Resposta rápida
O que o GDPR exige quando eu coleto dados públicos através de proxies?
Quando os dados incluem dados pessoais, documente uma base legal, geralmente o interesse legítimo sob o Artigo 6(1)(f) do GDPR, e colete apenas os campos de que precisa. Exclua sites que se opõem ao scraping e respeite as reservas de mineração de texto e dados. EuroCity Proxies escreveu este checklist a partir das orientações do EDPB, da CNIL, do Garante e da AP holandesa lidas em outubro de 2026. Isto não é aconselhamento jurídico.
O GDPR se aplica a dados que qualquer pessoa pode ler online?
Sim, assim que os dados se referirem a uma pessoa identificável. O GDPR define dados pessoais no Artigo 4(1), e o fato de serem públicos não os exclui disso. A autoridade holandesa (AP) afirma que o scraping quase sempre coleta dados pessoais.
Alguns dados normalmente não são pessoais: a lista de preços de um supermercado, uma taxa de entrega, o horário de funcionamento de uma rede de lojas. Outros dados nas mesmas páginas são: nomes de avaliadores, vendedores particulares em anúncios classificados, telefones de corretores, rostos em fotos. Mapeie cada campo antes de coletá-lo.
Quais etapas fazem parte do checklist?
Mapeie os campos
Liste todos os campos que você planeja coletar e marque quais podem identificar uma pessoa. Descarte os que você não precisa.
Documente a base legal
Para o interesse legítimo, o EDPB indica três condições cumulativas. São elas: interesse legítimo, necessidade do tratamento e um teste de ponderação em que as pessoas envolvidas não se sobreponham. Escreva a avaliação antes de começar.
Minimize e filtre
O Artigo 5(1)(c) exige dados limitados ao necessário. A CNIL pede critérios de coleta precisos definidos com antecedência e a exclusão imediata dos dados coletados fora deles.
Exclua sites que se opõem
Pule sites que recusam o scraping por meio de robots.txt, CAPTCHAs ou de seus termos. A CNIL e o EDPB apresentam isso como salvaguarda.
Mantenha fora dados sensíveis
Saúde, religião, opinião política e outras categorias do Artigo 9 exigem uma exceção separada. Filtre-os e exclua-os imediatamente se forem coletados por acidente.
Informe e permita objeções
O Artigo 14 abrange dados não obtidos da pessoa, e o Artigo 21 garante o direito de oposição. A CNIL sugere publicar a lista de fontes e manter uma lista de opt-out.
Faça um DPIA quando o risco for alto
O Artigo 35 exige uma avaliação de impacto sobre a proteção de dados para tratamentos de alto risco; a orientação da AP sobre scraping inclui isso.
Verifique reservas de direitos autorais
A mineração de texto e dados sob o Artigo 4 da Diretiva DSM cessa onde o titular dos direitos a reservou, por meios legíveis por máquina para conteúdo online.
O que as autoridades de proteção de dados da UE disseram sobre web scraping?
| Autoridade | Documento | Data | Ponto para usuários de proxy |
|---|---|---|---|
| EDPB | Diretrizes 1/2024 sobre tratamento baseado no Artigo 6(1)(f), versão 1.0 para consulta | Adotadas em 8 de outubro de 2024 | Três condições cumulativas, avaliadas e documentadas antes do tratamento |
| EDPB | Relatório do trabalho realizado pela Força-Tarefa ChatGPT | Publicado em 24 de maio de 2024 | Trata o web scraping como uma etapa de coleta com riscos próprios, avaliada sob o Artigo 6(1)(f) |
| EDPB | Parecer 28/2024 sobre modelos de IA | Adotado em 18 de dezembro de 2024 | Exemplos de salvaguardas incluem excluir sites que se opõem, por exemplo respeitando robots.txt ou ai.txt |
| CNIL (França) | Fiche focus: interesse legítimo e coleta por web scraping | 19 de junho de 2025 | Critérios de coleta definidos com antecedência, exclusão de sites que recusam scraping, exclusão de dados irrelevantes, listas de opt-out |
| Garante (Itália) | Nota informativa sobre web scraping para treinamento de IA generativa (registro de decisões nº 329) | 20 de maio de 2024 (Gazzetta Ufficiale nº 132, 7 de junho de 2024) | Possíveis contramedidas para operadores de sites, apresentadas como opções e não como obrigações do GDPR |
| AP (Países Baixos) | Handreiking scraping door particulieren en private organisaties | Abril de 2025 | O scraping quase sempre envolve dados pessoais; respeitar o robots.txt está entre as salvaguardas adicionais |
O que diz a lei de direitos autorais da UE sobre mineração de texto e dados?
O Artigo 4 da Diretiva (UE) 2019/790 permite a mineração de texto e dados de conteúdo legalmente acessível. Ele se aplica apenas se o titular dos direitos não tiver reservado esse uso, para conteúdo online, por meios legíveis por máquina, como regras de robots.txt. O Artigo 3 acrescenta uma exceção mais ampla para organizações de pesquisa e instituições de patrimônio cultural.
Em dezembro de 2025, o Tribunal Regional Superior de Hamburgo decidiu que a LAION, uma associação de pesquisa sem fins comerciais, poderia se valer da exceção de TDM para pesquisa científica. Também decidiu que uma reserva em linguagem simples não era legível por máquina com a tecnologia disponível em 2021. Afirmou que isso poderia mudar, e um novo recurso ao Tribunal Federal de Justiça foi permitido. Para coleta comercial, trate hoje as reservas em linguagem simples nos termos de uso como vinculantes. Isto não é aconselhamento jurídico.
Usar um proxy muda alguma dessas obrigações?
Não. Você continua sendo o controlador dos dados que coleta, independentemente do IP de saída que usar. Um IP residencial em Munique ou Milão fornece a versão local de uma página; ele não torna uma coleta lícita.
Do nosso lado, a Política de Uso Aceitável se aplica a todas as contas. Bloqueados: Sites de bancos, órgãos governamentais e portais de pagamento, além das portas SMTP (envio de e-mail) 25, 465 e 587. Não registramos o conteúdo das suas requisições, URLs completas ou dados de páginas. Para tratar denúncias de abuso e disputas de cobrança, mantemos metadados de conexão (horário, conta, IP de saída, hostname de destino, bytes) por até 30 dias e depois os apagamos. Mantemos seu número de conta, pedidos, registros de recarga e totais de tráfego enquanto sua conta estiver aberta e, depois, apenas pelo tempo exigido pelas regras contábeis. Divulgamos registros às autoridades somente quando a lei exigir. Nosso provedor de rede upstream pode manter seus próprios logs conforme sua própria política. A política de privacidade traz os detalhes.
Qual é uma configuração sensata para verificações de preços e locais?
Colete dados de empresas, não de pessoas: preços, taxas, estoque e janelas de entrega. Deixe nomes de avaliadores, perfis de vendedores e dados de contato fora do seu parser, ou descarte-os antes do armazenamento.
Mantenha a taxa moderada, com uma sessão por cidade e por execução, como descrito em sessões sticky por cidade. Leia o robots.txt e os termos de cada site antes da primeira execução. Quando um site recusa acesso automatizado, verifique manualmente ou use sua API oficial.
GDPR e proxies: perguntas
Coletar dados públicos é legal na UE?
Depende dos dados, da finalidade e dos termos do site. Dados pessoais públicos continuam cobertos pelo GDPR, e reservas de direitos autorais podem limitar a mineração de texto e dados. Esta página lista as regras e orientações; ela não decide o seu caso. Isto não é aconselhamento jurídico.
O interesse legítimo pode cobrir um projeto comercial?
Pode, se as três condições forem atendidas e documentadas: um interesse legítimo, necessidade e um teste de balanceamento. As Diretrizes 1/2024 do EDPB explicam cada condição. As autoridades avaliam caso a caso, com salvaguardas como minimização e exclusão de sites que se opõem.
Preciso respeitar o robots.txt sob o GDPR?
O GDPR não menciona o robots.txt. A CNIL afirma que a coleta não pode atender às expectativas razoáveis das pessoas se sites que recusam claramente o scraping não forem excluídos. O EDPB e a AP listam o respeito ao robots.txt entre as salvaguardas. Sob a Diretiva DSM, uma reserva legível por máquina também limita a mineração de texto e dados.
Qual autoridade é a minha?
Normalmente, a autoridade do país do seu estabelecimento principal na UE. Cada país da UE tem uma ou mais, listadas como membros do EDPB. Exemplos são a CNIL na França, o Garante na Itália e a Autoriteit Persoonsgegevens nos Países Baixos.
Preços e taxas de entrega são dados pessoais?
Normalmente não, quando pertencem a uma empresa. Podem se tornar dados pessoais quando vinculados a uma pessoa, como o nome de um profissional autônomo ou o anúncio de um vendedor particular. Verifique cada campo.
O que a EuroCity Proxies guarda sobre minhas solicitações?
Não registramos o conteúdo das suas requisições, URLs completas ou dados de páginas. Para tratar denúncias de abuso e disputas de cobrança, mantemos metadados de conexão (horário, conta, IP de saída, hostname de destino, bytes) por até 30 dias e depois os apagamos. Mantemos seu número de conta, pedidos, registros de recarga e totais de tráfego enquanto sua conta estiver aberta e, depois, apenas pelo tempo exigido pelas regras contábeis. Divulgamos registros às autoridades somente quando a lei exigir. Nosso provedor de rede upstream pode manter seus próprios logs conforme sua própria política.
Fontes (11)
- Regulamento (UE) 2016/679 (GDPR), Artigos 4, 5, 6, 9, 14, 21 e 35 — EUR-Lex (checked 2026-10-18)
- Diretiva (UE) 2019/790 sobre direitos autorais no Mercado Único Digital, Artigos 3 e 4 — EUR-Lex (checked 2026-10-18)
- Diretrizes 1/2024 sobre o tratamento de dados pessoais com base no Artigo 6(1)(f) do GDPR — European Data Protection Board (adopted 2024-10-08, checked 2026-10-18)
- Relatório do trabalho realizado pela Força-Tarefa ChatGPT — European Data Protection Board (2024-05-24, checked 2026-10-18)
- Parecer 28/2024 sobre certos aspectos de proteção de dados relacionados ao tratamento de dados pessoais no contexto de modelos de IA — European Data Protection Board (2024-12-18, checked 2026-10-18)
- La base légale de l'intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) — CNIL (2025-06-19, checked 2026-10-18)
- Provvedimento del 20 maggio 2024 [10020316]: Nota informativa in materia di web scraping per finalità di addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto — Garante per la protezione dei dati personali (2024-05-20, checked 2026-10-18)
- Handreiking scraping door particulieren en private organisaties — Autoriteit Persoonsgegevens (2025-04-02, checked 2026-10-18)
- Tribunal Regional Superior de Hamburgo confirma que o treinamento de IA era permitido (Kneschke v. LAION) — Bird & Bird (2025-12-17, checked 2026-10-18)
- Membros do EDPB (autoridades nacionais de supervisão) — European Data Protection Board (checked 2026-10-18)
- RFC 9309: Robots Exclusion Protocol — IETF (September 2022)