EDPB define anonimização e web scraping para IA e finaliza guia de blockchain
Comitê europeu adota três diretrizes sobre anonimização, coleta de dados para treino de IA e blockchain sob o GDPR, com consulta até 30 de outubro.
O Comitê Europeu de Proteção de Dados (EDPB) adotou, em plenária de 8 de julho de 2026, em Bruxelas, três conjuntos de diretrizes que redesenham como o GDPR incide sobre anonimização, sobre a coleta de dados na web para treinar inteligência artificial e sobre o uso de blockchain.
Duas são inéditas — anonimização e web scraping no contexto de IA generativa — e seguem para consulta pública até 30 de outubro de 2026. A terceira, sobre tratamento de dados pessoais por meio de blockchain, foi aprovada em versão final, depois de passar por consulta.
Na prática, empresas que treinam modelos, extraem dados de sites ou registram informação em cadeias distribuídas passam a ter um parâmetro europeu detalhado para medir exposição regulatória — inclusive as brasileiras que operam ou tratam dados de titulares na União Europeia.
Três testes decidem quando um dado é anônimo
A diretriz de anonimização substitui a régua do antigo parecer do Grupo de Trabalho do Artigo 29, de 2014, por um teste de três critérios: ausência de isolamento de registro, ausência de vinculação e ausência de inferência. Atendidos os três, o dado pode ser tratado como anônimo; falhando qualquer um, é preciso análise adicional.
O EDPB oferece dois caminhos para aplicar o teste. Na abordagem contextual, avaliam-se as diferenças de capacidade entre quem poderia reidentificar o titular; na simplificada, ignoram-se essas diferenças em troca de mais previsibilidade.
O texto incorpora o acórdão do Tribunal de Justiça da União Europeia no caso C-413/23 P (EDPS v SRB), de 4 de setembro de 2025, que firmou leitura contextual: um dado pseudonimizado pode ser pessoal para o controlador de origem e não pessoal para quem o recebe sem meios razoáveis de reidentificação.
Web scraping para IA exige base legal e cautela
O mesmo parâmetro de identificabilidade chega à coleta automatizada de dados. O EDPB afirma que o GDPR incide sobre web scraping sempre que houver tratamento de dados pessoais — coleta, armazenamento, organização e recuperação —, atividade que ocorre em larga escala e, em regra, sem que o titular perceba.
A diretriz detalha o uso do legítimo interesse como base legal para treino de IA, com atenção reforçada aos princípios da finalidade, da transparência, da exatidão e da minimização; recomenda extrair dados só de fontes confiáveis, registrar data e hora e validar o material antes do treino.
Sobre dado pessoal sensível, o Comitê recorda que seu tratamento é, em princípio, proibido: exige base do art. 6 e exceção do art. 9(2) do GDPR. Cita o acórdão GC e Outros (C-136/17) para coleta incidental ou residual, sem admitir isenção geral do art. 9.
Imutabilidade não isenta blockchain do GDPR
Na versão final da diretriz de blockchain, o EDPB fecha a porta ao argumento de que o registro imutável ou a criptografia afastariam o GDPR. Dado pessoal cifrado ou submetido a hash na cadeia segue, em regra, sujeito à norma, porque pode ser religado a um indivíduo por endereços de carteira, bases externas, chaves ou avanços na análise criptográfica.
O documento percorre três arquiteturas — cadeias públicas sem permissão, privadas com participantes previamente autorizados e de consórcio governadas por um grupo definido — e mede as implicações de cada uma para a responsabilidade pelo tratamento.
O direito de eliminação continua a incidir mesmo quando apagar o registro é tecnicamente difícil: a limitação técnica não dispensa a obrigação. Junto da versão final, o Comitê publicou relatório da consulta pública e versão com marcas de revisão.
O que gestores terão de revisar até outubro
O calendário aperta a agenda de governança. Com a consulta pública das diretrizes de anonimização e de web scraping aberta até 30 de outubro de 2026, áreas de privacidade e compliance ganham janela para mapear onde suas práticas destoam do parâmetro europeu antes que ele se estabilize.
Para quem sustenta programas de IA, o efeito é direto: bases de treino montadas por scraping passam a demandar registro de legítimo interesse, controle de categorias especiais de dados e trilha de proveniência, sob risco de a coleta virar passivo.
Na prática, a matriz de riscos precisa reavaliar três frentes ao mesmo tempo — conjuntos ditos anônimos, fluxos de coleta e registros em blockchain —, com reflexo para os titulares cujos dados circulam nesses fluxos muitas vezes sem ciência.
Tensão entre inovação em IA e reidentificação
A leitura contextual herdada do caso EDPS v SRB divide especialistas. Escritórios e analistas europeus apontam que reconhecer que um dado pode ser pessoal para uns e anônimo para outros dá segurança a fluxos de dados, mas transfere ao controlador o ônus de provar, caso a caso, que a reidentificação é improvável.
A própria abordagem simplificada, admitida pelo EDPB, pode ir além do padrão legal e levar a tratar como pessoal um dado que, para certas entidades, já seria anônimo — troca de rigor por previsibilidade que nem todos consideram neutra.
Do lado do web scraping, permanece o atrito entre a demanda das desenvolvedoras por grandes volumes de texto e imagem e a exigência de base legal e de barreiras contra a captura de dado sensível, sem isenção geral do art. 9.
Na data de 26 de julho de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
