Il web scraping è legale in UE? GDPR, diritto sui generis, AI Act

Fare scraping di pagine web pubbliche non è illegale in UE in quanto tale, ma “pubblico” non vuol dire “utilizzabile per qualsiasi scopo”. Quali regole si applicano dipende da cosa raccogli e perché, non dallo strumento che usi: il GDPR se la pagina contiene dati personali, il diritto sui generis sulle banche dati e il diritto d’autore se copi contenuti protetti, il contratto se hai accettato dei termini, e l’AI Act solo se realizzi un modello di IA per finalità generali. Questo articolo ha scopo informativo, aggiornato al 19 ottobre 2026, e non è consulenza legale.

Livello	Si applica quando	Cosa ti chiede	Fonte primaria
GDPR	Le pagine contengono informazioni su persone identificabili	Una base giuridica, minimizzazione, una finalità dichiarata	Regolamento 2016/679
Diritto sui generis sulle banche dati	Estrai una parte sostanziale di una banca dati, o estrai ripetutamente piccole parti	Un’autorizzazione, o un’eccezione	Direttiva 96/9/CE, art. 7
Diritto d’autore e TDM	Copi opere protette per analisi automatizzata	Accesso lecito e rispetto della riserva di diritti	Direttiva 2019/790, artt. 3 e 4
Contratto	Hai accettato i termini di un sito	I termini possono vincolarti	CGUE C-30/14
AI Act	Fornisci un modello di IA per finalità generali	Policy sul diritto d’autore, sintesi dei dati di addestramento	Regolamento 2024/1689, art. 53

Sì, ogni volta che i dati riguardano una persona identificabile. Il GDPR definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile, e non dice niente sul fatto che sia pubblica o meno. Nomi, qualifiche professionali, foto e post di forum rientrano.

Se raccogli dati personali diventi titolare del trattamento e ti serve una base giuridica (art. 6). Il consenso è raramente praticabile, perché non hai alcun rapporto con le persone interessate. Il candidato abituale è il legittimo interesse, art. 6(1)(f), che cade se i diritti e gli interessi della persona prevalgono sui tuoi. Devi anche rispettare la limitazione della finalità e la minimizzazione dei dati (art. 5). L’art. 14 richiede di informare le persone che tratti i loro dati, a meno che ciò risulti impossibile o richieda uno sforzo sproporzionato (art. 14(5)(b)). Le categorie particolari, come i dati sulla salute, richiedono una condizione aggiuntiva dell’art. 9(2).

Le Linee guida EDPB 03/2026, adottate il 7 luglio 2026, sono le prime linee guida del Comitato dedicate al web scraping. Sono una bozza in consultazione fino al 30 ottobre 2026, e il loro ambito è lo scraping per addestrare l’IA generativa, quindi non sono una regola per ogni scraper, ma mostrano come ragionano le autorità. Nel testo completo il Comitato afferma che pubblicare dati online non equivale a consentirne il riutilizzo, e che l’assenza di un robots.txt non è un consenso. Segnali come robots.txt, ai.txt, CAPTCHA e pagine di login determinano ciò che le persone possono ragionevolmente aspettarsi, quindi i siti che si oppongono chiaramente allo scraping vanno esclusi. I contenuti dietro un login vanno lasciati fuori.

Il diritto sui generis sulle banche dati mi impedisce di fare scraping?

A volte. Il diritto sui generis della direttiva 96/9/CE permette al costitutore di una banca dati per cui è stato necessario un investimento rilevante per costituire, verificare o presentare il contenuto di vietare l’estrazione o il reimpiego della totalità o di una parte sostanziale (art. 7(1)). L’art. 7(5) vieta anche l’estrazione ripetuta e sistematica di parti non sostanziali quando contrasta con la normale gestione della banca dati o arreca un pregiudizio ingiustificato al costitutore. Il diritto dura 15 anni dal completamento o dalla prima messa a disposizione (art. 10), rinnovato da modifiche sostanziali. Protegge l’investimento, non la creatività, quindi un elenco può qualificarsi anche se non vi sussiste alcun diritto d’autore. In Italia è recepito dagli artt. 102-bis e 102-ter della legge sul diritto d’autore (l. 633/1941). Leggere qualche record è altra cosa dal replicare un intero catalogo a cadenza regolare, che è lo schema a cui mira l’art. 7(5).

I termini di utilizzo sono una questione separata. In Ryanair contro PR Aviation (C-30/14, 15 gennaio 2015) la Corte di giustizia ha stabilito che la direttiva non si applica a una banca dati tutelata né dal diritto d’autore né dal diritto sui generis, quindi le sue disposizioni non impediscono al titolare di porre limiti contrattuali all’uso, fatto salvo il diritto nazionale. Non dice che ogni clausola sia applicabile, solo che la direttiva non ti salverà dal contratto.

Cosa consentono le eccezioni per il text and data mining?

La direttiva 2019/790 prevede due eccezioni per il text and data mining, definito all’art. 2(2) come l’analisi automatizzata di testi e dati per generare informazioni quali tendenze, schemi e correlazioni.

Articolo 3 riguarda gli organismi di ricerca e gli istituti di tutela del patrimonio culturale che fanno ricerca scientifica, su opere a cui hanno accesso lecito. I titolari dei diritti non possono esercitare l’opt-out.
Articolo 4 riguarda chiunque, per opere accessibili in modo lecito, e permette di conservare le copie per il tempo necessario al mining. Si applica solo se il titolare dei diritti non ha riservato espressamente l’uso in modo appropriato, per esempio con mezzi leggibili da una macchina, per i contenuti resi pubblici online (art. 4(3)).

Entrambe le eccezioni valgono per l’analisi, non per la ripubblicazione. Una riserva leggibile da una macchina è un opt-out che devi rispettare; il robots.txt è il segnale più noto, non l’unico. In Germania l’Oberlandesgericht di Amburgo ha deciso Kneschke contro LAION il 10 dicembre 2025 (5 U 104/24): la riserva sul sito dell’agenzia non era in forma leggibile da una macchina, quindi l’eccezione dell’art. 4 copriva la copia. Ha accolto anche l’eccezione per la ricerca. È stato ammesso il ricorso alla Corte federale di giustizia, quindi la sentenza non è definitiva.

In Italia la legge 132/2025 (in vigore dal 10 ottobre 2025) aggiunge alla legge sul diritto d’autore l’art. 70-septies: l’estrazione tramite modelli di IA, anche generativi, è consentita solo nei limiti degli articoli sul TDM già esistenti.

Cosa aggiunge l’AI Act per chi fa scraping?

Per la maggior parte degli sviluppatori, niente in modo diretto. Gli obblighi sul diritto d’autore dell’art. 53 dell’AI Act ricadono sui fornitori di modelli di IA per finalità generali: devono avere una policy per rispettare il diritto d’autore dell’UE, compresa l’individuazione e il rispetto delle riserve di diritti ai sensi dell’art. 4(3) della direttiva DSM, e pubblicare una sintesi sufficientemente dettagliata dei contenuti usati per l’addestramento. La Commissione afferma che questi obblighi si applicano dal 2 agosto 2025, i suoi poteri di enforcement sono scattati il 2 agosto 2026, e i modelli immessi sul mercato prima devono adeguarsi entro il 2 agosto 2027.

Se addestri o fai fine-tuning di un modello, verifica se conti come fornitore. Il Codice di buone pratiche per l’IA per finalità generali, volontario (10 luglio 2025), ha un capitolo sul diritto d’autore: chi aderisce si impegna a usare crawler che seguono il robots.txt (IETF RFC 9309), a non aggirare i paywall e a rispettare le altre riserve leggibili da una macchina. Se ti limiti a chiamare modelli ospitati, questi obblighi restano in capo al loro fornitore.

Cosa dicono le autorità nazionali?

La tua autorità è il luogo dove arrivano i reclami. Ecco cosa ho potuto verificare sul sito di ciascuna il 19 ottobre 2026:

Italia, Garante: nota informativa sul web scraping (provvedimento n. 329 del 20 maggio 2024, Gazzetta Ufficiale del 7 giugno 2024). È scritta per i gestori dei siti (aree riservate, clausole anti-scraping, monitoraggio del traffico) e non è vincolante. Vale per chi fa scraping come indicazione di cosa il Garante si aspetta dai siti, mentre gli obblighi di chi raccoglie i dati restano quelli del GDPR descritti sopra.
Francia, CNIL: scheda sul legittimo interesse e lo scraping (19 giugno 2025). Escludere i siti che si oppongono allo scraping via robots.txt o CAPTCHA, raccogliere solo ciò che è aperto senza account, offrire un opt-out preventivo, cancellare rapidamente i dati non pertinenti.
Spagna, AEPD: un criterio giuridico del 25 novembre 2025 stabilisce che lo scraping che raccoglie dati personali è trattamento. Il caso è stato archiviato perché lo strumento mostrava solo un grafico aggregato, quindi è un’indicazione ristretta.
Germania: non ho trovato testi specifici sullo scraping della DSK o di un’autorità di un Land, quindi le linee guida EDPB e la sentenza di Amburgo qui sopra sono i riferimenti utilizzabili.
Brasile (fuori dall’UE, LGPD): il Radar Tecnológico n. 3 dell’ANPD (2024) dice che i contenuti dei siti pubblici restano soggetti alla LGPD, e lo scraping richiede una base giuridica ai sensi degli artt. 7 o 11. È uno studio tecnico, non vincolante.

Una checklist per gli sviluppatori che fanno scraping

Solo pagine pubbliche: niente login, niente paywall, niente account falsi.
Decidi se ti servono davvero dati personali. Se no, filtrali.
Se sì, metti per iscritto prima finalità, base giuridica e test di bilanciamento.
Leggi il robots.txt e ogni altra riserva leggibile da una macchina, e rispettali.
Tieni basso il ritmo delle richieste (rate limit).
Conserva solo i campi che ti servono, solo per il tempo che ti serve.
Non ripubblicare contenuti copiati né replicare intere banche dati.
Tieni pronta un’informativa privacy e gestisci le richieste di accesso e cancellazione.

Il passo del robots.txt sono poche righe con la libreria standard di Python. Eseguito il 19 ottobre 2026:

from urllib.parse import urlparse
from urllib.robotparser import RobotFileParser

def allowed(url: str, agent: str = "my-research-bot") -> bool:
    parts = urlparse(url)
    parser = RobotFileParser(f"{parts.scheme}://{parts.netloc}/robots.txt")
    parser.read()
    return parser.can_fetch(agent, url)

print(allowed("https://github.com/about"))     # True
print(allowed("https://github.com/copilot/"))  # False

Il robots.txt riguarda l’etichetta del crawling. Non sostituisce la lettura dei termini né la verifica di altre riserve.

Come si inserisce FastAF in tutto questo?

FastAF scarica pagine pubbliche e le restituisce renderizzate; non è un modo per aggirare nessuna delle regole sopra. La sua policy di uso accettabile vieta contenuti dietro login e paywall, credenziali, dati personali senza base giuridica, dati di categorie particolari, dati sui minori, e la violazione del diritto d’autore o dei diritti sulle banche dati. Gli endpoint di scrape e screenshot rifiutano indirizzi privati e interni e URL con segmenti di percorso di tipo login come login, sign-in o oauth. La privacy policy dice che il contenuto restituito dalle tue richieste ti viene inviato in streaming e non viene conservato. Quando contiene dati personali, il titolare sei tu e FastAF agisce secondo le tue istruzioni ai sensi dell’addendum sul trattamento dei dati.

Il filtro è grossolano: non valuta se una pagina contenga dati personali o una riserva di diritti, e questo resta a carico tuo. Un URL di login, chiamato con l’API di produzione il 19 ottobre 2026, ha risposto in 0,15 secondi e non è costato nulla:

curl -s -H "Authorization: Bearer $FASTAF_API_KEY" \
  "https://api.fastaf.co/v1/scrape?url=https%3A%2F%2Fexample.com%2Flogin"
# HTTP 400
# {"error":{"code":"blocked_target","message":"This target is not allowed."}}

Per la parte pratica vedi estrarre dati da un sito web con Python e la web scraping API. LinkedIn ha una giurisprudenza tutta sua: Lo scraping di LinkedIn è legale?

La versione breve

Fare scraping di pagine pubbliche è praticabile in UE se rispetti quattro limiti: il GDPR se le persone sono identificabili, il diritto sui generis e il diritto d’autore se copi contenuti protetti, ogni opt-out leggibile da una macchina, e i termini che hai accettato. Metti per iscritto la tua finalità, inserisci la checklist nella pipeline, e considera l’AI Act solo se fornisci un modello per finalità generali. Le regole si stanno muovendo: il testo dell’EDPB è una bozza e il caso di Amburgo è in appello. Solo per pagine pubbliche, crea un account gratuito con 500 crediti e leggi la documentazione.