EDPB-Richtsnoeren 03/2026: Webscraping voor Generatieve AI
De EDPB-Richtsnoeren 03/2026 (Ontwerp v1.0 ter consultatie tot 30 okt. 2026) kaderen webscraping voor AI in: noodzaak van een gemotiveerd gerechtvaardigd belang, naleving van Artikel 9 en transparante informatie onder Artikel 14.
1. Doel, Toepassingsgebied & Context van Richtsnoeren 03/2026
De EDPB-richtsnoeren 03/2026 (Versie 1.0 vastgesteld op 7 juli 2026) zijn van toepassing op particuliere entiteiten die persoonsgegevens verzamelen van openbaar toegankelijke bronnen op het internet (webscraping), specifiek voor het ontwikkelen, trainen, verfijnen (fine-tuning) en evalueren van generatieve artificiële-intelligentiestelsels.
2. Juridische Beginselen & Aandachtspunten in Consultatie
- Rechtmatigheid van de verwerking (Art. 6): Omdat voorafgaande toestemming bij grootschalige webscraping praktisch onhaalbaar is, beroepen ontwikkelaars zich doorgaans op het gerechtvaardigd belang (Art. 6.1.f). De EDPB herinnert eraan dat deze grondslag strikte noodzakelijkheid vereist en rekening moet houden met technische maatregelen die bezwaar tegen webscraping signaleren (zoals robots.txt, ai.txt of CAPTCHA's, waarbij robots.txt op zichzelf geen toestemming vormt).
- Bijzondere categorieën van gegevens (Art. 9): De EDPB benadrukt nadrukkelijk dat loutere openbare beschikbaarheid op het web niet volstaat om aan te nemen dat gegevens kennelijk door de betrokkene openbaar zijn gemaakt in de zin van Artikel 9(2)(e). Grootschalige verwerking van gescrapete gevoelige gegevens zonder geldige uitzonderingsgrond is onrechtmatig.
- Transparantie & informatieverstrekking (Art. 14): Bij indirecte verzameling moet de verwerkingsverantwoordelijke betrokkenen in beginsel informeren. Wordt een beroep gedaan op onevenredige inspanning (Art. 14.5.b), dan moeten krachtige compenserende maatregelen (duidelijke openbare informatie, eenvoudig toegankelijke opt-outmechanismen) worden getroffen.
- Gegevensminimalisatie & Privacy by Design (Art. 25): Minimalisatiemaatregelen omvatten filtering van irrelevante persoonsgegevens en, waar mogelijk na verzameling, anonimisering of pseudonimisering vóór de daadwerkelijke trainingsfase van de modelgewichten.
3. Doctrinale Status & Periode van Openbare Consultatie
Deze richtsnoeren vormen een cruciale Europese doctrinale mijlpaal voor de wisselwerking tussen de AVG en de Europese AI-verordening (Verordening (EU) 2024/1689). Belanghebbenden worden uitgenodigd om bij te dragen aan de openbare consultatie van de EDPB, die loopt tot 30 oktober 2026.
Geverifieerde Officiële Bronnen
Web scraping pour l'entraînement de modèles d'IA générative, licéité (Art. 6), catégories particulières (Art. 9), transparence (Art. 14) et minimisation (version 1.0 adoptée le 7 juillet 2026, consultation publique ouverte jusqu'au 30 oct. 2026)
Raadpleeg officiële bron →Traitement de données personnelles dans le cadre du développement de modèles d'IA, évaluation du risque de mémorisation/extraction, anonymisation des pondérations, intérêt légitime et mesures d'atténuation (Avis Art. 64 du CEPD)
Raadpleeg officiële bron →Intérêt légitime (Art. 6.1.f) : un intérêt commercial licite n'est pas exclu en tant qu'intérêt légitime, sous réserve de la stricte nécessité du traitement et de la mise en balance avec les droits fondamentaux (ECLI:EU:C:2024:858)
Raadpleeg officiële bron →Geassocieerde Operationele Micro-Tools
Evalueer methodisch de 6 rechtsgronden (overeenkomst, wettelijke verplichting, toestemming...) en structureer gerechtvaardigde belangen.
Controleer of uw project onder de verplichte categorieën valt of voldoet aan de 9 criteria voor hoog risico van de EDPB.
Zie Ook in het Juridisch Referentiekader
Artikel 6 AVG: De Zes Rechtsgronden voor Rechtmatigheid
Juridische analyse van Artikel 6 AVG: de zes alternatieve rechtsgronden voor rechtmatigheid van de verwerking, geldighei...
CJUE C-621/22 KNLTB : Licéité de l'Intérêt Commercial sous l'Art. 6(1)(f)
Décision fondamentale de la CJUE du 4 octobre 2024 (ECLI:EU:C:2024:858) : un intérêt commercial licite n'est pas exclu e...
Article 35 RGPD : Critères et Méthodologie de l'AIPD (DPIA)
Cadre juridique de l'AIPD (Art. 35 RGPD) : cas obligatoires, critères WP248 de risque élevé, méthode d'évaluation et con...