L’European Data Protection Board (EDPB) ha recentemente adottato una bozza di linee guida riguardanti il web scraping nel contesto dell’intelligenza artificiale generativa.
Il messaggio di partenza fissa un principio fondamentale per spazzare via ogni equivoco: la raccolta massiva e automatizzata di dati dal web, anche quando avviene su larga scala e all’insaputa delle persone, non è un’operazione neutra. Se tale attività comporta la raccolta, la conservazione, l’organizzazione o l’estrazione di dati personali, il Regolamento Generale sulla Protezione dei Dati (GDPR) si applica integralmente.
Il nodo cruciale della base giuridica
Il cuore del dibattito ruota attorno alla base giuridica. L’EDPB conferma che il “legittimo interesse” (ex art. 6(1)(f) del GDPR) può essere utilizzato come base per lo scraping finalizzato all’addestramento dei modelli (training).
Tuttavia, questo non rappresenta un lasciapassare automatico.
L’applicazione di questa norma impone il superamento di un rigoroso “test a tre gradini”: la dimostrazione dell’interesse legittimo, la necessità del trattamento e il bilanciamento con i diritti dell’interessato e le sue ragionevoli aspettative, come previsto dal Considerando 47.
Per giustificare lo scraping, l’EDPB esige garanzie concrete: affidabilità delle fonti, timestamping, minimizzazione e validazione dei dati per assicurarne l’esattezza. La direttiva traccia un confine netto, stabilendo che la raccolta indiscriminata resta irragionevole, mentre solo una raccolta selettiva può trovare giustificazione.
I Dati Particolari e le eccezioni
Un’attenzione rigorosa è riservata ai “dati particolari”, regolati dall’art. 9 del GDPR. Il divieto di trattamento resta la regola aurea: per poterli utilizzare servono cumulativamente una base giuridica ex art. 6 e un’eccezione ex art. 9(2).
Sebbene il Board richiami la giurisprudenza europea (causa C-136/17) per la “raccolta incidentale”, questa è ammessa esclusivamente se il titolare agisce entro il quadro delle proprie responsabilità e capacità, adottando misure tecniche adeguate.
Non è prevista alcuna esenzione generale, rendendo obbligatoria una valutazione caso per caso.
Le domande aperte sulle criticità del sistema
Nonostante i paletti fissati, restano sul tavolo alcune profonde criticità e interrogativi:
- Il paradosso del bilanciamento: Il test di bilanciamento è nato per valutare trattamenti mirati, dove è possibile soppesare l’impatto su soggetti determinati. Ha ancora senso applicarlo quando gli “interessati” sono milioni di persone ignote i cui dati vengono raccolti in blocco? Inoltre, il criterio di “necessità” dovrebbe misurare ciò che è strettamente indispensabile, e non ciò che risulta semplicemente più comodo ed economico rispetto all’acquisizione di dataset licenziati.
- Le ragionevoli aspettative e l’accessibilità pubblica: Un utente che ha pubblicato un commento online nel 2015 non poteva certo prevedere che il suo testo sarebbe servito ad addestrare un modello generativo commerciale nel 2026. Emerge un principio chiave: il fatto che un dato sia “pubblicamente accessibile” non equivale affatto a dichiararlo “lecitamente utilizzabile per il training”.
- Tutela del dato o sanatoria a posteriori? Se le garanzie richieste si riducono a “mitigazioni a valle” di una raccolta che è già avvenuta, il rischio è quello di non proteggere più i dati, ma di regolarizzare a posteriori un’appropriazione già compiuta. Questo rappresenta un delicato slittamento dalla vera e propria “protezione del dato” al mero “uso protetto del dato”, una differenza non solo semantica ma di sostanza.
La bozza delle linee guida rimarrà in consultazione pubblica fino al 30 ottobre 2026.
Nel frattempo, l’interrogativo finale rimane aperto agli operatori del diritto e del digitale: il legittimo interesse è un istituto giuridico in grado di reggere il peso dello scraping massivo, o si sta forzando una base legale pensata originariamente per scopi completamente diversi?.
“Giro la domanda a voi: il legittimo interesse regge il peso dello scraping massivo, o stiamo forzando una base pensata per altro?”.
Agostino Ghiglia
Un doveroso e sentito ringraziamento ad Agostino Ghiglia per aver sollevato questi interrogativi imprescindibili, condividendo con tutti noi riflessioni di vitale importanza per la nostra libertà online.
Scopri di più da Glam Aura Ecosystem
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.
