Szybka odpowiedź
Czego wymaga GDPR, gdy zbieram dane publiczne przez proxy?
Gdy dane obejmują dane osobowe, udokumentuj podstawę prawną, zwykle uzasadniony interes zgodnie z art. 6(1)(f) GDPR, i zbieraj tylko potrzebne pola. Wyklucz witryny, które sprzeciwiają się scrapingowi, i respektuj zastrzeżenia dotyczące eksploracji tekstów i danych. EuroCity Proxies przygotował tę listę kontrolną na podstawie wytycznych EDPB, CNIL, Garante i holenderskiego AP przeczytanych w październiku 2026. To nie jest porada prawna.
Czy RODO ma zastosowanie do danych, które każdy może przeczytać online?
Tak, gdy tylko dane dotyczą osoby możliwej do zidentyfikowania. RODO definiuje dane osobowe w art. 4(1), a bycie publicznymi nie wyłącza danych z tego zakresu. Holenderski organ (AP) pisze, że scraping prawie zawsze zbiera dane osobowe.
Niektóre dane zwykle nie są osobowe: cennik supermarketu, opłata za dostawę, godziny otwarcia sieci sklepów. Inne dane na tych samych stronach są: nazwiska recenzentów, sprzedawcy prywatni w ogłoszeniach, numery telefonów agentów, twarze na zdjęciach. Zmapuj każde pole, zanim je zbierzesz.
Które kroki należą do listy kontrolnej?
Zmapuj pola
Wypisz każde pole, które planujesz zbierać, i oznacz te, które mogą identyfikować osobę. Odrzuć te, których nie potrzebujesz.
Udokumentuj podstawę prawną
W przypadku uzasadnionego interesu EDPB wymienia trzy kumulatywne warunki. To uzasadniony interes, konieczność przetwarzania oraz test równowagi, w którym osoby, których dane dotyczą, nie mają nadrzędnych interesów. Napisz ocenę przed rozpoczęciem.
Minimalizuj i filtruj
Art. 5(1)(c) wymaga danych ograniczonych do tego, co konieczne. CNIL prosi o precyzyjne kryteria zbierania zdefiniowane z góry oraz szybkie usuwanie danych zebranych poza nimi.
Wyklucz witryny, które się sprzeciwiają
Pomiń witryny, które odmawiają scrapingu przez robots.txt, CAPTCHA lub swoje warunki. Zarówno CNIL, jak i EDPB podają to jako zabezpieczenie.
Trzymaj z dala dane wrażliwe
Zdrowie, religia, poglądy polityczne i inne kategorie z art. 9 wymagają odrębnego wyjątku. Odfiltruj je i usuń natychmiast, jeśli zostaną zebrane przypadkowo.
Informuj i umożliw sprzeciw
Art. 14 obejmuje dane nieuzyskane od osoby, a art. 21 daje prawo do sprzeciwu. CNIL sugeruje publikację listy źródeł i prowadzenie listy opt-out.
Przeprowadź DPIA, gdy ryzyko jest wysokie
Art. 35 wymaga oceny skutków dla ochrony danych w przypadku przetwarzania wysokiego ryzyka; wytyczne AP dotyczące scrapingu to uwzględniają.
Sprawdź zastrzeżenia praw autorskich
Eksploracja tekstów i danych na podstawie art. 4 dyrektywy DSM kończy się tam, gdzie uprawniony zastrzegł to w sposób czytelny maszynowo dla treści online.
Co unijne organy ochrony danych powiedziały o web scrapingu?
| Organ | Dokument | Data | Punkt dla użytkowników proxy |
|---|---|---|---|
| EDPB | Wytyczne 1/2024 w sprawie przetwarzania opartego na art. 6(1)(f), wersja 1.0 do konsultacji | Przyjęte 8 października 2024 | Trzy kumulatywne warunki, oceniane i udokumentowane przed przetwarzaniem |
| EDPB | Sprawozdanie z prac zespołu zadaniowego ds. ChatGPT | Opublikowane 24 maja 2024 | Traktuje web scraping jako etap zbierania z własnymi ryzykami, oceniany na podstawie art. 6(1)(f) |
| EDPB | Opinia 28/2024 w sprawie modeli AI | Przyjęta 18 grudnia 2024 | Przykłady zabezpieczeń obejmują wykluczenie witryn, które się sprzeciwiają, na przykład przez respektowanie robots.txt lub ai.txt |
| CNIL (Francja) | Fiche focus: uzasadniony interes i zbieranie przez web scraping | 19 czerwca 2025 | Kryteria zbierania ustalone z góry, wykluczenie witryn odmawiających scrapingu, usuwanie nieistotnych danych, listy opt-out |
| Garante (Włochy) | Nota informacyjna o web scrapingu do trenowania generatywnej AI (rejestr decyzji nr 329) | 20 maja 2024 r. (Dziennik Urzędowy nr 132, 7 czerwca 2024 r.) | Możliwe środki zaradcze dla operatorów stron, przedstawione jako opcje, a nie obowiązki wynikające z GDPR |
| AP (Holandia) | Handreiking scraping door particulieren en private organisaties | kwiecień 2025 | Scraping prawie zawsze wiąże się z danymi osobowymi; przestrzeganie robots.txt wymieniono wśród dodatkowych zabezpieczeń |
Co prawo autorskie UE mówi o eksploracji tekstów i danych?
Artykuł 4 dyrektywy (UE) 2019/790 pozwala na eksplorację tekstów i danych legalnie dostępnych treści. Ma zastosowanie tylko wtedy, gdy uprawniony nie zastrzegł takiego wykorzystania, w przypadku treści online za pomocą środków czytelnych maszynowo, takich jak reguły robots.txt. Artykuł 3 dodaje szerszy wyjątek dla organizacji badawczych i instytucji dziedzictwa kulturowego.
W grudniu 2025 r. Wyższy Sąd Krajowy w Hamburgu orzekł, że LAION, niekomercyjne stowarzyszenie badawcze, mogło powołać się na wyjątek TDM dotyczący badań naukowych. Orzekł również, że zastrzeżenie sformułowane prostym językiem nie było czytelne maszynowo przy technologii dostępnej w 2021 r. Stwierdził, że może się to zmienić, i dopuścił dalszą apelację do Federalnego Trybunału Sprawiedliwości. W przypadku komercyjnego gromadzenia danych traktuj zastrzeżenia sformułowane prostym językiem w warunkach korzystania jako dziś wiążące. To nie jest porada prawna.
Czy korzystanie z proxy zmienia którykolwiek z tych obowiązków?
Nie. Pozostajesz administratorem gromadzonych danych, niezależnie od tego, jakiego wyjściowego IP używasz. Rezydencjalne IP w Monachium lub Mediolanie daje ci lokalną wersję strony; nie czyni gromadzenia danych zgodnym z prawem.
Po naszej stronie Polityka dopuszczalnego użytkowania obowiązuje na każdym koncie. Zablokowane: Witryny bankowe, rządowe i portali płatniczych oraz porty SMTP (wysyłanie e-maili) 25, 465 i 587. Nie rejestrujemy treści Twoich żądań, pełnych adresów URL ani danych stron. Aby obsługiwać zgłoszenia nadużyć i spory rozliczeniowe, przechowujemy metadane połączeń (czas, konto, IP wyjściowe, nazwa hosta docelowego, bajty) do 30 dni, a następnie je usuwamy. Numer konta, zamówienia, historię wpłat i sumy ruchu przechowujemy, dopóki konto jest otwarte, a później tylko tak długo, jak wymagają tego przepisy księgowe. Ujawniamy dane organom tylko wtedy, gdy wymaga tego prawo. Nasz dostawca sieci nadrzędnej może prowadzić własne logi zgodnie z własną polityką. Szczegóły podaje polityka prywatności.
Jaki jest rozsądny setup do sprawdzania cen i danych lokalnych?
Gromadź dane firm, a nie osób: ceny, opłaty, stany magazynowe i terminy dostaw. Pomijaj w parserze imiona recenzentów, profile sprzedawców i dane kontaktowe albo usuwaj je przed zapisaniem.
Utrzymuj umiarkowane tempo, z jedną sesją na miasto i na przebieg, jak opisano w sesje sticky per miasto. Przeczytaj robots.txt i warunki każdej strony przed pierwszym przebiegiem. Gdy strona odmawia dostępu automatycznego, sprawdź ją ręcznie lub skorzystaj z jej oficjalnego API.
GDPR i proxy: pytania
Czy gromadzenie publicznych danych jest legalne w UE?
To zależy od danych, celu i warunków strony. Publiczne dane osobowe nadal podlegają GDPR, a zastrzeżenia praw autorskich mogą ograniczać eksplorację tekstów i danych. Ta strona wymienia przepisy i wytyczne; nie rozstrzyga twojej sprawy. To nie jest porada prawna.
Czy uzasadniony interes może obejmować projekt komercyjny?
Może, jeśli spełnione i udokumentowane są trzy warunki: uzasadniony interes, konieczność i test wyważenia. Wytyczne EDPB 1/2024 wyjaśniają każdy warunek. Organy oceniają to indywidualnie, z zabezpieczeniami takimi jak minimalizacja i wykluczenie stron zgłaszających sprzeciw.
Czy muszę przestrzegać robots.txt na mocy GDPR?
GDPR nie wymienia robots.txt. CNIL twierdzi, że gromadzenie danych nie może spełniać rozsądnych oczekiwań osób, jeśli nie wyklucza się stron, które wyraźnie odmawiają scrapingu. EDPB i AP wymieniają przestrzeganie robots.txt wśród zabezpieczeń. Na mocy dyrektywy DSM zastrzeżenie czytelne maszynowo również ogranicza eksplorację tekstów i danych.
Który organ jest moim organem?
Zwykle organ kraju twojej głównej siedziby w UE. Każdy kraj UE ma jeden lub więcej, wymienionych jako członkowie EDPB. Przykłady to CNIL we Francji, Garante we Włoszech i Autoriteit Persoonsgegevens w Holandii.
Czy ceny i opłaty za dostawę są danymi osobowymi?
Zwykle nie, gdy należą do firmy. Mogą stać się danymi osobowymi, gdy są powiązane z osobą, np. z nazwą jednoosobowej działalności lub ofertą prywatnego sprzedawcy. Sprawdzaj każde pole.
Co EuroCity Proxies przechowuje o moich żądaniach?
Nie rejestrujemy treści Twoich żądań, pełnych adresów URL ani danych stron. Aby obsługiwać zgłoszenia nadużyć i spory rozliczeniowe, przechowujemy metadane połączeń (czas, konto, IP wyjściowe, nazwa hosta docelowego, bajty) do 30 dni, a następnie je usuwamy. Numer konta, zamówienia, historię wpłat i sumy ruchu przechowujemy, dopóki konto jest otwarte, a później tylko tak długo, jak wymagają tego przepisy księgowe. Ujawniamy dane organom tylko wtedy, gdy wymaga tego prawo. Nasz dostawca sieci nadrzędnej może prowadzić własne logi zgodnie z własną polityką.
Źródła (11)
- Rozporządzenie (UE) 2016/679 (GDPR), artykuły 4, 5, 6, 9, 14, 21 i 35 — EUR-Lex (checked 2026-10-18)
- Dyrektywa (UE) 2019/790 w sprawie prawa autorskiego na jednolitym rynku cyfrowym, artykuły 3 i 4 — EUR-Lex (checked 2026-10-18)
- Wytyczne 1/2024 w sprawie przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f GDPR — European Data Protection Board (adopted 2024-10-08, checked 2026-10-18)
- Sprawozdanie z prac zespołu zadaniowego ds. ChatGPT — European Data Protection Board (2024-05-24, checked 2026-10-18)
- Opinia 28/2024 w sprawie niektórych aspektów ochrony danych związanych z przetwarzaniem danych osobowych w kontekście modeli AI — European Data Protection Board (2024-12-18, checked 2026-10-18)
- La base légale de l'intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) — CNIL (2025-06-19, checked 2026-10-18)
- Provvedimento del 20 maggio 2024 [10020316]: Nota informativa in materia di web scraping per finalità di addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto — Garante per la protezione dei dati personali (2024-05-20, checked 2026-10-18)
- Handreiking scraping door particulieren en private organisaties — Autoriteit Persoonsgegevens (2025-04-02, checked 2026-10-18)
- Wyższy Sąd Krajowy w Hamburgu potwierdza, że trenowanie AI było dozwolone (Kneschke v. LAION) — Bird & Bird (2025-12-17, checked 2026-10-18)
- Członkowie EDPB (krajowe organy nadzorcze) — European Data Protection Board (checked 2026-10-18)
- RFC 9309: Robots Exclusion Protocol — IETF (September 2022)