Conformità al GDPR per i Web Scraper: guida pratica 2026

Risposta breve: il GDPR non vieta il web scraping. Però, quando uno scraper raccoglie, salva, organizza o riutilizza informazioni su persone identificabili, sta trattando dati personali. Il fatto che “fossero pubblici” non basta affatto come strategia di conformità.

Questa distinzione oggi conta ancora di più. Nel luglio 2026, il Comitato europeo per la protezione dei dati (EDPB) ha chiarito che il GDPR si applica allo scraping quando comporta operazioni di trattamento di dati personali, richiamando in particolare la limitazione delle finalità e la trasparenza. Le nuove linee guida sul web scraping sono ancora in consultazione, ma la direzione è chiara: l’atto tecnico di raccogliere una pagina è solo l’inizio della valutazione di conformità. Aggiornamento EDPB

Questa guida è un quadro operativo pratico, non una consulenza legale. Usala per prendere decisioni migliori su prodotto e ingegneria, e poi coinvolgi il consulente privacy o il DPO nei casi che comportano un rischio concreto.

Prima di tutto, distingui tra “si può fare scraping” e “si può usare”

Spesso si mettono insieme tre domande diverse:

Domanda	Cosa chiede
Accesso	Sei autorizzato ad accedere al sito e a raccogliere il materiale?
Protezione dei dati	Se le persone sono identificabili, puoi trattare i dati ai sensi del GDPR?
Riutilizzo	Puoi conservarli, arricchirli, venderli, usarli per addestramento, pubblicarli o contattare le persone?

Superare un test non vuol dire superare anche gli altri. Una pagina può essere pubblica e, allo stesso tempo, contenere dati personali. Una raccolta riuscita dal punto di vista tecnico può comunque creare problemi di GDPR, contratto, proprietà intellettuale, diritto sulle banche dati, tutela dei consumatori o norme sul marketing.

Per questo la conformità va pensata come un flusso di lavoro prima di partire, non come un paragrafo da aggiungere dopo in un’informativa privacy.

1. Decidi se il GDPR rientra nel perimetro

Parti da due domande.

Il dataset contiene dati personali?

I dati personali vanno ben oltre nome o email. Comprendono qualsiasi informazione relativa a una persona fisica identificata o identificabile, come foto profilo, username collegabile a una persona, posizione geografica, indirizzo IP, esperienza professionale, recensioni o una combinazione di campi che singolarmente sembrano innocui. Definizione EDPB

I dati a livello aziendale possono essere innocui in certi casi. Ma un record di “contatto business” può diventare rapidamente dato personale se contiene un libero professionista nominato, l’email diretta di un dipendente, un numero di cellulare o un profilo collegato. Progetta pensando al dataset reale, non a quello ideale.

Il GDPR si applica alla tua organizzazione e alla tua finalità?

Il GDPR può applicarsi quando il trattamento è collegato a una sede nell’UE. Può applicarsi anche a un’organizzazione fuori dall’UE se offre beni o servizi a persone nell’UE o ne monitora il comportamento. Panoramica della Commissione europea

Se entrambe le risposte sono sì, considera lo scraping come qualcosa che richiede un percorso GDPR documentato. Se la risposta non è chiara, non trattare l’incertezza come un via libera: fai escalare il caso.

2. Scrivi un brief di raccolta in una pagina prima che il crawler parta

Il controllo più semplice è anche quello più utile: definisci ciò che ti serve prima di raccogliere.

Il brief dovrebbe rispondere a queste domande:

• Finalità: quale decisione, servizio o analisi concreta richiede questi dati?
• Persone e campi: quali categorie di persone possono comparire e quali campi esatti servono?
• Fonte e accesso: il contenuto è liberamente accessibile? La fonte si oppone tramite termini d’uso, restrizioni robots, login wall o altri controlli tecnici?
• Utilizzo e destinatari: chi vedrà i risultati? I dati verranno arricchiti, esportati, condivisi, usati per marketing diretto o per addestramento di modelli?
• Conservazione: quando verranno eliminati o rivisti i dati grezzi, i file di lavoro e i record derivati?
• Responsabilità: chi è il titolare del trattamento, chi è il responsabile e chi gestisce le richieste degli interessati?

Non è burocrazia fine a sé stessa. I principi del GDPR richiedono una finalità specifica e dati adeguati, pertinenti e limitati a quanto necessario. Principi della Commissione europea

3. Scegli e documenta una base giuridica — non darla per scontata

Ogni trattamento di dati personali richiede una base giuridica. Il consenso può andare bene per alcuni prodotti, ma non è la risposta predefinita per i dati pubblici del web. Per alcune organizzazioni private, i legittimi interessi possono essere una base possibile per uno scraping circoscritto e con vere garanzie. Non è automatico.

Una valutazione difendibile dei legittimi interessi si articola in tre domande:

1. L’interesse è lecito, specifico, reale e attuale?
2. Questa raccolta è necessaria per quella finalità, oppure esiste un modo meno invasivo per raggiungerla?
3. Gli interessi, i diritti o le ragionevoli aspettative della persona prevalgono sul tuo interesse?

La CNIL afferma che i dati pubblicamente disponibili raccolti tramite scraping vengono in generale valutati alla luce dei legittimi interessi, ma richiedono misure aggiuntive per ridurre l’impatto sulle persone. Sottolinea anche la necessità di un’analisi caso per caso, non di un’autorizzazione generale. Linee guida CNIL

Documenta l’analisi, le ipotesi e le mitigazioni scelte. “Il profilo era pubblico” è un elemento del bilanciamento, non il bilanciamento stesso.

4. Fai della minimizzazione un requisito tecnico

Il record più conforme è spesso quello che il tuo scraper non ha mai raccolto.

Inserisci queste protezioni nel job di raccolta:

• Allowlist dei campi. Definisci i campi necessari; non fare scraping di tutto ciò che è visibile solo perché è facile.
• Blocca le categorie sensibili. Escludi dati su salute, opinioni politiche, religione, sindacato, vita sessuale, biometria e altri dati particolari, salvo che un consulente abbia progettato un percorso giuridico specifico. Testi ordinari possono rivelare inaspettatamente queste categorie.
• Escludi le fonti ad alto rischio. Mantieni una lista di esclusione predefinita per gruppi di supporto, forum sulla salute, spazi dedicati ai minori e altri contesti in cui il riutilizzo potrebbe essere sorprendente o dannoso.
• Elimina rapidamente gli extra. Se vengono acquisiti dati personali irrilevanti, isolarli ed eliminarli invece di conservarli silenziosamente “per sicurezza”.
• Registra la provenienza. Salva per ogni dataset l’URL di origine, la data di raccolta e la configurazione rilevante. Questo aiuta su accuratezza, cancellazione e gestione dei diritti.

La CNIL raccomanda esplicitamente di decidere in anticipo le categorie rilevanti, filtrare i dati inutili o sensibili, cancellare i dati irrilevanti e rispettare l’eventuale opposizione tecnica o legale alla raccolta. Garanzie CNIL

5. Tratta la trasparenza come parte del prodotto

I dati raccolti da un sito web sono di solito raccolti indirettamente. Questo significa che possono entrare in gioco gli obblighi di trasparenza dell’Articolo 14: spiegare chi sei, la finalità, le categorie e la fonte dei dati, la base giuridica, i tempi di conservazione, i destinatari, i trasferimenti e i diritti delle persone.

La sintesi della Commissione europea dice che, quando i dati sono ottenuti da un’altra fonte, l’informativa va generalmente fornita entro un mese, al primo contatto o al primo utilizzo della divulgazione, a seconda del caso. Esistono eccezioni, incluso quando la notifica è impossibile o richiederebbe uno sforzo sproporzionato, ma sono condizioni da valutare e documentare, non da dare per scontate. Obblighi della Commissione europea

Per raccolte ampie, un avviso pubblico chiaro, una pagina dedicata al dataset, un canale di contatto specifico e istruzioni facili da trovare per opposizione, accesso, rettifica e cancellazione possono essere più efficaci di una pagina legale nascosta. Il formato giusto dipende dal trattamento e dal rischio.

6. Prepara un flusso per cancellazione e diritti prima del lancio

Lo scraping su larga scala rende costosa la bonifica successiva. Assegna un identificatore ai dati, mantieni una mappa controllata dalla fonte al record e assicurati di poter trovare e rimuovere o sopprimere i dati di una persona in tutte le copie grezze, nei database, nelle esportazioni, negli indici e nei sistemi downstream.

Al minimo, decidi:

• chi riceve e verifica una richiesta di diritti;
• come individuare un record senza chiedere informazioni extra non necessarie;
• come la cancellazione o l’opposizione viene propagata ai sistemi a valle;
• come la soppressione impedisce una nuova raccolta accidentale;
• per quanto tempo log e backup conservano il record e quale procedura di eccezione si applica.

Se il dataset alimenterà un modello, un grafo di arricchimento, il profiling o il marketing diretto, rendi questo piano ancora più rigoroso. Più lontano viaggiano i dati, più è difficile rispettare i diritti in modo concreto.

7. Metti in sicurezza il dataset e valuta presto i casi ad alto rischio

Il GDPR richiede misure proporzionate al rischio, inclusa la protezione da accessi non autorizzati, perdita, distruzione e trattamento illecito. Privacy by design e by default significa scegliere questi controlli all’inizio, non dopo una violazione. Obblighi della Commissione europea

Tra i controlli di base utili ci sono accessi basati sui ruoli, crittografia in transito e a riposo, gestione sicura dei segreti, audit log, revisione dei fornitori, controlli sulle esportazioni dei dati e una procedura per gli incidenti già testata. La pseudonimizzazione può ridurre il rischio, ma non equivale all’anonimizzazione e di solito non elimina da sola gli obblighi GDPR.

Una DPIA andrebbe considerata prima di un trattamento che probabilmente crea un rischio elevato, soprattutto quando combini questi fattori:

• raccolta o monitoraggio su larga scala;
• profilazione o decisioni che incidono sulle persone;
• dati particolari o molto personali;
• minori o altre persone vulnerabili;
• combinazione di dataset per ricavare nuove inferenze;
• identificazione persistente, dati di localizzazione o riutilizzo in stile data broker;
• addestramento AI o un modello che potrebbe memorizzare o esporre dati personali.

La Commissione considera tra i casi che richiedono una DPIA la valutazione automatizzata sistematica ed estesa, il trattamento su larga scala di dati sensibili e il monitoraggio sistematico su larga scala. Guida DPIA

Checklist di lancio per i team di web scraping

Prima di eseguire un job in produzione, verifica tutto quanto segue:

• Sappiamo se la raccolta include dati personali e perché il GDPR si applica o non si applica.
• Abbiamo una finalità precisa e scritta e un allowlist dei campi richiesti.
• Abbiamo documentato una base giuridica e, se pertinente, una valutazione dei legittimi interessi.
• Abbiamo escluso per impostazione predefinita fonti o categorie sensibili e ad alto rischio.
• Abbiamo valutato le restrizioni della fonte e non aggiriamo i controlli di accesso.
• Abbiamo una spiegazione pubblica trasparente e un percorso praticabile per richieste di diritti e opposizioni.
• Conosciamo i ruoli di titolare/responsabile e abbiamo termini adeguati con i fornitori.
• Abbiamo procedure per conservazione, cancellazione, soppressione e propagazione downstream.
• Abbiamo controlli di sicurezza proporzionati e una chiara responsabilità in caso di incidente.
• Abbiamo completato, oppure documentato consapevolmente perché non serve, una DPIA e una valutazione dei trasferimenti transfrontalieri.

Il punto pratico da portare a casa

La conformità al GDPR per i web scraper non consiste nel trovare una formula magica nel file robots o nell’incollare una clausola legale nel prodotto. Significa rendere la raccolta proporzionata a una finalità chiaramente dichiarata, dare alle persone visibilità e controllo reali, e saper dimostrare in seguito le proprie scelte.

Parti in modo mirato. Raccogli meno. Conserva fonti e timestamp. Integra la cancellazione nel modello dei dati. Fai escalation per usi sensibili, su larga scala, di profiling e di addestramento AI prima che i dati passino a valle. Queste abitudini rendono uno scraper più affidabile e molto più facile da gestire quando arriva la prima domanda sulla privacy.

Questo articolo fornisce informazioni generali, non consulenza legale. Per i fatti, le giurisdizioni, le categorie di dati e l’uso previsto della tua organizzazione, richiedi una consulenza qualificata.

Scopri di più

• Il web scraping è legale negli Stati Uniti? Cosa dice davvero la legge
• Come iniziare un tutorial di estrazione dati dal web con Thunderbit
• 10 API per web scraping a confronto sul campo (2026)
• Le 10 migliori proxy browser per la privacy online
• Statistiche chiave sulla privacy dei dati AI da conoscere nel 2026