Czy scraping jest legalny w Polsce i UE? RODO, TDM i prawa do baz danych

👁 118 przeczytań

Scraping jest techniką pozyskiwania danych, a jego legalność zależy od konkretnego sposobu użycia. Poniżej podstawy dla Polski i UE, z rozdzieleniem danych osobowych, praw do treści, baz i warunków dostępu - stan na październik 2026.

Najpierw opisz proces, dopiero potem szukaj podstawy

Pytanie „czy wolno scrapować internet” jest zbyt ogólne. Inaczej wygląda pobranie własnej dokumentacji, inaczej analiza publicznych cenników, a jeszcze inaczej budowa kopii cudzego katalogu lub zbioru profili osób. Znaczenie mają źródło, sposób uzyskania dostępu, zakres danych, cel oraz to, co stanie się z wynikiem. Sam wybór biblioteki nie rozstrzyga żadnego z tych elementów.

Warto opisać proces prostymi zdaniami: jakie adresy będą odczytywane, jakie pola pozostaną, kto otrzyma wynik i jak długo będzie przechowywany. Taki opis pozwala oddzielić techniczne pobranie od analizy, udostępnienia i publikacji. Każdy etap może wymagać osobnej oceny. To, że wolno przeczytać dokument, nie oznacza automatycznie prawa do zbudowania z niego publicznego archiwum.

Przy modelach AI dochodzi jeszcze sposób użycia materiału. Jednorazowy odczyt do odpowiedzi, budowa indeksu wyszukiwawczego i trenowanie modelu nie są identycznymi procesami. Nie należy zakładać, że nazwanie projektu RAG albo TDM samo w sobie rozwiązuje problem prawny. Potrzebne są rzeczywiste cechy działania, a nie wyłącznie etykieta technologii.

Poniższe zasady pomagają uporządkować ocenę, ale nie gwarantują wyniku dla konkretnej witryny. Przy projekcie o istotnej skali lub znaczeniu komercyjnym warto przekazać do oceny rzeczywisty zakres i warunki źródeł. Ogólna odpowiedź bez tych informacji nie jest wiarygodnym potwierdzeniem legalności.

RODO: publiczne dane osobowe nadal podlegają ochronie

Nazwisko, identyfikowalny profil, służbowy adres przypisany osobie czy opinia połączona z autorem mogą być danymi osobowymi. Ich widoczność w internecie nie wyłącza RODO. Pobranie i uporządkowanie takich informacji jest częścią przetwarzania. Administrator musi ocenić podstawę prawną oraz przestrzegać zasad, w tym określenia celu i ograniczenia zakresu do potrzebnych danych.

Artykuł 5 RODO opisuje zasady przetwarzania, a art. 6 podstawy zgodności z prawem. Powołanie się na prawnie uzasadniony interes nie powinno być automatycznym zdaniem dopisywanym do dowolnego scrapera. Wymaga oceny rzeczywistego interesu, niezbędności i praw osób. Również zgoda nie jest jedyną możliwą podstawą w każdym procesie, ale wybór innej podstawy trzeba uzasadnić w konkretnym zastosowaniu.

Praktyczny punkt wyjścia to ograniczenie danych już podczas projektowania. Jeśli celem jest porównanie dostępności usług w miastach, zbieranie nazwisk autorów opinii może być zbędne. Jeżeli analiza ma być zbiorcza, nie zawsze potrzebna jest identyfikacja osób. Mniejszy zbiór ułatwia kontrolę, aktualizację i usuwanie informacji, których projekt już nie potrzebuje.

Przekazanie wyniku zewnętrznemu narzędziu AI jest kolejnym elementem przepływu danych. Trzeba wiedzieć, gdzie trafia treść i do czego służy. Lokalny scraper nie oznacza lokalnego całego procesu, jeśli zapisany materiał jest później wysyłany do usługi modelowej. Wybór infrastruktury powinien odpowiadać przyjętemu celowi i zasadom przetwarzania, a nie tylko wygodzie integracji.

Bazy danych: znaczenie ma także zbiór, nie tylko rekord

Ochrona bazy danych nie sprowadza się do praw autorskich do pojedynczej informacji. Dyrektywa 96/9/WE przewiduje prawo sui generis związane z istotną inwestycją w pozyskanie, weryfikację lub prezentację zawartości. Artykuł 7 dotyczy pobierania lub wtórnego wykorzystania całości albo istotnej części takiej bazy. To odrębne zagadnienie od tego, czy pojedynczy fakt jest utworem.

Nie zawsze wystarczy rozbić pobieranie na małe porcje. Przepis obejmuje także określone powtarzające się i systematyczne pobieranie lub wykorzystanie nieistotnych części, gdy narusza normalne korzystanie z bazy lub bezzasadnie godzi w uzasadnione interesy jej producenta. Ocena nie może więc ograniczać się do liczby rekordów w pojedynczym wywołaniu API.

Z drugiej strony nie należy nazywać każdego zestawienia automatycznie chronioną bazą ani zakładać, że każdy fakt ma wyłącznego właściciela. Istnienie i zakres ochrony wymagają spełnienia przesłanek. Dla projektu oznacza to potrzebę ustalenia, czy planowany zbiór odtwarza znaczącą część źródła i jaką rolę odgrywa inwestycja w jego przygotowanie.

Przykładowo system porównujący wybrane informacje i system regularnie kopiujący cały katalog mogą mieć podobny kod, ale różny zakres prawny. Istotny jest rezultat procesu oraz jego powtarzalność. Nazwanie każdej operacji osobnym zapytaniem nie zmienia automatycznie charakteru całego przedsięwzięcia.

TDM i opt-out: art. 4 DSM oraz polski art. 26³

Artykuł 4 dyrektywy 2019/790, nazywanej DSM, przewiduje wyjątek dotyczący eksploracji tekstów i danych. Punktem wyjścia jest zgodny z prawem dostęp, a korzystanie podlega zastrzeżeniu praw przez uprawnionego w odpowiedni sposób. W przypadku treści publicznie dostępnych online znaczenie ma zastrzeżenie nadające się do odczytu maszynowego. Nie jest to przepis pozwalający ignorować wszystkie warunki źródła.

W Polsce istotny jest art. 26³ ustawy o prawie autorskim, dodany nowelizacją z 26 lipca 2024 r., opublikowaną pod pozycją 1254. Przepis pozwala zwielokrotniać rozpowszechnione utwory w celu eksploracji tekstów i danych, o ile uprawniony nie zastrzegł inaczej. Zastrzeżenie ma być wyraźne i odpowiednie. Dla treści udostępnionych online przepis wskazuje format maszynowy wraz z metadanymi. Kopie można przechowywać tylko tak długo, jak jest to niezbędne do tego celu.

TDM dotyczy analizy tekstów i danych. Nie należy utożsamiać uprawnienia do wykonania kopii potrzebnej analizie z prawem do udostępniania całych cudzych artykułów odbiorcom produktu. Podobnie samo użycie modelu nie przesądza, że każdy etap projektu mieści się w wyjątku. Osobno trzeba ocenić pozyskanie, przechowywanie, analizę i późniejszą prezentację wyników.

W praktyce zapisz, jakie zastrzeżenia były dostępne w źródle i kiedy je sprawdzono. Nie zakładaj, że brak łatwo zauważalnej informacji na ekranie oznacza brak zastrzeżenia w danych strony. Jednocześnie nie każde techniczne ograniczenie ma automatycznie identyczny skutek prawny. Ocena sposobu zastrzeżenia i zakresu wyjątku wymaga odniesienia do konkretnego źródła.

robots.txt i regulamin: różne role dokumentów

RFC 9309 opisuje protokół robots.txt i wyraźnie odróżnia go od autoryzacji dostępu. Plik pozwala wskazywać robotom reguły odwiedzania zasobów, ale nie jest systemem nadawania licencji. Dopuszczenie ścieżki nie oznacza zgody na każdy sposób wykorzystania zawartości. Brak pliku również nie usuwa praw autorskich ani obowiązków dotyczących danych osobowych.

Z kolei zakaz dla robota nie powinien być interpretowany bez sprawdzenia pozostałych okoliczności jako kompletna odpowiedź na wszystkie pytania prawne. W kontekście TDM trzeba ocenić, czy i jak dokonano zastrzeżenia praw. W kontekście dostępu znaczenie mogą mieć warunki serwisu oraz zastosowane ograniczenia. Sygnał techniczny i ocena prawna są powiązane, ale nie są zamienne.

Regulaminy także nie są obojętne. W sprawie C-30/14 Ryanair przeciwko PR Aviation Trybunał odniósł się do ograniczeń umownych dotyczących bazy niechronionej prawami wskazanymi w dyrektywie bazodanowej. Orzeczenie pokazuje, że brak takiej ochrony nie zamyka automatycznie kwestii warunków umownych; znaczenie ma prawo krajowe. Nie wynika z niego jednak, że każdy zapis każdego regulaminu jest zawsze skuteczny.

Przed wdrożeniem warto więc zebrać aktualne warunki źródła, opis dostępu i plan wykorzystania. Nie należy zastępować tej pracy samym komunikatem, że strona odpowiedziała poprawnie na żądanie. Techniczny sukces potwierdza uzyskanie danych, a nie uprawnienie do wszystkich kolejnych czynności.

AI Act: obowiązki dostawców modeli nie są licencją na dane

Materiały unijnego AI Office wyjaśniają obowiązki dostawców modeli ogólnego przeznaczenia. Artykuł 53 AI Act obejmuje między innymi politykę zgodności z unijnym prawem autorskim oraz publiczne podsumowanie treści użytych do trenowania. Obowiązki dotyczą określonej roli w łańcuchu dostarczania AI, a nie automatycznie każdej osoby używającej scrapera lub gotowego modelu.

AI Act nie zastępuje RODO, prawa autorskiego ani zasad ochrony baz. Nie tworzy ogólnej licencji na pobieranie danych. Dla projektu trzeba najpierw ustalić, jaka jest jego rola oraz co robi z materiałem. Czy korzysta z gotowego modelu do odczytu źródeł, czy rozwija i udostępnia własny model? Odpowiedź wpływa na zakres analizy.

Lista kontrolna przed uruchomieniem scrapera

• Zapisz cel jednym zdaniem i listę domen, z których pobierasz dane.
• Sprawdź robots.txt, regulamin i zastrzeżenie TDM w formacie maszynowym - zanotuj datę sprawdzenia.
• Wypisz pola, które naprawdę są potrzebne; nazwiska, e-maile i profile osób zbieraj tylko z określoną podstawą z art. 6 RODO.
• Oceń, czy zbiór odtwarza istotną część cudzej bazy danych.
• Ustal, jak długo trzymasz kopie stron - przy TDM tylko tyle, ile wymaga analiza.
• Nie publikuj pobranych tekstów w całości; pokazuj wyniki analizy, krótkie cytaty i linki do źródeł.
• Sprawdź, dokąd trafia treść po pobraniu - zewnętrzny model to kolejny odbiorca danych.
• Ogranicz tempo zapytań i miej sposób na szybkie usunięcie danych z danego źródła.

Rozsądny opis projektu łączy więc źródła, cele, podstawy i okres przechowywania. Pozwala także wskazać, czego brakuje do oceny. Zamiast deklaracji „scraping jest na pewno legalny” potrzebne jest uzasadnienie odnoszące się do konkretnego procesu. To podejście pozostaje przydatne niezależnie od tego, czy dane zbiera własny skrypt, gotowy Actor czy agent podłączony przez MCP.

Przykłady narzędzi zawiera przewodnik po danych z sieci dla AI, a przypadki gotowych scraperów omawia tekst o Apify.

FAQ

Czy publiczna strona oznacza zgodę na scraping?

Nie daje automatycznej zgody na dowolny zakres i cel. Trzeba oddzielnie ocenić dostęp, prawa do materiału, ochronę bazy, warunki umowne i ewentualne dane osobowe.

Czy opt-out dotyczy tylko treningu modeli?

Nie należy tak zawężać ogólnego mechanizmu TDM bez analizy przepisu i procesu. Istotne jest to, jakie czynności są wykonywane oraz na jakiej podstawie prawnej projekt chce się oprzeć.

Czy lokalny scraper rozwiązuje problem RODO?

Nie. Lokalność jest cechą techniczną. Nadal znaczenie mają cel, podstawa, zakres i przechowywanie danych. Dodatkowo treść może później trafić do usługi zewnętrznej.

Czy robots.txt wystarcza jako kontrola legalności?

Nie. To standard komunikowania reguł robotom, nie pełna ocena praw i warunków. Należy sprawdzić również inne właściwe dokumenty oraz rzeczywisty sposób wykorzystania.