EDPB:s nya riktlinjer för webbskrapning och AI – utmaningar för GDPR

Europeiska dataskyddsstyrelsen (EDPB) har nyligen publicerat riktlinjer om webbskrapning i kontexten av generativ AI. Dessa riktlinjer, som är ute på remiss, är anmärkningsvärda inte bara för vad de kräver utan också för vad de erkänner om begränsningarna i den nuvarande tekniken och GDPR:s tillämpning.

EDPB pekar på tre huvudbegränsningar:

• Epistemisk begränsning: En personuppgiftsansvarig kanske inte alltid vet exakt vilka uppgifter den har samlat in.
• Teknisk begränsning: Det som en AI-modell har lärt sig kan idag inte enkelt avläras.
• Institutionell begränsning: Vissa bedömningar inom GDPR-analysen ligger delvis hos andra myndigheter och domstolar, inte hos dataskyddsmyndigheterna.

Dessa erkännanden är välkomna, men det finns en spänning mellan vad EDPB medger och de krav som ändå ställs, vilket skapar intressanta frågor under remissrundan.

Vad omfattar riktlinjerna?

Riktlinjerna täcker skrapning som utförs av privata aktörer, oavsett om det sker internt, genom en tredje part eller genom förvärv av redan skrapade datamängder. De följer den vanliga sekvensen för GDPR-analys:

• Tilldelning av roller: Vem är personuppgiftsansvarig och vem är personuppgiftsbiträde?
• Kärnprinciper: Såsom ändamålsbegränsning, öppenhet, uppgiftsminimering och korrekthet enligt Artikel 5 i GDPR.
• Rättslig grund: Berättigat intresse (Artikel 6.1 f GDPR) ses som det mest realistiska alternativet, medan samtycke i stort sett avfärdas.
• Särskilda kategorier av uppgifter: Hantering av känsliga personuppgifter som oavsiktligt samlas in.

Detta ramverk överraskar inte de som följt EDPB:s arbete med AI, men hur de nämnda begränsningarna påverkar varje steg är avgörande.

Kunskapsluckor och transparens

GDPR:s ansvarighetsprincip förutsätter att en personuppgiftsansvarig har fullständig kännedom om sin behandling: vad som samlas in, från vem och varför. Riktlinjerna medger att ospecificerad genomsökning kan undergräva detta, då den personuppgiftsansvarige kan inneha personuppgifter som den inte kan inventera. Trots detta är de efterföljande skyldigheterna formulerade för den ideala personuppgiftsansvarige som GDPR föreställer sig, snarare än den EDPB just beskrivit. Exempelvis krävs det exakta insamlingskriterier och filtrering av vissa källor innan insamling, trots att innehållet först blir känt efteråt.

Även transparensanalysen lider av detta. EDPB tolkar undantaget om ”oproportionerlig ansträngning” i Artikel 14.5 b GDPR snävt. Detta innebär att undantaget i princip reserveras för arkiv, forskning och statistik, vilket inte omfattar kommersiell AI-träning. Återstående åtgärd blir då ett meddelande på webbplatsen – information som är riktad till alla men i praktiken läses av få. Risken är att transparens blir en formalitet just där direkt information till individer är svårast att uppnå. Mer information om detta hittar du i vår guide om Vad du får kräva av ett företag.

Teknikens gränser för radering

Riktlinjerna accepterar att personuppgifter i dagsläget inte effektivt kan raderas från en tränad AI-modell. Denna insikt är viktigare än vad dokumentet tyder på. Vid en intresseavvägning (Artikel 6.1 f GDPR) kan mildrande åtgärder tippa vågen till den personuppgiftsansvariges fördel genom att minska intrånget i individens rättigheter. Utdatafilter och promptbegränsningar minskar dock inte detta intrång; datan finns kvar i modellens ”vikter” och åtgärderna hindrar bara att den visas. En intresseavvägning som nöjer sig med sådana åtgärder väger behandlingen mot den personuppgiftsansvariges ansträngning snarare än dess faktiska påverkan på individer, vilket inte är samma sak.

EDPB utvidgar också EU-domstolens praxis för särskilda kategorier av uppgifter, som ofta samlas in via skrapning. En sökmotor kan åtgärda skadan för en individ genom att avindexera ett resultat. En tränad AI-modell erbjuder inget jämförbart. När personuppgifter har absorberats av modellen kan de inte raderas för en enskild individ; den personuppgiftsansvarige kan endast filtrera utdata, en begränsning som riktlinjerna själva erkänner. Läs mer om raderingstider och gallring i vår guide om Hur länge får uppgifter sparas?.

Institutionella befogenheter och tredje parters rättigheter

Ett exempel i riktlinjerna kopplar ett positivt intresseavvägningstest till bland annat att upphovsrättsskyddat innehåll exkluderas och att avståenden från text- och datamining respekteras. Instinkten är förståelig: ett intresse som eftersträvas genom insamling som ignorerar tredje parters rättigheter, inklusive sui generis databasrättigheter, passar illa med begreppet ”lagligt” intresse.

Svårigheten ligger i var EDPB placerat bedömningen. Tillsynsmyndigheter kan i princip inte avgöra om en privat rättighet har kränkts mellan skraparen och webbplatsoperatören; det tillhör civilrättsliga domstolar. De innehar inte heller de bevis som ett sådant beslut skulle kräva. För generella AI-modeller har tillsynen över sådana avståenden dessutom uttryckligen tilldelats AI-kontoret enligt AI-lagen. Genom att inkludera allt detta i Artikel 6.1 f GDPR utan att klargöra vem som bedömer, med vilka bevis och var deras befogenheter slutar, riskerar riktlinjerna att göra intresseavvägningstestet till en ingång för varje rättsligt regelverk som rör skrapning.

Vad riktlinjerna faktiskt etablerar

Sammanfattningsvis kan en personuppgiftsansvarig inte i förväg veta allt den samlar in, kan inte ångra vad modellen har lärt sig, och kan inte få ett beslut från någon tillsynsmyndighet om tredje parters rättigheter. Det en personuppgiftsansvarig kan göra är att dokumentera: definierade kriterier, exkluderade källor, tillämpade filter, uppfyllda förfrågningar och övervakad utdata. Efterlevnad handlar alltså mer om att kunna uppvisa en försvarbar dokumentation av noggrannhet än om en påvisbar minskning av intrång.

Detta är inte nödvändigtvis fel; lagen hanterar ofta osäkerhet genom processuella skyldigheter. Men en processuell standard bör benämnas som sådan, eftersom märkningen har praktisk betydelse: den avgör vad en myndighet kan sanktionera, vad en klagande måste bevisa, och om utvecklare uppmuntras att investera i dokumentationssystem eller i genuint mindre intrångsgivande insamling. Mer information om hur du upprättar en korrekt integritetspolicy finns i vår guide om Vad ska stå i en integritetspolicy?.

Vad betyder det för dig?

Som företagare är det avgörande att förstå dessa nya riktlinjer, särskilt om din verksamhet använder sig av webbskrapning eller AI-modeller som tränas på stora datamängder. Även om riktlinjerna är ute på remiss, ger de en indikation på vilken riktning tillsynsmyndigheterna tar. Att ha robusta processer och noggrann dokumentation blir allt viktigare för att kunna visa att du följer GDPR. För att säkerställa att ditt företags hantering av personuppgifter är i linje med regelverket, kan du använda vårt verktyg för att Granska din integritetspolicy.

Vad betyder det för dig?

Granska din integritetspolicy, läs om åtgärderna som ingår eller våra guider om GDPR.