Hva skjedde

EDPB publiserte nye retningslinjer om nettskraping i forbindelse med generativ KI og vedtok samtidig endelig versjon av retningslinjene om blokkjeder. For skraping av personopplysninger må virksomheten ha grunnlag etter artikkel 6, og særlige kategorier krever i tillegg et unntak etter artikkel 9.

Retningslinjene viser at offentlig tilgjengelig ikke betyr fritt tilgjengelig for ethvert formål. Kilde, omfang, forventninger, åpenhet, reservasjonsmuligheter og tiltak mot gjenidentifisering må vurderes samlet.

Rettslig status i Norge

Dette var EDPB-veiledning om GDPR-reglene som gjelder i Norge gjennom EØS. Retningslinjene endret ikke forordningen og gjorde ikke enhver skraping generelt lovlig eller ulovlig.

Bakgrunnen for saken

For særlige kategorier av personopplysninger er et behandlingsgrunnlag etter artikkel 6 ikke nok; virksomheten trenger også et unntak etter artikkel 9. EDPB anbefalte pålitelig kildevalg, tidsstempling og validering for å støtte riktighet, samt dataminimering og tekniske tiltak som reduserer innsamling av persondata. Å informere hver enkelt kan i noen tilfeller være umulig eller kreve uforholdsmessig innsats, men det fjerner ikke automatisk åpenhetsplikten. Dokumentasjonen bør vise hvilke alternativer som ble vurdert, hvordan reservasjoner håndteres, og om modellen kan gjengi identifiserbare treningsopplysninger.

Datakartleggingen bør følge hvert materiale fra kilde og innsamlingsdato til filtrering, trening og eventuell sletting. Virksomheten bør registrere reservasjoner og andre signaler fra nettstedet, men også vurdere om innsamlingen var forventet og nødvendig. Tester for memorering og gjengivelse må bruke realistiske spørringer og føre til retting når modellen kan avsløre identifiserbare opplysninger.

Praktiske konsekvenser

Før et treningsdatasett godkjennes, bør dataeieren kunne vise kildefordeling, reservasjoner, særlige kategorier, filtreringsresultater og tester for gjengivelse. Dersom opprinnelsen ikke kan spores eller innsigelser ikke kan håndteres, bør materialet isoleres eller fjernes fremfor å bli stående som en udokumentert del av modellen.

Kilder

Det europeiske personvernrådet (EDPB): «EDPB guidance on anonymisation and web scraping for generative AI», 8. juli 2026.

Det europeiske personvernrådet (EDPB): «EDPB Guidelines 02/2025 on blockchain technologies», 14. april 2025.

Til diskusjon

Hvilken beslutning bør vi revurdere først når regelgrunnlaget endres?