Under plenumsmøtet 8. juli vedtok EDPB — personvernrådet som koordinerer Europas nasjonale datatilsyn — retningslinjene 03/2026 om web scraping i kontekst av generativ KI og retningslinjene 02/2026 om anonymisering. Samme dag ble den endelige versjonen av rådets retningslinjer for blokkjede-teknologi vedtatt. Begge de nye retningslinjene er på høring frem til 30. oktober 2026.

Retningslinjene er ikke ny lovgivning, men tolker GDPR-forpliktelser som allerede er bindende. De praktiske forventningene gjelder derfor fra nå.

Offentlig tilgjengelighet er ikke nok

Kjernebudskapet er entydig: at data ligger åpent på nettet, gir ingen fri tilgang for AI-utviklere. GDPR gjelder web scraping så snart prosessen involverer personopplysninger — innsamling, lagring, organisering og gjenfinning av slike data.

Selskaper som bygger treningsdatasett ved å skrape nettet, må dokumentere et rettslig grunnlag etter GDPR artikkel 6. EDPB peker på berettiget interesse etter artikkel 6 nr. 1 bokstav f som den mest aktuelle hjemmelen for private aktører, men understreker at dette krever en tredelt kumulativ vurdering: et reelt og lovlig formål, nødvendighet — det vil si at det ikke finnes et like effektivt og mindre inngripende alternativ — og en avveining der den behandlingsansvarliges interesser ikke overstyrer de registrertes rettigheter.

Retningslinjene angir tiltak som kan styrke posisjonen i denne avveiningen: å begrense skrapingen til fritt tilgjengelig informasjon, øke åpenheten rundt aktiviteten, legge til rette for utøvelse av individers rettigheter og slette eller anonymisere personopplysninger så tidlig som mulig i prosessen.

Robots.txt og ai.txt får rettslig vekt

EDPB tillegger tekniske sperrer på nettsider direkte betydning for lovlighetsvurderingen. Dersom en plattform bruker robots.txt, ai.txt, CAPTCHA-løsninger eller innloggingskrav — og eksplisitt angir at brukerdata ikke kan brukes til AI-trening — har de registrerte ingen rimelig forventning om at dataene deres blir skrapet. Det svekker grunnlaget for å hevde berettiget interesse.

Retningslinjene skiller mellom målrettet skraping, der avgrensede kriterier som spesifikke domener eller emner styrer innsamlingen, og ikke-målrettet skraping eller web-crawling, der innsamlingen følger lenker uten forhåndsdefinerte begrensninger. Ikke-målrettet skraping bærer høyere GDPR-risiko fordi den behandlingsansvarlige kan ha begrenset kunnskap om hvilke personopplysninger som faktisk samles inn.

Sensitive data krever dobbelt hjemmel

For særlige kategorier av personopplysninger — som helseopplysninger, politiske oppfatninger, etnisk opprinnelse og religiøs overbevisning — er web scraping i utgangspunktet forbudt. Dersom skraping likevel involverer slike data, krever EDPB både et rettslig grunnlag etter artikkel 6 og et unntak etter artikkel 9 nr. 2 i GDPR.

Rådet åpner for at EU-domstolens resonnement i saken GC og andre (C-136/17), opprinnelig utviklet for søkemotorer, kan anvendes ved tilfeldig og residual innsamling av særlige kategorier — forutsatt at den behandlingsansvarlige implementerer tekniske og organisatoriske tiltak for å hindre innsamling og spredning av slike data. Hver sak må vurderes individuelt.

Åpenhet og dataminimering

Åpenhetsprinsippet gjelder selv i stor skala: selv om individuell varsling av de registrerte kan fravikes der det er umulig eller krever uforholdsmessig innsats, må den behandlingsansvarlige publisere en detaljert offentlig personvernerklæring og tilby kanaler for utøvelse av rettigheter — inkludert opt-out-mekanismer før innsamling.

For dataminimering anbefaler EDPB at selskaper vurderer syntetiske data som alternativ til personopplysninger før innsamling starter, definerer presise innsamlingskriterier, gjennomfører datakartlegging og unngår nettsteder som strukturelt sett inneholder sensitive opplysninger. Etter innsamling bør syntaksbasert filtrering brukes til å fjerne unødvendig informasjon, og pseudonymisering eller anonymisering bør skje så tidlig som mulig.

For å oppfylle nøyaktighetsprinsippet anbefaler EDPB at data kun hentes fra pålitelige kilder, at tidsstempel for innsamling registreres, og at data valideres før de brukes i AI-trening.

Ny anonymiseringsstandard

Retningslinjene om anonymisering etablerer en tredelt test for om data kan anses som anonyme: ingen isolering av enkeltpersoners poster, ingen kobling av poster til den samme personen og ingen inferens av tilleggsinformasjon om vedkommende. Mangler ett av disse vilkårene, kreves ytterligere analyse før data kan behandles som anonyme.

Standarden bygger på EU-domstolens dom av 4. september 2025 i saken C-413/23 P (EDPS mot SRB). Data er bare anonyme dersom de ikke relaterer seg til en identifisert eller identifiserbar fysisk person — og denne vurderingen kan variere fra én aktør til en annen, avhengig av hvilke identifiseringsmidler som er tilgjengelige.

Direkte relevans for norske aktører

Retningslinjene treffer norske virksomheter direkte. GDPR er gjort til norsk lov gjennom personopplysningsloven av 15. juni 2018, som trådte i kraft 20. juli 2018 etter at forordningen ble innlemmet i EØS-avtalen. Datatilsynet er tilsynsmyndighet og deltar i EDPB på lik linje med datatilsyn i EU-statene.

Norske AI-selskaper og norske virksomheter som kjøper ferdigskrapede treningsdatasett, er underlagt de samme forpliktelsene. En virksomhet som anskaffer et eksternt skrapet datasett, arver ansvaret for å verifisere det rettslige grunnlaget, opprinnelsen og filtreringen av særlige kategorier i datasettet — og kan ikke fraskrive seg rollen som behandlingsansvarlig.

Høringsvindu og neste skritt

Begge retningslinjene er åpne for skriftlige innspill via EDPBs nettskjema frem til 30. oktober 2026. Innspill publiseres med innsenders navn, sektor og land med mindre avsender reserverer seg. Etter høringen vil EDPB behandle innspillene og vedta en endelig versjon.

Blokkjede-retningslinjene er allerede i endelig form etter en høringsprosess. EDPB oppfordrer organisasjoner til å foretrekke tillatelsesbaserte blokkjedearkitekturer fremfor offentlige, tillatelsesløse nettverk, og fastslår at teknisk umulighet — for eksempel at data er lagret uforanderlig på kjeden — ikke kan påberopes som grunnlag for manglende GDPR-etterlevelse.