8 de julio de 2026 El Consejo Europeo de Protección de Datos (EDPB) en una sesión plenaria en Bruselas adoptó la "Guía 03/2026 sobre web scraping en el contexto de la IA generativa" — el primer documento paneuropeo que responde directamente a la pregunta que ha estado sobre la industria de la recolección de datos durante años: ¿el scraping está sujeto al GDPR si los datos están disponibles públicamente? La respuesta del EDPB es clara y desagradable para muchos: sí, está sujeto — y "público" ya no significa "se puede tomar libremente". El documento está abierto a consultas públicas hasta el 30 de octubre de 2026, pero ya establece un marco que los reguladores europeos utilizarán para evaluar cualquier recolección de datos personales.
¿Qué decidió exactamente el EDPB?
El principal argumento de la guía es simple. El GDPR se aplica cada vez que el web scraping involucra datos personales — es decir, cualquier operación de recolección, almacenamiento, organización y extracción de información que permita identificar a una persona de manera directa o indirecta. Y — un punto clave — no importa si esta información era visible públicamente. El EDPB rechaza explícitamente la suposición popular en la industria de que "si los datos están en un perfil público, entonces están fuera de la regulación". Las organizaciones no deben esperar que las autoridades europeas consideren que tales datos están exentos del GDPR.
Esto revierte la lógica habitual. Durante muchos años, los recolectores de datos se apoyaron en la combinación de "públicamente disponible + proxy residencial = técnicamente posible, legalmente tolerable". El EDPB separa dos cuestiones que anteriormente se fusionaban en una: la disponibilidad técnica de los datos y la base legal para su procesamiento — no son lo mismo. La primera se resuelve con infraestructura. La segunda — solo con la ley.
Prueba de "interés legítimo": ya no por defecto
La mayoría de los scrapers de datos personales justifican el procesamiento por "interés legítimo" (legitimate interest, art. 6(1)(f) GDPR). El EDPB confirma que esta base es en principio aplicable al scraping para el entrenamiento de IA, pero la condiciona a requisitos estrictos. No puede haber una evaluación "general" — la prueba se realiza para cada caso concreto y consta de tres pasos:
- Interés real. Es necesario formular un interés específico, legítimo y actual — no un abstracto "necesitamos datos".
- Necesidad. Demostrar que el objetivo no se puede alcanzar de una manera menos intrusiva que mediante la recolección masiva de datos personales.
- Balanceo. Ponderar su interés frente a los derechos fundamentales y las expectativas razonables de las personas cuyos datos se están recolectando, y demostrar que no lo sobrepasa.
Además, el documento debe existir de antemano, y no generarse a posteriori. Como señala Brian Hengesbo, líder global de la práctica de Data & Cyber en Baker McKenzie, al investigar una queja, el regulador solicitará primero la evaluación del interés legítimo y la documentación que la respalde. Sin papel, no hay protección.
Minimización de datos: filtrar antes de recolectar, no después
El EDPB exige incorporar la protección en la fase de diseño, incluso antes de la primera solicitud. El controlador debe:
- establecer criterios precisos de recolección, y no recolectar todo indiscriminadamente;
- aplicar filtros que excluyan categorías sensibles de datos;
- excluir ciertos sitios — en particular, recursos dirigidos a menores y sitios que tienen protección contra scraping;
- aplicar post-procesamiento después de la recolección: filtrado sintáctico y anonimización.
El punto sobre "sitios con protección contra scraping" merece ser leído dos veces. El EDPB dice, de hecho: si un recurso ha establecido claramente barreras anti-bots, eludirlas es una señal de que está actuando en contra de la voluntad del propietario y de las expectativas razonables de los usuarios. No se trata de CFAA o hacking, se trata de equilibrar intereses dentro del GDPR.
Categorías especiales de datos — casi un tabú
Los datos sobre salud, opiniones políticas, religión, orientación sexual (art. 9 GDPR) están prohibidos para su recolección en el scraping — e incluso la captura no intencionada de estos (por ejemplo, de una publicación abierta en redes sociales) activa una estricta prohibición. Para el procesamiento legal se requieren simultáneamente una base bajo el art. 6 y una excepción bajo el art. 9(2), que generalmente no tiene un scraper masivo. El EDPB exige control durante todo el ciclo de vida — hasta filtros en la salida del modelo y restricciones en los prompts ya después de la implementación.
Por qué el documento único apareció precisamente ahora
Hasta ahora, Europa ha respondido al scraping para IA de manera fragmentada, a través de organismos nacionales — y los resultados han sido contradictorios. El Garante italiano multó a OpenAI en diciembre de 2024 con 15 millones de euros por entrenar a ChatGPT sin una base legal adecuada y violando los requisitos de transparencia. Pero en marzo de 2026, un tribunal de Roma anuló esta sanción — una ilustración clara de lo inestable que era el marco legal. La DPC irlandesa en 2024 logró a través de un recurso ante el Tribunal Superior que X dejara de entrenar al chatbot Grok con publicaciones públicas de usuarios europeos durante el período del 7 de mayo al 1 de agosto de 2024. Además, acciones separadas de los reguladores holandés y francés.
Este paisaje de parches creaba incertidumbre tanto para las empresas como para los ciudadanos. La Guía 03/2026 desarrolla el anterior "Dictamen 28/2024" sobre IA y establece por primera vez un estándar único para los 27 países. El mismo día, el EDPB adoptó también una guía complementaria sobre anonimización, donde estableció el criterio de tres condiciones: los datos se consideran anónimos solo si no se puede identificar un registro específico, ni vincular registros entre sí, ni extraer nueva información sobre una persona. Como expresó la presidenta del EDPB, Anu Talus, los documentos "establecen estándares claros que facilitan el uso de datos, al tiempo que protegen los derechos fundamentales de las personas".
¿Qué significa esto para quienes recolectan datos?
Primero y ante todo: se trata del alcance territorial del GDPR. Si en su muestra hay datos personales de residentes de la UE, el reglamento se aplica independientemente de dónde se encuentre usted. Y esto no solo se aplica a laboratorios de LLM: cualquier organización que scrapee datos directamente o a través de contratistas — ya sea para el reentrenamiento de un modelo o para el análisis de sentimientos — está sujeta a estos requisitos.
En segundo lugar, la división práctica se basa en el tipo de datos, no en el método de acceso:
- Datos no personales — precios, disponibilidad de productos, características, textos públicos sin vinculación a una persona, análisis de mercado — siguen siendo una zona de bajo riesgo. El monitoreo de precios, el scraping de catálogos, la recolección de la estructura SERP bajo el GDPR sobre datos personales no afecta.
- Datos personales — perfiles, contactos, comportamiento de personas específicas — ahora están completamente bajo el GDPR, incluso si están disponibles públicamente. Aquí se requieren una base legal, una prueba documentada de interés legítimo, minimización y anonimización temprana.
En tercer lugar, la higiene de la recolección, que el EDPB ha hecho prácticamente obligatoria: criterios de muestreo estrechos, filtrado de datos personales y sensibles en la entrada, anonimización lo antes posible, respeto por las barreras anti-scraping y sitios para menores, política de privacidad pública que describa el scraping.
¿Dónde están los proxies — y dónde no?
Es importante separar honestamente dos planos que el EDPB ha diferenciado primero. La elección de infraestructura — residenciales, móviles o data center proxies — determina la fiabilidad, geolocalización y porcentaje de solicitudes exitosas, es decir, el aspecto técnico de la recolección. Pero esto no cambia su base legal. Una IP residencial no convierte el procesamiento ilegal de datos personales en legal — el cumplimiento depende de qué recolecta y por qué, no de la dirección desde la que se envía la solicitud. Esta, por cierto, es una buena noticia para proyectos honestos: si scrapea datos no personales o filtra y anonimiza adecuadamente los datos personales, una infraestructura de proxy de calidad resuelve el problema técnico, y usted permanece en el ámbito legal por su esencia.
La misma lógica se aplica al scraping con agentes, donde los agentes de IA escriben sus propios scrapers: la herramienta se ha vuelto más inteligente, pero las reglas para el procesamiento de datos no se han suavizado — por el contrario, el EDPB extiende explícitamente los requisitos a tales pipelines.
Conclusión
La Guía 03/2026 no prohíbe el web scraping — cierra la cómoda ilusión de que la apertura de los datos elimina la cuestión de su procesamiento. En la UE, la era de "público significa gratis" para los datos personales terminó el 8 de julio de 2026. Para los recolectores de datos, esto no es una condena, sino un cambio de disciplina: separar lo personal de lo no personal, filtrar en la entrada, anonimizar temprano, documentar el interés legítimo antes, y no después, de la solicitud del regulador. La técnica sigue siendo decidida por proxies y anti-detect; la legalidad ahora depende de lo que usted realmente coloca en su base de datos.
```