Usmernenia EDPB k web scrapingu

Dňa 7. júla 2026 zverejnil Európsky výbor na ochranu osobných údajov (EDPB) návrh nových usmernení k tzv. web scrapingu. Usmernenia 03/2026 sú k dispozícii na verejné pripomienkovanie do 30. októbra 2026. Na usmerneniach je celkom prekvapivé, že sú celkom "businessovo" orientované. Na viacerých miestach priznávajú, že splniť GDPR nebude celkom dobre možné, no hľadajú priestor ako nasadiť spracúvanie aj napriek tomu. Tiež EDPB celkom podstatne rozširuje informačné povinnosti podľa čl. 14 GDPR a pridáva dva nové assessmenty (interné posúdenia), ktoré by mali prevádzkovatelia vykonať.

V prvom rade, EDPB chápe web scraping ako bežne používanú techniku na získanie veľkého množstva údajov z verejne dostupných webových služieb často bez toho, aby o tom dotknuté osoby vedeli. Tieto usmernenia sa výslovne vzťahujú na situácie, kedy sú webstránky scrapované za účelom vytvorenia podkladov na vývoj, trénovanie a fine-tuning generatívnych AI modelov. Usmernenia preto neriešenia len úvodný plošný zber údajov, ale celkový proces, ktorý má typicky tieto fázy:

1. Kritéria zberu dát

2. Extrakcia dát

3. Čistenie dát

4. Štruktúrovanie dát

5. Použitie dát v systéme AI (napr. na jeho vývoj alebo trénovanie AI modelu)

Mnoho subjektov rozmýšľa o GDPR až v kontexte nasadenia finálneho systému, no EDPB pripomína, že GDPR bude dotknuté už pri extrakcii dát, ak ide o osobné údaje. To zo sebou prináša sériu základných otázok týkajúcich sa zabezpečenia súladu s GDPR.

Ako nastaviť kritéria zberu

Podľa EDPB je veľmi dôležité, ako sú nastavené kritéria zberu. EDPB prirodzene preferuje cielené scrapovanie, kde sú kritéria toho čo sa zbiera pevne a jasne vopred stanovené. Tento prístup sa ľahšie obhajuje a dokumentuje, prevádzkovateľ má nad ním väčšiu kontrolu a typicky vedie k zberu menšieho rozsahu dát. Naproti tomu pri necielenom scrapovaní má "web scrawler" oveľa väčšiu autonómiu v tom čo bude zbierať. Pohybuje sa po weboch sám a posudzuje, čo zozbiera. Prevádzkovateľ častokrát ani nevie, na základe čoho vlastne scrawler rozhodne, pretože kritéria sú pomerne otvorené. Menšia kontrola a viac rizík. V princípe nič nezakazuje obe metódy, no výber prirodzene môže ovplyvniť to, či posudzovaný zámer prejde tzv. testom nevyhnutnosti. Takisto má veľký dopad aj typ scrapovaných webstránok. Statické a skôr textové weby predstavujú menší rozsah a menšie riziko. Ak má scrawler imitovať správanie človeka, rozsah dát a riziká sú pomerne vyššie a kontrola nižšia. EDPB preto odporúča už pri prvej fáze vybrať overené webstránky, ktoré sú pôvodným zdrojmi dát a ktoré ideálne aj informujú svoje dotknuté osoby o možnosti pre-použitia ich dát na tréning modelov AI (u nás pri verejných registroch niečo nepredstaviteľné). A tieto samozrejme zdokumentovať.

Oprávnený záujem ako právny základ

Za jediný použiteľný právny základ EDPB označuje oprávnený záujem, čo asi nebude prekvapivé. Dôležité však je vedieť preukázať testom prevahy oprávneného záujmu (tzv. balančným testom) všetky tri kroky: (i) test legitimity; (ii) test nevyhnutnosti; (iii) test proporcionality (vyvažovanie). Väčšina prevádzkovateľov práve na tomto preukázaní stroskotá, pretože ich očakávania a tom ako vyzerá balančný test sú častokrát skreslené praxou "popisných" balančných testov a tým čo v organizáciách ako "testy proporcionality" koluje už takmer 10 rokov.

Vieme, že v praxi sa aj v dôsledku kvality týchto "popisaných testov" vyskytuje názor, že ak existuje iné menej rušivé riešenie, ktorým je možné oprávnený záujem dosiahnuť, tak zámer neprejde testom nevyhnutnosti. To však nie je požiadavka testu nevyhnutnosti, pretože menej rušivé riešenie existuje vždy. Je nim vždy staršia metóda vykonávania toho istého, staršia verzia softvéru, menej sofistikovaná technika, ktorá pred pár rokmi nebola dostupná. Technologický vývoj totiž zabezpečuje (o to viac s použitím AI modelov), že novší nástroj bude spracúvať viac dát a bude viac zasahovať do súkromia, no súčasne bude účinnejší, rýchlejší, presnejší a výkonnejší. Od pera a papiera sa dostávame k prediktívnej analýze v reálnom čase. Samozrejme, že dnes počítače zasahujú do súkromia viac, ako v 70. rokoch. Ako správne poznamenáva EDPB na strane 15 usmernení: "pýtame sa, či existuje rovnako účinný a menej rušivý spôsob, ako dosiahnuť rovnaký cieľ." A práve v účinnosti nových nástrojov leží ich potenciál splniť požiadavky testu nevyhnutnosti.

Ako poznamenáva EDPB, dobrý balančný test tiež umožňuje definovať mitigačné opatrenia, priamo vyplývajúce z vyvažovania protichodných záujmov v treťom teste proporcionality. Mali by ste sa pýtať, či Váš balančný test (najmä jeho štruktúra a forma) vôbec umožňuje prijať záver, že konkrétne mitigačné opatrenia je nutné prijať na to, aby bolo spracúvanie proporcionálne.

Mnoho web scrapingových business modelov v konečnom dôsledku nezlyhá v tom, že by web srcaping ako taký GDPR nedovoľovalo, ale na tom, že nevedia čo je kvalitný balančný test, ktorý by presvedčil dozorný orgán. Viď pokuta 2 milióny eur a zákaz činnosti americkej platforme Lusha Systems, Inc. v Taliansku práve z dôvodu, že nepreukázala oprávnený záujem (nezvládla ho preukázať) a mala nedostatky v základnom informovaní dotknutých osôb (nejasný privavy notice). Rozhodnutie vydal taliansky Garante 27. júla 2026.

Dodatočné požiadavky na privacy notice

Hlavné riziko web scrapingu spočíva tom, že nevieme dotknuté osoby informovať. Priznáva to aj EDPB, ktorý režim informovania jednoznačne zaradil pod čl. 14 GDPR, z ktorého existujú výnimky. Práve výnimka čl. 14 ods. 5 písm. b) GDPR sa javí byť obzvlášť použiteľná, čo tiež prekvapivo potvrdzuje aj Výbor. Jeho proaktivitu v tomto smere určite ocenia prevádzkovatelia, no EDPB súčasne dodáva úplne nové a dodatočné požiadavky, ktoré by privacy notice prevádzkovateľa vykonávajúceho web scraping mal obsahovať.

Požiadavku na zdroj údajov EDPB vykladá veľmi extenzívne ako požiadavku informovať o to:

• doménach v URL podobe, ktoré boli scrapované (ak sa nedajú všetky tak aspoň niektoré a kategoricky);

• či tieto zdroje predstavujú verejne dostupné dáta a keď nie, ako sa k nim prevádzkovateľ dostal (t.j. od koho kúpil datasety a aký je kontakt na pôvodného scrapera alebo brokera);

• dátum a obdobie, kedy k web scrapovaniu dochádzalo alebo dochádza;

• charakteristiku web scrawlera, ako pracuje, ako funguje.

Inými slovami, prevádzkovatelia musia úplne odkryť karty.

Nové typy posúdení (assessmenty)

Bez zachádzania do detailov sa zdá, že EDPB očakáva od prevádzkovateľov preukázania dvoch kľúčových otázok formou dokumentácia, ktorú možno chápať ako protokol, assessment alebo prípadne aj právnu analýzu. Forma tu nie je rozhodujúca, ide o to, že niektoré kľúčové a dôležité aspekty si nestačí len "myslieť" ale je treba ich dať na papier. Konkrétne o takýchto posúdeniach EDPB hovorí pri čl. 9 GDPR (osobitné kategórie údajov) a zásade minimalizácie údajov (len nevyhnutné údaje).

Aj keď prevádzkovateľ neplánuje citlivé dáta podľa čl. 9 GDPR vôbec zbierať, stále môže existovať rizoko toho, že tieto dáta budú náhodne získané. Pre ten prípad EDPB odporúča vykonať posúdenie po vzore úvah, ktoré použil SDEÚ v prípade GC & Others (C-136/17). SDEÚ v tomto prípade povedal, že neexistuje výnimka pre „search engine“ v čl. 9 GDPR, ale čl. 9 GDPR sa má vykladať v kontexte „rámca povinností, právomocí a schopností, ktoré operátor search engine má.“ Inými slovami, nevieme úplne zabezpečiť súlad s čl. 9 GDPR, výnimka pre web scraping neexistuje, a tak splníme aspoň to, čo vieme a poskytneme možno nejaké ďalšie opatrenia. Napr. tým. že dotknutým osobám poskytneme opt-out?

Druhý typ posúdenia sa týka zásady minimalizácie údajov. Nestačí len tvrdiť, že spracúvanie osobných údajov je obmedzené na minimum, je potrebné to dokumentačne podložiť.

Odporúčaný opt-out mechanizmus

EDPD odporúča ako mitagačné opatrenie zaviesť mechanizmus opt-out z web scrapingu alebo následného spracúvania (trénovanie AI modelu):

"Prevádzkovateľ môže tiež vytvoriť opt-out list, ktorý umožňuje dotknutým osobám namietať proti zhromažďovaniu ich údajov na určitých webových stránkach alebo online platformách tým, že na týchto webových stránkach poskytnú informácie, ktoré ich identifikujú, a to aj predtým, ako dôjde k zhromažďovaniu údajov."

Ak je technicky možné toto opatrenie implementovať, ide rozhodne o dobrý nápad v prospech preukázania zákonnosti, spravodlivosti a férovosti spracúvania ako aj primeraných očakávaní dotknutých osôb. Je možné rozmýšľať aj nad ďalšími mitigačnými opatreniami, najmä v rovine zvýšenia povedomia dotknutých osôb o daných operáciách. Ako riziko EDPB sám vníma skutočnosť, že častokrát dotknuté osoby nevedia ani to, že ich údaje sa nachádzajú na webstránkach alebo vo verejných registroch, ktoré majú byť scrapované.

Usmernenie tak vytvára nepriamy tlak na to, aby aj prevádzkovatelia verejných registrov zlepšili svoje informovanie a to aj s ohľadom na to, že existuje skupina dát, ktorá by mala byť súkromným sektorom pre-použiteľná na legitímne účely - tým sú otvorené údaje podľa Public Sector Information Directive, ktorá bohužiaľ u nás nebola dostatočne jasne a úplne implementovaná do tzv. info-zákona. Štát by mal vytvárať podmienky na to, aby dostupné dáta na ďalšie použitie boli napríklad pripravené na použitie tým, že sa z nich odstránia verejné identifikátori ako rodné čísla.

Pre prax budú určite dôležité aj odporúčania EDPB k následným kontrolám a auditom systému, na ktoré by sa nemalo zabúdať.

To, čo usmernenia nevysvetľujú - aká je rola a postavenie tzv. data brokerov, ktorí vyscrapované databázy predávajú. Ani toto nie je zakázané, no podstatne takéto zapojenie data brokera zvyšuje požiadavky na ďalšie preverenie súladu. Zároveň sa usmernenia výslovne venujú len prevádzkovateľom zo súkromného sektora a verejnoprávnym prevádzkovateľom uvažujúcich o web scrapingu na vývoj AI modelov sa nevenujú.

Jakub Berthoty

Dagital Legal, s.r.o.

August 2028