GDPR Consent — ουσία, απαιτήσεις και λήψη συγκατάθεσης

Τι είναι το GDPR Consent;

GDPR Consent — είναι νομική βάση για την επεξεργασία προσωπικών δεδομένων, όπως ορίζεται στο άρθρο 4(11) και στο άρθρο 7 του Γενικού Κανονισμού Προστασίας Δεδομένων της Ευρωπαϊκής Ένωσης. Ο κανονισμός τέθηκε σε ισχύ στις 25 Μαΐου 2018 και αντικατέστησε την απαρχαιωμένη Οδηγία 95/46/ΕΚ, θεσπίζοντας ενιαία πρότυπα προστασίας δεδομένων για όλα τα κράτη μέλη της ΕΕ.

Σύμφωνα με τον GDPR, η συγκατάθεση πρέπει να είναι ελεύθερη — ο χρήστης πρέπει να έχει πραγματική επιλογή χωρίς αρνητικές συνέπειες σε περίπτωση άρνησης. Εάν η άρνηση συγκατάθεσης οδηγεί σε άρνηση πρόσβασης σε μια υπηρεσία που δεν απαιτεί επεξεργασία δεδομένων, μια τέτοια συγκατάθεση θεωρείται εξαναγκασμένη και άκυρη. Το άρθρο 7(4) αναφέρει ρητά ότι οι σχετικοί συμβατικοί όροι δεν μπορούν να εξαρτούν την εκτέλεση της σύμβασης από τη λήψη συγκατάθεσης για επεξεργασία δεδομένων που δεν είναι απαραίτητα για αυτή τη σύμβαση.

Ενημέρωση — το δεύτερο βασικό στοιχείο: το υποκείμενο των δεδομένων πρέπει να κατανοεί ποια ακριβώς δεδομένα συλλέγονται, για ποιο σκοπό, από ποιον θα υποβληθούν σε επεξεργασία και για πόσο χρόνο θα αποθηκευτούν. Η Ευρωπαϊκή Επιτροπή Προστασίας Δεδομένων (EDPB) στην κατευθυντήρια γραμμή 05/2020 τονίζει ότι οι πληροφορίες πρέπει να παρέχονται σε κατανοητή γλώσσα, χωρίς περίπλοκες νομικές διατυπώσεις. Η πρακτική δείχνει ότι η συγκατάθεση θεωρείται άκυρη εάν η πολιτική απορρήτου περιέχει διφορούμενες ή γενικές διατυπώσεις.

Αδιαμφισβήτητο σημαίνει ότι η συγκατάθεση πρέπει να εκφράζεται με ενεργή ενέργεια — επιλογή πλαισίου, πάτημα κουμπιού ή υπογραφή φόρμας. Η αδράνεια, η σιωπή ή τα προεπιλεγμένα πλαίσια δεν πληρούν την απαίτηση του αδιαμφισβήτητου. Στην απόφαση για την υπόθεση Planet49 GmbH (C-673/17), το Δικαστήριο της Ευρωπαϊκής Ένωσης επιβεβαίωσε ότι η συγκατάθεση δεν μπορεί να τεκμαίρεται από την αδράνεια του χρήστη.

Ποια δεδομένα υπάγονται στον GDPR

Προσωπικά δεδομένα σύμφωνα με τον GDPR — οποιαδήποτε πληροφορία που σχετίζεται με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Αυτό περιλαμβάνει όχι μόνο προφανή αναγνωριστικά — όνομα, διεύθυνση, email, τηλέφωνο — αλλά και διευθύνσεις IP, αναγνωριστικά cookie, αναγνωριστικά διαφημίσεων συσκευών (IDFA, GAID), βιομετρικά δεδομένα, γεωτοποθεσία και γενετικές πληροφορίες.

Το άρθρο 9 του GDPR διακρίνει ειδικές κατηγορίες δεδομένων, η επεξεργασία των οποίων απαγορεύεται χωρίς ρητή συγκατάθεση: φυλετική ή εθνοτική καταγωγή, πολιτικές απόψεις, θρησκευτικές πεποιθήσεις, συνδικαλιστική ιδιότητα, γενετικά και βιομετρικά δεδομένα, δεδομένα υγείας και σεξουαλικού προσανατολισμού. Για τέτοιες κατηγορίες απαιτείται η αυστηρότερη μορφή συγκατάθεσης — ξεχωριστή, λεπτομερής και μη υπονοούμενη από το γενικό πλαίσιο.

Πότε είναι υποχρεωτικό το GDPR Consent

Το GDPR Consent απαιτείται όταν η επεξεργασία δεδομένων δεν μπορεί να βασιστεί σε άλλες νομικές βάσεις: συμβατική αναγκαιότητα (άρθρο 6(1)(β)), έννομο συμφέρον (άρθρο 6(1)(στ)) ή εκπλήρωση νομικής υποχρέωσης (άρθρο 6(1)(γ)). Στην πράξη, η συγκατάθεση είναι απαραίτητη για διαφημιστικές αποστολές, παρακολούθηση για διαφημιστικούς σκοπούς, συλλογή μη υποχρεωτικών δεδομένων και χρήση αρχείων cookie που δεν είναι αυστηρά απαραίτητα για τη λειτουργία της υπηρεσίας.

Σύμφωνα με στοιχεία της έρευνας IAPP-EY Annual Governance Report (2024), το 67% των εταιρειών χρησιμοποιεί τη συγκατάθεση ως κύρια νομική βάση για την επεξεργασία δεδομένων σε κινητές εφαρμογές, παρά την αυξανόμενη τάση μετάβασης στο έννομο συμφέρον όπου είναι δυνατό. Αυτό οφείλεται στο γεγονός ότι η συγκατάθεση παρέχει την πιο διαφανή σχέση με τον χρήστη, αλλά ταυτόχρονα επιβάλλει τις μέγιστες υποχρεώσεις όσον αφορά την καταγραφή και διαχείριση συγκαταθέσεων.

Οι κύριες απαιτήσεις του GDPR για τη συγκατάθεση

Το άρθρο 7 του GDPR θεσπίζει έξι προϋποθέσεις εγκυρότητας της συγκατάθεσης, καθεμία από τις οποίες πρέπει να πληρούται ταυτόχρονα. Η παραβίαση έστω και μίας προϋπόθεσης καθιστά τη συγκατάθεση άκυρη και την επεξεργασία δεδομένων παράνομη. Ας εξετάσουμε κάθε προϋπόθεση λεπτομερώς, λαμβάνοντας υπόψη τις κατευθυντήριες γραμμές της EDPB και τη νομολογία.

Ελευθερία της συγκατάθεσης παραβιάζεται όταν υπάρχει ανισορροπία δυνάμεων μεταξύ του υπεύθυνου επεξεργασίας και του υποκειμένου των δεδομένων. Η EDPB αναφέρει ρητά ότι οι εργοδότες δεν μπορούν να βασίζονται στη συγκατάθεση των εργαζομένων λόγω της εξάρτησης στις εργασιακές σχέσεις. Ομοίως, οι κρατικές αρχές δεν μπορούν να απαιτούν συγκατάθεση από τους πολίτες κατά την παροχή δημόσιων υπηρεσιών.

Συγκεκριμένο απαιτεί ξεχωριστή συγκατάθεση για κάθε σκοπό επεξεργασίας. Εάν η εφαρμογή συλλέγει δεδομένα για αναλυτικά στοιχεία, εξατομίκευση διαφημίσεων και βελτίωση της υπηρεσίας — για κάθε σκοπό απαιτείται ξεχωριστό πλαίσιο. Ο συνδυασμός πολλαπλών σκοπών σε μία συγκατάθεση παραβιάζει την απαίτηση συγκεκριμένου και καθιστά τη συγκατάθεση άκυρη.

Αποδειξιμότητα — η πιο απαιτητική τεχνολογικά προϋπόθεση. Το άρθρο 7(1) αναφέρει ρητά ότι ο υπεύθυνος επεξεργασίας φέρει το βάρος απόδειξης της λήψης συγκατάθεσης. Στην πράξη, αυτό σημαίνει την ανάγκη τήρησης αρχείου καταγραφής όλων των ενεργειών του χρήστη: ποιος, πότε, για ποιους σκοπούς έδωσε συγκατάθεση, ποια έκδοση της πολιτικής απορρήτου εμφανίστηκε και πώς την ανακάλεσε ο χρήστης.

Πώς να εφαρμόσουμε τη συλλογή συγκατάθεσης σε κινητή εφαρμογή

Η εφαρμογή του GDPR Consent σε κινητή εφαρμογή απαιτεί ολοκληρωμένη προσέγγιση που συνδυάζει νομικές απαιτήσεις με τεχνική υλοποίηση. Το κύριο εργαλείο — η Πλατφόρμα Διαχείρισης Συγκατάθεσης (CMP), η οποία διαχειρίζεται τον κύκλο ζωής της συγκατάθεσης: εμφάνιση αιτήματος, καταγραφή επιλογής, αποθήκευση δεδομένων και συγχρονισμός με διαφημιστικά και αναλυτικά SDK.

Χρήση του Google UMP SDK

Η Google παρέχει User Messaging Platform (UMP) SDK για Android και iOS, το οποίο ενσωματώνεται με AdMob, Google Analytics και άλλες υπηρεσίες Google. Το UMP SDK καθορίζει αυτόματα την ανάγκη εμφάνισης συγκατάθεσης βάσει της γεωτοποθεσίας του χρήστη και των απαιτήσεων GDPR. Ας εξετάσουμε την ενσωμάτωση σε Kotlin για Android:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Μετά τη φόρτωση της φόρμας συγκατάθεσης, πρέπει να εμφανιστεί στον χρήστη. Το UMP SDK υποστηρίζει δύο τύπους φορμών: για λήψη συγκατάθεσης για εξατομικευμένες διαφημίσεις και για διαχείριση της επιλογής στο μέλλον. Η επεξεργασία του αποτελέσματος πρέπει να λαμβάνει υπόψη όλα τα πιθανά αποτελέσματα — ο χρήστης μπορεί να δώσει συγκατάθεση, να αρνηθεί ή να κλείσει τη φόρμα χωρίς επιλογή.

Αποθήκευση και επαλήθευση συγκατάθεσης

Για την εκπλήρωση της απαίτησης αποδειξιμότητας, είναι απαραίτητο να αποθηκεύεται όχι μόνο το γεγονός της συγκατάθεσης, αλλά και το πλαίσιο λήψης της. Το ελάχιστο σύνολο δεδομένων προς αποθήκευση περιλαμβάνει: αναγνωριστικό χρήστη ή συσκευής, χρονική σήμανση με ζώνη ώρας, έκδοση πολιτικής απορρήτου, συγκεκριμένους σκοπούς επεξεργασίας και τον μηχανισμό συγκατάθεσης που χρησιμοποιήθηκε.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Η Ευρωπαϊκή Επιτροπή Προστασίας Δεδομένων (EDPB) στη σύσταση 01/2023 τονίζει ότι οι καταχωρίσεις συγκατάθεσης πρέπει να φυλάσσονται καθ' όλη τη διάρκεια της επεξεργασίας δεδομένων και έως τρία χρόνια μετά τη λήξη της. Για κινητές εφαρμογές, αυτό σημαίνει την ανάγκη αποθήκευσης των καταχωρίσεων στον διακομιστή, όχι μόνο τοπικά, καθώς ο χρήστης μπορεί να επανεγκαταστήσει την εφαρμογή ή να αλλάξει συσκευή.

Πώς διαφέρει ο GDPR από άλλους ρυθμιστές απορρήτου

GDPR — δεν είναι ο μοναδικός ρυθμιστής απορρήτου στον κόσμο, αλλά έχει γίνει πρότυπο για πολλούς εθνικούς νόμους προστασίας δεδομένων. Η κατανόηση των διαφορών μεταξύ του GDPR και άλλων ρυθμιστών είναι κρίσιμη για προγραμματιστές διεθνών εφαρμογών που εργάζονται με χρήστες από διαφορετικές δικαιοδοσίες.

CCPA (California Consumer Privacy Act) διαφέρει θεμελιωδώς από τον GDPR: λειτουργεί με το μοντέλο opt-out, όχι opt-in. Σύμφωνα με το CCPA, οι εταιρείες υποχρεούνται να παρέχουν στον χρήστη το δικαίωμα άρνησης πώλησης των δεδομένων του, αλλά δεν υποχρεούνται να λαμβάνουν προηγούμενη συγκατάθεση για τη συλλογή. Ωστόσο, με την υιοθέτηση του CPRA (California Privacy Rights Act) το 2023, οι απαιτήσεις συγκατάθεσης για ευαίσθητα δεδομένα πλησίασαν τον GDPR.

ePrivacy Directive (Οδηγία για το απόρρητο στις ηλεκτρονικές επικοινωνίες) συμπληρώνει τον GDPR όσον αφορά τα cookie και το ηλεκτρονικό μάρκετινγκ. Σε αντίθεση με τον GDPR που ρυθμίζει όλα τα προσωπικά δεδομένα, η ePrivacy εστιάζει στα δεδομένα επικοινωνίας. Η απαίτηση λήψης συγκατάθεσης για μη υποχρεωτικά cookie προκύπτει ακριβώς από την ePrivacy, όχι από τον GDPR, αν και ο μηχανισμός συγκατάθεσης είναι ίδιος.

Το LGPD της Βραζιλίας αντιγράφει σχεδόν πλήρως τη δομή του GDPR με μικρές αλλαγές: η ηλικία συγκατάθεσης αυξήθηκε στα 18 έτη και η επεξεργασία δεδομένων αποθανόντων απαιτεί συγκατάθεση των κληρονόμων. Το PIPL της Κίνας, αντιθέτως, εισάγει αυστηρότερες απαιτήσεις: υποχρεωτική τοπικοποίηση δεδομένων, εκτίμηση αντικτύπου προστασίας δεδομένων (DPIA) για όλες τις αυτοματοποιημένες αποφάσεις και ειδοποίηση διαβίβασης δεδομένων στο εξωτερικό.

Τυπικά λάθη κατά την εφαρμογή του GDPR Consent

Η ανάλυση προστίμων και εντολών των ευρωπαϊκών εποπτικών αρχών για την περίοδο 2018-2024 δείχνει επαναλαμβανόμενες παραβιάσεις κατά την εφαρμογή της συγκατάθεσης. Σύμφωνα με στοιχεία του Enforcement Tracker (CMS Law, 2024), πάνω από το 40% όλων των προστίμων που σχετίζονται με τον GDPR αφορούν εσφαλμένη λήψη και διαχείριση συγκατάθεσης. Ας εξετάσουμε τα πιο συνηθισμένα λάθη.

Προεπιλεγμένα πλαίσια ελέγχου και παθητική συγκατάθεση

Το πιο συνηθισμένο λάθος — η χρήση προεπιλεγμένων πλαισίων ελέγχου (pre-ticked checkboxes) για τη λήψη συγκατάθεσης. Η απόφαση του Δικαστηρίου της ΕΕ στην υπόθεση Planet49 GmbH (C-673/17) καθόρισε αδιαμφισβήτητα ότι η συγκατάθεση δεν μπορεί να τεκμαίρεται από την αδράνεια του χρήστη. Παρ' όλα αυτά, πολλές εφαρμογές συνεχίζουν να χρησιμοποιούν προεπιλεγμένες επιλογές, ειδικά για banner cookie, γεγονός που οδηγεί σε άμεσα πρόστιμα και εντολές.

Η Εθνική Επιτροπή Πληροφορικής και Ελευθεριών της Γαλλίας (CNIL) το 2024 επέβαλε πρόστιμο σε μεγάλο διαφημιστικό όμιλο RTB ύψους 250 εκατομμυρίων ευρώ για χρήση προεπιλεγμένων πλαισίων ελέγχου και ανεπαρκώς διαφανή ενημέρωση των χρηστών. Αυτό είναι το μεγαλύτερο πρόστιμο βάσει του άρθρου που σχετίζεται με τη συγκατάθεση, που καταδεικνύει την προτεραιότητα του ελέγχου συγκατάθεσης για τους ευρωπαίους ρυθμιστές.

Συνδυασμός σκοπών σε μία συγκατάθεση

Πολλές εφαρμογές ζητούν μία γενική συγκατάθεση για όλους τους τύπους επεξεργασίας: αναλυτικά στοιχεία, εξατομίκευση, διαφήμιση, διαβίβαση σε τρίτους. Αυτό παραβιάζει άμεσα την απαίτηση συγκεκριμένου (περιορισμός σκοπού). Η EDPB στην κατευθυντήρια γραμμή 05/2020 τονίζει: εάν ένας σκοπός μπορεί να επιτευχθεί χωρίς τον άλλο, ο χρήστης πρέπει να έχει τη δυνατότητα να συναινεί ξεχωριστά για κάθε σκοπό.

Η Ιρλανδική Επιτροπή Προστασίας Δεδομένων (DPC) στην απόφασή της για την υπόθεση Meta Platforms Ireland (2023) ανέφερε ότι ο συνδυασμός εξατομίκευσης διαφημίσεων και βελτίωσης υπηρεσίας σε μία συγκατάθεση αποτελεί παραβίαση. Η Meta υποχρεώθηκε να εφαρμόσει ξεχωριστούς μηχανισμούς συγκατάθεσης για διαφορετικούς σκοπούς επεξεργασίας στο Facebook και το Instagram.

Δύσκολη ή αδύνατη ανάκληση συγκατάθεσης

Ο GDPR απαιτεί η ανάκληση της συγκατάθεσης να είναι εξίσου απλή με την παροχή της. Εάν ο χρήστης έδωσε συγκατάθεση με ένα πάτημα κουμπιού, η ανάκληση δεν μπορεί να απαιτεί συμπλήρωση φόρμας, αποστολή email ή τηλεφώνημα στην υποστήριξη. Στην πράξη, πολλές εφαρμογές κρύβουν τον μηχανισμό ανάκλησης βαθιά στις ρυθμίσεις ή απαιτούν πολλαπλά βήματα για την εκτέλεσή του.

Συνιστώμενη πρακτική — προσθήκη ξεχωριστής οθόνης διαχείρισης συγκαταθέσεων στις ρυθμίσεις της εφαρμογής με δυνατότητα ανάκλησης κάθε συγκατάθεσης ξεχωριστά με έναν διακόπτη. Το UMP SDK από την Google παρέχει ενσωματωμένο μηχανισμό για επανεμφάνιση της φόρμας συγκατάθεσης, τον οποίο ο χρήστης μπορεί να καλέσει από τις ρυθμίσεις της εφαρμογής ανά πάσα στιγμή.

Απουσία αποδεικτικών λήψης συγκατάθεσης

Πολλοί προγραμματιστές βασίζονται σε προφορικές συγκαταθέσεις ή δεν αποθηκεύουν αρχεία λήψης συγκατάθεσης. Αυτό καθιστά αδύνατη την εκπλήρωση της απαίτησης αποδειξιμότητας (λογοδοσίας) σύμφωνα με το άρθρο 5(2) του GDPR. Κατά τον έλεγχο, η εποπτική αρχή θα ζητήσει όχι μόνο την πολιτική απορρήτου, αλλά και τα αρχεία καταγραφής λήψης συγκατάθεσης για ολόκληρη την περίοδο επεξεργασίας δεδομένων.

Η λύση του προβλήματος — χρήση Πλατφόρμας Διαχείρισης Συγκατάθεσης (CMP) με αυτόματη καταγραφή όλων των συμβάντων: εμφάνιση φόρμας, επιλογή χρήστη, έκδοση εγγράφου, χρονική σήμανση. Δημοφιλείς CMP για κινητές εφαρμογές περιλαμβάνουν τις Usercentrics, OneTrust και ConsentManager — όλες υποστηρίζουν αυτόματη καταγραφή ελέγχου συγκαταθέσεων.