Web scraping et légalité : ce que vous devez vérifier avant de lancer un projet

Données publiques ou non publiques : la première distinction

La légalité du scraping dépend d'abord de la nature des données que vous collectez. Les données publiquement accessibles sans authentification — prix affichés sur un site e-commerce, horaires d'un restaurant, annonces immobilières en libre consultation — peuvent généralement être collectées pour un usage légitime, à condition de respecter d'autres règles que nous détaillons plus bas.

En revanche, les données situées derrière un paywall, un login ou une authentification obligatoire posent problème. Utiliser les identifiants d'un tiers sans son consentement pour accéder à du contenu privé constitue une violation de domicile informatique (article 323-1 du Code pénal) et peut être qualifié de vol de données. De même, contourner une protection technique volontaire — un CAPTCHA, un système anti-bot clairement affiché — peut être interprété comme une tentative d'accès frauduleux.

Dans la pratique, si vous devez scraper un site qui exige une inscription, deux approches sont légales : créer votre propre compte avec l'accord explicite du site (en vérifiant les CGU) ou demander une API officielle au propriétaire. Toute autre méthode expose à un risque juridique significatif.

RGPD et données personnelles : la ligne rouge

Le Règlement général sur la protection des données (RGPD) encadre strictement la collecte, le traitement et la conservation des données personnelles. Une donnée personnelle est toute information qui permet d'identifier directement ou indirectement une personne physique : nom, prénom, adresse email, numéro de téléphone, adresse IP, photo de profil associée à un nom.

Scraper des données personnelles sans base légale vous expose à des sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83 RGPD). La CNIL recommande de ne jamais collecter de données personnelles par scraping sans consentement explicite des personnes concernées, sauf si vous disposez d'un intérêt légitime clairement documenté et proportionné — ce qui est rarement le cas dans un contexte commercial.

Quand un scraping respecte le RGPD

• Vous collectez uniquement des données anonymes : prix, descriptions de produits, horaires d'ouverture, avis agrégés sans auteur identifiable.
• Vous pseudonymisez immédiatement les données personnelles accessibles (remplacer un nom par un identifiant aléatoire) si elles sont indispensables à votre analyse, et vous les supprimez dès que possible.
• Vous respectez les droits des personnes : droit d'accès, de rectification, d'opposition et d'effacement. Cela implique de documenter votre traitement dans un registre RGPD et de pouvoir répondre à une demande d'une personne dont vous auriez collecté les données.

En pratique, la plupart des projets commerciaux de scraping se concentrent sur des données non personnelles (catalogues produits, tarifs, disponibilités) pour éviter toute complication. Si votre cas d'usage nécessite absolument des données personnelles, consultez un avocat spécialisé en droit du numérique avant de démarrer.

Droit sui generis des bases de données : le risque économique

Le Code de la propriété intellectuelle français (articles L341-1 et suivants) protège les producteurs de bases de données qui ont consenti un investissement substantiel pour constituer, vérifier ou présenter le contenu de leur base. Ce droit sui generis interdit l'extraction ou la réutilisation d'une partie qualitativement ou quantitativement substantielle de la base sans autorisation.

Concrètement, scraper l'intégralité du catalogue d'un site marchand ou d'un annuaire professionnel peut constituer une atteinte au droit du producteur, même si les données individuelles sont publiques. La jurisprudence française a condamné des entreprises pour extraction massive de données (par exemple, l'affaire Ryanair contre PR Aviation en 2015, confirmée par la Cour de justice de l'Union européenne).

Comment limiter le risque

1. Ne collectez qu'une partie limitée de la base : quelques centaines ou milliers d'entrées plutôt que l'exhaustivité, sauf si vous avez une licence explicite.
2. Privilégiez l'extraction de données non structurées ou recomposées (par exemple, des prix moyens calculés à partir d'un échantillon) plutôt qu'une copie intégrale.
3. Documentez votre usage : si vous collectez des données pour une analyse concurrentielle interne et non pour revendre la base, vous êtes dans un cadre plus défendable.
4. Vérifiez si le site propose une API officielle ou un accès en gros volumes payant : cela écarte tout risque juridique.

En cas de doute, une consultation juridique préalable est indispensable. Le droit sui generis est peu connu mais activement défendu par les grands acteurs du web.

Conditions générales d'utilisation : opposables mais pas absolues

De nombreux sites incluent dans leurs CGU une clause interdisant le scraping, l'extraction automatisée ou l'utilisation de robots. Ces clauses sont juridiquement opposables en France, mais leur portée effective dépend de plusieurs facteurs.

D'abord, une clause contractuelle ne peut pas interdire un usage autorisé par la loi. Si vous collectez des données publiques non personnelles dans un but légitime (veille concurrentielle, recherche) sans porter atteinte au droit sui generis, la clause des CGU ne suffit pas à elle seule à rendre votre action illégale. Toutefois, violer les CGU peut entraîner la résiliation de votre accès au site, voire une action en responsabilité civile si le site prouve un préjudice.

Ensuite, certaines juridictions européennes considèrent que les CGU doivent être acceptées de manière explicite et éclairée pour lier l'utilisateur. Un simple bandeau en bas de page ou un lien en petit caractère ne constitue pas toujours un accord valide. Cela dit, mieux vaut partir du principe que les CGU s'appliquent et adapter votre projet en conséquence.

Que faire face à une clause anti-scraping

• Contactez le site pour demander une autorisation écrite ou une API officielle. Les grands acteurs proposent souvent des accès payants ou gratuits sous conditions.
• Limitez la collecte à ce qui est strictement nécessaire et documentez votre usage légitime (analyse de marché, tarification dynamique).
• Assurez-vous que votre scraping ne cause aucun dommage technique (voir section suivante).
• Si le site s'oppose explicitement, renoncez au scraping ou cherchez une source alternative de données.

Charge technique et déni de service : la responsabilité de l'opérateur

Un scraping mal configuré peut générer des milliers de requêtes par seconde, surcharger les serveurs du site cible et provoquer une indisponibilité temporaire. Ce comportement est assimilable à une attaque par déni de service (DDoS), sanctionnable pénalement en France (article 323-2 du Code pénal) par jusqu'à cinq ans de prison et 150 000 € d'amende.

Même sans intention malveillante, causer une panne ou un ralentissement significatif engage votre responsabilité civile. Le site peut vous réclamer des dommages-intérêts pour le manque à gagner, les frais de remise en service et l'atteinte à sa réputation.

Bonnes pratiques techniques pour un scraping respectueux

• Respectez le fichier robots.txt du site : il indique les pages que le propriétaire autorise ou interdit à l'indexation automatique. Bien que non opposable juridiquement, le respecter démontre votre bonne foi.
• Limitez le débit de requêtes : 1 à 5 requêtes par seconde maximum pour un site de taille moyenne, avec des pauses aléatoires pour simuler un comportement humain.
• Utilisez des en-têtes HTTP standards (User-Agent identifiable, Accept-Language) et évitez de masquer votre identité de manière suspecte.
• Scrappez en heures creuses si possible (nuit, week-end) pour minimiser l'impact sur les utilisateurs réels du site.
• Surveillez les codes de réponse HTTP : un code 429 (Too Many Requests) ou 503 (Service Unavailable) signale que vous devez ralentir ou suspendre temporairement.

Chez Kodrana, nous configurons systématiquement nos scrapers pour maintenir une charge douce sur les sites sources. Nous respectons robots.txt, limitons le débit et arrêtons automatiquement la collecte en cas de signal d'erreur serveur.

Droit d'auteur et contenus protégés

Le scraping de contenus textuels (articles de presse, descriptions longues, critiques) ou d'images protégées par le droit d'auteur soulève une question distincte. Le Code de la propriété intellectuelle protège les œuvres originales, et leur reproduction sans autorisation constitue une contrefaçon (articles L335-2 et suivants).

Scraper des données factuelles brutes (prix, références produit, coordonnées géographiques, horaires) ne pose généralement pas de problème de droit d'auteur, car les faits ne sont pas protégeables. En revanche, extraire des descriptions marketing élaborées, des photographies professionnelles ou des articles de blog pour les republier ou les exploiter commercialement vous expose à une action en contrefaçon.

Si votre projet nécessite de collecter des contenus potentiellement protégés, deux solutions : obtenir une licence du titulaire des droits ou vous limiter à des extraits courts dans un cadre de citation (avec mention de la source), ce qui relève de l'exception de courte citation (article L122-5 CPI). Là encore, un avis juridique est recommandé pour les cas limites.

Check-list pour un projet de scraping conforme

Avant de lancer une collecte automatisée de données, passez en revue ces points pour minimiser les risques juridiques et techniques.

Évaluation préalable

• Les données sont-elles accessibles publiquement, sans login ni paywall ?
• Contiennent-elles des données personnelles au sens du RGPD ? Si oui, ai-je une base légale solide et un registre de traitement ?
• Le site dispose-t-il d'une API officielle ou d'un accès data en gros volumes ? Si oui, privilégiez cette voie.
• Les CGU du site interdisent-elles explicitement le scraping ? Si oui, puis-je demander une autorisation ou un partenariat ?

Configuration technique

• Mon scraper respecte-t-il le fichier robots.txt ?
• Le débit de requêtes est-il limité à un niveau raisonnable (1-5 req/s) ?
• Les en-têtes HTTP sont-ils correctement configurés avec un User-Agent identifiable ?
• Ai-je prévu un système d'arrêt automatique en cas de code 429 ou 503 ?
• Ai-je testé le scraper sur un échantillon réduit pour vérifier l'absence d'impact technique ?

Usage des données

• L'usage prévu est-il légitime (veille concurrentielle, suivi de prix, analyse de marché) ou commercial à risque (revente de base, concurrence déloyale) ?
• Les données collectées sont-elles limitées au strict nécessaire, ou est-ce une extraction exhaustive d'une base protégée ?
• Ai-je documenté le projet dans un registre RGPD si des données personnelles sont impliquées ?
• Ai-je prévu une procédure pour répondre à une demande d'accès, de rectification ou d'effacement ?

Si l'un de ces points soulève un doute, consultez un avocat spécialisé en droit du numérique ou en propriété intellectuelle avant de poursuivre. Le coût d'une consultation préventive est toujours inférieur au risque d'un contentieux.

Cas particuliers : réseaux sociaux, marketplaces et annuaires

Certaines catégories de sites posent des questions spécifiques. Les réseaux sociaux comme LinkedIn, Facebook ou Instagram interdisent formellement le scraping dans leurs CGU et déploient des systèmes anti-bot sophistiqués. Plusieurs affaires judiciaires ont vu ces plateformes obtenir gain de cause contre des entreprises ayant scrapé des profils publics à grande échelle (affaire hiQ Labs vs LinkedIn aux États-Unis, décision nuancée mais restrictive).

Pour les marketplaces et sites e-commerce (Amazon, Cdiscount, Leboncoin, Leroy Merlin), la collecte de prix et disponibilités pour un usage de veille concurrentielle est une pratique courante, mais elle doit rester discrète et respectueuse. Les grands acteurs tolèrent généralement un scraping modéré tant qu'il ne perturbe pas leur service, mais ils se réservent le droit de bloquer les IP suspectes ou de poursuivre en cas d'abus.

Les annuaires professionnels (Pagesjaunes, Pappers, registres publics) présentent un cas intermédiaire : les données sont souvent publiques par nature (informations légales sur les entreprises), mais le producteur de l'annuaire revendique un droit sui generis sur la base structurée. Là encore, une collecte ciblée et limitée est moins risquée qu'une extraction massive.

Faire appel à un prestataire spécialisé pour sécuriser votre projet

Si vous avez identifié un besoin de données publiques pour votre activité — suivi de prix concurrents, veille sectorielle, enrichissement de catalogue — mais que les contraintes juridiques et techniques vous semblent complexes, confier le projet à un spécialiste peut vous faire gagner du temps et limiter les risques. Kodrana collecte uniquement des données publiquement accessibles, configure chaque scraper pour respecter la charge technique des sites sources, et ne traite jamais de données personnelles sans base légale claire. Nous disposons d'un catalogue de plus de 5 400 scrapers prêts à l'emploi pour les principaux sites français et internationaux, et nous pouvons développer un scraper sur mesure pour un nouveau site en 2 à 5 jours ouvrés. Avant tout engagement, nous vous offrons un échantillon gratuit de 50 à 100 enregistrements pour que vous puissiez vérifier la faisabilité technique et la conformité des données à vos besoins.