Le scraping de LinkedIn est-il légal en 2026 ?

Ceci n’est pas un conseil juridique. C’est un résumé en langage clair de l’état de la jurisprudence en août 2026, écrit pour que vous puissiez poser les bonnes questions à votre propre avocat au lieu de n’en poser aucune.

Ce que hiQ v. LinkedIn a réellement décidé

En 2022, la Cour d’appel du neuvième circuit a réaffirmé que scraper des données qu’un site web rend publiquement disponibles, sans connexion requise, ne viole probablement pas la clause « sans autorisation » du Computer Fraud and Abuse Act (résumé de Fenwick). Cette décision reste la référence : les données publiques ne constituent pas automatiquement un crime fédéral à collecter.

Mais hiQ n’est pas repartie gagnante. L’affaire a traîné en cour de district, deux fois devant le neuvième circuit et jusqu’à la Cour suprême, et s’est terminée par un règlement où hiQ a payé 500 000 $ à LinkedIn, a accepté de détruire les données scrapées, et a accepté une injonction permanente (historique de l’affaire). La question CFAA a été tranchée en faveur de hiQ. L’entreprise a quand même perdu, parce que le CFAA n’a jamais été la seule demande sur la table : la rupture de contrat (l’accord utilisateur que vous acceptez pour utiliser LinkedIn tout court) a survécu et a fait les vrais dégâts.

C’est la distinction que les gens ratent quand ils citent « hiQ » comme un feu vert général.

LinkedIn continue de poursuivre, et de régler, en 2026

Deux affaires récentes montrent que le précédent CFAA n’a pas arrêté LinkedIn de plaider :

LinkedIn v. Proxycurl / Nubela (déposée en janvier 2025, District Nord de Californie) : Proxycurl a réglé avec LinkedIn.
LinkedIn v. ProAPIs (déposée en octobre 2025) : LinkedIn a allégué une opération « à échelle industrielle » utilisant de faux comptes pour accéder aux données des membres, y compris du contenu derrière le mur de connexion. Les deux parties sont parvenues à un accord de principe en février 2026, termes non divulgués (couverture du règlement).

Remarquez le schéma : les litiges qui vont jusqu’au tribunal et se règlent impliquent presque toujours de faux comptes, un accès connecté, ou des données derrière une authentification, pas de simples pages de profil publiques. C’est cohérent avec la ligne CFAA tracée dans hiQ. C’est aussi un rappel que LinkedIn poursuivra les entreprises qui construisent une activité sur ses données, publiques ou non, et qu’un règlement peut quand même vous coûter le produit.

Données publiques contre données derrière connexion

C’est la distinction qui compte plus que n’importe quel jugement isolé :

Les pages de profil publiques, visibles par un visiteur déconnecté ou indexées par les moteurs de recherche, se rapprochent du précédent hiQ. Les scraper est peu susceptible de déclencher une responsabilité CFAA en soi.
Tout ce qui nécessite une connexion, un faux compte, ou le contournement d’un contrôle d’accès, se trouve de l’autre côté de la ligne que décrit la plainte ProAPIs, et c’est exactement le schéma de fait que cible le contentieux de LinkedIn.

Les violations des conditions d’utilisation et les demandes pour rupture de contrat s’appliquent quel que soit le côté de cette ligne où vous vous trouvez, et c’est une question juridique distincte du CFAA. Lisez-les, ou faites-les lire par un conseil, avant de construire un produit autour de ces données.

RGPD et CCPA, brièvement

Si les profils que vous collectez appartiennent à des personnes dans l’UE/au Royaume-Uni ou en Californie, « public » ne fonctionne pas de la même façon dans les deux lois :

Le RGPD ne prévoit aucune exemption pour les données publiques. Il traite les données personnelles scrapées comme des données personnelles quelle que soit leur source. Vous avez besoin d’une base légale pour les traiter (l’intérêt légitime est l’argument courant, mais il nécessite un véritable test de mise en balance), et les personnes concernées conservent des droits d’accès, de rectification et de suppression de leurs informations.
Le CCPA/CPRA donne aux résidents de Californie des droits similaires sur les informations personnelles qu’une entreprise collecte, mais les « informations personnelles » excluent les informations « accessibles au public » (Cal. Civ. Code 1798.140(v)(2)) : les informations licitement rendues accessibles par des registres publics ; celles que l’entreprise a une base raisonnable pour croire licitement rendues accessibles au grand public par le consommateur ou par des médias largement diffusés ; ou celles rendues accessibles par une personne à qui le consommateur les a communiquées, s’il ne les a pas limitées à un public précis. C’est une exclusion avec des limites, pas une licence générale de scraping : les informations doivent être licitement publiques, et les informations biométriques collectées à l’insu du consommateur ne sont pas couvertes.

Avec le RGPD, « c’était public » est un facteur, pas une exemption. Avec le CCPA, cela ne compte que si l’information entre dans cette définition.

Ce que fait notre endpoint /linkedin

L’endpoint /linkedin de FastAF renvoie des données structurées depuis des profils personnels LinkedIn publics, le genre visible sans connexion, pour 60 crédits par requête :

import requests

API_KEY = "faf_live_..."  # votre clé FastAF

resp = requests.get(
    "https://api.fastaf.co/v1/linkedin",
    params={"id": "williamhgates", "type": "profile"},
    headers={"Authorization": f"Bearer {API_KEY}"},
    timeout=60,
)
resp.raise_for_status()
print(resp.json())

Le paramètre facultatif type accepte uniquement profile ; les recherches d’entreprises et d’emplois ne sont pas disponibles. Le paramètre premium est lui aussi facultatif. Nous n’accédons pas à des données derrière un mur de connexion, et nous n’utilisons pas de faux comptes. Ça maintient l’endpoint du côté « données publiques » de la ligne décrite par la jurisprudence ci-dessus, mais ça ne rend pas votre cas d’usage spécifique automatiquement conforme : ce que vous faites des données, à quel volume, et pour quelles personnes, est une analyse distincte.

En bref

Les données publiques de LinkedIn ne constituent pas automatiquement une violation du CFAA après hiQ, mais la rupture de contrat et le RGPD sont des questions distinctes que les données publiques ne résolvent pas pour vous (le CCPA n’exclut que les informations licitement publiques, dans des limites étroites), et LinkedIn continue de poursuivre les entreprises qu’elle estime avoir franchi la ligne. Parlez à un avocat de votre cas d’usage spécifique avant de le faire monter en échelle. Voir notre documentation pour ce que renvoie l’endpoint /linkedin, ou tarifs pour le coût en crédits au volume.