Web scraping é legal na UE? GDPR, LGPD e raspagem de dados

Fazer scraping de páginas públicas não é ilegal na UE em si, mas “público” não significa “livre para qualquer uso”. Quais regras valem depende do que você coleta e por quê, não da ferramenta que usa: o GDPR (RGPD, em Portugal), se a página tem dados pessoais; o direito do fabricante de bases de dados e o direito autoral, se você copia conteúdo protegido; o contrato, se você aceitou termos de uso; e o AI Act, apenas se você constrói um modelo de IA de uso geral. Este post é informativo, em 19 de outubro de 2026, e não é aconselhamento jurídico.

Camada	Vale quando	O que exige de você	Fonte primária
GDPR	As páginas têm informações sobre pessoas identificáveis	Base legal, minimização, finalidade declarada	Regulamento 2016/679
Direito sui generis sobre bases de dados	Você extrai uma parte substancial de uma base de dados, ou extrai repetidamente partes pequenas	Permissão, ou uma exceção	Diretiva 96/9/CE, art. 7
Direito autoral e TDM	Você copia obras protegidas para análise automatizada	Acesso lícito e respeito a uma reserva de direitos	Diretiva 2019/790, arts. 3 e 4
Contrato	Você concordou com os termos de um site	Os termos podem obrigar você	TJUE C-30/14
AI Act	Você fornece um modelo de IA de uso geral	Política de direitos autorais, resumo dos dados de treino	Regulamento 2024/1689, art. 53

Sim, sempre que os dados se referem a uma pessoa identificável. O GDPR define dados pessoais como qualquer informação relativa a uma pessoa natural identificada ou identificável, e não diz nada sobre ser público ou não. Nomes, cargos, fotos e posts em fóruns contam.

Se você coleta dados pessoais, você se torna controlador e precisa de uma base legal (art. 6). O consentimento raramente é viável, porque você não tem relação nenhuma com as pessoas em questão. O candidato usual é o interesse legítimo, art. 6(1)(f), que falha se os direitos e interesses da pessoa se sobrepõem aos seus. Você também precisa respeitar a limitação de finalidade e a minimização de dados (art. 5). O art. 14 exige informar as pessoas de que você tem os dados delas, a menos que isso se mostre impossível ou exija esforço desproporcional (art. 14(5)(b)). Categorias especiais, como dados de saúde, precisam de uma condição adicional do art. 9(2).

As Diretrizes 03/2026 do EDPB, adotadas em 7 de julho de 2026, são as primeiras diretrizes do Comitê dedicadas ao web scraping. São um rascunho aberto a consulta até 30 de outubro de 2026, e o escopo é o scraping para treinar IA generativa, então não são uma regra para todo scraper, mas mostram como os reguladores raciocinam. No texto completo, o Comitê diz que publicar dados online não é consentimento para a reutilização deles, e que a ausência de robots.txt também não é consentimento. Sinais como robots.txt, ai.txt, CAPTCHAs e telas de login moldam o que as pessoas podem razoavelmente esperar, então sites que claramente se opõem ao scraping devem ser excluídos. Conteúdo atrás de login deve ficar de fora.

O direito da UE sobre bases de dados me impede de fazer scraping?

Às vezes. O direito sui generis da Diretiva 96/9/CE permite que o fabricante de uma base de dados que exigiu investimento substancial para obter, verificar ou apresentar seu conteúdo impeça a extração ou a reutilização da totalidade ou de uma parte substancial dela (art. 7(1)). O art. 7(5) também proíbe a extração repetida e sistemática de partes não substanciais quando isso entra em conflito com a exploração normal da base de dados ou prejudica de forma injustificada o fabricante. O direito dura 15 anos a partir da conclusão ou da primeira publicação (art. 10), renovado por alterações substanciais. Ele protege o investimento, não a criatividade, então um diretório pode se qualificar mesmo sem direito autoral sobre ele. Ler alguns registros é diferente de espelhar um catálogo inteiro em intervalos regulares, que é o padrão visado pelo art. 7(5).

Os termos de uso são uma questão separada. Em Ryanair contra PR Aviation (C-30/14, 15 de janeiro de 2015), o Tribunal de Justiça decidiu que a diretiva não se aplica a uma base de dados protegida nem por direito autoral nem pelo direito sui generis, então suas disposições não impedem o titular de impor limites contratuais ao uso, sujeito ao direito nacional. Isso não diz que toda cláusula é exigível, apenas que a diretiva não vai te salvar do contrato.

O que as exceções de mineração de textos e dados permitem?

A Diretiva 2019/790 prevê duas exceções para a mineração de textos e dados (TDM), definida no art. 2(2) como a análise automatizada de textos e dados para gerar informações como padrões, tendências e correlações.

O artigo 3 cobre organismos de investigação e instituições de patrimônio cultural que fazem pesquisa científica, sobre obras às quais tenham acesso lícito. Os titulares de direitos não podem fazer opt-out.
O artigo 4 cobre qualquer pessoa, para obras de acesso lícito, e permite manter cópias pelo tempo necessário à mineração. Só se aplica se o titular dos direitos não reservou expressamente o uso “de forma adequada, como meios de leitura automática” para conteúdo disponibilizado online (art. 4(3)).

Ambas as exceções são para análise, não para republicação. Uma reserva legível por máquina é um opt-out que você deve respeitar; o robots.txt é o sinal mais conhecido, não o único. Na Alemanha, o Tribunal Regional Superior de Hamburgo decidiu Kneschke contra LAION em 10 de dezembro de 2025 (5 U 104/24): a reserva no site da agência não estava em forma legível por máquina, então a exceção do art. 4 cobriu a cópia. O tribunal também aceitou a exceção de pesquisa. Foi admitido recurso ao Tribunal Federal de Justiça, então a decisão não é definitiva.

A Lei 132/2025 da Itália (em vigor desde 10 de outubro de 2025) acrescenta o art. 70-septies à lei de direitos autorais: a extração por meio de modelos de IA, inclusive generativos, só é permitida dentro dos artigos de TDM já existentes.

O que o AI Act acrescenta para quem faz scraping?

Para a maioria dos desenvolvedores, nada diretamente. Os deveres de direitos autorais do art. 53 do AI Act recaem sobre os provedores de modelos de IA de uso geral: eles precisam ter uma política para cumprir o direito autoral da UE, inclusive identificar e respeitar as reservas de direitos do art. 4(3) da Diretiva DSM, e publicar um resumo suficientemente detalhado do conteúdo de treino. A Comissão diz que essas obrigações valem desde 2 de agosto de 2025, seus poderes de fiscalização começaram em 2 de agosto de 2026, e os modelos colocados no mercado antes devem cumprir até 2 de agosto de 2027.

Se você treina ou faz fine-tuning de um modelo, verifique se conta como provedor. O Código de Práticas de IA de Uso Geral (10 de julho de 2025), voluntário, tem um capítulo de direitos autorais: os signatários se comprometem com crawlers que seguem o robots.txt (IETF RFC 9309), a não contornar paywalls e a respeitar outras reservas legíveis por máquina. Se você só chama modelos hospedados, esses deveres ficam com o provedor deles.

O que dizem os reguladores nacionais?

A sua própria autoridade é onde as reclamações chegam. O que consegui verificar em cada site em 19 de outubro de 2026:

Itália, Garante: nota informativa sobre web scraping (decisão nº 329 de 20 de maio de 2024, Gazzetta Ufficiale de 7 de junho de 2024). Foi escrita para operadores de sites (áreas reservadas, cláusulas antiscraping, monitoramento de tráfego) e não é vinculante.
França, CNIL: ficha sobre interesse legítimo e scraping (19 de junho de 2025). Excluir sites que se opõem ao scraping via robots.txt ou CAPTCHAs, coletar só o que está aberto sem conta, oferecer um opt-out prévio, apagar rapidamente dados irrelevantes.
Espanha, AEPD: um critério jurídico de 25 de novembro de 2025 afirma que o scraping que coleta dados pessoais é tratamento de dados. O caso foi arquivado porque a ferramenta mostrava apenas um gráfico agregado, então é uma orientação restrita.
Alemanha: não encontrei nenhum texto específico sobre scraping da DSK nem de uma autoridade de um Land, então as diretrizes do EDPB e a decisão de Hamburgo acima são as referências utilizáveis.
Brasil (fora da UE, LGPD): o Radar Tecnológico nº 3 (2024) da ANPD diz que o conteúdo de sites públicos continua sujeito à LGPD e que o scraping precisa de uma base legal dos arts. 7 ou 11. É um estudo técnico, não vinculante. Se você opera no Brasil, a LGPD vale para o tratamento feito no território nacional, e o GDPR pode valer ao mesmo tempo se os dados forem de pessoas na UE.

Um checklist para desenvolvedores que fazem scraping

Só páginas públicas: sem login, sem paywall, sem contas falsas.
Decida se você precisa mesmo de dados pessoais. Se não, filtre-os.
Se precisa, escreva antes a finalidade, a base legal e o teste de ponderação.
Leia o robots.txt e qualquer outra reserva legível por máquina, e respeite-os.
Mantenha a taxa de requisições baixa (limites de taxa).
Guarde só os campos de que precisa, só pelo tempo de que precisa.
Não republique conteúdo copiado nem espelhe bases de dados inteiras.
Tenha um aviso de privacidade pronto e atenda pedidos de acesso e exclusão.

O passo do robots.txt são poucas linhas com a biblioteca padrão do Python. Executado em 19 de outubro de 2026:

from urllib.parse import urlparse
from urllib.robotparser import RobotFileParser

def allowed(url: str, agent: str = "my-research-bot") -> bool:
    parts = urlparse(url)
    parser = RobotFileParser(f"{parts.scheme}://{parts.netloc}/robots.txt")
    parser.read()
    return parser.can_fetch(agent, url)

print(allowed("https://github.com/about"))     # True
print(allowed("https://github.com/copilot/"))  # False

O robots.txt cobre a etiqueta de rastreamento. Ele não substitui a leitura dos termos nem a checagem de outras reservas.

Onde o FastAF se encaixa nisso?

O FastAF busca páginas públicas e as devolve renderizadas; não é um jeito de contornar nenhuma regra acima. Sua política de uso aceitável proíbe conteúdo atrás de logins e paywalls, credenciais, dados pessoais sem base legal, dados de categorias especiais, dados sobre crianças e a violação de direitos autorais ou de direitos sobre bases de dados. Os endpoints de scrape e screenshot recusam endereços privados e internos e URLs com segmentos de caminho de tipo login, como login, sign-in ou oauth. A política de privacidade diz que o conteúdo que suas requisições devolvem é enviado de volta a você e não é retido. Quando ele contém dados pessoais, você é o controlador e o FastAF age sob as suas instruções, conforme o adendo de processamento de dados.

A proteção é grosseira: ela não avalia se uma página contém dados pessoais ou uma reserva de direitos, então isso continua com você. Uma URL de login, chamada na API de produção em 19 de outubro de 2026, voltou em 0,15 segundo e não custou nada:

curl -s -H "Authorization: Bearer $FASTAF_API_KEY" \
  "https://api.fastaf.co/v1/scrape?url=https%3A%2F%2Fexample.com%2Flogin"
# HTTP 400
# {"error":{"code":"blocked_target","message":"This target is not allowed."}}

Para a mecânica, veja como fazer scraping de qualquer site com Python e a API de web scraping. O LinkedIn tem jurisprudência própria: Fazer scraping do LinkedIn é legal?

Resumindo

Fazer scraping de páginas públicas é viável na UE quando você respeita quatro limites: o GDPR se as pessoas são identificáveis, o direito sobre bases de dados e o direito autoral se você copia conteúdo protegido, qualquer opt-out legível por máquina e os termos que você aceitou. Escreva a sua finalidade, coloque o checklist no seu pipeline e considere o AI Act só se você fornece um modelo de uso geral. As regras estão mudando: o texto do EDPB é um rascunho e o caso de Hamburgo está em recurso. Só para páginas públicas, crie uma conta grátis com 500 créditos e leia a documentação.