Resposta curta: o GDPR não proíbe web scraping. Mas, quando um scraper coleta, armazena, organiza ou reutiliza informações de pessoas identificáveis, isso passa a ser tratamento de dados pessoais. “Estava público” não é estratégia de conformidade.
Essa distinção ficou ainda mais difícil de ignorar. Em julho de 2026, o European Data Protection Board (EDPB) afirmou que o GDPR se aplica ao scraping quando ele envolve operações de tratamento de dados pessoais, e destacou limitação de finalidade e transparência como pontos centrais. As novas diretrizes sobre web scraping ainda estão abertas para consulta, mas a direção é clara: o ato técnico de coletar uma página é apenas o começo da análise de conformidade. Atualização do EDPB
Este guia é um framework operacional prático, não aconselhamento jurídico. Use-o para tomar decisões melhores de produto e engenharia e, depois, envolva o jurídico de privacidade ou seu DPO nos casos que tragam risco real.
Primeiro, separe “pode coletar” de “pode usar”
Três perguntas diferentes costumam ser colocadas na mesma cesta:
| Pergunta | O que ela investiga |
|---|---|
| Acesso | Você está autorizado a acessar o site e coletar o material? |
| Proteção de dados | Se as pessoas forem identificáveis, você pode tratar os dados sob o GDPR? |
| Reutilização | Você pode reter, enriquecer, vender, treinar, publicar ou contatar pessoas usando esses dados? |
Passar em uma delas não significa passar nas outras. Uma página pode estar visível publicamente e ainda assim conter dados pessoais. Um crawl tecnicamente bem-sucedido ainda pode gerar questões de GDPR, contrato, propriedade intelectual, direito sobre base de dados, proteção ao consumidor ou legislação de marketing.
Por isso, trate a conformidade como um fluxo de trabalho antes de começar — e não como um parágrafo em uma política de privacidade adicionado depois.
1. Defina se o GDPR está em escopo
Comece com duas perguntas.
O conjunto de dados contém dados pessoais?
Dados pessoais são mais amplos do que nome ou e-mail. Incluem qualquer informação relacionada a uma pessoa identificada ou identificável, como foto de perfil, nome de usuário que possa ser ligado a alguém, localização, endereço IP, histórico profissional, avaliações ou até a combinação de campos aparentemente comuns. Definição do EDPB
Dados em nível de empresa podem ser inofensivos em alguns casos. Mas um registro de “contato comercial” pode rapidamente virar dado pessoal quando inclui um MEI/empresário individual identificado, e-mail direto de um funcionário, celular ou um perfil vinculado. Projete para o conjunto de dados realista, não para a versão idealizada.
O GDPR se aplica à sua organização e ao seu propósito?
O GDPR pode se aplicar quando o tratamento estiver conectado a um estabelecimento na UE. Ele também pode se aplicar a uma organização fora da UE se ela oferece bens ou serviços para pessoas na UE ou monitora seu comportamento. Visão geral da Comissão Europeia
Se as duas respostas forem sim, considere que o scraping precisa de um caminho de conformidade com GDPR documentado. Se a resposta for incerta, não trate a dúvida como sinal verde — escale o caso.
2. Escreva um resumo de coleta em uma página antes de rodar o crawler
O controle mais simples também é o mais valioso: defina o que você precisa antes da coleta.
Seu resumo deve responder:
- Finalidade: Que decisão, serviço ou análise concreta depende desses dados?
- Pessoas e campos: Que categorias de pessoas podem aparecer e quais campos exatos são necessários?
- Fonte e acesso: O conteúdo está acessível livremente? A fonte se opõe por meio de termos, robots, login, ou outros controles técnicos?
- Uso e destinatários: Quem verá os resultados? Os dados serão enriquecidos, exportados, compartilhados, usados para marketing direto ou treinamento de modelo?
- Retenção: Quando os dados brutos, arquivos de trabalho e registros derivados serão excluídos ou revisados?
- Responsabilidade: Quem é o controlador, quem é o operador/processador e quem lida com solicitações de direitos?
Isso não é burocracia pela burocracia. Os princípios do GDPR exigem uma finalidade definida e dados adequados, relevantes e limitados ao necessário. Princípios da Comissão Europeia
3. Escolha e documente uma base legal — não assuma uma
Toda atividade de tratamento de dados pessoais precisa de uma base legal. O consentimento pode ser adequado em alguns produtos, mas não é a resposta padrão para dados públicos da web. Para algumas organizações privadas, interesse legítimo pode ser uma base possível para scraping com escopo restrito e salvaguardas reais. Não é algo automático.
Uma análise de interesse legítimo defensável responde a três perguntas:
- O interesse é lícito, específico, real e atual?
- Essa coleta é necessária para essa finalidade, ou existe uma forma menos intrusiva de chegar ao mesmo resultado?
- Os interesses, direitos ou expectativas razoáveis da pessoa superam o seu interesse?
A CNIL afirma que dados públicos coletados por scraping são, em geral, analisados sob a ótica de interesse legítimo, mas exigem medidas adicionais para reduzir o impacto sobre as pessoas. Ela também reforça que a análise deve ser feita caso a caso, e não como uma permissão genérica. Orientação da CNIL
Documente a análise, suas premissas e as mitigações escolhidas. “O perfil estava público” é contexto para o teste de balanceamento — não o teste em si.
4. Faça da minimização um requisito técnico
O melhor registro em conformidade muitas vezes é aquele que seu scraper nunca chegou a coletar.
Inclua as seguintes proteções no job de coleta:
- Whitelist de campos. Defina os campos necessários; não colete tudo o que estiver visível só porque é fácil.
- Bloqueio de categorias sensíveis. Exclua saúde, opinião política, religião, sindicalização, vida sexual, biometria e outros sinais de categoria especial, a menos que o jurídico tenha definido um caminho legal específico. Texto comum pode revelar essas categorias sem querer.
- Exclusão de fontes de alto risco. Mantenha uma lista padrão de exclusão para grupos de apoio, fóruns de saúde, espaços infantis e outros contextos em que a reutilização possa ser surpreendente ou prejudicial.
- Apague rapidamente o excesso. Se dados pessoais irrelevantes forem capturados, isole e exclua em vez de manter “por garantia”.
- Registre a proveniência. Armazene a URL de origem, a data de coleta e a configuração relevante junto com cada conjunto de dados. Isso ajuda em acurácia, exclusão e atendimento de direitos.
A CNIL recomenda explicitamente definir previamente as categorias relevantes, filtrar dados desnecessários ou sensíveis, excluir dados irrelevantes e respeitar objeções técnicas ou legais à coleta. Salvaguardas da CNIL
5. Trate a transparência como parte do produto
Dados coletados de um site normalmente são obtidos de forma indireta. Isso significa que as obrigações de transparência do Artigo 14 podem ser aplicáveis: explique quem você é, a finalidade, as categorias e a fonte dos dados, a base legal, retenção, destinatários, transferências e os direitos das pessoas.
O resumo da Comissão Europeia diz que, quando os dados são obtidos de outra fonte, a informação geralmente deve ser fornecida em até um mês, no primeiro contato ou na primeira divulgação — o que for aplicável. Há exceções, inclusive quando a notificação for impossível ou envolver esforço desproporcional, mas elas dependem de condições e devem ser avaliadas e documentadas, não presumidas. Obrigações da Comissão Europeia
Para coletas amplas, um aviso público claro, uma página de dataset, um canal de contato dedicado e instruções fáceis de encontrar para oposição, acesso, correção e exclusão podem ser mais úteis do que uma página jurídica escondida. O formato ideal depende do tratamento e do risco.
6. Estruture exclusão e solicitações de direitos antes do lançamento
Scraping em escala torna a limpeza posterior cara. Dê um identificador aos dados, mantenha um mapa controlado da origem até o registro e garanta que você consiga localizar e remover ou suprimir os dados de uma pessoa em capturas brutas, bancos de dados, exports, índices e processadores downstream.
No mínimo, defina:
- quem recebe e verifica uma solicitação de direitos;
- como localizar um registro sem pedir informações extras desnecessárias;
- como a exclusão ou objeção é propagada para sistemas downstream;
- como a supressão evita re-coleta acidental;
- por quanto tempo logs e backups retêm o registro e qual processo de exceção se aplica.
Se o conjunto de dados alimentar um modelo, um grafo de enriquecimento, profiling ou marketing direto, torne esse plano ainda mais rigoroso. Quanto mais longe o dado vai, mais difícil fica honrar direitos de forma significativa.
7. Proteja o conjunto de dados e avalie casos de alto risco cedo
O GDPR exige medidas proporcionais ao risco, incluindo proteção contra acesso não autorizado, perda, destruição e tratamento ilícito. Privacidade por design e por padrão significa escolher esses controles no início, não depois de uma violação. Obrigações da Comissão Europeia
Controles básicos úteis incluem acesso baseado em função, criptografia em trânsito e em repouso, gestão de segredos, logs de auditoria, revisão de fornecedores, controle de exportação de dados e um processo de incidente testado. A pseudonimização pode reduzir risco, mas não é o mesmo que anonimização e, sozinha, normalmente não elimina as obrigações do GDPR.
Uma DPIA deve ser considerada antes de qualquer tratamento que provavelmente gere alto risco, especialmente quando você combina estes fatores:
- coleta ou monitoramento em larga escala;
- profiling ou decisões que afetam pessoas;
- dados sensíveis ou altamente pessoais;
- crianças ou outras pessoas vulneráveis;
- combinação de bases para gerar novas inferências;
- identificação persistente, dados de localização ou reutilização no estilo data broker;
- treinamento de IA ou modelo que possa memorizar ou expor dados pessoais.
A Comissão identifica avaliação automatizada sistemática e extensiva, tratamento em larga escala de dados sensíveis e monitoramento sistemático em larga escala entre os casos que exigem DPIA. Orientação sobre DPIA
Checklist de lançamento para equipes de web scraping
Antes de executar um job em produção, confirme tudo isto:
- Sabemos se a coleta inclui dados pessoais e por que o GDPR se aplica ou não.
- Temos uma finalidade precisa por escrito e uma whitelist dos campos necessários.
- Documentamos a base legal e, se relevante, a análise de interesse legítimo.
- Excluímos por padrão fontes ou categorias sensíveis e de alto risco.
- Avaliamos restrições da fonte e não contornamos controles de acesso.
- Temos uma explicação pública transparente e um caminho viável para solicitações de direitos e objeções.
- Sabemos os papéis de controlador/processador e temos termos adequados com fornecedores.
- Temos processos de retenção, exclusão, supressão e propagação downstream.
- Temos controles de segurança proporcionais e responsável definido para incidentes.
- Concluímos, ou documentamos conscientemente por que não precisamos, de uma DPIA e de uma avaliação de transferência internacional.
A conclusão prática
Conformidade com o GDPR para web scrapers não é encontrar uma linha mágica no robots.txt nem colar um aviso de isenção no seu produto. É tornar a coleta proporcional a uma finalidade claramente definida, dar às pessoas visibilidade e controle reais, e conseguir provar suas escolhas depois.
Comece com escopo estreito. Colete menos. Guarde fontes e timestamps. Incorpore exclusão ao modelo de dados. Escalone usos sensíveis, em larga escala, de profiling e de treinamento de IA antes que os dados avancem para etapas downstream. Esses hábitos tornam o scraper mais confiável — e muito mais fácil de operar quando surgir a primeira dúvida de privacidade.
Este artigo fornece informações gerais, não aconselhamento jurídico. Busque orientação qualificada para os fatos, jurisdições, categorias de dados e uso pretendido da sua organização.
Saiba mais
- Web Scraping é legal nos EUA? O que a lei realmente diz
- Como começar um tutorial de extração de dados da web usando o Thunderbit
- 10 APIs de web scraping comparadas na prática (2026)
- Os 10 melhores navegadores proxy para privacidade online
- Principais estatísticas de privacidade de dados em IA para conhecer em 2026
