GDPR і парсинг публічних даних: 2026 практика

Що змінилося в інтерпретації GDPR після Schrems II і Meta vs Bright Data. Lawful basis для scraping, обов'язки controller/processor, реальні штрафи 2024-2025.

Чому це актуально саме зараз

GDPR діє з 2018 року, але відношення до scraping у нього еволюціонує. У 2024-2025 роках кілька прецедентних рішень суттєво змінили практику:

• Meta v. Bright Data (2024) — суд США частково встав на бік Bright Data щодо публічних даних, але змусив зупинити збір з авторизованих сесій.
• Clearview AI (2024) — €30.5 млн штрафу у Нідерландах за scraping публічних фото облич без згоди.
• OpenAI (2025) — italian DPA звинуватив у незаконному використанні web-scraped даних для training. Розслідування триває.

Висновок: GDPR не забороняє парсинг, але ставить високу планку для його легітимності. Особливо у комерційних use-case.

Lawful basis для scraping публічних даних

GDPR Стаття 6 дає 6 lawful bases. Для scraping реалістично 2:

1. Legitimate Interest (Art. 6(1)(f))

Найпоширеніше для b2b scraping. Вимоги:

• Чіткий "legitimate interest" вашого бізнесу (lead generation, ціновий моніторинг, market research)
• Necessity — scraping справді необхідний для досягнення мети
• Balancing test — ваш інтерес переважає права суб'єкта даних
• Transparency notice — ви зобов'язані повідомити суб'єктів про обробку

Документуйте результат balancing test. У разі скарги вам доведеться його надати DPA.

2. Consent (Art. 6(1)(a))

Незастосовно для scraping публічних даних — отримати explicit consent від мільйонів людей, чиї профілі ви парсите, неможливо.

Обов'язки data controller

Якщо ви scraping персональні дані (ім'я, email, фото, посада, телефон) — ви data controller з повним набором обов'язків:

1. Privacy notice — на вашому сайті, з джерелами даних, цілями обробки, lawful basis, retention period.
2. Right to access — на запит надати копію даних суб'єкта (1 місяць).
3. Right to erasure — видалити дані за запитом (1 місяць).
4. Right to object — дозволити opt-out з вашого database.
5. Records of processing (Art. 30) — документація всіх processing activities.
6. DPIA — обов'язкова якщо обробка high-risk (масштабна, автоматизована, scoring).
7. DPO appointment — обов'язково якщо обробляєте PII у великому масштабі регулярно.
8. Breach notification — 72 години DPA + повідомлення affected subjects.

Реальні штрафи 2024-2025

Компанія	Штраф	Юрисдикція	Підстава
Clearview AI	€30.5M	NL	Scraping фото без consent
OpenAI (incoming)	розслідування	IT	Web-scraped training data
Voodoo Sàrl	€3M	FR	Tracking IDs без legitimate interest
Meta (Ireland)	€1.2B	IE	Cross-border data transfers (Schrems II наслідок)
TikTok	€345M	IE	Children's data processing

Безпечні practice 2026

1. Не агрегуйте PII з кількох джерел — навіть якщо кожне legal, агрегація створює "comprehensive profile" і вимагає окремого lawful basis.
2. Уникайте sensitive data — релігія, політичні погляди, sexual orientation, health (Art. 9). За них штрафи в 4 рази вищі.
3. Шукайте B2B-data замість B2C — імейл і посада CEO ризик нижче ніж особистий профіль студента.
4. Реалізуйте data minimization — не збирайте поля, які не потрібні для бізнес-задачі.
5. Pseudonymize early — заміняйте PII на хеш одразу при збору, потім працюйте з anonymized data.
6. Уникайте профілів дітей — children's data має додатковий захист (Art. 8).
7. Working з compliance-готовими провайдерами для enterprise-кейсів — Bright Data, Oxylabs мають DPA-templates.

Цей текст — оглядовий, не юридична консультація. Конкретні питання обговорюйте з спеціалізованим юристом у вашій юрисдикції. Особливо це стосується b2c-проектів і агрегації PII у комерційних цілях.