Web scraping przez AI a RODO: nowe wytyczne EDPB 03/2026
EDPB łączy web scraping dla treningu generatywnej AI z obowiązkami RODO, gdy pozyskiwane są dane osobowe. Wersja 1.0 została przyjęta do konsultacji publicznych i nie tworzy automatycznego zakazu wynikającego z robots.txt.
Szybka odpowiedź
Guidelines 03/2026 opisują obowiązki prywatnych podmiotów, które samodzielnie albo przez wykonawcę zbierają dane z internetu na potrzeby treningu lub fine-tuningu generatywnej AI. EDPB wskazuje m.in. wykluczanie stron jasno sprzeciwiających się scrapingowi jako możliwy środek minimalizacji danych. To wskazówka dla scrapera, a nie nowe, automatyczne prawo właściciela strony do zakazania każdego crawlowania.
Dla wydawców, ecommerce, platform z treściami oraz zespołów privacy, prawnych, security, data i AI governance, które zarządzają dostępem crawlerów do publicznych zasobów mogących zawierać dane osobowe.
1. Najpierw sprawdź status i zakres Guidelines 03/2026
Guidelines 03/2026 Version 1.0 zostały przyjęte 7 lipca 2026 r. do konsultacji publicznych; nie są jeszcze wersją ostateczną po konsultacjach. EDPB przyjmuje uwagi od 8 lipca do 30 października 2026 r., dlatego po zakończeniu konsultacji treść i numeracja dokumentu mogą się zmienić.
Wytyczne dotyczą prywatnych podmiotów, które scrapują zewnętrzne źródła internetowe samodzielnie albo zlecają to innej organizacji na potrzeby treningu generatywnej AI. EDPB wskazuje także fine-tuning jako część objętego kontekstu. Dokument nie jest ogólną instrukcją dla każdego crawlera, wyszukiwarki lub jednorazowego agenta.
2. Publiczna strona nie wyłącza stosowania RODO
Publiczna dostępność strony nie wyłącza stosowania RODO, jeżeli scraping obejmuje operacje przetwarzania danych osobowych. EDPB wymienia w tym kontekście m.in. ekstrakcję, czyszczenie, strukturyzowanie i przechowywanie danych pozwalających bezpośrednio lub pośrednio zidentyfikować osobę.
W zbiorze mieszanym RODO dotyczy części zawierającej dane osobowe. To, czy uczestnik procesu jest administratorem, współadministratorem czy podmiotem przetwarzającym, wymaga oceny jego faktycznej roli w konkretnych operacjach. Sam fakt zlecenia scrapingu nie rozstrzyga tej kwalifikacji.
- nazwiska, zdjęcia i dane kontaktowe mogą bezpośrednio identyfikować osobę
- identyfikacja pośrednia zależy również od rozsądnie dostępnych środków i dodatkowych danych
- duża skala lub nieukierunkowany crawl zwiększa ryzyko zbierania danych niepotrzebnych
- szczególne kategorie danych wymagają osobnej analizy art. 9 RODO obok podstawy z art. 6
3. Oddziel copyright/TDM, crawler governance i RODO
Te trzy warstwy mogą dotyczyć tej samej wizyty crawlera, ale odpowiadają na inne pytania. Nie należy przedstawiać reguły technicznej jako kompletnej odpowiedzi prawnej ani mieszać praw osoby, której dane dotyczą, z prawami właściciela utworu.
| Warstwa | Główne pytanie | Przykładowy materiał | Czego nie rozstrzyga sama |
|---|---|---|---|
| Copyright / TDM | Czy chroniona treść może być pobrana i wykorzystana do TDM? | Prawa do utworu, sposób udostępnienia, zastrzeżenie TDM | Podstawy przetwarzania danych osobowych |
| Crawler governance | Jaki automatyczny dostęp właściciel serwisu chce dopuścić lub ograniczyć? | robots.txt, polityka crawlerów, reguła per zasób, log reakcji | Legalności dalszego użycia danych przez operatora |
| RODO | Czy przetwarzane są dane osobowe, w jakim celu i na jakiej podstawie? | Zakres danych, role podmiotów, podstawa prawna, minimalizacja i przejrzystość | Praw autorskich do treści ani technicznej tożsamości klienta |
Zobacz osobno zastrzeżenie TDM i prawa do treściPrzejdź do modelu AI Crawler Governance
4. robots.txt i CAPTCHA są sygnałem technicznym, nie automatycznym zakazem
W części poświęconej minimalizacji danych EDPB wskazuje, że przed zbiorem administrator powinien rozważyć wykluczanie stron, które jasno sprzeciwiają się scrapingowi treści. Jako przykłady środków technicznych dokument wymienia m.in. uwierzytelnianie dostępu, robots.txt, ai.txt i CAPTCHA zaprojektowaną tak, aby ograniczyć wejścia robotów.
robots.txt, polityka crawlerów i techniczne ograniczenia dostępu nie są same w sobie „mechanizmem RODO” ani automatycznym zakazem prawnym. Ich znaczenie zależy od kontekstu, treści sygnału, zachowania scrapera i właściwej podstawy prawnej. EDPB podkreśla też, że brak lub niestosowanie robots.txt nie oznacza zgody w rozumieniu RODO.
Sprzeciw właściciela serwisu wobec pobierania strony nie jest automatycznie sprzeciwem każdej osoby, której dane znajdują się w treści. Może jednak stanowić istotny sygnał wejściowy dla doboru źródeł przez scrapera i dowód tego, jaka polityka była publicznie komunikowana.
5. Minimalizację zaplanuj przed scrapingiem, nie dopiero po zebraniu danych
EDPB zaleca ocenę konieczności jeszcze przed uruchomieniem scrapera. Wśród środków wymienia precyzyjne kryteria zbioru, mapowanie i inwentaryzację, filtry wykluczające zbędne kategorie danych oraz omijanie źródeł strukturalnie zawierających dane wrażliwe lub dane osób podatnych na zagrożenia.
Po rozpoczęciu zbioru nadal potrzebne są środki ograniczające zakres: filtrowanie danych rozpoznawalnych po formacie, zastępowanie danych rzeczywistych syntetycznymi tam, gdzie to wykonalne, a także anonimizacja lub pseudonimizacja. Pseudonimizacja nie wyłącza automatycznie stosowania RODO.
- zdefiniuj źródła, kategorie danych i cel przed uruchomieniem crawla
- sprawdź, czy ten sam cel można osiągnąć mniej inwazyjnymi danymi
- wyklucz zbędne ścieżki i typy witryn możliwie wcześnie
- wersjonuj kryteria zbioru, filtry i daty ich obowiązywania
6. Uzasadniony interes nie jest blankietowym pozwoleniem na scraping
EDPB wskazuje, że prywatne podmioty często powołują się na art. 6 ust. 1 lit. f RODO. Zastosowanie tej podstawy wymaga jednak łącznie rzeczywistego i zgodnego z prawem interesu, konieczności przetwarzania oraz testu równowagi uwzględniającego prawa, wolności, wpływ i rozsądne oczekiwania osób.
Administrator powinien również spełnić obowiązki przejrzystości, ograniczenia celu, rzetelności, prawidłowości i rozliczalności. EDPB opisuje jako dobrą praktykę publikowanie możliwie dokładnej informacji o domenach, URL-ach oraz dacie lub okresie pozyskania danych, gdy indywidualne poinformowanie osób nie jest możliwe albo wymaga niewspółmiernego wysiłku.
7. Zbuduj odtwarzalny ślad polityki po stronie serwisu
Właściciel serwisu nie kontroluje całego procesu przetwarzania po stronie scrapera, ale może uporządkować własny materiał dowodowy. Zapisuj wersję publicznej polityki, czas jej obowiązywania, zakres ścieżek i typów treści oraz obserwowane żądania i techniczne reakcje.
Rekord powinien rozdzielać fakt pobrania od przypuszczenia o dalszym celu. User-Agent, IP lub ASN mogą wspierać ocenę tożsamości, ale nie dowodzą samodzielnie treningu modelu, podstawy prawnej ani naruszenia RODO. Retencja logów i dostęp do nich także wymagają własnej podstawy i zasad ochrony danych.
- host, URL, czas i wersja obowiązującej polityki
- surowy User-Agent oraz dostępne sygnały weryfikacji tożsamości
- oczekiwana decyzja, wykonana akcja i kod odpowiedzi
- status opisujący konflikt z polityką lub brak danych, nie automatyczny werdykt prawny
8. Co może zrobić właściciel strony teraz
Zidentyfikuj publiczne obszary, w których mogą występować dane osobowe, oddziel je od treści wymagających otwartego indeksowania i ustal właściciela decyzji. Opublikuj spójną politykę dla rozróżnialnych klas crawlerów, a dla treści niepublicznych stosuj uwierzytelnienie i kontrolę dostępu zamiast polegać wyłącznie na robots.txt.
Wytyczne dotyczą obowiązków podmiotów prowadzących lub zlecających scraping, a nie przyznają właścicielowi strony nowego, automatycznego prawa do zablokowania każdego crawlera. Ta treść nie stanowi porady prawnej i nie oznacza, że Bot Protection automatycznie ocenia podstawę prawną scrapingu, wykrywa dane osobowe lub rozstrzyga zgodność z RODO.
- sprawdź publiczne dane osobowe i potrzebę ich dalszego udostępniania
- oddziel sygnał TDM, politykę crawlerów i prywatnościową ocenę danych
- zachowuj wersje polityki oraz proporcjonalne logi techniczne
- skonsultuj ryzykowne przypadki z inspektorem ochrony danych lub prawnikiem
Czytaj także
Źródła i dalsza weryfikacja
Prawo, dokumentacja platform i standardy techniczne mogą się zmieniać. Przed działaniem sprawdź aktualne źródła oraz kontekst swojej organizacji.