Le web scraping est-il légal en UE ? RGPD, base de données, AI Act

Le scraping de pages web publiques n’est pas illégal en soi dans l’UE, mais « public » ne veut pas dire « utilisable librement à n’importe quelle fin ». Les règles applicables dépendent de ce que vous collectez et de pourquoi, pas de l’outil que vous utilisez : le RGPD si la page contient des données personnelles, le droit sui generis et le droit d’auteur si vous copiez un contenu protégé, le contrat si vous avez accepté des conditions d’utilisation, et l’AI Act uniquement si vous développez un modèle d’IA à usage général. Cet article est informatif, à jour au 19 octobre 2026, et ne constitue pas un conseil juridique.

Couche	S’applique quand	Ce qu’elle vous demande	Source primaire
RGPD	Les pages contiennent des informations sur des personnes identifiables	Une base légale, la minimisation, une finalité déterminée	Règlement 2016/679
Droit sui generis	Vous extrayez une partie substantielle d’une base de données, ou vous extrayez de façon répétée de petites parties	Une autorisation, ou une exception	Directive 96/9/CE, art. 7
Droit d’auteur et TDM	Vous copiez des œuvres protégées pour une analyse automatisée	Un accès licite, et le respect d’une réserve de droits	Directive 2019/790, art. 3 et 4
Contrat	Vous avez accepté les conditions d’un site	Les conditions peuvent vous lier	CJUE C-30/14
AI Act	Vous fournissez un modèle d’IA à usage général	Politique de droit d’auteur, résumé des données d’entraînement	Règlement 2024/1689, art. 53

Le RGPD s’applique-t-il aux données des pages web publiques ?

Oui, dès que la donnée se rapporte à une personne identifiable. Le RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable, et ne dit rien sur le fait qu’elle soit publique ou non. Les noms, les intitulés de poste, les photos et les messages de forum comptent.

Si vous collectez des données personnelles, vous devenez responsable de traitement et il vous faut une base légale (art. 6). Le consentement est rarement praticable, car vous n’avez aucune relation avec les personnes concernées. Le candidat habituel est l’intérêt légitime, art. 6, par. 1, point f), qui échoue si les droits et intérêts de la personne prévalent sur les vôtres. Vous devez aussi respecter la limitation des finalités et la minimisation des données (art. 5). L’art. 14 impose d’informer les personnes que vous détenez leurs données, sauf si cela se révèle impossible ou exige des efforts disproportionnés (art. 14, par. 5, point b). Les catégories particulières, comme les données de santé, exigent une condition supplémentaire de l’art. 9, par. 2.

Les lignes directrices 03/2026 de l’EDPB, adoptées le 7 juillet 2026, sont les premières lignes directrices du Comité consacrées au web scraping. Il s’agit d’un projet soumis à consultation jusqu’au 30 octobre 2026, et leur périmètre est le scraping destiné à entraîner l’IA générative : ce n’est donc pas une règle pour tous les scrapers, mais elles montrent comment raisonnent les autorités. Dans le texte complet, le Comité indique que publier des données en ligne ne vaut pas consentement à leur réutilisation, et que l’absence de robots.txt n’est pas non plus un consentement. Des signaux comme robots.txt, ai.txt, les CAPTCHA et les murs de connexion façonnent ce que les personnes peuvent raisonnablement attendre, donc les sites qui s’opposent clairement au scraping doivent être exclus. Le contenu derrière une connexion doit être écarté.

Le droit sui generis des bases de données m’empêche-t-il de scraper ?

Parfois. Le droit sui generis de la directive 96/9/CE (en droit français, l’art. L. 342-1 du Code de la propriété intellectuelle) permet au producteur d’une base de données dont l’obtention, la vérification ou la présentation du contenu atteste un investissement substantiel d’interdire l’extraction ou la réutilisation de la totalité ou d’une partie substantielle de son contenu (art. 7, par. 1). L’art. 7, par. 5, interdit aussi l’extraction répétée et systématique de parties non substantielles lorsqu’elle excède manifestement les conditions d’utilisation normale de la base ou cause un préjudice injustifié au producteur. Le droit dure 15 ans à compter de l’achèvement ou de la première mise à disposition (art. 10), renouvelé par des modifications substantielles. Il protège l’investissement, pas la créativité : un annuaire peut donc en bénéficier même s’il n’y a pas de droit d’auteur sur son contenu. Lire quelques enregistrements est très différent de répliquer tout un catalogue à intervalles réguliers, ce qui est le schéma visé par l’art. 7, par. 5.

Les conditions d’utilisation sont une question distincte. Dans l’arrêt Ryanair c. PR Aviation (C-30/14, 15 janvier 2015), la Cour de justice a jugé que la directive ne s’applique pas à une base de données protégée ni par le droit d’auteur ni par le droit sui generis, de sorte que ses dispositions n’empêchent pas son titulaire de fixer des limites contractuelles à l’utilisation, sous réserve du droit national. Cela ne veut pas dire que toute clause est applicable, seulement que la directive ne vous sauvera pas du contrat.

Que permettent les exceptions de fouille de textes et de données (TDM) ?

La directive 2019/790 prévoit deux exceptions pour la fouille de textes et de données, définie à l’art. 2, point 2), comme toute technique d’analyse automatisée de textes et de données pour produire des informations telles que des constantes, des tendances et des corrélations. Elles sont transposées en droit français à l’art. L. 122-5-3 du Code de la propriété intellectuelle.

L’article 3 couvre les organismes de recherche et les institutions du patrimoine culturel qui font de la recherche scientifique, sur des œuvres auxquelles ils ont un accès licite. Les titulaires de droits ne peuvent pas s’y opposer.
L’article 4 couvre tout le monde, pour les œuvres accessibles de manière licite, et permet de conserver les copies aussi longtemps que nécessaire à la fouille. Il ne s’applique que si le titulaire n’a pas réservé expressément cet usage « de manière appropriée, notamment par des procédés lisibles par machine » pour les contenus mis à disposition en ligne (art. 4, par. 3).

Les deux exceptions visent l’analyse, pas la republication. Une réserve lisible par machine est un opt-out que vous devez respecter ; robots.txt est le signal le plus connu, pas le seul. En Allemagne, la cour d’appel régionale de Hambourg a tranché Kneschke c. LAION le 10 décembre 2025 (5 U 104/24) : la réserve figurant sur le site de l’agence n’était pas sous forme lisible par machine, donc l’exception de l’art. 4 couvrait la copie. Elle a aussi retenu l’exception de recherche. Un pourvoi devant la Cour fédérale de justice a été admis, la décision n’est donc pas définitive.

La loi italienne 132/2025 (en vigueur depuis le 10 octobre 2025) ajoute l’art. 70-septies à la loi sur le droit d’auteur : l’extraction par des modèles d’IA, y compris génératifs, n’est permise que dans le cadre des articles TDM existants.

Qu’ajoute l’AI Act pour les scrapers ?

Pour la plupart des développeurs, rien directement. Les obligations de droit d’auteur de l’art. 53 de l’AI Act pèsent sur les fournisseurs de modèles d’IA à usage général : ils doivent disposer d’une politique de conformité au droit d’auteur de l’UE, y compris pour identifier et respecter les réserves de droits au titre de l’art. 4, par. 3, de la directive DSM, et publier un résumé suffisamment détaillé des contenus d’entraînement. La Commission indique que ces obligations s’appliquent depuis le 2 août 2025, que ses pouvoirs de contrôle ont démarré le 2 août 2026, et que les modèles mis sur le marché avant doivent se conformer d’ici le 2 août 2027.

Si vous entraînez ou affinez un modèle, vérifiez si vous comptez comme fournisseur. Le code de bonnes pratiques pour l’IA à usage général (10 juillet 2025), volontaire, a un chapitre sur le droit d’auteur : les signataires s’engagent à utiliser des crawlers qui respectent robots.txt (RFC 9309 de l’IETF), à ne pas contourner les paywalls et à respecter les autres réserves lisibles par machine. Si vous ne faites qu’appeler des modèles hébergés, ces obligations incombent à leur fournisseur.

Que disent les autorités nationales ?

C’est auprès de votre propre autorité que les plaintes arrivent. Ce que j’ai pu vérifier sur chaque site le 19 octobre 2026 :

France, CNIL : fiche focus sur l’intérêt légitime et la collecte par moissonnage (19 juin 2025). Pour la CNIL, le scraping de données personnelles repose en général sur l’intérêt légitime, à condition de prévoir des mesures additionnelles : exclure les sites qui s’opposent au moissonnage via robots.txt ou des CAPTCHA, ne collecter que ce qui est ouvert sans compte, prévoir une opposition préalable (opt-out), supprimer rapidement les données non pertinentes. C’est la référence française la plus utile pour un scraping légal côté RGPD.
Italie, Garante : nota informativa sur le web scraping (décision n° 329 du 20 mai 2024, Gazzetta Ufficiale du 7 juin 2024). Elle s’adresse aux exploitants de sites (zones réservées, clauses anti-scraping, suivi du trafic) et n’a pas de valeur contraignante.
Espagne, AEPD : un critère juridique du 25 novembre 2025 établit que le scraping qui collecte des données personnelles constitue un traitement. L’affaire a été classée car l’outil n’affichait qu’un graphique agrégé : c’est donc une orientation étroite.
Allemagne : je n’ai trouvé aucun texte spécifique au scraping de la DSK ou d’une autorité de Land, donc les lignes directrices de l’EDPB et la décision de Hambourg ci-dessus sont les références utilisables.
Brésil (hors UE, LGPD) : le Technology Radar n° 3 de l’ANPD (2024) indique que le contenu des sites publics reste soumis à la LGPD, et que le scraping exige une base légale au titre des art. 7 ou 11. C’est une étude technique, non contraignante.

Une checklist pour les développeurs qui font du scraping

Pages publiques uniquement : pas de connexion, pas de paywall, pas de faux comptes.
Décidez si vous avez vraiment besoin de données personnelles. Sinon, filtrez-les.
Si oui, écrivez d’abord la finalité, la base légale et le test de mise en balance.
Lisez robots.txt et toute autre réserve lisible par machine, et respectez-les.
Gardez un débit de requêtes faible (limites de débit).
Ne conservez que les champs dont vous avez besoin, et seulement le temps nécessaire.
Ne republiez pas le contenu copié et ne répliquez pas des bases de données entières.
Ayez une mention d’information prête et traitez les demandes d’accès et de suppression.

L’étape robots.txt tient en quelques lignes avec la bibliothèque standard de Python. Exécuté le 19 octobre 2026 :

from urllib.parse import urlparse
from urllib.robotparser import RobotFileParser

def allowed(url: str, agent: str = "my-research-bot") -> bool:
    parts = urlparse(url)
    parser = RobotFileParser(f"{parts.scheme}://{parts.netloc}/robots.txt")
    parser.read()
    return parser.can_fetch(agent, url)

print(allowed("https://github.com/about"))     # True
print(allowed("https://github.com/copilot/"))  # False

robots.txt couvre les règles de bonne conduite du crawl. Il ne remplace ni la lecture des conditions d’utilisation, ni la recherche d’autres réserves.

Où se place FastAF dans tout cela ?

FastAF récupère des pages publiques et les renvoie rendues ; ce n’est pas un moyen de contourner l’une des règles ci-dessus. Sa politique d’utilisation acceptable interdit le contenu derrière des connexions et des paywalls, les identifiants, les données personnelles sans base légale, les données de catégories particulières, les données sur les enfants, et la violation du droit d’auteur ou des droits sur les bases de données. Les endpoints scrape et screenshot refusent les adresses privées et internes ainsi que les URL contenant des segments de chemin de type connexion comme login, sign-in ou oauth. La politique de confidentialité indique que le contenu renvoyé par vos requêtes vous est transmis en flux et n’est pas conservé. Quand il contient des données personnelles, vous êtes le responsable de traitement et FastAF agit sur vos instructions dans le cadre de l’avenant de traitement des données.

Le garde-fou est grossier : il ne juge pas si une page contient des données personnelles ou une réserve de droits, cela reste à votre charge. Une URL de connexion, appelée avec l’API de production le 19 octobre 2026, a répondu en 0,15 seconde et n’a rien coûté :

curl -s -H "Authorization: Bearer $FASTAF_API_KEY" \
  "https://api.fastaf.co/v1/scrape?url=https%3A%2F%2Fexample.com%2Flogin"
# HTTP 400
# {"error":{"code":"blocked_target","message":"This target is not allowed."}}

Pour la mécanique, voir scraper n’importe quel site avec Python et l’API de web scraping. LinkedIn a sa propre jurisprudence : Le scraping LinkedIn est-il légal ?

En bref

Le scraping de pages publiques est praticable dans l’UE si vous respectez quatre limites : le RGPD si des personnes sont identifiables, le droit sui generis et le droit d’auteur si vous copiez du contenu protégé, toute réserve lisible par machine, et les conditions que vous avez acceptées. Écrivez votre finalité, intégrez la checklist dans votre pipeline, et ne pensez à l’AI Act que si vous fournissez un modèle à usage général. Les règles bougent : le texte de l’EDPB est un projet et l’affaire de Hambourg est en appel. Pour les pages publiques uniquement, créez un compte gratuit avec 500 crédits et lisez la documentation.