Snel antwoord
Wat vereist de GDPR wanneer ik publieke data via proxy's verzamel?
Wanneer de data persoonsgegevens bevat, leg dan een rechtsgrond vast, meestal gerechtvaardigd belang onder GDPR Artikel 6(1)(f), en verzamel alleen de velden die je nodig hebt. Sluit sites uit die bezwaar maken tegen scraping en respecteer voorbehouden voor tekst- en datamining. EuroCity Proxies schreef deze checklist op basis van richtlijnen van EDPB, CNIL, Garante en de Nederlandse AP, gelezen in oktober 2026. Dit is geen juridisch advies.
Is de GDPR van toepassing op gegevens die iedereen online kan lezen?
Ja, zodra de gegevens betrekking hebben op een identificeerbare persoon. De GDPR definieert persoonsgegevens in Artikel 4(1), en openbaarheid haalt gegevens daar niet uit. De Nederlandse autoriteit (AP) schrijft dat scraping bijna altijd persoonsgegevens verzamelt.
Sommige gegevens zijn meestal niet persoonlijk: de prijslijst van een supermarkt, een bezorgkosten, de openingstijden van een winkelketen. Andere gegevens op dezelfde pagina's zijn dat wel: namen van recensenten, particuliere verkopers in advertenties, telefoonnummers van makelaars, gezichten op foto's. Breng elk veld in kaart voordat je het verzamelt.
Welke stappen horen op de checklist?
Breng de velden in kaart
Noteer elk veld dat je wilt verzamelen en markeer welke een persoon kunnen identificeren. Laat de velden weg die je niet nodig hebt.
Documenteer de rechtsgrond
Voor gerechtvaardigd belang noemt de EDPB drie cumulatieve voorwaarden. Dat zijn een gerechtvaardigd belang, noodzakelijkheid van de verwerking, en een belangenafweging waarbij de betrokkenen niet overheersen. Schrijf de beoordeling voordat je begint.
Minimaliseer en filter
Artikel 5(1)(c) vereist gegevens die beperkt zijn tot wat noodzakelijk is. De CNIL vraagt om vooraf bepaalde, precieze verzamelcriteria en om tijdige verwijdering van gegevens die daarbuiten zijn verzameld.
Sluit sites uit die bezwaar maken
Sla sites over die scraping weigeren via robots.txt, CAPTCHA's of hun voorwaarden. De CNIL en de EDPB noemen dit beide als waarborg.
Houd gevoelige gegevens buiten
Gezondheid, religie, politieke overtuiging en andere categorieën uit Artikel 9 vereisen een aparte uitzondering. Filter ze eruit, en verwijder ze direct als ze per ongeluk zijn verzameld.
Informeer en bied bezwaar
Artikel 14 gaat over gegevens die niet van de persoon zijn verkregen, en Artikel 21 geeft een recht van bezwaar. De CNIL stelt voor om de lijst van bronnen te publiceren en een opt-outlijst bij te houden.
Voer een DPIA uit bij hoog risico
Artikel 35 vereist een gegevensbeschermingseffectbeoordeling voor verwerking met hoog risico; de richtlijn van de AP over scraping bevat deze.
Controleer auteursrechtelijke voorbehouden
Tekst- en datamining onder Artikel 4 van de DSM-richtlijn stopt waar een rechthebbende dit heeft voorbehouden, via machineleesbare middelen voor online content.
Wat hebben EU-autoriteiten voor gegevensbescherming gezegd over web scraping?
| Autoriteit | Document | Datum | Punt voor proxygebruikers |
|---|---|---|---|
| EDPB | Richtlijnen 1/2024 over verwerking op basis van Artikel 6(1)(f), versie 1.0 voor consultatie | Vastgesteld 8 oktober 2024 | Drie cumulatieve voorwaarden, beoordeeld en gedocumenteerd vóór verwerking |
| EDPB | Verslag van het werk van de ChatGPT Taskforce | Gepubliceerd 24 mei 2024 | Behandelt web scraping als een verzamelfase met eigen risico's, beoordeeld onder Artikel 6(1)(f) |
| EDPB | Advies 28/2024 over AI-modellen | Vastgesteld 18 december 2024 | Voorbeelden van waarborgen zijn het uitsluiten van sites die bezwaar maken, bijvoorbeeld door robots.txt of ai.txt te respecteren |
| CNIL (Frankrijk) | Fiche focus: gerechtvaardigd belang en verzameling door web scraping | 19 juni 2025 | Vooraf bepaalde verzamelcriteria, uitsluiting van sites die scraping weigeren, verwijdering van irrelevante gegevens, opt-outlijsten |
| Garante (Italië) | Informatienota over web scraping voor het trainen van generatieve AI (register van besluiten nr. 329) | 20 mei 2024 (Gazzetta Ufficiale nr. 132, 7 juni 2024) | Mogelijke tegenmaatregelen voor site-exploitanten, gepresenteerd als opties in plaats van GDPR-verplichtingen |
| AP (Nederland) | Handreiking scraping door particulieren en private organisaties | April 2025 | Scraping omvat vrijwel altijd persoonsgegevens; het respecteren van robots.txt wordt genoemd als extra waarborg |
Wat zegt het EU-auteursrecht over tekst- en datamining?
Artikel 4 van Richtlijn (EU) 2019/790 staat tekst- en datamining toe van rechtmatig toegankelijke inhoud. Het geldt alleen als de rechthebbende dat gebruik niet heeft voorbehouden, voor online-inhoud via machineleesbare middelen zoals robots.txt-regels. Artikel 3 voegt een ruimere uitzondering toe voor onderzoeksorganisaties en instellingen voor cultureel erfgoed.
In december 2025 oordeelde het Hogere Regionale Gerechtshof van Hamburg dat LAION, een non-profit onderzoeksvereniging, een beroep kon doen op de TDM-uitzondering voor wetenschappelijk onderzoek. Het oordeelde ook dat een voorbehoud in gewone taal niet machineleesbaar was met de technologie die in 2021 beschikbaar was. Het zei dat dit kon veranderen, en hoger beroep bij het Federale Gerechtshof werd toegestaan. Behandel voor commerciële verzameling voorbehouden in gewone taal in gebruiksvoorwaarden vandaag als bindend. Dit is geen juridisch advies.
Verandert het gebruik van een proxy iets aan deze verplichtingen?
Nee. U blijft de verwerkingsverantwoordelijke voor de gegevens die u verzamelt, ongeacht welk exit-IP u gebruikt. Een residentieel IP in München of Milaan geeft u de lokale versie van een pagina; het maakt een verzameling niet rechtmatig.
Aan onze kant is het Acceptable Use Policy van toepassing op elk account. Geblokkeerd: Bank-, overheids- en betaalportaalsites, plus SMTP-poorten (voor e-mailverzending) 25, 465 en 587. Wij loggen de inhoud van je verzoeken, volledige URL's of paginagegevens niet. Om misbruikmeldingen en factuurgeschillen af te handelen bewaren we verbindingsmetadata (tijd, account, exit-IP, doelho-ostnaam, bytes) tot 30 dagen en verwijderen die daarna. Je accountnummer, bestellingen, opwaarderingsrecords en verkeerstotalen bewaren we zolang je account open is, en daarna alleen zolang boekhoudregels dat vereisen. We verstrekken records aan autoriteiten alleen wanneer de wet dat vereist. Onze upstream-netwerkprovider kan onder zijn eigen beleid eigen logs bijhouden. Het privacybeleid geeft de details.
Wat is een verstandige opzet voor prijs- en lokale controles?
Verzamel bedrijfsgegevens, geen personen: prijzen, kosten, voorraad en bezorgslots. Laat namen van reviewers, verkopersprofielen en contactgegevens buiten uw parser, of verwijder ze vóór opslag.
Houd het tempo bescheiden, met één sessie per stad en per run, zoals beschreven in sticky sessions per stad. Lees de robots.txt en voorwaarden van elke site vóór de eerste run. Wanneer een site geautomatiseerde toegang weigert, controleer deze dan handmatig of gebruik de officiële API.
GDPR en proxy's: vragen
Is het verzamelen van openbare gegevens legaal in de EU?
Het hangt af van de gegevens, het doel en de voorwaarden van de site. Openbare persoonsgegevens vallen nog steeds onder de GDPR, en auteursrechtelijke voorbehouden kunnen tekst- en datamining beperken. Deze pagina noemt de regels en richtlijnen; ze beslist niet over uw geval. Dit is geen juridisch advies.
Kan gerechtvaardigd belang een commercieel project dekken?
Dat kan, als aan de drie voorwaarden is voldaan en deze zijn gedocumenteerd: een gerechtvaardigd belang, noodzakelijkheid en een belangenafweging. De Guidelines 1/2024 van de EDPB lichten elke voorwaarde toe. Autoriteiten beoordelen het geval per geval, met waarborgen zoals minimalisering en uitsluiting van sites die bezwaar maken.
Moet ik robots.txt respecteren onder de GDPR?
De GDPR noemt robots.txt niet. De CNIL stelt dat verzameling niet aan redelijke verwachtingen van mensen kan voldoen als sites die scraping duidelijk weigeren niet worden uitgesloten. De EDPB en de AP noemen het respecteren van robots.txt onder de waarborgen. Onder de DSM-richtlijn beperkt een machineleesbaar voorbehoud ook tekst- en datamining.
Welke autoriteit is de mijne?
Meestal de autoriteit van het land van uw hoofdvestiging in de EU. Elk EU-land heeft er een of meer, vermeld als leden van de EDPB. Voorbeelden zijn de CNIL in Frankrijk, de Garante in Italië en de Autoriteit Persoonsgegevens in Nederland.
Zijn prijzen en bezorgkosten persoonsgegevens?
Meestal niet, wanneer ze toebehoren aan een bedrijf. Ze kunnen persoonsgegevens worden wanneer ze aan een persoon zijn gekoppeld, zoals de naam van een eenmanszaak of de vermelding van een particuliere verkoper. Controleer elk veld.
Wat bewaart EuroCity Proxies over mijn verzoeken?
Wij loggen de inhoud van je verzoeken, volledige URL's of paginagegevens niet. Om misbruikmeldingen en factuurgeschillen af te handelen bewaren we verbindingsmetadata (tijd, account, exit-IP, doelho-ostnaam, bytes) tot 30 dagen en verwijderen die daarna. Je accountnummer, bestellingen, opwaarderingsrecords en verkeerstotalen bewaren we zolang je account open is, en daarna alleen zolang boekhoudregels dat vereisen. We verstrekken records aan autoriteiten alleen wanneer de wet dat vereist. Onze upstream-netwerkprovider kan onder zijn eigen beleid eigen logs bijhouden.
Bronnen (11)
- Verordening (EU) 2016/679 (GDPR), artikelen 4, 5, 6, 9, 14, 21 en 35 — EUR-Lex (checked 2026-10-18)
- Richtlijn (EU) 2019/790 betreffende auteursrecht in de digitale eengemaakte markt, artikelen 3 en 4 — EUR-Lex (checked 2026-10-18)
- Guidelines 1/2024 over de verwerking van persoonsgegevens op basis van artikel 6(1)(f) GDPR — European Data Protection Board (adopted 2024-10-08, checked 2026-10-18)
- Verslag van het werk van de ChatGPT Taskforce — European Data Protection Board (2024-05-24, checked 2026-10-18)
- Advies 28/2024 over bepaalde aspecten van gegevensbescherming met betrekking tot de verwerking van persoonsgegevens in het kader van AI-modellen — European Data Protection Board (2024-12-18, checked 2026-10-18)
- La base légale de l'intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) — CNIL (2025-06-19, checked 2026-10-18)
- Provvedimento del 20 maggio 2024 [10020316]: Nota informativa in materia di web scraping per finalità di addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto — Garante per la protezione dei dati personali (2024-05-20, checked 2026-10-18)
- Handreiking scraping door particulieren en private organisaties — Autoriteit Persoonsgegevens (2025-04-02, checked 2026-10-18)
- Hoger Regionaal Gerechtshof Hamburg bevestigt dat AI-training was toegestaan (Kneschke v. LAION) — Bird & Bird (2025-12-17, checked 2026-10-18)
- EDPB-leden (nationale toezichthoudende autoriteiten) — European Data Protection Board (checked 2026-10-18)
- RFC 9309: Robots Exclusion Protocol — IETF (September 2022)