8 de julho de 2026 O Conselho Europeu de Proteção de Dados (EDPB) na sessão plenária em Bruxelas adotou a "Orientação 03/2026 sobre web scraping no contexto da IA generativa" — o primeiro documento pan-europeu que responde diretamente à questão que pairou sobre toda a indústria de coleta de dados por anos: o scraping está sujeito ao GDPR se os dados estiverem disponíveis publicamente? A resposta do EDPB é clara e desagradável para muitos: sim, está sujeito — e "público" não significa mais "pode ser coletado livremente". O documento está aberto para consultas públicas até 30 de outubro de 2026, mas já estabelece um quadro pelo qual os reguladores europeus avaliarão qualquer coleta de dados pessoais.
O que exatamente decidiu o EDPB
O principal ponto da orientação é simples. O GDPR se aplica sempre que o web scraping envolve dados pessoais — ou seja, qualquer operação de coleta, armazenamento, organização e extração de informações que possam identificar uma pessoa de forma direta ou indireta. E — ponto chave — não importa se essa informação era visível publicamente. O EDPB rejeita diretamente a suposição popular na indústria de que "se os dados estão em um perfil aberto, então estão fora da regulamentação". As organizações não devem contar que as autoridades europeias considerarão esses dados fora do escopo do GDPR.
Isso inverte a lógica habitual. Durante muitos anos, os coletores de dados se apoiaram na combinação "disponível publicamente + proxy residencial = tecnicamente possível, legalmente tolerável". O EDPB separa duas questões que antes eram fundidas em uma: a acessibilidade técnica dos dados e a base legal para seu processamento — não são a mesma coisa. A primeira é resolvida pela infraestrutura. A segunda — apenas pela lei.
Teste de "interesse legítimo": não mais por padrão
A maioria dos scrapers de dados pessoais justifica o processamento com "interesse legítimo" (legitimate interest, art. 6(1)(f) do GDPR). O EDPB confirma que essa base é, em princípio, aplicável ao scraping para treinamento de IA, mas impõe condições rigorosas. Não pode haver avaliação "em massa" — o teste é realizado para cada caso específico e consiste em três etapas:
- Interesse real. É necessário formular um interesse específico, legítimo e atual — não um abstrato "precisamos de dados".
- Necessidade. Provar que o objetivo não pode ser alcançado de maneira menos intrusiva do que a coleta em massa de dados pessoais.
- Balanceamento. Pesar seu interesse contra os direitos fundamentais e as expectativas razoáveis das pessoas cujos dados estão sendo coletados — e demonstrar que não os supera.
Além disso, o documento deve existir antes, e não ser criado post-fato. Como observa Brian Hengesbo, chefe global da prática de Dados & Cibersegurança na Baker McKenzie, ao investigar uma reclamação, o regulador solicitará, em primeiro lugar, a avaliação do interesse legítimo e a documentação que a comprove. Sem documentação — sem proteção.
Minimização de dados: filtrar antes da coleta, e não depois
O EDPB exige que a proteção seja incorporada na fase de design, antes do primeiro pedido. O controlador deve:
- definir critérios precisos de coleta, e não coletar tudo indiscriminadamente;
- aplicar filtros que excluam categorias sensíveis de dados;
- excluir determinados sites — em particular, recursos voltados para menores de idade e sites que possuem proteção contra scraping;
- após a coleta, aplicar pós-processamento: filtragem sintática e anonimização.
O ponto sobre "sites com proteção contra scraping" merece ser lido duas vezes. O EDPB, na verdade, diz: se um recurso claramente impôs barreiras anti-bot, contorná-las é um sinal de que você está agindo contra a vontade do proprietário e as expectativas razoáveis dos usuários. Isso não se trata de CFAA ou hacking, mas de equilibrar interesses dentro do GDPR.
Categorias especiais de dados — quase tabu
Dados sobre saúde, opiniões políticas, religião, orientação sexual (art. 9 do GDPR) são, em princípio, proibidos de serem coletados durante o scraping — e até mesmo a captura não intencional deles (por exemplo, de um post aberto em uma rede social) aciona uma proibição rigorosa. Para o processamento legal, são necessárias simultaneamente uma base conforme o art. 6 e uma exceção conforme o art. 9(2), que geralmente não estão disponíveis para um scraper em massa. O EDPB exige controle em todo o ciclo de vida — até filtros na saída do modelo e restrições em prompts já após a implementação.
Por que um documento unificado surgiu exatamente agora
Até agora, a Europa reagiu ao scraping para IA de forma fragmentada, por meio de órgãos nacionais — e os resultados foram contraditórios. O Garante italiano multou a OpenAI em dezembro de 2024 em 15 milhões de euros por treinar o ChatGPT sem uma base legal adequada e em violação dos requisitos de transparência. Mas em março de 2026, o tribunal de Roma anulou essa sanção — uma ilustração clara de quão instável era a base legal. A DPC irlandesa, em 2024, através de um pedido ao Tribunal Superior, conseguiu que a X cessasse permanentemente o treinamento do chatbot Grok em posts públicos de usuários europeus durante o período de 7 de maio a 1 de agosto de 2024. Além disso, ações separadas dos reguladores holandês e francês.
Esse cenário fragmentado criava incerteza tanto para empresas quanto para cidadãos. A Orientação 03/2026 desenvolve o anterior "Parecer 28/2024" sobre IA e pela primeira vez estabelece um padrão unificado para todos os 27 países. No mesmo dia, o EDPB adotou uma orientação complementar sobre anonimização, onde definiu o critério de três condições: os dados são considerados anônimos apenas se não for possível identificar um registro específico, nem vincular registros entre si, nem extrair novas informações sobre uma pessoa. Como afirmou a presidente do EDPB, Anu Talus, os documentos "estabelecem padrões claros que facilitam o uso de dados, ao mesmo tempo que protegem os direitos fundamentais das pessoas".
O que isso significa para quem coleta dados
Primeiro e mais importante: trata-se da abrangência territorial do GDPR. Se em sua amostra há dados pessoais de residentes da UE — o regulamento se aplica independentemente de onde você esteja. E isso não se aplica apenas a laboratórios de LLM: qualquer organização que scrape dados diretamente ou através de contratados — seja para re-treinamento de modelo ou para análise de sentimentos — está sujeita às exigências.
Em segundo lugar — a divisão prática ocorre pelo tipo de dados, e não pelo método de acesso:
- Dados não pessoais — preços, disponibilidade de produtos, características, textos públicos sem vínculo a uma pessoa, análise de mercado — permanecem em uma zona de baixo risco. Monitoramento de preços, scraping de catálogos, coleta da estrutura SERP sob GDPR em dados pessoais não é um problema.
- Dados pessoais — perfis, contatos, comportamentos de pessoas específicas — agora estão sob total abrangência do GDPR, mesmo que estejam disponíveis publicamente. Aqui são necessárias uma base legal, um teste documentado de interesse legítimo, minimização e anonimização precoce.
Em terceiro lugar — a higiene da coleta, que o EDPB efetivamente tornou obrigatória: critérios de amostragem estreitos, filtragem de dados pessoais e sensíveis na entrada, anonimização o mais cedo possível, respeito às barreiras anti-scraping e sites para menores, política pública de privacidade com descrição do scraping.
Onde estão os proxies — e onde não estão
É importante separar honestamente duas dimensões que o EDPB separou primeiro. A escolha da infraestrutura — proxies residenciais, móveis ou proxies de datacenter — determina confiabilidade, geolocalização e taxa de sucesso das solicitações, ou seja, o lado técnico da coleta. Mas isso não altera sua base legal. Um IP residencial não transforma o processamento ilegal de dados pessoais em legal — a conformidade reside no que você coleta e por que, e não no endereço de onde a solicitação é feita. Isso, aliás, é uma boa notícia para projetos honestos: se você está coletando dados não pessoais ou filtrando e anonimizando adequadamente os dados pessoais, uma infraestrutura de proxy de qualidade resolve a questão técnica, e você permanece dentro da legalidade em essência.
A mesma lógica se aplica ao scraping com agentes, onde agentes de IA escrevem seus próprios scrapers: a ferramenta se tornou mais inteligente, mas as regras de processamento de dados não se tornaram mais brandas — ao contrário, o EDPB estende diretamente os requisitos a esses pipelines.
Conclusão
A Orientação 03/2026 não proíbe o web scraping — ela fecha a ilusão conveniente de que a abertura dos dados elimina a questão de seu processamento. Na UE, a era do "público significa grátis" para dados pessoais terminou em 8 de julho de 2026. Para os coletores de dados, isso não é uma sentença de morte, mas uma mudança de disciplina: separar dados pessoais e não pessoais, filtrar na entrada, anonimizar cedo, documentar o interesse legítimo antes e não depois do pedido do regulador. A técnica ainda é decidida por proxies e anti-detect; a legalidade agora depende do que exatamente você coloca em sua base de dados.
```