Kort antwoord: De AVG verbiedt webscraping niet. Maar zodra een scraper informatie verzamelt, opslaat, ordent of hergebruikt over identificeerbare personen, ben je bezig met de verwerking van persoonsgegevens. “Het stond toch openbaar” is geen nalevingsstrategie.
Dat onderscheid is inmiddels extra belangrijk. In juli 2026 zei de European Data Protection Board (EDPB) dat de AVG van toepassing is op scraping wanneer daarbij persoonsgegevens worden verwerkt, en benadrukte dat doelbinding en transparantie daarbij cruciale aandachtspunten zijn. De nieuwe webscraping-richtlijnen staan nog open voor consultatie, maar de richting is duidelijk: het technische ophalen van een pagina is pas het begin van de compliancevraag. EDPB update
Deze gids is een praktisch werkkader, geen juridisch advies. Gebruik hem om betere product- en engineeringbeslissingen te nemen en betrek daarna privacyjuristen of je FG/DPO bij situaties met echt risico.
Begin met het verschil tussen “mag je scrapen” en “mag je het gebruiken”
Vaak worden drie verschillende vragen op Ă©Ă©n hoop gegooid:
| Vraag | Wat wordt ermee bedoeld |
|---|---|
| Toegang | Mag je de site benaderen en de inhoud verzamelen? |
| Gegevensbescherming | Als personen identificeerbaar zijn, mag je die gegevens dan verwerken onder de AVG? |
| Hergebruik | Mag je de gegevens bewaren, verrijken, verkopen, gebruiken om te trainen, publiceren of contact opnemen met mensen? |
Voor Ă©Ă©n van deze vragen slagen betekent niet automatisch dat de andere ook goed zitten. Een pagina kan publiek zichtbaar zijn terwijl de gegevens nog steeds persoonsgegevens zijn. Een technisch geslaagde crawl kan alsnog AVG-, contract-, intellectuele-eigendom-, databankenrecht-, consumentenrecht- of marketingrechtelijke problemen opleveren.
Zie compliance dus als een workflow vóór je begint, niet als een alinea in een privacybeleid die je achteraf toevoegt.
1. Bepaal eerst of de AVG ĂĽberhaupt van toepassing is
Begin met twee vragen.
Bevat de dataset persoonsgegevens?
Persoonsgegevens gaan verder dan een naam of e-mailadres. Het gaat om informatie die betrekking heeft op een geĂŻdentificeerde of identificeerbare persoon, zoals een profielfoto, gebruikersnaam die aan iemand gekoppeld kan worden, locatiegegevens, IP-adres, loopbaanhistorie, reviews of een combinatie van op zichzelf onschuldige velden. EDPB-definitie
Gegevens op bedrijfsniveau kunnen in sommige gevallen onschuldig zijn. Maar een record met een “zakelijk contact” kan al snel persoonsgegevens worden als het gaat om een eenmanszaak met naam, een direct zakelijk e-mailadres van een medewerker, een mobiel nummer of een gekoppeld profiel. Ontwerp voor de realistische dataset, niet voor de ideale versie ervan.
Is de AVG van toepassing op jouw organisatie en doel?
De AVG kan gelden als de verwerking verband houdt met een vestiging in de EU. Ze kan ook gelden voor een organisatie buiten de EU als die goederen of diensten aanbiedt aan mensen in de EU of hun gedrag volgt. Overzicht Europese Commissie
Als beide antwoorden ja zijn, ga er dan van uit dat je scrape een gedocumenteerd AVG-traject nodig heeft. Is het onduidelijk, gebruik die onzekerheid dan niet als groen licht — escaleer het.
2. Schrijf vóór het draaien van de crawler een korte, eenduidige verzamelnotitie
De eenvoudigste maatregel is vaak ook de waardevolste: bepaal wat je nodig hebt vóór je gaat verzamelen.
Je notitie moet antwoord geven op:
- Doel: Welke concrete beslissing, dienst of analyse vereist deze data?
- Personen en velden: Welke categorieën personen kunnen voorkomen, en welke exacte velden zijn echt nodig?
- Bron en toegang: Is de content vrij toegankelijk? Verzet de bron zich via voorwaarden, robots-instellingen, inlogschermen of andere technische maatregelen?
- Gebruik en ontvangers: Wie ziet de resultaten? Worden de gegevens verrijkt, geëxporteerd, gedeeld, gebruikt voor direct marketing of ingezet voor modeltraining?
- Bewaartermijn: Wanneer worden ruwe data, werkbestanden en afgeleide records verwijderd of herbeoordeeld?
- Verantwoordelijkheden: Wie is verwerkingsverantwoordelijke, wie is verwerker en wie handelt verzoeken van betrokkenen af?
Dat is geen bureaucratie om de bureaucratie. De AVG-principes vereisen een specifiek doel en gegevens die toereikend, relevant en beperkt zijn tot wat noodzakelijk is. Principes Europese Commissie
3. Kies en documenteer een rechtsgrond — ga daar niet zomaar van uit
Voor elke verwerking van persoonsgegevens is een rechtsgrond nodig. Toestemming kan passen bij sommige producten, maar is niet automatisch de standaard voor openbare webdata. Voor sommige private organisaties kan gerechtvaardigd belang een mogelijke basis zijn voor scherp afgebakende scraping, mits er stevige waarborgen zijn. Het is niet vanzelfsprekend.
Een verdedigbare belangenafweging bestaat uit drie vragen:
- Is het belang rechtmatig, specifiek, reëel en actueel?
- Is deze verzameling noodzakelijk voor dat doel, of kan het minder ingrijpend?
- Wegen de belangen, rechten of redelijke verwachtingen van de persoon zwaarder dan jouw belang?
De CNIL geeft aan dat publiek beschikbare data die via scraping wordt verzameld in het algemeen vanuit gerechtvaardigd belang kan worden beoordeeld, maar dat er extra maatregelen nodig zijn om de impact op mensen te beperken. Daarnaast benadrukt de toezichthouder dat een casus altijd afzonderlijk moet worden beoordeeld, niet via een generieke toestemming. CNIL-richtlijn
Leg de analyse vast, inclusief aannames en gekozen mitigerende maatregelen. “Het profiel was openbaar” is context voor de afweging — niet de afweging zelf.
4. Maak dataminimalisatie een technische eis
Het meest AVG-vriendelijke record is vaak het record dat je scraper nooit heeft opgehaald.
Bouw de volgende waarborgen in je verzamelproces:
- Werk met een allowlist van velden. Bepaal vooraf welke velden je nodig hebt; scrape niet alles wat zichtbaar is omdat het nu eenmaal makkelijk is.
- Blokkeer gevoelige categorieën. Sluit signalen uit over gezondheid, politieke opvattingen, religie, vakbondslidmaatschap, seksleven, biometrie en andere bijzondere categorieën, tenzij juridisch advies een specifieke rechtsgrond heeft uitgewerkt. Gewone tekst kan onverwacht toch zulke categorieën onthullen.
- Sluit bronnen met verhoogd risico uit. Houd standaard een uitsluitingslijst aan voor steungroepen, gezondheidsfora, kindgerichte omgevingen en andere contexten waar hergebruik verrassend of schadelijk kan zijn.
- Verwijder overschot snel. Als irrelevante persoonsgegevens toch worden meegenomen, isoleer en verwijder ze dan in plaats van ze stilletjes “voor de zekerheid” te bewaren.
- Leg herkomst vast. Bewaar per dataset de bron-URL, verzameldatum en relevante configuratie. Dat helpt bij juistheid, verwijdering en afhandeling van rechtenverzoeken.
De CNIL adviseert expliciet om vooraf relevante categorieën te bepalen, onnodige of gevoelige data te filteren, irrelevante data te verwijderen en technische of juridische bezwaren tegen verzamelen te respecteren. CNIL-waarborgen
5. Beschouw transparantie als onderdeel van het product
Gegevens die van een website worden verzameld, zijn meestal indirect verkregen. Dat betekent dat de transparantieverplichtingen van artikel 14 relevant kunnen zijn: leg uit wie je bent, wat het doel is, welke categorieën en bron van data je gebruikt, wat de rechtsgrond is, hoe lang je bewaart, met wie je deelt, en welke rechten mensen hebben.
De samenvatting van de Europese Commissie zegt dat wanneer gegevens uit een andere bron worden verkregen, informatie in principe binnen één maand moet worden verstrekt, bij het eerste contact of bij de eerste openbaarmaking — afhankelijk van wat van toepassing is. Er zijn uitzonderingen, bijvoorbeeld als informeren onmogelijk is of onevenredig veel moeite kost, maar die zijn voorwaardelijk en moeten worden beoordeeld en vastgelegd in plaats van aangenomen. Verplichtingen Europese Commissie
Bij brede datasets kan een duidelijke publieke melding, een datasetpagina, een apart contactpunt en eenvoudig vindbare instructies voor bezwaar, inzage, correctie en verwijdering waardevoller zijn dan een verborgen juridische pagina. Het juiste format hangt af van de verwerking en het risico.
6. Richt een verwijder- en rechtenworkflow in vóór de lancering
Scraping op schaal maakt opruimen achteraf duur. Geef de data een identifier, houd een gecontroleerde koppeling tussen bron en record bij, en zorg dat je een persoon uit ruwe captures, databases, exports, indexen en downstream-processors kunt vinden en verwijderen of afschermen.
Bepaal minimaal:
- wie een verzoek van een betrokkene ontvangt en verifieert;
- hoe een record wordt teruggevonden zonder onnodig extra informatie te vragen;
- hoe verwijdering of bezwaar wordt doorgegeven aan downstream-systemen;
- hoe afscherming voorkomt dat de data opnieuw wordt verzameld;
- hoe lang logs en back-ups het record bewaren en welke uitzonderingsprocedure geldt.
Als de dataset wordt gebruikt voor een model, een verrijkingsgrafiek, profiling of direct marketing, maak dit plan dan nog strakker. Hoe verder de data reist, hoe moeilijker het wordt om rechten nog zinvol te eerbiedigen.
7. Beveilig de dataset en beoordeel risicovolle gevallen vroeg
De AVG vereist maatregelen die in verhouding staan tot het risico, inclusief bescherming tegen ongeautoriseerde toegang, verlies, vernietiging en onrechtmatige verwerking. Privacy by design en by default betekent dat je die controles al aan het begin kiest, niet pas na een datalek. Verplichtingen Europese Commissie
Nuttige basismaatregelen zijn onder meer rolgebaseerde toegangsrechten, versleuteling tijdens transport en in rust, geheimbeheer, auditlogs, beoordeling van leveranciers, exportbeperkingen voor data en een getest incidentproces. Pseudonimisering kan het risico verlagen, maar is niet hetzelfde als anonimiseren en haalt de AVG meestal niet automatisch weg.
Een DPIA moet worden overwogen vóór verwerking die waarschijnlijk een hoog risico oplevert, zeker wanneer je deze factoren combineert:
- grootschalige verzameling of monitoring;
- profiling of beslissingen die gevolgen hebben voor mensen;
- bijzondere categorieën of zeer persoonlijke data;
- kinderen of andere kwetsbare groepen;
- datasets combineren om nieuwe afleidingen te trekken;
- permanente identificatie, locatiegegevens of hergebruik zoals bij datamarktplaatsen;
- AI-training of een model dat persoonsgegevens kan onthouden of blootleggen.
De Commissie noemt onder meer systematische en grootschalige geautomatiseerde beoordeling, grootschalige verwerking van gevoelige data en grootschalige systematische monitoring als gevallen waarvoor een DPIA nodig is. DPIA-richtlijn
Een lancering-checklist voor webscrapingteams
Controleer vóór een productierun in elk geval het volgende:
- We weten of de verzameling persoonsgegevens bevat en waarom de AVG wel of niet van toepassing is.
- We hebben een precies, schriftelijk doel en een allowlist van benodigde velden.
- We hebben een rechtsgrond gedocumenteerd en, waar relevant, een belangenafweging opgesteld.
- We sluiten gevoelige en hoog-risicobronnen of -categorieën standaard uit.
- We hebben bronbeperkingen beoordeeld en omzeilen geen toegangsbeveiliging.
- We hebben een transparante publieke toelichting en een werkbare route voor rechtenverzoeken en bezwaren.
- We weten welke rol verwerkingsverantwoordelijke/verwerker heeft en hebben passende contractafspraken met leveranciers.
- We hebben procedures voor bewaartermijn, verwijdering, afscherming en doorwerking naar downstream-systemen.
- We hebben passende beveiligingsmaatregelen en eigenaarschap voor incidenten.
- We hebben een DPIA en beoordeling van internationale doorgifte uitgevoerd, of bewust vastgelegd waarom dat niet nodig is.
De praktische les
AVG-naleving voor webscrapers draait niet om het vinden van een magische zin in een robots-bestand of het plakken van een disclaimer in je product. Het gaat erom dat verzamelen in verhouding staat tot een duidelijk geformuleerd doel, dat mensen echt inzicht en controle krijgen, en dat je later kunt aantonen waarom je bepaalde keuzes hebt gemaakt.
Begin klein. Verzamel minder. Bewaar bron en tijdstempel. Bouw verwijdering in je datamodel. Escaleer gevoelige, grootschalige, profiling- en AI-trainingsgebruik nog voordat de data verder stroomt. Dat maakt een scraper niet alleen betrouwbaarder, maar ook veel makkelijker te beheren zodra de eerste privacyvraag opduikt.
Dit artikel geeft algemene informatie en is geen juridisch advies. Vraag gekwalificeerd advies voor de feiten, rechtsgebieden, datacategorieën en het beoogde gebruik binnen jouw organisatie.
Meer weten
