8 luglio 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato durante la sessione plenaria a Bruxelles la "Guida 03/2026 sul web scraping nel contesto dell'IA generativa" — il primo documento paneuropeo che risponde direttamente alla domanda che ha a lungo gravato sull'intera industria della raccolta dati: il web scraping rientra nel GDPR se i dati sono accessibili pubblicamente? La risposta dell'EDPB è chiara e sgradita a molti: sì, rientra — e "pubblico" non significa più "può essere preso liberamente". Il documento è aperto a consultazioni pubbliche fino al 30 ottobre 2026, ma già ora stabilisce il quadro entro cui i regolatori europei valuteranno qualsiasi raccolta di dati personali.
Cosa ha deciso l'EDPB
Il principale assunto della guida è semplice. Il GDPR si applica ogni volta che il web scraping coinvolge dati personali — cioè qualsiasi operazione di raccolta, archiviazione, organizzazione ed estrazione di informazioni che possono identificare direttamente o indirettamente una persona. E — punto chiave — non importa se queste informazioni erano visibili pubblicamente. L'EDPB rigetta esplicitamente l'assunzione popolare nell'industria secondo cui "poiché i dati sono in un profilo pubblico, sono al di fuori della regolamentazione". Le organizzazioni non dovrebbero contare sul fatto che le autorità europee considerino tali dati esenti dal GDPR.
Questo ribalta la logica abituale. Per anni, i raccoglitori di dati si sono basati sulla combinazione "pubblicamente disponibile + proxy residenziale = tecnicamente possibile, legalmente tollerabile". L'EDPB separa due questioni che in precedenza erano confuse in una sola: la disponibilità tecnica dei dati e la base legale per il loro trattamento — non sono la stessa cosa. La prima è risolta dall'infrastruttura. La seconda — solo dalla legge.
Test di "interesse legittimo": non più per default
La maggior parte dei scraper di dati personali giustifica il trattamento con "interesse legittimo" (legitimate interest, art. 6(1)(f) GDPR). L'EDPB conferma che questa base è in linea di principio applicabile allo scraping per l'addestramento dell'IA, ma la circoscrive a condizioni rigorose. Non può esserci una valutazione "all'ingrosso" — il test viene effettuato per ogni singolo caso e consiste in tre passaggi:
- Interesse reale. È necessario formulare un interesse specifico, legittimo e attuale — non un astratto "abbiamo bisogno dei dati".
- Necessità. Dimostrare che l'obiettivo non può essere raggiunto in modo meno invasivo rispetto alla raccolta massiva di dati personali.
- Bilanciamento. Pesare il proprio interesse contro i diritti fondamentali e le ragionevoli aspettative delle persone i cui dati vengono raccolti — e dimostrare che non prevale su di essi.
Inoltre, il documento deve esistere in anticipo, e non essere creato ex post. Come osserva Brian Hengesbo, responsabile globale della pratica Data & Cyber in Baker McKenzie, durante l'indagine di un reclamo, il regolatore richiederà prima di tutto la valutazione dell'interesse legittimo e la documentazione a supporto. Nessun documento — nessuna protezione.
Minimizzazione dei dati: filtrare prima della raccolta, non dopo
L'EDPB richiede di integrare la protezione nella fase di progettazione, prima della prima richiesta. Il controllore è obbligato a:
- stabilire criteri di raccolta precisi, e non raccogliere tutto indiscriminatamente;
- applicare filtri che escludano categorie sensibili di dati;
- escludere determinati siti — in particolare risorse orientate ai minori e siti che hanno protezione contro lo scraping;
- dopo la raccolta applicare post-elaborazione: filtraggio sintattico e anonimizzazione.
Il punto riguardante i "siti con protezione contro lo scraping" merita di essere riletto due volte. L'EDPB afferma sostanzialmente: se una risorsa ha chiaramente impostato barriere anti-bot, aggirarle è un segnale che si sta agendo contro la volontà del proprietario e le ragionevoli aspettative degli utenti. Non si tratta di CFAA o hacking, ma di bilanciamento degli interessi all'interno del GDPR.
Categorie speciali di dati — quasi tabù
I dati sulla salute, le opinioni politiche, la religione, l'orientamento sessuale (art. 9 GDPR) sono in linea di principio vietati per la raccolta durante lo scraping — e anche il catturamento involontario di tali dati (ad esempio, da un post pubblico sui social) attiva un divieto rigoroso. Per un trattamento legittimo sono necessarie contemporaneamente una base ai sensi dell'art. 6 e un'eccezione ai sensi dell'art. 9(2), che un raccoglitore di massa di solito non ha. L'EDPB richiede un controllo durante l'intero ciclo di vita — fino ai filtri in uscita del modello e alle restrizioni sui prompt già dopo il dispiegamento.
Perché il documento unico è apparso proprio ora
Fino ad ora, l'Europa ha reagito allo scraping per l'IA in modo frammentato, attraverso autorità nazionali — e i risultati sono stati contraddittori. Il Garante italiano a dicembre 2024 ha multato OpenAI per 15 milioni di euro per aver addestrato ChatGPT senza una base legale adeguata e violando i requisiti di trasparenza. Ma a marzo 2026, il tribunale di Roma ha annullato questa sanzione — un'illustrazione chiara di quanto fosse instabile il terreno giuridico. La DPC irlandese nel 2024 ha ottenuto tramite un ricorso alla High Court che X cessasse per sempre di addestrare il chatbot Grok su post pubblici di utenti europei nel periodo dal 7 maggio al 1 agosto 2024. Inoltre, ci sono state azioni separate da parte dei regolatori olandesi e francesi.
Questo paesaggio a pezzi creava incertezza sia per le aziende che per i cittadini. La Guida 03/2026 sviluppa un precedente "Parere 28/2024" sull'IA e stabilisce per la prima volta uno standard unico per tutti e 27 i paesi. Nello stesso giorno, l'EDPB ha adottato anche una guida complementare sull'anonimizzazione, in cui ha fissato il criterio delle tre condizioni: i dati sono considerati anonimi solo se non è possibile né isolare un record specifico, né collegare i record tra loro, né estrarre nuove informazioni su una persona. Come ha affermato la presidente dell'EDPB, Anu Talus, i documenti "stabiliscono standard chiari che facilitano l'uso dei dati, proteggendo al contempo i diritti fondamentali delle persone".
Cosa significa per chi raccoglie dati
Prima di tutto: si tratta dell'ambito territoriale del GDPR. Se nel vostro campione ci sono dati personali di residenti nell'UE — il regolamento si applica indipendentemente da dove vi troviate. E questo non riguarda solo i laboratori LLM: rientrano nei requisiti qualsiasi organizzazione che raccoglie dati direttamente o tramite appaltatori — sia per il riaddestramento del modello, sia per l'analisi del sentiment.
In secondo luogo, il confine pratico passa per tipo di dati, e non per modalità di accesso:
- Dati non personali — prezzi, disponibilità di prodotti, caratteristiche, testi pubblici senza collegamento a una persona, analisi di mercato — rimangono in una zona a basso rischio. Il monitoraggio dei prezzi, il parsing dei cataloghi, la raccolta della struttura SERP sotto il GDPR per dati personali non è un problema.
- Dati personali — profili, contatti, comportamenti di persone specifiche — ora rientrano pienamente nel GDPR, anche se sono accessibili pubblicamente. Qui sono necessarie una base legale, un test documentato sull'interesse legittimo, minimizzazione e anonimizzazione precoce.
In terzo luogo, l'igiene della raccolta, che l'EDPB ha di fatto reso obbligatoria: criteri di campionamento ristretti, filtraggio di dati personali e sensibili in ingresso, anonimizzazione il prima possibile, rispetto delle barriere anti-scraping e dei siti per minori, politica di privacy pubblica con descrizione dello scraping.
Dove ci sono proxy — e dove non ci sono
È importante separare onestamente due piani, che l'EDPB ha separato per primo. La scelta dell'infrastruttura — proxy residenziali, mobili o proxy di data center — determina affidabilità, geolocalizzazione e percentuale di richieste riuscite, cioè il lato tecnico della raccolta. Ma non cambia la vostra base legale. Un IP residenziale non trasforma un trattamento illegale di dati personali in legale — la conformità dipende da cosa raccogliete e perché, non dall'indirizzo da cui parte la richiesta. Questa, tra l'altro, è una buona notizia per i progetti onesti: se state estraendo dati non personali o filtrando e anonimizzando correttamente i dati personali, un'infrastruttura proxy di qualità risolve il problema tecnico, mentre voi rimanete nel campo legale per sostanza.
La stessa logica si applica anche allo scraping agent-based, dove gli agenti IA scrivono autonomamente i parser: lo strumento è diventato più intelligente, ma le regole per il trattamento dei dati non si sono allentate — al contrario, l'EDPB estende esplicitamente i requisiti anche a tali pipeline.
Conclusione
La Guida 03/2026 non vieta il web scraping — chiude l'illusione comoda che l'apertura dei dati escluda la questione del loro trattamento. Nell'UE, l'era "pubblico significa gratuito" per i dati personali è finita l'8 luglio 2026. Per i raccoglitori di dati, non è una condanna, ma un cambio di disciplina: separare i dati personali da quelli non personali, filtrare in ingresso, anonimizzare presto, documentare l'interesse legittimo prima, e non dopo, la richiesta del regolatore. La tecnica continua a essere risolta da proxy e anti-detect; la legalità ora dipende da cosa esattamente mettete nella vostra base di dati.
```