¿Es legal el web scraping en la UE? RGPD, bases de datos e IA

Hacer web scraping de páginas públicas no es ilegal en la UE por sí mismo, pero “público” no significa “libre para usar con cualquier fin”. Qué normas se aplican depende de qué recoges y para qué, no de la herramienta que uses: el RGPD si la página contiene datos personales, el derecho sobre las bases de datos y los derechos de autor si copias contenido protegido, el contrato si aceptaste unas condiciones, y el AI Act solo si construyes un modelo de IA de uso general. Este post es informativo, a fecha de 19 de octubre de 2026, y no es asesoramiento jurídico.

Capa	Se aplica cuando	Qué te exige	Fuente primaria
RGPD	Las páginas contienen información sobre personas identificables	Una base jurídica, minimización, una finalidad declarada	Reglamento 2016/679
Derecho sobre bases de datos	Extraes una parte sustancial de una base de datos, o extraes partes pequeñas de forma repetida	Permiso, o una excepción	Directiva 96/9/CE, art. 7
Derechos de autor y TDM	Copias obras protegidas para su análisis automatizado	Acceso lícito y respeto de una reserva de derechos	Directiva 2019/790, arts. 3 y 4
Contrato	Aceptaste las condiciones de un sitio	Las condiciones pueden obligarte	TJUE C-30/14
AI Act	Eres proveedor de un modelo de IA de uso general	Política de derechos de autor, resumen de los datos de entrenamiento	Reglamento 2024/1689, art. 53

¿Se aplica el RGPD a los datos de páginas web públicas?

Sí, siempre que los datos se refieran a una persona identificable. El RGPD define los datos personales como cualquier información sobre una persona física identificada o identificable, y no dice nada sobre si eran públicos. Los nombres, los cargos, las fotos y los mensajes de un foro cuentan.

Si recoges datos personales te conviertes en responsable del tratamiento y necesitas una base jurídica (art. 6). El consentimiento rara vez es viable, porque no tienes ninguna relación con las personas afectadas. La candidata habitual es el interés legítimo, art. 6.1.f), que falla si los derechos e intereses de la persona prevalecen sobre los tuyos. También debes respetar la limitación de la finalidad y la minimización de datos (art. 5). El art. 14 exige informar a las personas de que tienes sus datos, salvo que resulte imposible o suponga un esfuerzo desproporcionado (art. 14.5.b). Las categorías especiales, como los datos de salud, necesitan una condición adicional del art. 9.2.

Las Directrices 03/2026 del CEPD, adoptadas el 7 de julio de 2026, son las primeras directrices del Comité dedicadas al web scraping. Son un borrador abierto a consulta hasta el 30 de octubre de 2026, y su ámbito es el scraping para entrenar IA generativa, así que no son una norma para todos los scrapers, pero muestran cómo razonan los reguladores. En el texto completo, el Comité afirma que publicar datos en línea no es consentir su reutilización, y que la ausencia de robots.txt tampoco es un consentimiento. Señales como robots.txt, ai.txt, los CAPTCHA y los muros de login condicionan lo que las personas pueden esperar razonablemente, por lo que deben excluirse los sitios que se oponen claramente al scraping. El contenido tras un login debe quedar fuera.

¿Me impide el derecho europeo sobre bases de datos hacer scraping?

A veces. El derecho sui generis de la Directiva 96/9/CE permite al fabricante de una base de datos cuya obtención, verificación o presentación supuso una inversión sustancial impedir la extracción o la reutilización de la totalidad o de una parte sustancial de su contenido (art. 7.1). El art. 7.5 prohíbe además la extracción repetida y sistemática de partes no sustanciales cuando va en contra de la explotación normal de la base de datos o causa un perjuicio injustificado al fabricante. El derecho dura 15 años desde la finalización o la primera publicación (art. 10), y se renueva con modificaciones sustanciales. Protege la inversión, no la creatividad, así que un directorio puede acogerse a él aunque no tenga derechos de autor. Leer unos pocos registros no es lo mismo que replicar un catálogo entero de forma programada, que es el patrón al que apunta el art. 7.5.

Las condiciones de uso son una cuestión aparte. En Ryanair contra PR Aviation (C-30/14, 15 de enero de 2015), el Tribunal de Justicia declaró que la directiva no se aplica a una base de datos protegida ni por derechos de autor ni por el derecho sui generis, por lo que sus disposiciones no impiden al titular fijar límites contractuales de uso, con sujeción al derecho nacional. No dice que toda cláusula sea exigible, solo que la directiva no te salvará del contrato.

¿Qué permiten las excepciones de minería de textos y datos?

La Directiva 2019/790 establece dos excepciones para la minería de textos y datos (TDM), definida en el art. 2.2 como el análisis automatizado de textos y datos para generar información como patrones, tendencias y correlaciones.

El artículo 3 cubre a los organismos de investigación y las instituciones del patrimonio cultural que hacen investigación científica, sobre obras a las que tienen acceso lícito. Los titulares de derechos no pueden hacer opt-out.
El artículo 4 cubre a cualquiera, para obras de acceso lícito, y permite conservar copias el tiempo necesario para la minería. Solo se aplica si el titular de los derechos no ha reservado expresamente el uso “de manera adecuada, como medios de lectura mecánica” en el caso de contenidos puestos a disposición del público en línea (art. 4.3).

Las dos excepciones son para el análisis, no para republicar. Una reserva legible por máquina es un opt-out que debes respetar; robots.txt es la señal más conocida, no la única. En Alemania, el Tribunal Superior Regional de Hamburgo resolvió Kneschke contra LAION el 10 de diciembre de 2025 (5 U 104/24): la reserva que figuraba en el sitio web de la agencia no estaba en formato legible por máquina, así que la excepción del art. 4 amparaba la copia. También aceptó la excepción de investigación. Se admitió un recurso ante el Tribunal Federal de Justicia, así que la sentencia no es firme.

La Ley 132/2025 de Italia (en vigor desde el 10 de octubre de 2025) añade el art. 70-septies a su ley de derechos de autor: la extracción mediante modelos de IA, incluidos los generativos, solo se permite dentro de los artículos de TDM ya existentes.

¿Qué añade el AI Act para quien hace scraping?

Para la mayoría de los desarrolladores, nada directamente. Las obligaciones de derechos de autor del art. 53 del AI Act recaen en los proveedores de modelos de IA de uso general: deben tener una política para cumplir el derecho de autor de la UE, incluida la identificación y el respeto de las reservas de derechos del art. 4.3 de la Directiva DSM, y publicar un resumen suficientemente detallado del contenido de entrenamiento. La Comisión afirma que estas obligaciones se aplican desde el 2 de agosto de 2025, que sus facultades de ejecución empezaron el 2 de agosto de 2026 y que los modelos comercializados antes deben cumplir antes del 2 de agosto de 2027.

Si entrenas o ajustas (fine-tuning) un modelo, comprueba si cuentas como proveedor. El Código de buenas prácticas de IA de uso general, voluntario (10 de julio de 2025), tiene un capítulo de derechos de autor: los firmantes se comprometen a usar crawlers que respeten robots.txt (RFC 9309 del IETF), a no eludir muros de pago y a respetar otras reservas legibles por máquina. Si solo llamas a modelos alojados, estas obligaciones recaen en su proveedor.

¿Qué dicen los reguladores nacionales?

Tu propia autoridad es donde llegan las reclamaciones. Lo que pude verificar en cada sitio el 19 de octubre de 2026:

España, AEPD: un criterio jurídico del 25 de noviembre de 2025 establece que el scraping que recoge datos personales es un tratamiento. El caso se archivó porque la herramienta solo mostraba un gráfico agregado, así que es una orientación acotada.
Italia, Garante: nota informativa sobre el web scraping (resolución n.º 329 de 20 de mayo de 2024, Gazzetta Ufficiale de 7 de junio de 2024). Está escrita para los operadores de sitios web (áreas reservadas, cláusulas antiscraping, monitorización del tráfico) y no es vinculante.
Francia, CNIL: ficha sobre interés legítimo y scraping (19 de junio de 2025). Excluye los sitios que se oponen al scraping mediante robots.txt o CAPTCHA, recoge solo lo que está abierto sin cuenta, ofrece un opt-out previo y borra rápido los datos irrelevantes.
Alemania: no encontré ningún texto específico sobre scraping de la DSK ni de una autoridad de un Land, así que las directrices del CEPD y la sentencia de Hamburgo citada arriba son las referencias utilizables.
Brasil (fuera de la UE, LGPD): el Radar Tecnológico n.º 3 de la ANPD (2024) afirma que el contenido de sitios públicos sigue sujeto a la LGPD, y que el scraping necesita una base legal conforme a los arts. 7 u 11. Es un estudio técnico, no vinculante.

Una lista de comprobación para desarrolladores que hacen scraping

Solo páginas públicas: sin login, sin muro de pago, sin cuentas falsas.
Decide si necesitas datos personales en absoluto. Si no, fíltralos.
Si los necesitas, escribe antes la finalidad, la base jurídica y la prueba de ponderación.
Lee robots.txt y cualquier otra reserva legible por máquina, y respétalas.
Mantén bajo el ritmo de solicitudes (límites de tasa).
Conserva solo los campos que necesitas, y solo el tiempo que los necesites.
No republiques contenido copiado ni repliques bases de datos enteras.
Ten listo un aviso de privacidad y atiende las solicitudes de acceso y supresión.

El paso de robots.txt son unas pocas líneas con la biblioteca estándar de Python. Ejecutado el 19 de octubre de 2026:

from urllib.parse import urlparse
from urllib.robotparser import RobotFileParser

def allowed(url: str, agent: str = "my-research-bot") -> bool:
    parts = urlparse(url)
    parser = RobotFileParser(f"{parts.scheme}://{parts.netloc}/robots.txt")
    parser.read()
    return parser.can_fetch(agent, url)

print(allowed("https://github.com/about"))     # True
print(allowed("https://github.com/copilot/"))  # False

robots.txt cubre la etiqueta del crawling. No sustituye a leer las condiciones ni a buscar otras reservas.

¿Dónde encaja FastAF?

FastAF descarga páginas públicas y las devuelve renderizadas; no es una forma de saltarse ninguna de las normas anteriores. Su política de uso aceptable prohíbe el contenido tras logins y muros de pago, las credenciales, los datos personales sin base jurídica, los datos de categorías especiales, los datos de menores y la infracción de derechos de autor o de derechos sobre bases de datos. Los endpoints de scrape y de captura de pantalla rechazan las direcciones privadas e internas y las URL con segmentos de ruta de tipo login, como login, sign-in u oauth. La política de privacidad dice que el contenido que devuelven tus solicitudes se transmite de vuelta a ti y no se conserva. Cuando contiene datos personales, tú eres el responsable del tratamiento y FastAF actúa siguiendo tus instrucciones conforme al anexo de tratamiento de datos.

El filtro es tosco: no juzga si una página contiene datos personales o una reserva de derechos, así que eso sigue siendo cosa tuya. Una URL de login, llamada a la API de producción el 19 de octubre de 2026, respondió en 0,15 segundos y no costó nada:

curl -s -H "Authorization: Bearer $FASTAF_API_KEY" \
  "https://api.fastaf.co/v1/scrape?url=https%3A%2F%2Fexample.com%2Flogin"
# HTTP 400
# {"error":{"code":"blocked_target","message":"This target is not allowed."}}

Para la mecánica, mira cómo hacer scraping de cualquier sitio con Python y la API de web scraping. LinkedIn tiene su propia jurisprudencia: ¿Es legal el scraping de LinkedIn?

En resumen

Hacer scraping de páginas públicas es viable en la UE si respetas cuatro límites: el RGPD si hay personas identificables, el derecho sobre bases de datos y los derechos de autor si copias contenido protegido, cualquier opt-out legible por máquina y las condiciones que aceptaste. Escribe tu finalidad, incorpora la lista de comprobación a tu pipeline y ten en cuenta el AI Act solo si ofreces un modelo de uso general. Las normas están en movimiento: el texto del CEPD es un borrador y el caso de Hamburgo está recurrido. Solo para páginas públicas, crea una cuenta gratis con 500 créditos y lee la documentación.