¿Es legal el web scraping en España? Todo lo que necesitas saber

Datos públicos vs datos protegidos: la primera frontera legal

La distinción fundamental en cualquier proyecto de extracción de datos es si la información está disponible públicamente o requiere autenticación. Los datos accesibles sin registro —precios de productos, direcciones de empresas, horarios de apertura, ofertas de empleo publicadas— están disponibles para cualquier visitante humano y, por tanto, también para herramientas automatizadas. El Tribunal de Justicia de la Unión Europea ha reconocido repetidamente que la recopilación de información pública no constituye por sí misma una infracción, siempre que no se vulneren otros derechos específicos.

Los datos tras login, en cambio, requieren credenciales de acceso. Aquí la situación cambia radicalmente: usar las credenciales de otra persona sin autorización puede configurar acceso no autorizado a sistemas informáticos. Incluso usar tus propias credenciales para extraer datos de forma automatizada puede vulnerar el contrato que firmaste al crear la cuenta. Acceder a áreas privadas sin permiso expreso introduce riesgos legales considerables que debes valorar con un abogado.

¿Qué considera la ley como público?

• Páginas accesibles mediante URL directa sin necesidad de introducir usuario y contraseña
• Contenido indexado por buscadores como Google (si está en el índice público, cualquiera puede verlo)
• Información visible en el código HTML de la página cargada en un navegador estándar
• Datos publicados en directorios oficiales, registros mercantiles o boletines públicos como el BOE

No se considera público el contenido que requiere completar un formulario de registro, aunque el registro sea gratuito, ni las APIs privadas que devuelven datos solo tras autenticación.

RGPD y scraping: cuándo los datos personales son el problema

El Reglamento General de Protección de Datos y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales establecen reglas estrictas para cualquier tratamiento de datos personales, y el web scraping no es una excepción. Un dato personal es cualquier información que permita identificar a una persona física: nombre, dirección de email, teléfono, DNI, matrícula de coche, incluso una IP en determinados contextos.

Si tu proyecto de scraping recopila datos personales, necesitas una base legal válida. Las más habituales son el consentimiento explícito del interesado o el interés legítimo, pero este último requiere demostrar que tu interés prevalece sobre los derechos del afectado y que la recopilación es proporcional. La AEPD ha sancionado empresas que recopilaron datos personales de webs públicas sin base legal suficiente, especialmente cuando esos datos se reutilizaron para marketing directo o perfilado sin consentimiento.

Casos en los que el RGPD no aplica al scraping

• Recopilas únicamente datos de empresas (CIF, razón social, dirección fiscal), no de personas físicas
• Los datos extraídos son estadísticas agregadas sin información identificable de individuos
• Trabajas con datos ya anonimizados de forma irreversible en origen
• El proyecto es periodismo, investigación académica o denuncia de ilícitos con las salvaguardas adecuadas

Para proyectos comerciales que inevitablemente incluyen datos personales públicos —por ejemplo, scraping de inmobiliarias con contactos de agentes, o extracción de ofertas de empleo con emails de RRHH— la recomendación es clara: consulta con un abogado especializado en protección de datos antes de iniciar la recopilación.

Propiedad intelectual y derechos sui generis sobre bases de datos

La Ley de Propiedad Intelectual protege las obras originales y, además, reconoce un derecho específico del fabricante de una base de datos sobre el contenido de esta cuando ha realizado una inversión sustancial para obtenerla, verificarla o presentarla. Este derecho sui generis significa que extraer o reutilizar la totalidad o una parte sustancial de una base de datos puede ser ilegal incluso si los datos individuales no están protegidos.

En la práctica, si un marketplace ha invertido recursos significativos en compilar su catálogo de productos, tiene derechos sobre esa base de datos como conjunto, aunque cada ficha de producto individual no sea una obra protegida. Copiar el catálogo completo mediante scraping vulnera ese derecho. La clave está en la proporción: extraer datos de forma selectiva y limitada tiene un encaje legal más favorable que la copia sistemática y exhaustiva de toda la base.

Prácticas de bajo riesgo respecto a derechos de bases de datos

1. Extraer solo las categorías o productos que necesitas para tu caso de uso específico, no todo el catálogo
2. Combinar datos de múltiples fuentes públicas para crear tu propia base derivada con valor añadido
3. Citar la fuente original cuando publiques datos extraídos y no presentarlos como propios
4. Actualizar periódicamente solo los registros que han cambiado, en lugar de descargar todo de nuevo

Cuando el objetivo es monitorización de precios de competidores o agregación de ofertas, trabajar con muestras representativas en lugar de copias completas reduce el riesgo legal y, además, resulta más eficiente técnicamente.

Términos de servicio y carga técnica: los límites prácticos del scraping legal

Casi todas las webs comerciales incluyen en sus términos de uso prohibiciones explícitas del scraping. La pregunta clave es: ¿hasta qué punto son vinculantes? En España y la UE, un contrato privado no puede restringir derechos fundamentales ni limitar el libre flujo de información pública más allá de lo que permita la ley. Varios tribunales europeos han reconocido que las prohibiciones generales en términos de servicio no impiden automáticamente cualquier extracción de datos públicos.

Sin embargo, esto no significa que puedas ignorar esos términos sin consecuencias. Si has creado una cuenta y aceptado las condiciones, vulnerarlas puede dar lugar a la cancelación de tu cuenta, reclamaciones por daños si tu actividad causa perjuicios, o incluso acciones legales. La jurisprudencia está en evolución, y cada caso depende de factores como el impacto técnico del scraping, el uso comercial de los datos y la naturaleza pública o privada del contenido extraído.

Comportamiento técnico responsable

Un aspecto frecuentemente olvidado de la legalidad del scraping es el impacto técnico. Sobrecargar intencionadamente un servidor hasta degradar o interrumpir el servicio constituye un ataque de denegación de servicio, tipificado como delito en el Código Penal. El estándar de comportamiento responsable incluye respetar el archivo robots.txt (aunque no tiene fuerza legal vinculante, es una declaración clara de la voluntad del propietario), implementar pausas entre peticiones para no saturar el servidor, y detener el scraping si el servidor devuelve errores que indican sobrecarga.

• Intervalo mínimo de 1-2 segundos entre peticiones para sitios pequeños y medianos
• Límite de hilos concurrentes: nunca más de 5-10 conexiones simultáneas a un mismo dominio
• Manejo correcto de errores: si recibes un 429 o 503, espera antes de reintentar
• Usar un User-Agent identificable en lugar de fingir ser un navegador humano
• Caché local de páginas ya descargadas para evitar peticiones repetidas innecesarias

Cuando contratas servicios de extracción profesionales, el proveedor debe garantizar que su infraestructura cumple estos estándares. En Kodrana configuramos todos los scrapers con límites de velocidad conservadores y monitorizamos la respuesta del servidor para ajustar la carga dinámicamente.

Checklist de cumplimiento para tu proyecto de scraping

Antes de iniciar cualquier proyecto de recopilación automatizada de datos, este checklist te ayuda a identificar riesgos legales y decidir si necesitas asesoramiento jurídico adicional. No sustituye el criterio de un abogado, pero cubre los puntos críticos que determinan si tu proyecto está en zona segura, zona gris o zona de alto riesgo.

Análisis de los datos objetivo

1. Confirma que los datos son accesibles sin login o registro obligatorio
2. Verifica si contienen datos personales de individuos (nombres, emails, teléfonos) y, en caso afirmativo, documenta tu base legal bajo el RGPD
3. Comprueba si el sitio tiene robots.txt y qué rutas prohíbe; evalúa si puedes respetar esas restricciones
4. Lee los términos de servicio buscando cláusulas sobre scraping, automatización o uso comercial de datos
5. Identifica si el sitio ha invertido recursos sustanciales en compilar su base de datos

Diseño técnico y operativo

1. Configura límites de velocidad: máximo 1 petición cada 1-2 segundos para sitios medianos
2. Implementa reintentos con backoff exponencial; nunca reintentes inmediatamente tras un error 429 o 503
3. Usa un User-Agent honesto que identifique tu bot, o configura uno genérico sin fingir ser navegadores específicos
4. Establece un volumen máximo razonable: extraer muestras proporcionales en lugar de copias masivas
5. Documenta el propósito del scraping y cómo usarás los datos

Cumplimiento normativo

1. Si recopilas datos personales, redacta un registro de actividades de tratamiento según el RGPD
2. Implementa mecanismos de derecho de supresión: si alguien te pide que borres sus datos, debes poder hacerlo
3. Almacena los datos de forma segura con medidas técnicas apropiadas al riesgo
4. Si vendes o compartes los datos con terceros, asegúrate de tener base legal para la cesión

Este checklist cubre los escenarios más comunes, pero casos específicos —scraping de redes sociales, datos financieros regulados, contenido editorial protegido— requieren análisis adicional. Cuando el riesgo es alto o el proyecto tiene gran envergadura comercial, la inversión en asesoría legal especializada es coste de hacer negocio correctamente.

Casos especiales y alternativas al scraping

Algunas fuentes de datos tienen marcos legales específicos. Los registros y boletines oficiales como el BOE, portales de contratación pública o registros mercantiles publican información con la intención expresa de difusión pública; extraer estos datos para análisis o servicios de valor añadido está generalmente alineado con su propósito y tiene riesgo legal mínimo. Los marketplaces y plataformas comerciales están en el extremo opuesto: aunque publiquen precios de forma abierta, su modelo de negocio depende del tráfico y la intermediación.

Alternativas que reducen riesgo legal

Antes de lanzar un proyecto de scraping, vale la pena explorar opciones que eliminan o reducen el riesgo legal. Muchas plataformas ofrecen APIs oficiales para acceso a sus datos; aunque suelen tener limitaciones de volumen o coste, proporcionan un marco contractual claro. Contactar directamente con el propietario del sitio para negociar acceso puede abrir puertas; en sectores B2B, muchas empresas están dispuestas a vender datos o establecer acuerdos de afiliación.

• Existe una API oficial que cubre la mayoría de tus necesidades a coste razonable
• El volumen de datos es limitado y puedes obtenerlos mediante recopilación manual ocasional
• El propietario del sitio tiene historial de acciones legales agresivas contra scrapers
• Los datos incluyen contenido muy protegido (fotografías profesionales, textos editoriales extensos)
• Tu proyecto requiere datos tras login y no puedes obtener consentimiento de los titulares

La decisión de hacer scraping debe equilibrar el valor de negocio con el riesgo legal y técnico. Para casos de uso críticos donde los datos son fundamentales para tu modelo de negocio, invertir en infraestructura profesional con garantías de cumplimiento es sensato; para experimentos o proyectos menores, las alternativas más simples merecen consideración seria.

Cómo iniciar un proyecto de scraping con garantías

Si después de revisar esta guía has determinado que tu proyecto de extracción de datos es viable legalmente, el siguiente paso es validarlo técnicamente. En Kodrana ofrecemos una muestra gratuita de 50-100 registros antes de cualquier pago: nos envías la URL del sitio y los campos que necesitas, analizamos las protecciones técnicas y la estructura de los datos, y te entregamos la muestra para que compruebes que se ajusta a tus requisitos. Este proceso permite identificar problemas técnicos o legales antes de comprometer presupuesto.

Trabajamos exclusivamente con datos públicos, configuramos todos los scrapers con límites de carga responsables y proporcionamos los datos en el formato que necesites: CSV, Excel, JSON, directamente a tu CRM o base de datos. Para proyectos recurrentes, las suscripciones desde 109 € al mes incluyen actualizaciones programadas y mantenimiento cuando el sitio cambia su estructura. El código y los datos son siempre tuyos; nosotros solo proporcionamos la infraestructura y el conocimiento técnico para recopilarlos de forma fiable y conforme a las mejores prácticas del sector.