Jawaban singkat: GDPR tidak melarang web scraping. Namun, saat scraper mengumpulkan, menyimpan, mengorganisasi, atau memakai ulang informasi tentang orang yang bisa diidentifikasi, itu berarti sedang memproses data pribadi. “Datanya publik” bukan strategi kepatuhan.
Perbedaan ini sekarang makin sulit diabaikan. Pada Juli 2026, European Data Protection Board (EDPB) menyatakan bahwa GDPR berlaku untuk scraping bila melibatkan operasi pemrosesan data pribadi, dan menyoroti pembatasan tujuan serta transparansi sebagai perhatian utama. Pedoman web scraping terbarunya masih dibuka untuk konsultasi, tetapi arahnya sudah jelas: tindakan teknis mengumpulkan sebuah halaman hanyalah awal dari pertanyaan kepatuhan. Pembaruan EDPB
Panduan ini adalah kerangka kerja operasional yang praktis, bukan nasihat hukum. Gunakan untuk membantu pengambilan keputusan produk dan engineering yang lebih baik, lalu libatkan konsultan privasi atau DPO Anda untuk kasus-kasus yang benar-benar berisiko.
Pertama, bedakan “boleh di-scrape” dan “boleh digunakan”
Ada tiga pertanyaan berbeda yang sering tercampur jadi satu:
| Pertanyaan | Yang ditanyakan |
|---|---|
| Akses | Apakah Anda berwenang mengakses situs dan mengumpulkan materi tersebut? |
| Perlindungan data | Jika orang bisa diidentifikasi, apakah data tersebut boleh diproses di bawah GDPR? |
| Penggunaan ulang | Apakah Anda boleh menyimpan, memperkaya, menjual, melatih model, memublikasikan, atau menghubungi orang berdasarkan data itu? |
Lulus di satu aspek tidak otomatis berarti lulus di aspek lainnya. Sebuah halaman bisa saja bisa dilihat publik, tetapi datanya tetap tergolong data pribadi. Crawl yang secara teknis berhasil masih bisa memunculkan persoalan GDPR, kontrak, hak kekayaan intelektual, hak basis data, perlindungan konsumen, atau hukum pemasaran.
Jadi, perlakukan kepatuhan sebagai alur kerja sebelum pekerjaan dimulai—bukan sebagai paragraf di kebijakan privasi yang baru ditambahkan belakangan.
1. Tentukan dulu apakah GDPR berlaku
Mulailah dengan dua pertanyaan.
Apakah dataset berisi data pribadi?
Data pribadi jauh lebih luas daripada sekadar nama atau email. Itu mencakup informasi yang berkaitan dengan individu yang teridentifikasi atau dapat diidentifikasi, seperti foto profil, username yang bisa dikaitkan ke seseorang, lokasi, alamat IP, riwayat profesional, ulasan, atau gabungan dari bidang-bidang yang awalnya tampak biasa saja. Definisi EDPB
Data level perusahaan bisa saja tidak bermasalah dalam beberapa kasus. Tetapi catatan “kontak bisnis” bisa cepat berubah jadi data pribadi ketika berisi nama pemilik usaha tunggal, email langsung karyawan, nomor ponsel, atau profil yang tertaut. Rancang untuk dataset yang realistis, bukan versi idealnya.
Apakah GDPR berlaku untuk organisasi dan tujuan Anda?
GDPR dapat berlaku jika pemrosesan terkait dengan pendirian usaha di Uni Eropa. GDPR juga bisa berlaku untuk organisasi di luar UE jika menawarkan barang atau layanan kepada orang di UE, atau memantau perilaku mereka. Gambaran Komisi Eropa
Jika kedua jawabannya ya, anggap scraping tersebut perlu jalur GDPR yang terdokumentasi. Jika jawabannya masih samar, jangan jadikan ketidakpastian sebagai lampu hijau—eskalasikan.
2. Buat ringkasan pengumpulan satu halaman sebelum crawler berjalan
Kontrol paling sederhana sering kali juga yang paling bernilai: tentukan apa yang benar-benar Anda butuhkan sebelum pengumpulan dimulai.
Ringkasan Anda sebaiknya menjawab:
- Tujuan: Keputusan, layanan, atau analisis konkret apa yang membutuhkan data ini?
- Orang dan field: Kategori orang apa yang mungkin muncul, dan field tepat apa yang memang diperlukan?
- Sumber dan akses: Apakah kontennya dapat diakses bebas? Apakah sumber menolak lewat syarat penggunaan, kontrol robots, login wall, atau kontrol teknis lainnya?
- Penggunaan dan penerima: Siapa yang akan melihat hasilnya? Apakah data akan diperkaya, diekspor, dibagikan, dipakai untuk direct marketing, atau digunakan untuk pelatihan model?
- Retensi: Kapan data mentah, file kerja, dan catatan turunan akan dihapus atau ditinjau?
- Kepemilikan: Siapa controllernya, siapa processornya, dan siapa yang menangani permintaan hak subjek data?
Ini bukan birokrasi demi birokrasi. Prinsip GDPR menuntut tujuan yang spesifik dan data yang memadai, relevan, serta terbatas pada yang diperlukan. Prinsip Komisi Eropa
3. Pilih dan dokumentasikan dasar hukum—jangan diasumsikan
Setiap aktivitas pemrosesan data pribadi butuh dasar hukum. Consent bisa cocok untuk beberapa produk, tetapi bukan jawaban default untuk data web publik. Untuk sebagian organisasi swasta, legitimate interests bisa menjadi dasar yang mungkin untuk scraping dengan cakupan sempit dan perlindungan yang memadai. Namun, itu tidak otomatis.
Penilaian legitimate interests yang kuat biasanya menjawab tiga pertanyaan:
- Apakah kepentingannya legal, spesifik, nyata, dan sedang berlangsung?
- Apakah pengumpulan ini memang diperlukan untuk tujuan tersebut, atau ada cara yang lebih tidak invasif?
- Apakah kepentingan, hak, atau ekspektasi wajar individu lebih besar daripada kepentingan Anda?
CNIL menyatakan bahwa data yang tersedia publik dan dikumpulkan melalui scraping umumnya dinilai melalui lensa legitimate interests, tetapi tetap memerlukan langkah tambahan untuk mengurangi dampaknya terhadap individu. CNIL juga menekankan analisis per kasus, bukan izin umum untuk semua situasi. Panduan CNIL
Dokumentasikan analisisnya, asumsi yang dipakai, dan mitigasi yang Anda pilih. “Profilnya publik” hanyalah konteks untuk uji penyeimbang—bukan uji itu sendiri.
4. Jadikan minimisasi sebagai persyaratan teknis
Catatan yang paling patuh sering kali adalah yang tidak pernah dikumpulkan scraper Anda.
Bangun pagar pembatas berikut ke dalam job pengumpulan:
- Allowlist field. Tentukan field yang Anda butuhkan; jangan scrape semua field yang terlihat hanya karena mudah.
- Blok kategori sensitif. Kecualikan kesehatan, politik, agama, serikat pekerja, kehidupan seksual, biometrik, dan sinyal kategori khusus lainnya kecuali penasihat hukum sudah merancang jalur hukum yang spesifik. Teks biasa pun bisa tanpa sengaja mengungkap kategori-kategori ini.
- Kecualikan sumber berisiko tinggi. Buat daftar eksklusi default untuk kelompok dukungan, forum kesehatan, ruang anak-anak, dan konteks lain di mana penggunaan ulang data bisa mengejutkan atau merugikan.
- Hapus data yang bocor cepat. Jika data pribadi yang tidak relevan ikut tertangkap, isolasi dan hapus, jangan diam-diam disimpan “buat jaga-jaga”.
- Catat provenance. Simpan source URL, tanggal pengumpulan, dan konfigurasi pengumpulan yang relevan bersama setiap dataset. Ini membantu akurasi, penghapusan, dan penanganan hak subjek data.
CNIL secara eksplisit merekomendasikan untuk menentukan kategori yang relevan terlebih dahulu, memfilter data yang tidak perlu atau sensitif, menghapus data yang tidak relevan, dan menghormati penolakan teknis atau hukum terhadap pengumpulan. Perlindungan CNIL
5. Perlakukan transparansi sebagai bagian dari produk
Data yang dikumpulkan dari website biasanya dikumpulkan secara tidak langsung. Artinya, kewajiban transparansi Pasal 14 dapat relevan: jelaskan siapa Anda, tujuan, kategori dan sumber data, dasar hukum, retensi, penerima, transfer, dan hak-hak orang yang datanya diproses.
Ringkasan Komisi Eropa menyebutkan bahwa, jika data diperoleh dari sumber lain, informasi umumnya harus diberikan dalam waktu satu bulan, pada komunikasi pertama, atau pada pengungkapan pertama—mana yang berlaku. Ada pengecualian, termasuk kasus ketika pemberitahuan tidak mungkin dilakukan atau akan memerlukan upaya yang tidak proporsional, tetapi pengecualian ini bersyarat dan harus dinilai serta didokumentasikan, bukan diasumsikan. Kewajiban Komisi Eropa
Untuk pengumpulan skala besar, pemberitahuan publik yang jelas, halaman dataset, jalur kontak khusus, serta instruksi yang mudah ditemukan untuk penolakan, akses, koreksi, dan penghapusan bisa lebih bermakna daripada halaman hukum yang tersembunyi. Format yang tepat bergantung pada pemrosesan dan risikonya.
6. Bangun alur kerja penghapusan dan hak subjek data sebelum peluncuran
Scraping skala besar membuat pembersihan di belakang layar jadi mahal. Beri dataset identitas, simpan peta terkendali dari sumber ke record, dan pastikan Anda bisa menemukan serta menghapus atau menyamarkan data seseorang di seluruh tangkapan mentah, basis data, ekspor, indeks, dan processor hilir.
Setidaknya, tentukan:
- siapa yang menerima dan memverifikasi permintaan hak subjek data;
- bagaimana sebuah record ditemukan tanpa meminta informasi tambahan yang tidak perlu;
- bagaimana penghapusan atau penolakan diteruskan ke sistem downstream;
- bagaimana mekanisme suppression mencegah pengumpulan ulang yang tidak sengaja;
- berapa lama log dan backup menyimpan record tersebut, serta proses pengecualian apa yang berlaku.
Jika dataset akan dipakai untuk model, knowledge graph, profiling, atau direct marketing, buat rencana ini lebih ketat. Semakin jauh data bergerak, semakin sulit hak-hak itu dipenuhi secara bermakna.
7. Amankan dataset dan nilai kasus berisiko tinggi sejak awal
GDPR mensyaratkan langkah yang sebanding dengan risikonya, termasuk perlindungan dari akses tanpa izin, kehilangan, penghancuran, dan pemrosesan yang melanggar hukum. Privacy by design dan by default berarti memilih kontrol itu dari awal, bukan setelah terjadi pelanggaran. Kewajiban Komisi Eropa
Kontrol dasar yang berguna mencakup akses berbasis peran, enkripsi saat transit dan saat tersimpan, pengelolaan secrets, audit log, review vendor, kontrol ekspor data, dan proses insiden yang sudah diuji. Pseudonymisation dapat menurunkan risiko, tetapi itu tidak sama dengan anonymisation dan biasanya tidak otomatis menghapus kewajiban GDPR.
DPIA perlu dipertimbangkan sebelum pemrosesan yang kemungkinan menimbulkan risiko tinggi, terutama ketika Anda menggabungkan faktor-faktor berikut:
- pengumpulan atau pemantauan skala besar;
- profiling atau keputusan yang berdampak pada orang;
- data kategori khusus atau data yang sangat personal;
- anak-anak atau kelompok rentan lainnya;
- penggabungan dataset untuk menarik inferensi baru;
- identifikasi persisten, data lokasi, atau penggunaan ulang ala data broker;
- pelatihan AI atau model yang bisa menghafal atau mengekspos data pribadi.
Komisi mengidentifikasi evaluasi otomatis yang sistematis dan luas, pemrosesan data sensitif skala besar, serta pemantauan sistematis skala besar sebagai kasus yang mengharuskan DPIA. Panduan DPIA
Checklist peluncuran untuk tim web scraping
Sebelum menjalankan job produksi, pastikan semua hal berikut terpenuhi:
- Kami tahu apakah pengumpulan mencakup data pribadi dan mengapa GDPR berlaku atau tidak berlaku.
- Kami punya tujuan tertulis yang spesifik dan allowlist field yang diperlukan.
- Kami sudah mendokumentasikan dasar hukum dan, jika relevan, penilaian legitimate interests.
- Kami secara default mengecualikan sumber atau kategori yang sensitif dan berisiko tinggi.
- Kami sudah menilai pembatasan sumber dan tidak menerobos kontrol akses.
- Kami punya penjelasan publik yang transparan dan jalur yang bisa dipakai untuk permintaan hak subjek data serta penolakan.
- Kami tahu peran controller/processor dan punya ketentuan vendor yang sesuai.
- Kami punya prosedur retensi, penghapusan, suppression, dan propagasi ke downstream.
- Kami punya kontrol keamanan yang sebanding dan penanggung jawab insiden.
- Kami sudah menyelesaikan, atau secara sadar mendokumentasikan alasan tidak perlunya, DPIA dan penilaian transfer lintas batas.
Inti praktisnya
Kepatuhan GDPR untuk web scraper bukan soal menemukan satu baris ajaib di robots file atau menempelkan disclaimer ke produk Anda. Ini soal membuat pengumpulan sebanding dengan tujuan yang dijelaskan secara jelas, memberi orang visibilitas dan kontrol yang bermakna, serta mampu membuktikan pilihan Anda di kemudian hari.
Mulai dari yang sempit. Kumpulkan lebih sedikit. Simpan sumber dan stempel waktu. Bangun penghapusan ke dalam model data. Eskalasikan penggunaan yang sensitif, skala besar, profiling, dan pelatihan AI sebelum data mengalir ke sistem downstream. Kebiasaan seperti ini bikin scraper lebih tepercaya—dan jauh lebih mudah dioperasikan saat pertanyaan privasi pertama muncul.
Artikel ini memberikan informasi umum, bukan nasihat hukum. Minta saran dari pihak yang kompeten untuk fakta, yurisdiksi, kategori data, dan tujuan penggunaan di organisasi Anda.
Pelajari Lebih Lanjut
