Web scraping a RODO to jedno z najtrudniejszych zagadnień dla dostawców generatywnej AI. Informacja dostępna na stronie internetowej nie przestaje być daną osobową, a brak blokady crawlera nie oznacza zgody na jej zebranie. W lipcu 2026 roku Europejska Rada Ochrony Danych opublikowała projekt Wytycznych 03/2026 dotyczących web scrapingu w kontekście generatywnej AI. Dokument pozostaje przedmiotem konsultacji publicznych do 30 października 2026 roku, dlatego nie jest jeszcze ostatecznym stanowiskiem EROD. Pokazuje jednak, jak organy mogą oceniać podstawę prawną, przejrzystość, minimalizację, dane szczególnych kategorii i respektowanie sygnałów właścicieli stron. W artykule wyjaśniamy, jak dziś oceniać web scraping a RODO i jakie dowody powinien zgromadzić administrator.
Najważniejsze informacje
- Projekt Wytycznych 03/2026 EROD nie jest jeszcze dokumentem ostatecznym.
- Publiczna dostępność danych nie oznacza, że można je dowolnie pobierać i wykorzystywać.
- Brak pliku robots.txt lub innego sprzeciwu nie stanowi zgody na przetwarzanie.
- Prawnie uzasadniony interes wymaga odrębnego testu obejmującego interes, niezbędność i równowagę.
- Administrator powinien ograniczać źródła, pola danych, czas przechowywania i ryzyko ponownej identyfikacji.
- Dane szczególnych kategorii i dane dzieci wymagają szczególnej ostrożności oraz skutecznego filtrowania.
- Wyjątek od indywidualnego obowiązku informacyjnego nie zwalnia z publikacji przejrzystej informacji ogólnej.
- Kupno gotowego zbioru nie usuwa odpowiedzialności za ocenę jego pochodzenia i legalności.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Czym jest web scraping w kontekście generatywnej AI?
Web scraping polega na automatycznym pobieraniu informacji ze stron, platform, repozytoriów lub innych zasobów online. Crawler może odnajdywać adresy, kopiować treść, wyodrębniać pola, zapisywać metadane i przekazywać materiał do dalszej analizy.
W projektach generatywnej AI dane mogą służyć do:
- trenowania modelu od podstaw;
- dostrajania istniejącego modelu;
- budowania bazy RAG;
- testowania i oceny jakości;
- filtrowania bezpieczeństwa;
- rozwijania wyszukiwarki lub asystenta;
- tworzenia danych analitycznych.
Ocena web scraping a RODO zależy od całego procesu, a nie tylko od działania robota. Znaczenie mają źródła, zakres danych, cel, dalsze użycie, odbiorcy, retencja i możliwość realizacji praw osoby.
Projekt Wytycznych 03/2026 EROD. Co to oznacza?
Europejska Rada Ochrony Danych przyjęła projekt wytycznych 7 lipca 2026 roku i skierowała go do konsultacji od 8 lipca do 30 października 2026 roku. Na dzień przygotowania artykułu dokument nie ma wersji ostatecznej.
Oznacza to, że:
- treść może ulec zmianie po konsultacjach;
- nie należy przedstawiać każdego zalecenia jako nowego, bezpośrednio obowiązującego przepisu;
- podstawowe obowiązki nadal wynikają z RODO i orzecznictwa;
- projekt jest ważnym sygnałem interpretacyjnym dla administratorów i organów.
Firma projektująca proces powinna monitorować wersję końcową i zaplanować aktualizację dokumentacji. Jednocześnie oczekiwanie na ostateczny tekst nie uzasadnia prowadzenia niekontrolowanego scrapingu.
BPPZ może wesprzeć ocenę w ramach AI Governance, obejmującego rejestr zastosowań, role, dane, ryzyko oraz dokumentację zgodności.
Czy publiczne dane można swobodnie pobierać?
Nie. Dane osobowe zachowują swój charakter także wtedy, gdy osoba opublikowała je na publicznej stronie, profilu zawodowym, forum lub w rejestrze. Dostępność może wpływać na rozsądne oczekiwania osoby i wynik testu równowagi, ale nie usuwa zasad RODO.
Web scraping a RODO wymaga ustalenia między innymi:
- czy pobierane treści zawierają dane osobowe;
- kto decyduje o celu i sposobie zbierania;
- jaka podstawa prawna ma zastosowanie;
- czy zakres jest niezbędny do konkretnego celu;
- czy osoba mogła oczekiwać takiego dalszego użycia;
- czy treść obejmuje dane dzieci lub dane wrażliwe;
- jak zostanie wykonany obowiązek informacyjny;
- w jaki sposób osoba skorzysta ze swoich praw.
Publiczna strona nie jest równoznaczna z publiczną domeną prawną. Trzeba też oddzielnie ocenić regulamin serwisu, prawa autorskie, prawa do baz danych, tajemnicę przedsiębiorstwa i ograniczenia techniczne.
Web scraping a RODO. Kto jest administratorem danych?
Administratorem jest podmiot, który określa cele i zasadnicze sposoby przetwarzania. W projekcie AI może nim być dostawca modelu, firma budująca zbiór, klient zlecający zebranie danych albo kilka podmiotów wspólnie.
Nazwa umowy nie przesądza roli. Jeżeli wykonawca sam wybiera źródła, ustala zakres i wykorzystuje dane do rozwoju własnego modelu, może działać jako odrębny administrator, nawet gdy klient nazywa go procesorem.
Przed uruchomieniem crawlera warto opisać:
- kto ustala cel zbierania;
- kto wybiera domeny i kryteria;
- kto definiuje filtry;
- kto przechowuje surowe dane;
- kto decyduje o dalszym trenowaniu;
- kto odpowiada na żądania osób;
- czy dane są używane także dla innych klientów.
Bez tego trudno prawidłowo przygotować klauzule informacyjne, umowy i procedury. Web scraping a RODO wymaga bowiem przypisania odpowiedzialności jeszcze przed rozpoczęciem pobierania danych.
Jaka podstawa prawna może mieć zastosowanie?
W praktyce dostawcy często rozważają prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO. Nie jest to jednak domyślne pozwolenie na pobranie całego internetu. Każdy cel wymaga trzystopniowej oceny.
1. Istnienie uzasadnionego interesu
Interes musi być zgodny z prawem, jasno opisany i rzeczywisty. Ogólne „rozwijanie AI” może być zbyt nieprecyzyjne. Lepiej wskazać konkretny produkt, funkcję i korzyść.
2. Niezbędność przetwarzania
Administrator powinien wykazać, że zakres danych jest potrzebny i że celu nie można rozsądnie osiągnąć w sposób mniej ingerujący. Należy rozważyć dane licencjonowane, syntetyczne, zanonimizowane, mniejszy zbiór albo ograniczone źródła.
3. Równowaga praw i interesów
Trzeba ocenić rozsądne oczekiwania osób, charakter strony, wrażliwość treści, skalę, dalsze użycie, skutki, możliwość sprzeciwu i zabezpieczenia.
Test nie może być jedną ogólną notatką dla wszystkich zbiorów i modeli. Web scraping a RODO wymaga powiązania analizy z konkretnymi źródłami, celem i sposobem wykorzystania.
Robots.txt, ai.txt i CAPTCHA. Czy mają znaczenie?
Tak, choć ich znaczenia nie należy upraszczać. Plik robots.txt, ai.txt, ustawienia serwisu, uwierzytelnienie, CAPTCHA i inne środki mogą komunikować brak zgody właściciela strony na automatyczne pobieranie albo ograniczać dostęp.
Projekt EROD wskazuje na potrzebę respektowania technicznych i maszynowo czytelnych sygnałów sprzeciwu. Próba obchodzenia zabezpieczeń zwiększa ryzyko prawne i może naruszać także inne przepisy lub warunki usługi.
Jednocześnie brak pliku robots.txt nie oznacza zgody osoby, której dane dotyczą. Zgoda w rozumieniu RODO musi być dobrowolna, konkretna, świadoma i jednoznaczna. Milczenie serwera lub brak konfiguracji nie spełnia tych wymagań.
Procedura web scraping a RODO powinna zapisywać:
- jakie sygnały są sprawdzane;
- które domeny są wyłączane;
- kiedy crawler przestaje pobierać;
- jak często aktualizuje reguły;
- kto zatwierdza wyjątek;
- jakie logi potwierdzają respektowanie ograniczeń.
Minimalizacja danych i dobór źródeł
Zasada minimalizacji dotyczy nie tylko liczby rekordów, ale też źródeł, pól, częstotliwości pobierania i czasu przechowywania. Argument, że model „może kiedyś potrzebować” wszystkich treści, jest niewystarczający.
Administrator powinien rozważyć:
- listę dozwolonych i zakazanych domen;
- wyłączenie serwisów dla dzieci;
- wyłączenie stron zdrowotnych, religijnych i pomocowych;
- odrzucanie danych logowania i identyfikatorów;
- ograniczenie metadanych;
- filtrowanie danych kontaktowych;
- usuwanie duplikatów;
- pobieranie tylko określonych typów treści;
- krótką retencję surowego zbioru;
- pseudonimizację przed dalszym użyciem.
Web scraping a RODO powinien być zaprojektowany warstwowo. Pierwsze filtry działają przed pobraniem, kolejne przy ekstrakcji, następne przed trenowaniem, a dalsze podczas testowania wyników modelu.
Dane szczególnych kategorii i dane dzieci
Treści internetowe mogą ujawniać zdrowie, pochodzenie, poglądy polityczne, religię, seksualność lub członkostwo w związku zawodowym. Dla takich danych potrzebna jest nie tylko podstawa z art. 6 RODO, lecz także przesłanka z art. 9 ust. 2 RODO.
To, że system zebrał dane „przypadkowo”, nie tworzy ogólnego wyjątku. Administrator powinien ograniczać prawdopodobieństwo ich pozyskania, szybko identyfikować niepożądane kategorie i usuwać je przed dalszym wykorzystaniem.
Szczególnej ochrony wymagają dzieci. Źródła kierowane do małoletnich, szkolne fora, profile i materiały rodzinne powinny być poddane restrykcyjnej ocenie. Rozsądne oczekiwania dziecka i ryzyko przyszłego wpływu przemawiają za silnymi ograniczeniami.
Jeżeli skuteczne odfiltrowanie danych wrażliwych nie jest możliwe, projekt może wymagać zmiany źródeł albo rezygnacji z pobierania.
Obowiązek informacyjny z art. 14 RODO
Gdy dane nie pochodzą bezpośrednio od osoby, zastosowanie może znaleźć art. 14 RODO. Administrator powinien poinformować między innymi o swojej tożsamości, celach, podstawach, kategoriach danych, źródłach, odbiorcach, retencji, prawach i zautomatyzowanym podejmowaniu decyzji.
Przy masowym scrapingu indywidualne zawiadomienie każdej osoby może być niemożliwe albo wymagać niewspółmiernie dużego wysiłku. Wyjątek nie powinien jednak być stosowany automatycznie. Trzeba go ocenić, udokumentować i zastosować środki chroniące prawa osób.
Projekt EROD akcentuje publiczną informację, która może obejmować:
- cele i rodzaje rozwijanych systemów;
- kategorie pobieranych danych;
- typy oraz źródła stron;
- charakterystykę crawlera;
- sposób zgłoszenia sprzeciwu;
- formularz realizacji praw;
- kryteria retencji;
- aktualizacje procesu.
Dobrą praktyką może być udostępnienie narzędzia pozwalającego sprawdzić, czy dana domena, adres URL lub okres zbierania znajdowały się w zakresie procesu. Przejrzystość musi być realna, a nie ukryta w ogólnym regulaminie.
Jak realizować prawa osób?
Skala zbioru i trudność techniczna nie znoszą praw z RODO. Organizacja powinna przygotować sposób identyfikacji rekordów, przyjęcia żądania, weryfikacji osoby i działania na danych źródłowych, zbiorze pośrednim oraz gotowym systemie.
W zależności od architektury mogą być potrzebne:
- indeks źródeł i dat pozyskania;
- mechanizm wyszukiwania rekordów;
- lista wyłączeń dla ponownego scrapingu;
- usuwanie danych z RAG lub repozytorium;
- ocena możliwości unlearningu;
- filtry wyników modelu;
- odpowiedź wyjaśniająca ograniczenia techniczne;
- rejestr sprzeciwów i decyzji.
Web scraping a RODO nie powinien prowadzić do architektury, w której administrator od początku nie potrafi odnaleźć źródła ani zareagować na uzasadnione żądanie.
Web scraping a RODO. Czy potrzebna jest DPIA?
Ocena skutków dla ochrony danych jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób. Masowe pozyskiwanie danych, łączenie wielu źródeł, profilowanie, dane wrażliwe, nowe technologie i trudność realizacji praw mogą przemawiać za wykonaniem DPIA.
DPIA powinna opisywać:
- przepływ danych od crawlera do modelu;
- role i odbiorców;
- cel, podstawę oraz niezbędność;
- ryzyka dla osób;
- filtry i wyłączenia;
- bezpieczeństwo zbioru;
- retencję i usuwanie;
- mechanizmy praw osób;
- ryzyko ujawnienia danych w wynikach;
- testy oraz odpowiedzialność za działania naprawcze.
Audyt procesu może być elementem szerszego audytu RODO i oceny systemu AI.
Kupno gotowego zbioru nie usuwa ryzyka
Firma może pozyskać dane od brokera, dostawcy modelu, repozytorium albo podwykonawcy scrapingu. Nie powinna zakładać, że fakt wystawienia faktury dowodzi legalności zbioru.
Przed zakupem warto sprawdzić:
- pochodzenie i kategorie źródeł;
- daty i metody pozyskania;
- role stron;
- podstawę prawną;
- wykonanie obowiązku informacyjnego;
- respektowanie sygnałów sprzeciwu;
- filtry danych szczególnych kategorii;
- obsługę praw osób;
- ograniczenia licencyjne;
- podwykonawców;
- dokumentację usunięcia i aktualizacji;
- możliwość audytu.
Umowa powinna zapewniać informacje i współpracę potrzebne do oceny zgodności. Ogólne oświadczenie, że „dane pochodzą z legalnych źródeł”, może być niewystarczające. Zakres pytań i zobowiązań można uzupełnić na podstawie poradnika BPPZ Umowa z dostawcą AI. 15 klauzul, które firma powinna sprawdzić.
Praktyczny scenariusz: baza RAG z publicznych profili
Firma chce zbudować asystenta wyszukującego ekspertów. Plan zakłada pobranie publicznych profili zawodowych, wpisów z forów, stron konferencji i prywatnych blogów. Pierwotny projekt nie przewiduje listy wyłączeń ani obsługi sprzeciwu.
Ocena web scraping a RODO wykazuje, że cel można osiągnąć przy użyciu mniejszego zakresu. Firma ogranicza źródła do stron zawodowych i konferencyjnych, rezygnuje z prywatnych forów, usuwa dane kontaktowe, prowadzi indeks URL, respektuje robots.txt oraz publikuje informację o procesie.
Przeprowadza test równowagi i DPIA, ustala krótką retencję surowych danych, wdraża formularz sprzeciwu oraz listę domen wyłączonych. Wyniki asystenta są sprawdzane pod kątem aktualności, a profil nie jest automatycznie wykorzystywany do podejmowania decyzji o zatrudnieniu.
Procedura zgodnego web scrapingu
- Opisz konkretny cel i produkt.
- Ustal role administratora, procesora i dostawców.
- Zidentyfikuj kategorie danych i źródła.
- Wybierz podstawę prawną dla każdego celu.
- Przeprowadź test równowagi, jeżeli stosujesz art. 6 ust. 1 lit. f RODO.
- Oceń mniej ingerujące alternatywy.
- Ustal listy domen dozwolonych i zakazanych.
- Respektuj robots.txt, ai.txt, ustawienia i zabezpieczenia.
- Wdróż filtry danych wrażliwych i danych dzieci.
- Ogranicz zakres, metadane, częstotliwość i retencję.
- Przygotuj informację z art. 14 RODO.
- Zaprojektuj obsługę dostępu, usunięcia i sprzeciwu.
- Wykonaj DPIA, jeśli proces może powodować wysokie ryzyko.
- Zabezpiecz surowe zbiory, kopie i dostęp.
- Testuj model pod kątem ujawniania danych.
- Dokumentuj źródła, reguły crawlera i decyzje.
- Monitoruj zmiany prawa oraz wersję końcową wytycznych EROD.
Dzielimy się wiedzą
Najlepszym momentem na ograniczenie danych jest etap przed pobraniem. Filtr usuwający dane dopiero po zapisaniu całego internetu nie rozwiązuje wszystkich problemów, ponieważ samo zebranie i przechowywanie jest już przetwarzaniem. Dlatego reguły źródeł powinny działać przed crawlerem, a kolejne zabezpieczenia na dalszych etapach.
Podsumowanie
Web scraping a RODO wymaga czegoś więcej niż sprawdzenia, czy strona jest publiczna. Administrator musi określić cel, rolę, podstawę, niezbędność, rozsądne oczekiwania osób i zabezpieczenia. Powinien także respektować sygnały techniczne, ograniczać źródła, filtrować dane wrażliwe i umożliwiać realizację praw.
Projekt Wytycznych 03/2026 EROD nie jest jeszcze dokumentem ostatecznym, lecz dostarcza praktycznego kierunku dla dostawców generatywnej AI. Organizacje powinny uwzględnić go w bieżących ocenach i ponownie zweryfikować proces po przyjęciu wersji końcowej.
Jeżeli planujesz web scraping a RODO, zakup zbioru lub rozwój generatywnej AI, BPPZ może przeprowadzić audyt oraz przygotować dokumentację AI Governance, w tym test równowagi, DPIA i wymagania dla dostawców.
FAQ
Publiczność strony nie oznacza dowolności. Trzeba ustalić podstawę prawną, niezbędność, oczekiwania osób, obowiązek informacyjny, zakres danych, prawa osób oraz inne ograniczenia.
Nie. Brak pliku lub zakazu nie spełnia warunków zgody z RODO. Administrator nadal musi posiadać podstawę prawną i respektować inne sygnały, ustawienia oraz ograniczenia dostępu.
Nie. To projekt przyjęty do konsultacji publicznych trwających do 30 października 2026 roku. Treść może się zmienić, choć już teraz stanowi ważny sygnał interpretacyjny.
Nie. Wymaga wykazania zgodnego z prawem interesu, niezbędności oraz przewagi nad prawami osób. Wynik zależy od celu, źródeł, skali, rodzaju danych i zabezpieczeń.
Art. 14 RODO przewiduje wyjątki, między innymi przy niewspółmiernie dużym wysiłku. Nie stosuje się ich automatycznie. Decyzję trzeba uzasadnić i opublikować skuteczną informację ogólną.
Takie dane podlegają art. 9 RODO. Potrzebna jest właściwa przesłanka, a przypadkowe zebranie nie tworzy wyjątku. Proces powinien je skutecznie filtrować i szybko usuwać.
Nie. Nabywca powinien ocenić pochodzenie, role, podstawę, przejrzystość, prawa osób i ograniczenia. Umowne zapewnienie dostawcy jest ważne, ale nie zastępuje due diligence.
Nie zawsze. Jest wymagana przy prawdopodobnym wysokim ryzyku. Masowa skala, łączenie źródeł, profilowanie, dane wrażliwe, dzieci i trudność realizacji praw zwiększają taką możliwość.
Trzeba ocenić wszystkie warstwy: surowe dane, kopie, indeks, RAG, zbiór treningowy i model. W zależności od architektury potrzebne mogą być także filtry, retrening lub unlearning.
RODO chroni dane osobowe. Prawa autorskie, prawa do baz danych, regulaminy i ochrona techniczna wymagają odrębnej analizy. Zgodność z RODO nie przesądza zgodności w tych obszarach.
Źródła
- EROD – Projekt Wytycznych 03/2026 o web scrapingu w kontekście generatywnej AI.
- EUR-Lex – Rozporządzenie RODO, w szczególności art. 5, 6, 9, 12, 14, 21, 25 i 35.
- EROD – Wytyczne 1/2024 dotyczące prawnie uzasadnionego interesu.
- EROD – Opinia 28/2024 o aspektach ochrony danych związanych z modelami AI.
- EUR-Lex – Rozporządzenie w sprawie sztucznej inteligencji, AI Act.
