2026年7月8日、ブリュッセルで開催された欧州データ保護委員会（EDPB）の全体会議において、「生成AIの文脈におけるウェブスクレイピングに関するガイドライン03/2026」が採択されました。これは、データ収集業界に長年にわたりつきまとっていた疑問に直接答える初の欧州全体の文書です。それは、データが公開されている場合、スクレイピングはGDPRの対象となるのかということです。EDPBの答えは明確で、多くの人にとって不快なものです：はい、対象となります — そして「公開されている」ということは「自由に取ってよい」という意味ではありません。この文書は2026年10月30日まで公開相談に開かれていますが、すでに欧州の規制当局が個人データの収集を評価するための枠組みを設定しています。
EDPBが決定したこと
ガイドラインの主な主張はシンプルです。GDPRは、ウェブスクレイピングが個人データに関わる場合に適用されます。つまり、特定の個人を直接または間接的に識別できる情報の収集、保存、整理、抽出に関わるすべての操作です。そして — 重要な点 — この情報が公開されていたかどうかは関係ありません。EDPBは、業界で一般的な「データが公開されたプロフィールにある場合、それは規制の対象外である」という仮定を明確に否定しています。組織は、欧州の当局がそのようなデータをGDPRの適用外と見なすことを期待すべきではありません。
これは、従来の論理を覆します。長年、データ収集者は「公開されている + レジデントプロキシ = 技術的に可能、法的に許容される」という組み合わせに依存してきました。EDPBは、以前は一つにまとめられていた二つの問題を分けています：データの技術的な可用性とその処理の法的根拠 — これは同じではありません。前者はインフラストラクチャによって解決されます。後者は法律によってのみ解決されます。
「合法的利益」のテスト：もはやデフォルトではない
ほとんどの個人データのスクレイパーは、「合法的利益」（GDPR第6条第1項(f)）を根拠に処理を正当化しています。EDPBは、この根拠がAIの学習のためのスクレイピングに原則として適用可能であることを確認していますが、厳しい条件を付けています。「大量」の評価は許されず — テストは各具体的なケースごとに行われ、三つのステップから成ります：
- 実際の利益。 具体的で合法的かつ現在の利益を明確にする必要があります — 抽象的な「データが必要です」ではありません。
- 必要性。 目的を達成するために、個人データの大量収集よりも侵襲的でない方法がないことを証明する必要があります。
- バランス。 自身の利益を、収集されるデータの持ち主の基本的権利や合理的期待と天秤にかけ、それがそれらを上回らないことを示す必要があります。
しかも、文書は事前に存在している必要があり、事後に生まれるものではありません。Baker McKenzieのデータおよびサイバー実務のグローバルリーダーであるブライアン・ヘンゲスボが指摘するように、規制当局は苦情の調査の際に最初に合法的利益の評価とそれを裏付ける文書を要求します。文書がなければ、保護はありません。
データの最小化：収集前にフィルタリングする
EDPBは、最初のリクエストの前に設計段階で保護を組み込むことを求めています。コントローラーは次のことを義務付けられています：
- 正確な収集基準を設定し、すべてを一緒に集めるのではなく;
- 感受性の高いデータカテゴリを除外するフィルターを適用する;
- 特定のサイトを除外する — 特に未成年者向けのリソースやスクレイピング防止が設定されているサイト;
- 収集後にポストプロセッシングを適用する：構文フィルタリングと匿名化。
「スクレイピング防止が設定されているサイト」に関する項目は二度読み返す価値があります。EDPBは実質的にこう言っています：もしリソースが明示的にアンチボットバリアを設けている場合、それを回避することは、所有者の意志やユーザーの合理的期待に反して行動していることを示す信号です。これはCFAAやハッキングの問題ではなく、GDPR内での利益のバランスの問題です。
特別なデータカテゴリ — ほぼタブー
健康、政治的見解、宗教、性的指向に関するデータ（GDPR第9条）は、スクレイピングにおいて原則として収集が禁止されています — さらには意図しない取得（例えば、ソーシャルメディアの公開投稿からの取得）も厳しい禁止を引き起こします。合法的な処理には、同時に第6条の根拠と第9条第2項の例外が必要であり、大量のスクレイパーには通常これがありません。EDPBは、全ライフサイクルにわたる管理を求めており、モデルの出力フィルターやデプロイ後のプロンプトに対する制限に至ります。
なぜこの文書が今登場したのか
これまで、ヨーロッパはAIのためのスクレイピングに対して断片的に反応しており、国家機関によって結果は矛盾していました。イタリアのGaranteは2024年12月に、適切な法的根拠なしにChatGPTを訓練したとしてOpenAIに1500万ユーロの罰金を科しました。しかし、2026年3月にローマの裁判所はこの制裁を取り消しました — 法的基盤がいかに不安定であったかの明確な例です。アイルランドのDPCは2024年に高等裁判所を通じて、Xに対して2024年5月7日から8月1日までの間に欧州のユーザーの公開投稿でGrokチャットボットを訓練することを永遠に停止させました。さらに、オランダとフランスの規制当局の個別の行動もありました。
このようなパッチワークの風景は、企業や市民にとって不確実性を生み出していました。ガイドライン03/2026は、以前の「意見28/2024」に基づいており、すべての27か国に対して統一基準を初めて設定します。同日、EDPBは匿名化に関するペアガイドラインも採択し、三つの条件から成る基準を確立しました：データは、特定のレコードを抽出できず、レコード間を結びつけることもできず、個人に関する新しい情報を導き出すことができない場合にのみ匿名と見なされます。EDPBの議長であるアヌ・タルスは、文書が「データの使用を容易にしながら、人々の基本的権利を保護する明確な基準を設定する」と述べました。
データを収集する人々にとっての意味
第一に、GDPRの territorial coverage に関することです。もしあなたのサンプルにEU居住者の個人データが含まれている場合、規則はあなた自身がどこにいるかに関係なく適用されます。これはLLMラボだけでなく、データを直接または契約者を通じてスクレイピングするすべての組織に関わります — モデルの再学習のためであれ、感情分析のためであれ。
第二に、実際的な境界はデータの種類によって決まります。アクセス方法ではありません：
- 非個人データ — 価格、商品在庫、特性、個人に関連付けられていない公開テキスト、市場分析 — は依然として低リスクゾーンに留まります。価格監視、カタログのパース、GDPRに基づく個人データの収集は問題ありません。
- 個人データ — プロフィール、連絡先、特定の人々の行動 — は今や完全にGDPRの対象であり、公開されていても適用されます。ここでは法的根拠、文書化された合法的利益のテスト、最小化、早期の匿名化が必要です。
第三に、EDPBが事実上義務化したデータ収集の衛生状態：狭い選択基準、個人データおよび感受性の高いデータのフィルタリング、できるだけ早い匿名化、スクレイピング防止バリアや未成年者向けサイトへの配慮、スクレイピングに関する説明を含む公開されたプライバシーポリシー。
ここでプロキシはどこにあり、どこにないのか
EDPBが最初に分けた二つの平面を正直に分ける価値があります。インフラの選択 — レジデント、モバイル、またはデータセンタープロキシ — は信頼性、ジオロケーション、成功したリクエストの割合を決定します。つまり、収集の技術的な側面です。しかし、それはあなたの法的根拠を変えるものではありません。レジデントIPは、違法な個人データ処理を合法に変えるものではありません — コンプライアンスは、あなたが何を収集し、なぜ収集するのかに存在し、どのアドレスからリクエストが送信されるかには存在しません。これは、正直なプロジェクトにとって良いニュースです：もしあなたが非個人データをパースするか、個人データを適切にフィルタリングして匿名化するなら、質の高いプロキシインフラは技術的な課題を解決し、あなたは実質的に法的な範囲内に留まります。
同じ論理は、AIエージェントが自らパーサーを書くエージェントスクレイピングにも当てはまります：ツールは賢くなりましたが、データ処理のルールは緩和されていません — 逆に、EDPBはこのようなパイプラインにも要求を直接適用しています。
結論
ガイドライン03/2026はウェブスクレイピングを禁止するものではありません — データのオープン性がその処理に関する疑問を解消するという便利な幻想を閉じます。EUにおいて「公開されていることは無料である」という時代は2026年7月8日に終わりました。データ収集者にとって、これは有罪判決ではなく、規律の変更です：個人データと非個人データを分け、収集時にフィルタリングし、早期に匿名化し、規制当局のリクエストの前に合法的利益を文書化することです。技術は依然としてプロキシとアンチデテクトによって決定されます；合法性は今や、あなたが自分のデータベースに何を入れるかによって決まります。