Går det att förena insamling av personuppgifter genom webbskrapning med ett gott dataskydd?

Generativ AI har de senaste åren blivit en självklar del av både privat- och arbetslivet, och har unika möjligheter att förenkla eller lösa uppgifter. Samtidigt har röster höjts om att bromsa den snabba utvecklingen och införa regleringar av AI, efter att AI-system har visat sig bli alltmer kraftfulla och svåra att kontrollera.

Utvecklingen av generativ AI kan dock redan idag innebära risker för enskilda. Tekniken kräver enorma mängder data, som samlas in från internet och som ofta innehåller stora mängder personuppgifter. När det sker måste kraven i dataskyddsförordningen, GDPR, följas.

Riktlinjer från EDPB om webbskrapning

Europeiska dataskyddsstyrelsen (EDPB) har uppmärksammat frågan om webbskrapning och tagit fram riktlinjer om webbskrapning i samband med generativ AI. IMY har projektlett arbetet. Riktlinjerna, som publicerades i juli, ger vägledning om hur organisationer enklare kan leva upp till vissa GDPR-krav som kan vara särskilt utmanande vid webbskrapning. Sådana krav är till exempel

• de grundläggande principerna om ändamålsbegränsning, uppgiftsminimering, korrekthet och transparens
• att ha en rättslig grund för behandlingen
• att ha grund för att behandla känsliga personuppgifter.

Utmaning att undvika känsliga personuppgifter vid webbskrapning

En särskilt utmanande fråga är att det måste finnas grund för behandling av känsliga personuppgifter. Enligt GDPR är att det är förbjudet att behandla sådana uppgifter, och behandlingen kan bara ske om det finns ett uttryckligt undantag i GDPR.

Även om en organisation inte har för avsikt att webbskrapa känsliga personuppgifter är det oftast inte möjligt att bedöma i förväg om en insamling omfattar sådana personuppgifter. Det är först när uppgifterna redan har samlats in, det vill säga när behandlingen har skett, som det går att avgöra om det även skett en behandling av känsliga personuppgifter.

Det finns inte något uttryckligt undantag i GDPR som kan tillämpas vid webbskrapning av känsliga personuppgifter. Det innebär i praktiken att det blir omöjligt att skrapa uppgifter från webben, även i situationer när en organisation inte har för avsikt att samla in känsliga personuppgifter, om det inte finns juridiskt stöd för det.

Avgörande i EU-domstolen är vägledande för webbskrapning

I en tidigare dom från EU-domstolen om sökmotorer har domstolen slagit fast att sökmotorleverantörer inte är undantagna från GDPR, men att GDPR endast gäller inom ramen för leverantörens ansvar, befogenheter och möjligheter som personuppgiftsansvarig.

Domen innebar att förbudet mot att behandla känsliga uppgifter endast gällde för sökmotorleverantören när en registrerad hade begärt att få sina personuppgifter raderade, och endast gällde hänvisningen till andra webbsidor.

EDPB menar att EU-domstolens dom även gäller för webbskrapning. Förbudet mot att behandla känsliga personuppgifter gäller alltså bara inom ramen för en organisations ansvar, befogenheter och möjligheter. Det innebär att förbudet i GDPR inte hindrar att uppgifter samlas in genom webbskrapning, om organisationer vidtar de åtgärder som de har ansvar för, befogenhet och möjlighet att vidta, för att undvika behandling av känsliga personuppgifter. Det gäller även om uppgifter behandlas trots de vidtagna åtgärderna och organisationen inte har haft möjlighet att undvika behandlingen.

Riktlinjerna skapar möjligheter, men ställer också krav

GDPR har ett strikt förhållningssätt till möjligheten att behandla känsliga personuppgifter. Undantagen från behandlingsförbudet är ändamålsstyrda och tydligt reglerade. Flera av undantagen är förenade med krav på ytterligare lagreglering eller skyddsåtgärder.

Den tolkning som EDPB gör av EU-domen är mer dynamisk och tar istället sikte på behandlingens natur och de åtgärder en organisation kan och ska vidta för att minska risken för de registrerade. Med det förhållningssättet kan GDPR i större utsträckning anpassas till den nya tekniken och fördelarna med den kan tillvaratas.

EDPB:s tolkning ställer emellertid höga krav på att organisationer som vill skrapa personuppgifter på webben, redan innan behandlingen påbörjas och genom hela behandlingsprocessen, analyserar riskerna med behandlingen, vidtar åtgärder för att hantera riskerna och kontinuerligt dokumenterar sina bedömningar och uppdaterar sitt säkerhetsarbete.

Lämna synpunkter på riktlinjerna

EDPB antog riktlinjerna om webbskrapning i somras och har publicerat dem för offentligt samråd. Det innebär att de som vill kan ge synpunkter på riktlinjerna senast den 30 oktober 2026. Därefter kommer EDPB att gå igenom de synpunkter som kommit in för att se om något behöver revideras. 

Stina Almström, jurist på IMY och projektledare för framtagningen av riktlinjerna