Bransjeantagelsen om at åpent publisert innhold er fritt å bruke er nå formelt avvist av EUs øverste personvernorgan.

EDPB vedtok retningslinjer for web-skraping i kontekst av generativ AI (Guidelines 03/2026) og for anonymisering (Guidelines 02/2026). Begge er ute på høring frem til 30. oktober 2026. Retningslinjene er ikke ny lovgivning, men de tolker GDPR-forpliktelser som allerede er bindende.

Tre kumulative krav for lovlig skraping

Web-skraping — automatisert masseinnhenting av data fra nettsider — utgjør behandling av personopplysninger så snart den inkluderer innsamling, lagring, organisering eller gjenfinning av slike data. EDPB understreker at dette gjelder uavhengig av om innholdet er publisert åpent.

Samtykke er i praksis utelukket som rettsgrunnlag ved masseinnhenting, ettersom det ikke finnes en direkte relasjon til den enkelte. Legitim interesse etter GDPR artikkel 6 nr. 1 bokstav f er dermed det eneste realistiske grunnlaget for de fleste private aktører. EDPB stiller tre kumulative krav som alle må være oppfylt: det må foreligge en reell, lovlig og presist formulert interesse; innsamlingen må være nødvendig slik at det ikke finnes like effektive alternativer med lavere personvernrisiko; og en avveining må vise at den behandlingsansvarliges interesser ikke overstyres av de registrertes rettigheter.

I avveiningen tillegger rådet særlig vekt på om nettstedet der data hentes har tekniske sperrer mot skraping — som robots.txt, ai.txt, CAPTCHA eller innloggingskrav. Der slike mekanismer er på plass og nettstedet eksplisitt forbyr bruk til AI-trening, har brukerne ingen rimelig forventning om at dataene skrapes. EDPB skiller også mellom målrettet skraping med presise kriterier og bred kravling som følger lenker uten avgrensning — sistnevnte bærer en vesentlig høyere compliance-risiko.

Særskilte kategorier er som hovedregel forbudt

For sensitive personopplysninger — det GDPR kaller særlige kategorier, som helseopplysninger, etnisk opprinnelse, politisk overbevisning eller fagforeningsmedlemskap — kreves det både et rettsgrunnlag etter artikkel 6 og et eksplisitt unntak etter artikkel 9 nr. 2. Masseinnhenting fra nettet vil sjelden tilfredsstille disse kravene.

EDPB erkjenner at skraping i praksis ikke alltid kan unngå slike data. Rådet åpner for at EU-domstolens resonnement i saken GC m.fl. (C-136/17) — opprinnelig utviklet for søkemotorer — kan få anvendelse ved tilfeldig og begrenset innsamling av sensitive data, men kun der den behandlingsansvarlige har innført konkrete tekniske og organisatoriske tiltak for å forhindre innsamling og videreformidling av slike data. Det finnes intet generelt unntak fra artikkel 9, og hvert tilfelle skal vurderes individuelt.

EDPB anbefaler at data kun hentes fra pålitelige kilder, at tidsstempel registreres og at dataene valideres før de brukes til AI-trening. Selskaper som kjøper ferdige skrapede datasett fra tredjeparter, arver behandlingsansvaret og plikter å verifisere rettslig grunnlag, proveniensen og filtreringen av særskilte kategorier i datasettet før det inngår i en modell.

Ny test for når data er anonyme nok

Anonymisering er det vanligste argumentet for å falle utenfor GDPR: er data genuint anonyme, gjelder ingen av reglene. EDPB strammer nå inn hva som faktisk kvalifiserer.

Retningslinjene for anonymisering (02/2026) bygger på en tredelt test forankret i EU-domstolens praksis, senest i sak C-413/23 P (EDPS mot SRB) fra september 2025: Kan en enkeltperson isoleres i datasettet? Kan opplysninger fra ulike kilder kobles til samme person? Kan informasjon om en person sluttes av dataene, direkte eller indirekte? Alle tre spørsmål må besvares negativt for at data skal regnes som anonyme. Pseudonymiserte data — der navn er erstattet av koder, men gjenidentifisering er teknisk mulig — regnes fortsatt som personopplysninger.

For AI-selskaper betyr dette at en modell trent på persondata ikke automatisk er anonym fordi treningsdataene er fjernet etterpå. Spørsmålet er om personopplysninger kan ekstraheres fra modellen gjennom spørringer — og bevisbyrden ligger hos den behandlingsansvarlige.

Norsk relevans: samme regler, samme tilsyn

GDPR gjelder fullt ut i Norge gjennom EØS-avtalen og personopplysningsloven. Datatilsynet er tilsynsmyndighet og kan ilegge bøter på inntil 20 millioner euro eller 4 prosent av global omsetning. For grensekryssende saker samarbeider Datatilsynet med øvrige europeiske tilsynsmyndigheter gjennom EDPB, på lik linje med EU-statene.

Selskaper som er i ferd med å sette opp treningspipelines, har en tidsbegrenset mulighet til å påvirke det endelige regelverket: høringen er åpen frem til 30. oktober 2026, og innspill sendes via EDPBs eget skjema. Den endelige versjonen av retningslinjene ventes tidligst ved utgangen av 2026.