Offentlig tilgjengelighet er ikke rettslig grunnlag

Under plenumsmøtet 8. juli vedtok EDPB — som samler datatilsynsmyndighetene fra alle EØS-land — retningslinjene «Guidelines 03/2026 on web scraping in the context of generative AI». Retningslinjene er åpne for høring frem til 30. oktober 2026, men de underliggende GDPR-pliktene de tolker, er allerede bindende.

Kjernebudskapet er at data som ligger fritt tilgjengelig på nettet, ikke gir rettslig grunnlag for innsamling til AI-trening. GDPR gjelder for scraping hver gang prosessen involverer innsamling, lagring, organisering eller gjenfinning av personopplysninger — og det gjør den ifølge EDPB i praksis alltid.

Samtykke er utelukket som rettslig grunnlag ved storskala scraping. Den primære veien er berettiget interesse etter artikkel 6(1)(f) — men den krever en tredelt vurdering: virksomheten må dokumentere et reelt formål, vise at behandlingen er nødvendig, og gjennomføre en avveining der de registrertes rettigheter ikke overstyres.

Livssyklus-krav fra kilde til modell

EDPB legger til grunn at personvernplikten strekker seg gjennom hele prosessen: fra valg av datakilder og innsamling, via filtrering og lagring, til tiltak som hindrer at den trente modellen gjengir lagrede personopplysninger. Etterlevelse i ett ledd er ikke tilstrekkelig.

Rådet anbefaler at virksomheter kun henter data fra pålitelige kilder, at tidsstempel og datavalidering gjennomføres før treningsmaterialet brukes, og at filtre som fanger opp sensitive opplysninger etableres før treningsrunden starter. Robots.txt, ai.txt, CAPTCHA og innloggingsbarrierer behandles som relevante indikatorer for hva nettsideeiere forventer, og tillegges vekt i avveiningen av berettiget interesse.

For særlige kategorier — helseopplysninger, etnisk opprinnelse, politiske meninger og lignende — er utgangspunktet forbud. Det kreves både et rettslig grunnlag etter artikkel 6 og et særskilt unntak etter artikkel 9(2). Hvert tilfelle må vurderes individuelt.

Anonymisering: høy terskel

Parallelt vedtok EDPB «Guidelines 02/2026» om anonymisering, som tar hensyn til EU-domstolens avgjørelse i sak C-413/23 P (EDPS mot SRB) av 4. september 2025. Testen er streng: data regnes som anonyme bare dersom gjenidentifisering ikke er rimelig mulig med noe sannsynlig hjelpemiddel.

Retningslinjen opererer med tre kumulative kriterier — ingen isolasjon, ingen kobling og ingen slutning. Pseudonymiserte eller svakt avidentifiserte data er fremdeles personopplysninger underlagt GDPR.

For generativ AI er dette særlig krevende. Store språkmodeller kan reprodusere fragmenter av treningsdata ord for ord ved lignende inndata. EDPB adresserer dette direkte og krever at virksomheter implementerer tekniske tiltak mot slik memorisering.

Transparens: individuell varsling kan fravikes

Ved storskala scraping kan det være umulig eller uforholdsmessig krevende å varsle hver enkelt registrert. Artikkel 14(5)(b) åpner da for unntak fra individuell informasjonsplikt — men unntaket kan ikke gjøres til rutine. Virksomheten må publisere en detaljert personvernerklæring på eget nettsted og tilby mekanismer for reservasjon, helst før innsamlingen starter.

God praksis etter retningslinjene inkluderer å publisere en søkbar liste over scrapede domenenavn med innsamlingsdatoer. Virksomheter som benytter bredt nettcrawling — der man ikke vet nøyaktig hvilke personopplysninger som fanges opp — har høyere etterlevelsesrisiko enn ved mer målrettet scraping.

Norsk rett: allerede gjeldende

For norske virksomheter er rettstilstanden klar. GDPR er gjort til norsk lov gjennom personopplysningsloven av 15. juni 2018, som trådte i kraft 20. juli 2018, etter at forordningen ble innlemmet i EØS-avtalen ved vedtak i EØS-komiteen 6. juli 2018. Datatilsynet fører tilsyn og kan ilegge gebyr på inntil 20 millioner euro eller 4 prosent av global omsetning.

EDPB-retningslinjene er tolkningsveiledning til regler som allerede gjelder, ikke ny lovgivning. Norske AI-virksomheter som bruker scrapede nettdata kan ikke vente på at retningslinjene blir endelige — pliktene løper nå.

Også virksomheter som kjøper ferdige scrapede datasett fra tredjepart er berørt. Anskaffelsen er i seg selv behandling av personopplysninger, og kjøperen overtar ansvaret for å verifisere rettslig grunnlag, opprinnelse og at særlige kategorier er filtrert bort.

Høring åpen til 30. oktober

Kommentarer skal sendes til EDPB via eget skjema innen 30. oktober 2026 og vil bli publisert med innsenderens navn, sektor og land. Endelig versjon ventes tidligst ved utgangen av 2026.

Juridiske analytikere anser det som lite sannsynlig at høringen vil medføre vesentlige arkitektoniske endringer, men påpeker at det er rom for justeringer og presiseringer. Virksomheter med konkrete gjennomføringsproblemer har dermed en begrenset mulighet til å påvirke den endelige teksten.