di Pietro Maria Mascolo Il Comitato europeo per la protezione dei dati (“EDPB”) ha adottato, il 7 luglio 2026, le Guidelines 03/2026 (Versione 1.0) sottoposte a consultazione pubblica sino al 30 ottobre p.v., dedicate al web scraping quale tecnica di raccolta massiva di dati per l’addestramento di modelli di intelligenza artificiale generativa. Il documento chiarisce che il GDPR trova applicazione ogniqualvolta l’attività di scraping comporti operazioni di trattamento di dati personali e affronta i profili più critici della disciplina, a titolo esemplificativo: la qualificazione dei ruoli soggettivi, il rispetto dei principi del trattamento, l’individuazione di una pertinente base giuridica, l’eventuale trattamento di categorie particolari di dati. Le linee guida si rivolgono esclusivamente ai soggetti privati e alle attività di scraping realizzate su fonti esterne all’organizzazione che pone in essere tale attività.

di Jacopo Purificati "A differenza di tanti altri scenari, dove l’Authority interviene sulla base di reclami o segnalazioni degli interessati o anche d’ufficio, ma per violazioni sostanzialmente determinate dal titolare del trattamento, nel caso di un attacco informatico come quello in narrativa occorre chiedersi quanta responsabilità possa essere effettivamente imputata all’organizzazione colpita e quanta, invece, deve restare in capo agli hacker autori degli attacchi".