El Comité Europeo de Protección de Datos (CEPD) aprobó el 7 de julio de 2026 las Directrices 03/2026, sobre el web scraping en el contexto de la inteligencia artificial generativa.
Qué es el web scraping
El web scraping consiste en el uso de herramientas automatizadas para extraer y almacenar información de servicios web públicos, por ejemplo, portales de datos abiertos, redes sociales, foros o blogs personales. El problema es que muchos de estos sitios contienen datos personales.
El CEPD distingue entre “rastreo dirigido” cuando se aplican criterios restrictivos, por ejemplo, únicamente en páginas de un mismo dominio o que traten de un tema determinado, y “rastreo no dirigido” cuando el software sigue enlaces de forma más libre, lo que aumenta el riesgo de recopilar datos personales sin un conocimiento preciso de su alcance.
El proceso típico incluye: definición de criterios de recopilación, extracción, limpieza, estructuración y almacenamiento.
Aplicación del RGPD al web scraping
El RGPD se aplica siempre que el web scraping implique operaciones de tratamiento de datos personales, ya sean identificadores directos como nombre, imagen o contacto o indirectos.
El cumplimiento resulta especialmente complejo en operaciones a gran escala y sin conocimiento de los interesados. El CEPD recuerda que, en conjuntos de datos mixtos, esto es, datos personales y no personales, el RGPD rige la parte de datos personales.
En cuanto a quien es responsable y encargado del tratamiento, la calificación dependerá del análisis caso concreto de los hechos. Quien realiza el scraping no es automáticamente el responsable, así, si un desarrollador de IA contrata a un tercero para crear el conjunto de datos según sus instrucciones documentadas, el tercero suele actuar como encargado del tratamiento y el desarrollador como responsable. Cuando se reutiliza un conjunto ya extraído por otra entidad, cada uno es responsable de su propio tratamiento, pudiendo existir corresponsabilidad cuando ambas partes determinan conjuntamente los fines y medios esenciales.
Principios clave del tratamiento
Se aplica, en primer lugar, el principio de limitación. Los datos deben recogerse con fines específicos, explícitos y legítimos. El CEPD remite a su dictamen 28/2024.
Dado que la recopilación de datos se hace a gran escala, es difícil o imposible informar individualmente a todos los interesados. Por ello, el artículo 14.5.b) del RGPD permite no informar de forma individual a los afectados cuando resulte imposible o exija un esfuerzo desproporcionado. En estos casos, el responsable debe evaluar el esfuerzo frente al impacto sobre los interesados (número de afectados, antigüedad de los datos, medidas de seguridad, etc.), publicar la información en la política de privacidad o aviso específico, señalando las categorías de datos, las finalidades, la base jurídica, las fuentes y las características del rastreador, y siempre que sea posible, incluirá dominios y fechas de recopilación en formato buscable.
Antes de la recopilación conviene valorar el uso de datos sintéticos, definir criterios precisos y realizar un mapeo o inventario, aplicar filtros para excluir categorías de datos innecesarias como geolocalización y excluir sitios que contienen estructuralmente datos sensibles o de personas vulnerables (por ejemplo, redes usadas por menores).
Asimismo, se recomienda obtener datos de fuentes fiables y actualizadas, registrar fecha y hora de extracción.
Base jurídica: el interés legítimo
El fundamento más habitual para entidades privadas es el artículo 6.1.f) del RGPD. Requiere tres condiciones acumulativas:
- Interés legítimo real, presente y lícito (no especulativo). En modelos de propósito general conviene indicar si el objetivo es comercial, de investigación, interno o externo.
- Necesidad: el tratamiento debe permitir alcanzar el objetivo y no debe existir una forma igualmente eficaz y menos intrusiva (datos seudonimizados o sintéticos).
- Prueba de ponderación: los intereses o derechos fundamentales de los interesados no deben prevalecer. Se valorarán el impacto (volumen, carácter indiscriminado, datos sensibles o de menores, efecto disuasorio sobre la libertad de expresión, deepfakes), las expectativas razonables de los afectados y las medidas de mitigación.
Entre las medidas de mitigación que pueden inclinar la balanza figuran la exclusión de fuentes o categorías de alto riesgo, la limitación a datos de libre acceso, la transparencia reforzada, la facilitación del ejercicio de derechos (incluidas listas de exclusión previas), la eliminación o anonimización temprana, la seudonimización y controles contra memorización, regurgitación o ataques al modelo.
El CEPD considera que la sentencia del TJUE en el caso GC y otros contra CNIL (asunto C-136/17) puede resultar relevante para la recopilación incidental y residual de categorías especiales de datos personales cuando:
- La actividad presenta similitudes relevantes con la de un motor de búsqueda.
- Se trata de un tratamiento residual e incidental (no intencional).
- Es difícil o imposible evaluar de antemano si se incluyen esta categoría.
- El responsable aplica medidas de seguridad en el marco de sus responsabilidades, poderes y capacidades. Por ejemplo: criterios y filtros previos para evitar la recopilación, eliminación inmediata de cualquier dato especial detectado, prevención de extracción del modelo y filtros de salida, supervisión continua de las salidas del sistema y, a largo plazo, posibles técnicas de desaprendizaje cuando estén disponibles. El responsable debe poder demostrar la pertinencia y eficacia de estas medidas y revisarlas periódicamente conforme a las técnicas más avanzadas.
En resumen, el CEPD no prohíbe la práctica del web scraping, pero exige que se diseñe desde el origen con criterios de minimización, transparencia, una base jurídica sólida y medidas técnicas y organizativas eficaces, especialmente frente a categorías especiales de datos.
Conclusión
El web scraping es una herramienta legítima para el desarrollo de IA generativa, pero conlleva riesgos significativos, tanto para los derechos de las personas como para los sitios web que rastrea, y es que, en la práctica, un sitio web sometido a un rastreo intensivo puede ver perjudicado su rendimiento y, en algunos casos, su posicionamiento. No “rompe” el SEO de forma directa, pero sí puede dañarlo de forma indirecta. Se pueden adoptar de oposición como robots.txt o CAPTCHA.
