ερωτήσεις είναι αφετηρία για την ενημέρωση του άρθρου 13. Πρόσθεσε, όπου εφαρμόζεται, τα στοιχεία του DPO, τα έννομα συμφέροντα που επιδιώκεις, το δικαίωμα ανάκλησης συγκατάθεσης, τις διαβιβάσεις εκτός ΕΟΧ και τις σχετικές εγγυήσεις, αν η παροχή στοιχείων είναι υποχρεωτική και τι συνεπάγεται η μη παροχή τους, καθώς και πληροφορίες για αυτοματοποιημένες αποφάσεις:

  • Ποιος είσαι και πώς σε βρίσκει κανείς.
  • Ποια στοιχεία κρατάς και για ποιον σκοπό.
  • Ποια είναι η νομική βάση για το καθένα.
  • Σε ποιους παρόχους τα δίνεις, για παράδειγμα φιλοξενία ή πληρωμές.
  • Για πόσο καιρό τα κρατάς.
  • Ποια δικαιώματα έχει ο πελάτης.
  • Ότι μπορεί να κάνει καταγγελία στην ΑΠΔΠΧ.

Βάλε σύνδεσμο προς τη σελίδα δίπλα σε κάθε φόρμα, όχι μόνο στο υποσέλιδο.

Τα αιτήματα πελατών απαντώνται μέσα σε έναν μήνα

Κάθε πελάτης μπορεί να ζητήσει να δει τα στοιχεία του, να τα διορθώσει ή να τα διαγράψει. Ο Κανονισμός δίνει έναν μήνα για απάντηση (άρθρο 12). Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων τα εξηγεί στη σελίδα σεβασμός των δικαιωμάτων των ατόμων.

Στην πράξη, βοηθά να βρίσκεις από μία οθόνη όλα τα στοιχεία ενός γονέα και να τα σβήνεις. Δεν διαγράφεις όμως όσα σε υποχρεώνει να κρατάς ο νόμος, όπως οι αποδείξεις.

Και η διατήρηση των στοιχείων έχει χρονικό όριο. Αν ένα παιδί σταμάτησε πριν από τρία χρόνια, δεν υπάρχει λόγος να κρατάς ακόμη το κινητό του γονέα στη λίστα.

Οι πάροχοί σου επεξεργάζονται δεδομένα για λογαριασμό σου

Οι πάροχοι φιλοξενίας, email ή πληρωμών είναι «εκτελούντες την επεξεργασία» όταν επεξεργάζονται δεδομένα για λογαριασμό σου και σύμφωνα με τις οδηγίες σου· για άλλες δραστηριότητες μπορεί να είναι αυτοτελείς υπεύθυνοι επεξεργασίας. Εσύ είσαι ο «υπεύθυνος επεξεργασίας», δηλαδή αυτός που αποφασίζει και λογοδοτεί.

Ο Κανονισμός ζητά γραπτή σύμβαση με κάθε τέτοιο πάροχο (άρθρο 28), τη λεγόμενη σύμβαση επεξεργασίας δεδομένων (DPA). Οι μεγάλοι πάροχοι τη δίνουν έτοιμη στους όρους τους. Η διαφορά των ρόλων εξηγείται στον οδηγό για τον υπεύθυνο και τον εκτελούντα την επεξεργασία.

Παιδιά και δεδομένα υγείας θέλουν περισσότερη προσοχή

Στην Ελλάδα, ο νόμος 4624/2019 (άρθρο 21) ορίζει τα 15 έτη ως όριο για να συναινεί το ίδιο το παιδί στην επεξεργασία δεδομένων του για υπηρεσίες της κοινωνίας της πληροφορίας που του προσφέρονται απευθείας, όταν η επεξεργασία βασίζεται στη συγκατάθεση. Κάτω από τα 15, όταν η βάση είναι η συγκατάθεση, τη δίνει ο γονέας. Γι' αυτό η εφαρμογή του φροντιστηρίου δίνει λογαριασμό στον γονέα, όχι στο παιδί.

Τα δεδομένα υγείας είναι ειδική κατηγορία με αυστηρότερους κανόνες (άρθρο 9). Αν το φροντιστήριο χρειάζεται πληροφορίες για μια αλλεργία ή μια μαθησιακή δυσκολία, τις συλλέγει μόνο με νομική βάση του άρθρου 6 και εφαρμοστέα εξαίρεση του άρθρου 9, όπως έγκυρη ρητή συγκατάθεση, και περιορίζει την πρόσβαση στους απολύτως απαραίτητους ανθρώπους.

Μια διαρροή δηλώνεται μέσα σε 72 ώρες

Αν χαθεί ένα laptop με τη λίστα γονέων ή κάποιος αποκτήσει μη εξουσιοδοτημένη πρόσβαση σε προσωπικά δεδομένα, γνωστοποιείς την παραβίαση στην Αρχή χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι δυνατό, μέσα σε 72 ώρες από τότε που έλαβες γνώση της, εκτός αν είναι απίθανο να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των ανθρώπων (άρθρο 33). Η ΑΠΔΠΧ έχει ψηφιακό βοηθό για την αξιολόγηση μιας παραβίασης που σε καθοδηγεί.

Γράψε από τώρα ποιος κάνει τι: ποιος αλλάζει τους κωδικούς, ποιος μιλά με την Αρχή, ποιος ενημερώνει τους γονείς. Σε μια κρίση δεν είναι η ώρα να το σκεφτείς.

Τα δεδομένα μιας εφαρμογής GrowApps

Οι εφαρμογές που φτιάχνει το GrowApps αποθηκεύουν δεδομένα στο Cloud Firestore της Google (Firebase). Άρα το Firebase είναι ένας από τους παρόχους που γράφεις στη σελίδα απορρήτου. Στατιστικά επισκεψιμότητας μπαίνουν μόνο αν συνδέσεις δικό σου λογαριασμό, όπως PostHog ή Google Analytics. Τότε τα προσθέτεις κι αυτά στη σελίδα.

Πριν δεχτείς προσωπικά δεδομένα, έλεγξε ότι κάθε χρήστης βλέπει μόνο τα δικά του και ότι μόνο εξουσιοδοτημένο προσωπικό έχει πρόσβαση στα υπόλοιπα· για στοιχεία υγείας χρειάζονται επιπλέον οι εγγυήσεις του ΓΚΠΔ.

Αν το ζητήσεις στο chat, το GrowApps γράφει τη σελίδα απορρήτου και μια σελίδα διαγραφής λογαριασμού, με βάση όσα κάνει πραγματικά η εφαρμογή. Το τελικό κείμενο το ελέγχεις εσύ ή ένας νομικός. Δες τι συνδέεται σε μια εφαρμογή στον οδηγό Sign-in, data, AI and payments.

Κάνε τον πίνακα των δεδομένων σου σήμερα

Πάρε τη φόρμα της εφαρμογής σου και γράψε για κάθε πεδίο τις τρεις στήλες του πίνακα: τι κρατάς, γιατί, με ποια βάση. Ό,τι δεν έχει λόγο, σβήσ' το από τη φόρμα. Ο πίνακας αυτός είναι η μισή σελίδα απορρήτου σου.

Αν η εφαρμογή σου είναι για ραντεβού, δες και τι χρειάζεται μια εφαρμογή ραντεβού.

Συχνές ερωτήσεις

Χρειάζομαι Υπεύθυνο Προστασίας Δεδομένων (DPO);

Συνήθως όχι. Ο Κανονισμός (άρθρο 37) τον ζητά κυρίως όταν η βασική δραστηριότητα είναι η τακτική και συστηματική παρακολούθηση ανθρώπων σε μεγάλη κλίμακα, ή η επεξεργασία ειδικών κατηγοριών δεδομένων σε μεγάλη κλίμακα. Ένα φροντιστήριο ή ένα κομμωτήριο δεν ανήκει εκεί.

Χρειάζομαι banner για cookies;

Μόνο αν η σελίδα βάζει cookies ή εργαλεία που δεν είναι απαραίτητα για να λειτουργήσει, όπως στατιστικά ή διαφημίσεις. Τότε ζητάς συγκατάθεση πριν τα ενεργοποιήσεις, όπως ορίζει ο ν. 3471/2006 (άρθρο 4). Η Αρχή έχει οδηγίες στην ενότητα για τις ηλεκτρονικές επικοινωνίες.

Πηγές και χρήσιμοι σύνδεσμοι