8 Juli 2026 Dewan Eropa untuk Perlindungan Data (EDPB) dalam sesi pleno di Brussel mengadopsi "Panduan 03/2026 tentang web scraping dalam konteks AI generatif" — dokumen pertama yang bersifat pan-Eropa yang secara langsung menjawab pertanyaan yang selama bertahun-tahun menggantung di atas seluruh industri pengumpulan data: apakah scraping termasuk dalam GDPR jika data tersebut tersedia untuk umum? Jawaban EDPB jelas dan bagi banyak orang tidak menyenangkan: ya, termasuk — dan "publik" tidak lagi berarti "boleh diambil secara bebas". Dokumen ini terbuka untuk konsultasi publik hingga 30 Oktober 2026, tetapi sudah sekarang ia menetapkan kerangka kerja yang akan digunakan oleh regulator Eropa untuk menilai setiap pengumpulan data pribadi.
Apa yang diputuskan EDPB
Pernyataan utama dari panduan ini sederhana. GDPR berlaku setiap kali web scraping melibatkan data pribadi — yaitu, setiap operasi pengumpulan, penyimpanan, pengorganisasian, dan ekstraksi informasi yang dapat digunakan untuk mengidentifikasi seseorang secara langsung atau tidak langsung. Dan — poin kunci — tidak ada bedanya apakah informasi tersebut terlihat secara publik atau tidak. EDPB secara tegas menolak asumsi populer di industri bahwa "karena data tersedia di profil terbuka, maka data tersebut di luar regulasi". Organisasi tidak boleh berharap bahwa otoritas Eropa akan menganggap data semacam itu tidak termasuk dalam GDPR.
Ini membalikkan logika yang biasa. Selama bertahun-tahun, pengumpul data mengandalkan kombinasi "tersedia untuk publik + proxy residensial = teknis mungkin, secara hukum dapat diterima". EDPB memisahkan dua pertanyaan yang sebelumnya digabungkan menjadi satu: aksesibilitas teknis data dan dasar hukum untuk pengolahannya — itu bukan hal yang sama. Yang pertama ditentukan oleh infrastruktur. Yang kedua — hanya oleh hukum.
Uji "kepentingan yang sah": tidak lagi secara default
Kebanyakan scraper data pribadi membenarkan pengolahan dengan "kepentingan yang sah" (legitimate interest, pasal 6(1)(f) GDPR). EDPB mengonfirmasi bahwa dasar ini pada prinsipnya berlaku untuk scraping untuk pelatihan AI, tetapi dengan syarat yang ketat. Tidak ada penilaian "grosir" yang dapat dilakukan — uji dilakukan untuk setiap kasus spesifik dan terdiri dari tiga langkah:
- Kepentingan nyata. Harus dirumuskan kepentingan yang spesifik, sah, dan relevan — bukan "kami butuh data" yang abstrak.
- Kebutuhan. Membuktikan bahwa tujuan tidak dapat dicapai dengan cara yang kurang mengganggu daripada pengumpulan data pribadi secara massal.
- Penyeimbangan. Menimbang kepentingan Anda terhadap hak-hak dasar dan harapan yang wajar dari orang-orang yang datanya dikumpulkan — dan menunjukkan bahwa kepentingan Anda tidak melebihi hak-hak tersebut.
Dokumen tersebut harus ada sebelum, bukan muncul setelah fakta. Seperti yang dicatat oleh Brian Hengesbo, kepala global praktik Data & Cyber di Baker McKenzie, saat menyelidiki keluhan, regulator pertama-tama akan meminta penilaian kepentingan yang sah dan dokumentasi pendukung. Tanpa dokumen — tanpa perlindungan.
Minimisasi data: menyaring sebelum pengumpulan, bukan setelahnya
EDPB mengharuskan untuk menyematkan perlindungan pada tahap desain, bahkan sebelum permintaan pertama. Pengendali harus:
- menetapkan kriteria pengumpulan yang tepat, bukan mengumpulkan semuanya;
- menerapkan filter yang mengecualikan kategori data sensitif;
- mengecualikan situs tertentu — khususnya sumber daya yang ditujukan untuk anak di bawah umur, dan situs yang memiliki perlindungan terhadap scraping;
- setelah pengumpulan menerapkan pasca-pemrosesan: penyaringan sintaksis dan anonimisasi.
Poin tentang "situs dengan perlindungan terhadap scraping" perlu dibaca dua kali. EDPB secara efektif mengatakan: jika sumber daya secara jelas menetapkan batasan anti-bot, menghindarinya adalah sinyal bahwa Anda bertindak melawan kehendak pemilik dan harapan yang wajar dari pengguna. Ini bukan tentang CFAA atau peretasan, ini tentang keseimbangan kepentingan dalam GDPR.
Kategori data khusus — hampir tabu
Data tentang kesehatan, pandangan politik, agama, orientasi seksual (pasal 9 GDPR) pada prinsipnya dilarang untuk dikumpulkan melalui scraping — bahkan penangkapan yang tidak disengaja (misalnya, dari pos terbuka di media sosial) memicu larangan ketat. Untuk pengolahan yang sah, diperlukan dasar dari pasal 6 dan pengecualian dari pasal 9(2), yang biasanya tidak dimiliki oleh scraper massal. EDPB mengharuskan kontrol sepanjang siklus hidup — hingga filter pada keluaran model dan pembatasan pada prompt setelah penerapan.
Mengapa dokumen tunggal muncul tepat sekarang
Sampai sekarang, Eropa bereaksi terhadap scraping untuk AI secara terpisah, oleh otoritas nasional — dan hasilnya bertentangan. Garante Italia pada Desember 2024 mengenakan denda kepada OpenAI sebesar 15 juta euro karena melatih ChatGPT tanpa dasar hukum yang tepat dan melanggar persyaratan transparansi. Namun pada Maret 2026, pengadilan Roma membatalkan sanksi ini secara efektif — ilustrasi yang jelas tentang betapa rapuhnya dasar hukum tersebut. DPC Irlandia pada tahun 2024 melalui permohonan ke Pengadilan Tinggi berhasil membuat X secara permanen menghentikan pelatihan chatbot Grok pada pos publik pengguna Eropa selama periode 7 Mei hingga 1 Agustus 2024. Ditambah dengan tindakan terpisah dari regulator Belanda dan Prancis.
Pemandangan yang terpecah ini menciptakan ketidakpastian bagi perusahaan dan warga. Panduan 03/2026 mengembangkan "Pendapat 28/2024" sebelumnya tentang AI dan untuk pertama kalinya menetapkan standar tunggal untuk semua 27 negara. Pada hari yang sama, EDPB juga mengadopsi panduan terkait anonimisasi, di mana ia menetapkan kriteria dari tiga kondisi: data dianggap anonim hanya jika tidak mungkin untuk mengidentifikasi catatan tertentu, menghubungkan catatan satu sama lain, atau menghasilkan informasi baru tentang seseorang. Seperti yang diungkapkan oleh ketua EDPB, Anu Talus, dokumen-dokumen tersebut "menetapkan standar yang jelas yang memudahkan penggunaan data, sekaligus melindungi hak-hak dasar individu".
Apa artinya ini bagi mereka yang mengumpulkan data
Yang pertama dan terpenting: ini tentang cakupan teritorial GDPR. Jika dalam sampel Anda terdapat data pribadi dari penduduk UE — regulasi ini berlaku terlepas dari di mana Anda berada. Dan ini tidak hanya berlaku untuk laboratorium LLM: setiap organisasi yang melakukan scraping data secara langsung atau melalui kontraktor — baik untuk pelatihan model lebih lanjut atau untuk analisis sentimen — termasuk dalam persyaratan ini.
Kedua — batas praktisnya bergantung pada tipe data, bukan pada cara akses:
- Data non-pribadi — harga, ketersediaan produk, karakteristik, teks publik tanpa keterikatan pada identitas, analisis pasar — tetap berada di zona risiko rendah. Pemantauan harga, pengambilan katalog, pengumpulan struktur SERP di bawah GDPR untuk data pribadi tidak melanggar.
- Data pribadi — profil, kontak, perilaku individu tertentu — sekarang sepenuhnya di bawah GDPR, bahkan jika tersedia untuk umum. Di sini diperlukan dasar hukum, pengujian kepentingan yang sah yang terdokumentasi, minimisasi, dan anonimisasi awal.
Ketiga — kebersihan pengumpulan, yang secara efektif dijadikan wajib oleh EDPB: kriteria pemilihan yang ketat, penyaringan data pribadi dan sensitif pada saat masuk, anonimisasi sedini mungkin, penghormatan terhadap batasan anti-scraping dan situs untuk anak di bawah umur, serta kebijakan privasi publik yang menjelaskan tentang scraping.
Di mana proxy — dan di mana tidak ada
Perlu jujur memisahkan dua bidang yang pertama kali dipisahkan oleh EDPB. Pemilihan infrastruktur — proxy residensial, mobile, atau proxy pusat data — menentukan keandalan, geolokasi, dan persentase permintaan yang berhasil, yaitu sisi teknis dari pengumpulan. Namun, itu tidak mengubah dasar hukum Anda. IP residensial tidak mengubah pengolahan data pribadi yang ilegal menjadi legal — kepatuhan terletak pada apa yang Anda kumpulkan dan mengapa, bukan pada alamat dari mana permintaan dikirim. Ini, kebetulan, adalah kabar baik untuk proyek yang jujur: jika Anda melakukan parsing data non-pribadi atau dengan cermat menyaring dan menganonimkan data pribadi, infrastruktur proxy yang berkualitas menyelesaikan tugas teknis, dan Anda tetap berada dalam kerangka hukum pada dasarnya.
Logika yang sama berlaku untuk scraping berbasis agen, di mana agen AI sendiri menulis parser: alat ini menjadi lebih pintar, tetapi aturan pengolahan data tidak melunak — sebaliknya, EDPB secara langsung memperluas persyaratan ini juga untuk pipeline semacam itu.
Kesimpulan
Panduan 03/2026 tidak melarang web scraping — ia menutup ilusi nyaman bahwa keterbukaan data menghapus pertanyaan tentang pengolahannya. Di UE, era "publik — berarti gratis" untuk data pribadi berakhir pada 8 Juli 2026. Bagi pengumpul data, ini bukanlah vonis, tetapi perubahan disiplin: memisahkan data pribadi dan non-pribadi, menyaring pada saat masuk, menganonimkan lebih awal, mendokumentasikan kepentingan yang sah sebelum, bukan setelah permintaan regulator. Teknik masih ditentukan oleh proxy dan anti-detect; legalitas sekarang ditentukan oleh apa yang Anda masukkan ke dalam basis data Anda.