# Υποχρέωση γνωστοποίησης ΓΚΠΔ: 72 ώρες μετά το περιστατικό

> Παραβίαση δεδομένων και γνωστοποίηση εντός 72 ωρών: τι απαιτούν τα άρθρα 33 και 34 ΓΚΠΔ μετά από επίθεση σε διακομιστή και τι πρέπει να τεκμηριώσετε τώρα.

Πηγή: https://phpsos.de/el/compliance/dsgvo-meldepflicht-72-stunden/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν συντομία:** Αν σε μια επίθεση παραβιαστεί η προστασία δεδομένων προσωπικού χαρακτήρα, το άρθρο 33 ΓΚΠΔ απαιτεί γνωστοποίηση στην εποπτική αρχή, εφόσον είναι δυνατό εντός 72 ωρών από τη στιγμή που λάβατε γνώση, όταν υπάρχει κίνδυνος για τα θιγόμενα πρόσωπα. Σε περίπτωση υψηλού κινδύνου προστίθεται σύμφωνα με το άρθρο 34 η ενημέρωση των θιγόμενων προσώπων. Ανεξάρτητα από αυτό πρέπει να τεκμηριώνετε κάθε παραβίαση. Αυτή η σελίδα είναι γενική πληροφόρηση και όχι νομική συμβουλή.

> **Σημαντικό:**
> Δεν πρόκειται για νομική συμβουλή: το αν και πότε υπάρχει σε κάθε περίπτωση υποχρέωση γνωστοποίησης το αξιολογεί ο υπεύθυνος προστασίας δεδομένων σας ή ένας δικηγόρος. Εμείς παρέχουμε τα τεχνικά δεδομένα στα οποία στηρίζεται αυτή η αξιολόγηση.

## Παραβίαση δεδομένων και γνωστοποίηση εντός 72 ωρών: τι ρυθμίζει το άρθρο 33

Το άρθρο 33 ΓΚΠΔ αφορά την «παραβίαση δεδομένων προσωπικού χαρακτήρα». Εννοείται κάθε παραβίαση ασφάλειας που οδηγεί σε καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα. Ένας παραβιασμένος διακομιστής ιστού με βάση δεδομένων πελατών, φόρμες επικοινωνίας ή δεδομένα υποψηφίων μπορεί να εμπίπτει σε αυτό.

Η γνωστοποίηση στην εποπτική αρχή πρέπει να γίνεται χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι δυνατό, εντός 72 ωρών αφότου ο υπεύθυνος επεξεργασίας λάβει γνώση της παραβίασης. Παραλείπεται όταν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όποιος γνωστοποιεί αργότερα από 72 ώρες πρέπει να αιτιολογήσει την καθυστέρηση. Οι πληροφορίες μπορούν να παρέχονται σταδιακά.

## Τι πρέπει να περιέχει μια γνωστοποίηση

Το άρθρο 33 παρ. 3 ΓΚΠΔ ορίζει ελάχιστο περιεχόμενο. Πρέπει να προετοιμάσετε αυτά τα σημεία, ακόμη και αν δεν έχουν ξεκαθαριστεί όλα:

- φύση της παραβίασης, κατά το δυνατό με κατηγορίες και κατά προσέγγιση αριθμό των θιγόμενων προσώπων και εγγραφών
- όνομα και στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων ή άλλου σημείου επαφής
- οι πιθανές συνέπειες της παραβίασης
- τα μέτρα που λήφθηκαν ή προτείνονται για την αντιμετώπιση και για τον μετριασμό πιθανών δυσμενών συνεπειών

Ιδιαίτερα στις επιθέσεις σε διακομιστές ιστού η έκταση είναι στην αρχή συχνά ασαφής. Τότε βοηθά μια ειλικρινής αρχική γνωστοποίηση με την γνωστή κατάσταση και τη δήλωση ότι θα υποβληθούν αργότερα περαιτέρω ευρήματα.

## Πότε ξεκινά η προθεσμία μετά από επίθεση σε διακομιστή;

Η προθεσμία συνδέεται με τη γνώση και όχι με τη στιγμή της επίθεσης. Στην πράξη η οριοθέτηση είναι συχνά δύσκολη: μια αναφορά για μια ευπάθεια ασφαλείας όπως το PHP2Shell δεν θεμελιώνει από μόνη της γνώση μιας παραβίασης προστασίας δεδομένων. Αν όμως βρείτε συγκεκριμένες ενδείξεις παραβίασης, για παράδειγμα ένα webshell ή ύποπτα ερωτήματα βάσης δεδομένων, η κατάσταση μπορεί να είναι διαφορετική.

Τεκμηριώστε γι' αυτό από την αρχή, με ώρα, ποιος έλαβε πότε ποια πληροφορία και ποια βήματα ακολούθησαν. Αυτό το χρονολόγιο βοηθά στη νομική αξιολόγηση και σε ερωτήματα της αρχής. Μια προσεκτική τεχνική διερεύνηση, για παράδειγμα μέσω [ψηφιακής εγκληματολογίας πληροφορικής](https://phpsos.de/el/leistungen/it-forensik/), ξεκαθαρίζει αν και ποια δεδομένα επηρεάστηκαν πράγματι.

## Ενημέρωση των θιγόμενων προσώπων κατά το άρθρο 34

Αν η παραβίαση ενδέχεται να έχει ως αποτέλεσμα υψηλό κίνδυνο για τα προσωπικά δικαιώματα και ελευθερίες, πρέπει να ενημερωθούν χωρίς αδικαιολόγητη καθυστέρηση και τα θιγόμενα πρόσωπα. Αυτό μπορεί να συμβαίνει, για παράδειγμα, με στοιχεία πρόσβασης, τραπεζικούς λογαριασμούς ή δεδομένα υγείας. Η ενημέρωση πρέπει να περιγράφει με σαφή και απλή γλώσσα τι συνέβη και να αναφέρει τουλάχιστον το σημείο επαφής, τις πιθανές συνέπειες και τα μέτρα που λήφθηκαν.

Το άρθρο 34 προβλέπει εξαιρέσεις, για παράδειγμα όταν τα δεδομένα έχουν καταστεί μη προσβάσιμα σε μη εξουσιοδοτημένα πρόσωπα, λόγου χάρη με κρυπτογράφηση. Αν η ενημέρωση κάθε μεμονωμένου προσώπου συνεπαγόταν δυσανάλογη προσπάθεια, μπορεί να εξεταστεί αντί αυτής μια δημόσια ανακοίνωση ή ένα εξίσου αποτελεσματικό μέτρο. Το αν εφαρμόζεται εξαίρεση ανήκει στη νομική αξιολόγηση. Πώς ενημερώνετε κατανοητά τους πελάτες, περιγράφει η σελίδα [Επικοινωνία κρίσης μετά από μια επίθεση](https://phpsos.de/el/compliance/krisenkommunikation/).

## Υποχρέωση τεκμηρίωσης κατά το άρθρο 33 παρ. 5

Ανεξάρτητα από την υποχρέωση γνωστοποίησης, το άρθρο 33 παρ. 5 ΓΚΠΔ απαιτεί να τεκμηριώνεται κάθε παραβίαση: τα πραγματικά περιστατικά, οι συνέπειες και τα διορθωτικά μέτρα που λήφθηκαν. Αυτή η τεκμηρίωση πρέπει να επιτρέπει στην εποπτική αρχή να ελέγξει τη συμμόρφωση. Αυτό ισχύει και όταν μετά τον έλεγχο καταλήξετε ότι δεν απαιτείται γνωστοποίηση.

Για διακομιστές ιστού αυτό σημαίνει στην πράξη: διάσωση των logs προτού περιστραφούν, καταγραφή των ευρημάτων με χρονικό σημείο, σημείωση των αποφάσεων και της αιτιολόγησής τους. Στο PHP2Shell ο τεχνικός Τύπος συνιστά τη διατήρηση των logs του διακομιστή από τις 20/10/2026. Επιπλέον, ένα patch δεν αφαιρεί κακόβουλο λογισμικό που έχει ήδη εισαχθεί και δεν αποδεικνύει ότι δεν συνέβη τίποτα πριν.

## Πρακτική διαδικασία τις πρώτες ώρες

1. Αναφέρετε την υποψία εσωτερικά σε σταθερό σημείο και εμπλέξτε τον υπεύθυνο προστασίας δεδομένων.
2. Διασώστε αποδείξεις: logs, λίστες αρχείων, αποσπάσματα βάσης δεδομένων, προτού διαγραφεί ή στηθεί εκ νέου οτιδήποτε.
3. Ξεκαθαρίστε τεχνικά αν ενδέχεται να επηρεάστηκαν δεδομένα προσωπικού χαρακτήρα.
4. Νομική αξιολόγηση της υποχρέωσης γνωστοποίησης και ενημέρωσης, ενδεχομένως με δικηγόρο και ασφαλιστή.
5. Γνωστοποίηση μέσω της φόρμας της αρμόδιας εποπτικής αρχής, συμπληρώσεις όταν προκύπτουν νέα ευρήματα.

Ένα προετοιμασμένο [σχέδιο έκτακτης ανάγκης πληροφορικής](https://phpsos.de/el/compliance/notfallplan-erstellen/) συντομεύει σημαντικά αυτά τα βήματα.

## Πώς βοηθά συγκεκριμένα το PHP SOS;

- Διασώζουμε logs και καταστάσεις συστημάτων με τρόπο ώστε να παραμένουν αξιοποιήσιμα για την αξιολόγηση και για έναν μεταγενέστερο έλεγχο.
- Ξεκαθαρίζουμε τεχνικά αν και ποια δεδομένα ήταν προσβάσιμα και παρέχουμε μια κατανοητή σύνοψη για υπευθύνους προστασίας δεδομένων και δικηγόρους.
- Τηρούμε ένα χρονολόγιο των τεχνικών ευρημάτων, το οποίο μπορείτε να χρησιμοποιήσετε για τη γνωστοποίηση και την τεκμηρίωση.
- Σε επιβεβαιωμένη παραβίαση αναλαμβάνουμε το [Incident Response](https://phpsos.de/el/leistungen/incident-response/) και τον καθαρισμό.


## Συχνές ερωτήσεις

**Από πότε τρέχουν οι 72 ώρες;**  
Σύμφωνα με το άρθρο 33 ΓΚΠΔ, από τη στιγμή που ο υπεύθυνος επεξεργασίας έλαβε γνώση της παραβίασης. Το πότε πρέπει να θεωρηθεί αυτό σε κάθε περίπτωση είναι νομική αξιολόγηση. Τεκμηριώστε γι' αυτό με ακρίβεια πότε ποιος διέθετε ποια πληροφορία.

**Πρέπει να γνωστοποιείται κάθε ευπάθεια ασφαλείας;**  
Όχι. Μια ευπάθεια από μόνη της δεν αποτελεί ακόμη παραβίαση της προστασίας δεδομένων προσωπικού χαρακτήρα. Η γνωστοποίηση μπορεί να καταστεί υποχρεωτική όταν υπάρχουν ενδείξεις ότι μη εξουσιοδοτημένα πρόσωπα είχαν ή μπορούσαν να έχουν πρόσβαση σε τέτοια δεδομένα και προκύπτει κίνδυνος για τα θιγόμενα πρόσωπα.

**Τι κάνω αν μετά από 72 ώρες δεν γνωρίζω ακόμη τα πάντα;**  
Το άρθρο 33 παρ. 4 ΓΚΠΔ επιτρέπει να παρέχονται οι πληροφορίες σταδιακά, όταν δεν είναι δυνατό να παρασχεθούν ταυτόχρονα. Μια εκπρόθεσμη γνωστοποίηση πρέπει να αιτιολογείται. Η αναμονή για πλήρη διαύγεια δεν αποτελεί γι' αυτό κατά κανόνα λόγο να παρέλθει η προθεσμία.

**Ποιος γνωστοποιεί, αν επηρεάστηκε ο πάροχος φιλοξενίας;**  
Υποχρεωμένος να γνωστοποιήσει είναι ο υπεύθυνος επεξεργασίας, δηλαδή κατά κανόνα η επιχείρηση που λειτουργεί τον ιστότοπο. Ένας εκτελών την επεξεργασία, όπως ο πάροχος φιλοξενίας, πρέπει να ενημερώσει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση σύμφωνα με το άρθρο 33 παρ. 2 ΓΚΠΔ.

**Πού γνωστοποιώ μια παραβίαση δεδομένων;**  
Στην αρμόδια εποπτική αρχή προστασίας δεδομένων, για τις επιχειρήσεις συνήθως η αρχή του κράτους μέλους ή, στη Γερμανία, του ομόσπονδου κράτους όπου εδρεύουν. Οι περισσότερες αρχές προσφέρουν γι' αυτό ηλεκτρονικές φόρμες.

## Πηγές

- [Άρθρο 33 ΓΚΠΔ](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI](https://www.bsi.bund.de/)
- [php.net: Ανακοινώσεις ασφαλείας](https://www.php.net/)