欧洲数据保护委员会《第03/2026号指南——生成式人工智能语境下的网络抓取》（Guidelines 03/2026 on web scraping in the context of generative AI，第1.0版，2026年7月7日通过）
简称：EDPB 第03/2026号指南（生成式AI网络抓取）
法规简介
欧洲数据保护委员会（EDPB）2026年7月7日全体会议通过《第03/2026号指南——生成式AI语境下的网络抓取》，共23页。指南明确：以训练生成式人工智能为目的的网络抓取只要涉及收集、存储、组织与检索等个人数据处理操作，即适用GDPR；参与抓取链条的各方究竟构成控制者、共同控制者还是处理者须逐案分析。指南围绕目的限制、透明度、数据最小化、准确性原则给出具体合规措施，并确认「正当利益」（第6(1)(f)条）可作为抓取的法律依据，但须满足三项累积条件。
【文件性质】欧洲数据保护委员会（EDPB）《第03/2026号指南——生成式人工智能语境下的网络抓取》（Guidelines 03/2026 on web scraping in the context of generative AI），第1.0版，2026年7月7日通过，共23页，系为公开咨询而通过的版本。
【适用范围】网络抓取是从公开可访问的网络服务中提取大量数据的常用技术，属于大规模处理活动，且常常在数据主体不知情的情况下发生，对个人权利与自由（尤其是个人数据受保护权）构成特殊风险。指南聚焦「为训练生成式人工智能」而从互联网来源抓取数据的情形，覆盖组织自行从本组织之外的互联网来源抓取、或委托第三方抓取两种模式。指南**限于私营实体的网络抓取**（不涉及公权力机构）。
【GDPR的适用】当网络抓取包含个人数据处理操作——如收集、存储、组织与检索——即适用GDPR。当抓取的数据包含个人数据时，满足GDPR的某些要求具有挑战性。
【角色认定须逐案分析】为创建AI训练数据集，数据收集过程中可能涉及多个组织，参与程度各异。各参与组织究竟构成控制者、共同控制者还是处理者，应逐案分析。
【目的限制与透明度】控制者必须遵守目的限制原则与透明度原则。就透明度而言，包括向数据主体告知其个人数据处理情况的义务。视数据处理的具体设计而定，若提供信息被证明不可能或需要付出不相称的努力，控制者可能无须就网络抓取向数据主体逐一告知。
【数据最小化的具体措施】遵守数据最小化原则，控制者应采取措施确保仅收集为既定目的所必需的信息。可采取的措施包括——**收集前**：考虑以合成数据替代个人数据；设定精确的收集标准；开展数据映射与清点流程；应用过滤器排除特定类别的数据；将结构上必然含有特定类型数据的网站，以及明确反对抓取的网站排除在收集范围之外。**收集后**：应用基于语法的过滤机制；在可行时以合成数据替换部分或全部真实数据；或对数据作匿名化或假名化处理。
【准确性原则】为确保个人数据的准确性，建议控制者从可靠来源抓取、为数据加时间戳，并在用于AI训练前对数据加以验证。
【法律依据：正当利益（第6(1)(f)条）】私营实体为生成式AI训练目的抓取数据时常援引正当利益作为法律依据。第6(1)(f)条要合法适用，须同时满足三项累积条件：①控制者或第三方追求正当利益；②为所追求的正当利益之目的处理个人数据具有必要性；③数据保护所涉自然人的利益或基本权利不优于控制者或第三方的正当利益（即「平衡测试」）。
【指南结构】含执行摘要、适用范围、GDPR各项原则（目的限制、透明度、数据最小化、准确性、存储限制）的适用分析、控制者／共同控制者／处理者的角色认定、法律依据（含正当利益的平衡测试）、数据主体权利（含删除权与反对权在抓取场景下的实现）、以及面向控制者的实务建议等部分。
【对中国出海企业的实务含义】①**「公开数据即可自由抓取」的认知在欧盟已被明确否定**——公开可访问不等于不受GDPR约束，只要抓取包含个人数据处理即落入GDPR；②指南给出的「收集前／收集后」措施清单可直接转化为训练语料采集的合规SOP（合成数据优先、精确收集标准、数据映射、类别过滤、robots与反对抓取网站排除、语法过滤、匿名化／假名化）；③**明确反对抓取的网站应被排除在收集范围之外**——这实际上把robots协议与网站声明的效果向前推进了一步，对爬虫合规策略有直接影响；④正当利益路径需要留存平衡测试的书面论证，且三项条件为累积关系，缺一即整体不成立。需注意本指南为咨询稿，最终版本可能调整。
【适用范围】网络抓取是从公开可访问的网络服务中提取大量数据的常用技术，属于大规模处理活动，且常常在数据主体不知情的情况下发生，对个人权利与自由（尤其是个人数据受保护权）构成特殊风险。指南聚焦「为训练生成式人工智能」而从互联网来源抓取数据的情形，覆盖组织自行从本组织之外的互联网来源抓取、或委托第三方抓取两种模式。指南**限于私营实体的网络抓取**（不涉及公权力机构）。
【GDPR的适用】当网络抓取包含个人数据处理操作——如收集、存储、组织与检索——即适用GDPR。当抓取的数据包含个人数据时，满足GDPR的某些要求具有挑战性。
【角色认定须逐案分析】为创建AI训练数据集，数据收集过程中可能涉及多个组织，参与程度各异。各参与组织究竟构成控制者、共同控制者还是处理者，应逐案分析。
【目的限制与透明度】控制者必须遵守目的限制原则与透明度原则。就透明度而言，包括向数据主体告知其个人数据处理情况的义务。视数据处理的具体设计而定，若提供信息被证明不可能或需要付出不相称的努力，控制者可能无须就网络抓取向数据主体逐一告知。
【数据最小化的具体措施】遵守数据最小化原则，控制者应采取措施确保仅收集为既定目的所必需的信息。可采取的措施包括——**收集前**：考虑以合成数据替代个人数据；设定精确的收集标准；开展数据映射与清点流程；应用过滤器排除特定类别的数据；将结构上必然含有特定类型数据的网站，以及明确反对抓取的网站排除在收集范围之外。**收集后**：应用基于语法的过滤机制；在可行时以合成数据替换部分或全部真实数据；或对数据作匿名化或假名化处理。
【准确性原则】为确保个人数据的准确性，建议控制者从可靠来源抓取、为数据加时间戳，并在用于AI训练前对数据加以验证。
【法律依据：正当利益（第6(1)(f)条）】私营实体为生成式AI训练目的抓取数据时常援引正当利益作为法律依据。第6(1)(f)条要合法适用，须同时满足三项累积条件：①控制者或第三方追求正当利益；②为所追求的正当利益之目的处理个人数据具有必要性；③数据保护所涉自然人的利益或基本权利不优于控制者或第三方的正当利益（即「平衡测试」）。
【指南结构】含执行摘要、适用范围、GDPR各项原则（目的限制、透明度、数据最小化、准确性、存储限制）的适用分析、控制者／共同控制者／处理者的角色认定、法律依据（含正当利益的平衡测试）、数据主体权利（含删除权与反对权在抓取场景下的实现）、以及面向控制者的实务建议等部分。
【对中国出海企业的实务含义】①**「公开数据即可自由抓取」的认知在欧盟已被明确否定**——公开可访问不等于不受GDPR约束，只要抓取包含个人数据处理即落入GDPR；②指南给出的「收集前／收集后」措施清单可直接转化为训练语料采集的合规SOP（合成数据优先、精确收集标准、数据映射、类别过滤、robots与反对抓取网站排除、语法过滤、匿名化／假名化）；③**明确反对抓取的网站应被排除在收集范围之外**——这实际上把robots协议与网站声明的效果向前推进了一步，对爬虫合规策略有直接影响；④正当利益路径需要留存平衡测试的书面论证，且三项条件为累积关系，缺一即整体不成立。需注意本指南为咨询稿，最终版本可能调整。
