Offentlige data fritar ikke fra GDPR

EDPB — organet som samordner EUs nasjonale datatilsyn — vedtok retningslinje 03/2026 om web scraping og retningslinje 02/2026 om anonymisering under sitt siste plenumsmøte i Brussel. Begge er nå på høring med frist 30. oktober 2026. Hovedpoenget er at GDPR gjelder for web scraping så snart prosessen berører personopplysninger, uavhengig av om innsamlingen skjer fra åpent tilgjengelige kilder.

Web scraping er en storstilt, automatisert datauttrekksprosess som ofte skjer uten at enkeltpersoner er klar over det, og som kan medføre betydelig personvernrisiko. Personvernforordningen kommer til anvendelse på de konkrete behandlingsoperasjonene som inngår — innsamling, lagring, organisering og gjenfinning av data. At informasjonen er publisert åpent på internett, gir verken samtykke eller rettslig grunnlag for behandlingen.

Krav om dokumentert rettslig grunnlag

For å bruke web scraping til AI-trening må behandlingsansvarlig ha et gyldig rettslig grunnlag etter GDPR artikkel 6. Retningslinjene peker i praksis mot berettiget interesse etter artikkel 6 nr. 1 bokstav f, men dette forutsetter en tredelt test: en legitim interesse, et nødvendighetsvilkår og en interesseavveining der den registrertes rettigheter ikke veier tyngst. Vurderingen skal være skriftlig dokumentert.

Særlige kategorier personopplysninger — som helseopplysninger, etnisitet eller fagforeningsmedlemskap — er i utgangspunktet forbudt å behandle, og EDPB understreker at masseinnsamling via scraping sjelden vil oppfylle kravene. Behandling krever både rettslig grunnlag etter artikkel 6 og et unntak etter artikkel 9 nr. 2. Selskaper som kjøper ferdige scrapede datasett fra tredjepart, arver ansvaret som behandlingsansvarlig og må verifisere rettslig grunnlag, datakilde og filtrering av særlige kategorier før datasettet brukes i modelltrening.

EDPB anbefaler at behandlingsansvarlige kun henter data fra pålitelige kilder, at tidsstempel registreres og at dataene valideres før AI-trening. Kravene til formålsbegrensning og åpenhet gjelder også, selv om direkte varsling til enkeltpersoner kan fravikes der dette er umulig eller krever uforholdsmessig innsats.

Ny test for hva som faktisk er anonymt

Anonymiseringsretningslinjene adresserer hva som faktisk kvalifiserer som anonyme data. EDPB bygger på EU-domstolens dom i sak C-413/23 P (EDPS mot SRB) fra 4. september 2025 og øvrig rettspraksis. Data er anonyme bare dersom de ikke relaterer seg til en identifisert eller identifiserbar fysisk person — og dette kan variere fra én virksomhet til en annen.

Rammeverket opererer med tre testkriterier for anonymitet: ingen isolering av registeret, ingen kobling til andre data og ingen mulig slutning om enkeltpersoner. Pseudonymiserte eller svakt avidentifiserte data regnes fortsatt som personopplysninger. EDPB tilbyr to tilnærminger: en kontekstuell tilnærming som tar hensyn til hvem som med rimelig sannsynlighet kan re-identifisere en person, og en forenklet tilnærming der behandlingsansvarlig selv velger en strengere standard uten å differensiere mellom aktører.

Virksomheter som hevder å trene modeller utelukkende på anonyme data, må dokumentere at anonymiseringen holder mål mot det oppdaterte testsettet. Det er ikke lenger tilstrekkelig å vise til at data er «avidentifisert» etter eldre interne standarder.

Norsk relevans via EØS

Norge er ikke EU-medlem, men GDPR gjelder fullt ut i norsk rett gjennom EØS-avtalen og personopplysningsloven av 15. juni 2018. Datatilsynet er tilsynsmyndighet og deltar i EDPBs samarbeidsmekanisme på linje med EU-statenes tilsyn. EDPB-retningslinjene setter dermed den tolkningsmessige standarden som norske selskaper vil bli vurdert mot.

Retningslinjene er tolkningsveiledning, ikke ny lovgivning, og er fremdeles i høringsutkast frem til 30. oktober 2026. De underliggende GDPR-pliktene om lovlighet, åpenhet og nøyaktighet er imidlertid allerede gjeldende rett. For norske AI-selskaper som trener eller finjusterer generative modeller på nettdata, gjelder kravene i praksis fra i dag.

Hva skjer videre

Høringsfristen for retningslinje 03/2026 om web scraping og 02/2026 om anonymisering er 30. oktober 2026. Norske virksomheter og bransjeorganisasjoner kan sende kommentarer direkte til EDPB via den dedikerte høringsprosessen. Etter høringen vedtar EDPB endelige versjoner. Parallelt arbeider rådet med retningslinjer om samspillet mellom EU AI Act og GDPR, planlagt vedtatt i 2026.