Μαύρη λίστα πελατών και GDPR: τι επιτρέπεται να κάνει το eshop σας;

Σχεδόν κάθε ελληνικό eshop που δουλεύει με αντικαταβολές καταλήγει, αργά ή γρήγορα, να κρατά μια άτυπη λίστα: πελάτες που δεν παρέλαβαν, που έκαναν φάρσα, που επέστρεψαν προϊόν φθαρμένο. Η λογική είναι αυτονόητη — κάθε ανεπίδοτη αντικαταβολή κοστίζει, και κανείς δεν θέλει να πατήσει στην ίδια πέτρα δύο φορές. Όμως αυτή η λίστα περιέχει προσωπικά δεδομένα, και άρα διέπεται από τον GDPR. Το ερώτημα δεν είναι «επιτρέπεται;» — υπό προϋποθέσεις, ναι — αλλά «πώς γίνεται σωστά;».

Η νομική βάση: έννομο συμφέρον

Ο GDPR επιτρέπει επεξεργασία προσωπικών δεδομένων χωρίς συγκατάθεση όταν αυτή είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων του υπεύθυνου επεξεργασίας (άρθρο 6 παρ. 1 στ΄). Η προστασία της επιχείρησης από οικονομική ζημιά — επαναλαμβανόμενες αρνήσεις παραλαβής, καταχρηστικές παραγγελίες — αναγνωρίζεται γενικά ως τέτοιο συμφέρον.

Το έννομο συμφέρον όμως δεν είναι λευκή επιταγή. Προϋποθέτει στάθμιση: το συμφέρον σας πρέπει να μην υπερκαλύπτεται από τα δικαιώματα και τις εύλογες προσδοκίες του πελάτη. Στην πράξη, αυτό μεταφράζεται σε τρεις αρχές: αναλογικότητα, ελαχιστοποίηση και διαφάνεια.

Αναλογικότητα: καταγράφετε γεγονότα, όχι χαρακτηρισμούς

Η λίστα σας πρέπει να καταγράφει αντικειμενικά περιστατικά, όχι κρίσεις. Υπάρχει μεγάλη διαφορά ανάμεσα στο «η παραγγελία #4521 της 3/5/2026 επεστράφη ανεπίδοτη» και στο «απατεώνας, μην του πουλήσετε ποτέ». Το πρώτο είναι επαληθεύσιμο γεγονός που τεκμηριώνει το έννομο συμφέρον σας· το δεύτερο είναι χαρακτηρισμός που μπορεί να σας εκθέσει νομικά.

Αναλογικότητα σημαίνει επίσης κλιμάκωση: μία ανεπίδοτη παραγγελία δικαιολογεί επιπλέον έλεγχο (π.χ. τηλεφωνική επιβεβαίωση ή απαίτηση προπληρωμής), όχι απαραίτητα οριστικό αποκλεισμό του πελάτη.

Ελαχιστοποίηση: μόνο τα απαραίτητα, μόνο για όσο χρειάζεται

• Ποια δεδομένα: Για τον σκοπό «αναγνώριση πελάτη με ιστορικό αρνήσεων» αρκούν συνήθως τηλέφωνο, email και τα περιστατικά. Δεν χρειάζεστε ΑΦΜ, επάγγελμα ή σημειώσεις για τη συμπεριφορά του.
• Για πόσο καιρό: Ο GDPR δεν ορίζει συγκεκριμένο χρόνο, αλλά απαιτεί τα δεδομένα να μη διατηρούνται περισσότερο απ' όσο χρειάζεται. Ορίστε ρητή πολιτική διατήρησης (π.χ. διαγραφή εγγραφών μετά από 2–3 χρόνια χωρίς νέο περιστατικό) και τηρήστε την.
• Ποιος έχει πρόσβαση: Μόνο όσοι διαχειρίζονται παραγγελίες. Μια λίστα σε κοινόχρηστο έγγραφο που βλέπει «όλη η εταιρεία» δύσκολα περνά τον έλεγχο της ελαχιστοποίησης.

Διαφάνεια: η πολιτική απορρήτου σας πρέπει να το λέει

Ο πελάτης έχει δικαίωμα να γνωρίζει ότι γίνεται τέτοια επεξεργασία. Η πολιτική απορρήτου του eshop σας πρέπει να αναφέρει με σαφήνεια ότι τηρείτε ιστορικό παραγγελιών και περιστατικών μη παραλαβής για σκοπούς πρόληψης κατάχρησης, με νομική βάση το έννομο συμφέρον, καθώς και τον χρόνο διατήρησης. Αν χρησιμοποιείτε εξωτερική υπηρεσία ελέγχου παραγγελιών, πρέπει να αναφέρεται και αυτή.

Τα δικαιώματα του πελάτη

Ακόμα κι ένας πελάτης με ιστορικό αρνήσεων διατηρεί τα δικαιώματά του:

• Πρόσβαση: μπορεί να ζητήσει να μάθει τι δεδομένα τηρείτε γι' αυτόν — και πρέπει να μπορείτε να απαντήσετε.
• Διόρθωση: αν η εγγραφή είναι λανθασμένη (π.χ. το δέμα δεν παραδόθηκε με ευθύνη του courier), πρέπει να διορθώνεται.
• Εναντίωση: μπορεί να αντιταχθεί στην επεξεργασία· τότε οφείλετε να επανεξετάσετε τη στάθμιση — όχι απαραίτητα να διαγράψετε, αλλά να αιτιολογήσετε.

Τα τρία λάθη που βλέπουμε συχνότερα

1. Δημόσια διαπόμπευση. Ανάρτηση ονομάτων «κακοπληρωτών» σε σελίδες ή ομάδες στα social media. Είναι η πιο επικίνδυνη πρακτική: παράνομη δημοσιοποίηση προσωπικών δεδομένων με σοβαρό κίνδυνο προστίμου και αγωγής, ακόμα κι αν τα περιστατικά είναι αληθινά.
2. Άναρχη ανταλλαγή λιστών μεταξύ eshop. Το «στείλε μου το excel σου να σου στείλω το δικό μου» είναι διαβίβαση δεδομένων χωρίς νομική βάση, χωρίς συμφωνία επεξεργασίας και χωρίς ενημέρωση των υποκειμένων. Η συνεργατική προστασία είναι πολύτιμη — αλλά χρειάζεται δομημένο πλαίσιο.
3. Λίστα-σκουπιδότοπος. Εγγραφές χωρίς ημερομηνία, χωρίς τεκμηρίωση περιστατικού, χωρίς πολιτική διαγραφής, που κουβαλιούνται επ' αόριστον. Αν δεν μπορείτε να πείτε γιατί και από πότε κάποιος είναι στη λίστα, δεν έπρεπε να είναι.

Λίστα ελέγχου για το eshop σας

1. Καταγράφετε μόνο αντικειμενικά περιστατικά με ημερομηνία και αριθμό παραγγελίας.
2. Περιορίστε τα πεδία σε ό,τι χρειάζεται για την αναγνώριση (τηλέφωνο, email).
3. Ορίστε και εφαρμόστε χρόνο διατήρησης.
4. Περιορίστε την πρόσβαση στο προσωπικό που διαχειρίζεται παραγγελίες.
5. Ενημερώστε την πολιτική απορρήτου σας για την επεξεργασία και τη νομική της βάση.
6. Έχετε διαδικασία για αιτήματα πρόσβασης, διόρθωσης και εναντίωσης.
7. Μην δημοσιοποιείτε ποτέ στοιχεία πελατών — ούτε «προειδοποιητικά».

Η πρόληψη της απάτης και ο σεβασμός των προσωπικών δεδομένων δεν είναι αντίπαλοι — με σωστή δομή, το ένα στηρίζει το άλλο. Αν θέλετε ο έλεγχος των παραγγελιών σας να γίνεται αυτόματα και μέσα σε αυτό το πλαίσιο, δοκιμάστε το Order Fraud Detection δωρεάν.