Web scraping et RGPD : ce que dit la loi en France

Le web scraping n'est pas interdit en France. C'est la première chose à savoir, et elle surprend souvent. Collecter automatiquement des informations publiquement accessibles est une pratique légale, largement utilisée pour la veille tarifaire, la recherche ou l'agrégation de données. Mais légal ne veut pas dire sans limites. Entre le droit des données personnelles, le droit des bases de données et les conditions d'utilisation des sites, le cadre est réel. Voici ce qu'il faut comprendre.

Données personnelles : le RGPD s'applique, même en public

Une erreur répandue consiste à croire qu'une donnée publiquement accessible échappe au RGPD. C'est faux. Un nom, un e-mail, un profil visible en ligne restent des données personnelles, et leur collecte automatisée constitue un traitement soumis au règlement.

En juin 2025, la CNIL a publié deux fiches pratiques importantes, l'une sur l'intérêt légitime comme base légale pour l'entraînement de l'IA, l'autre spécifiquement sur la collecte par moissonnage. Le message est nuancé : le scraping de données personnelles peut reposer sur l'intérêt légitime, à condition de respecter une série de garde-fous.

• définir en amont des critères de collecte précis, et ne prendre que le nécessaire ;
• exclure par défaut les sites sensibles (santé, généalogie, contenus pour adultes) et écarter les données sensibles ainsi que celles des mineurs ;
• supprimer immédiatement les données non pertinentes, et pseudonymiser dès que possible ;
• respecter le fichier robots.txt et les dispositifs anti-collecte comme les CAPTCHA ;
• permettre un droit d'opposition.

Fait notable : la CNIL donne au fichier robots.txt un poids quasi normatif. L'ignorer affaiblit sérieusement la légitimité d'une collecte.

Le droit des bases de données

Deuxième pilier, distinct du RGPD : le droit dit « sui generis » des bases de données. Il protège l'investissement de celui qui a constitué une base, indépendamment de toute donnée personnelle. Extraire ou réutiliser une partie substantielle d'une base peut donc être sanctionné, même si les informations ne sont pas nominatives.

La jurisprudence française l'a rappelé récemment. En octobre 2025, la Cour de cassation a confirmé, dans une affaire opposant un site d'annonces automobiles à un métamoteur, que l'aspiration massive d'annonces pouvait porter atteinte à ce droit sui generis. Plus tôt, une affaire concernant un grand site de petites annonces avait abouti à la condamnation d'un scraper, avec des dommages au titre du préjudice financier et de l'atteinte à l'image.

Les conditions d'utilisation comptent aussi

Un troisième niveau est souvent oublié : le contrat. La Cour de justice de l'Union européenne a jugé, dans l'affaire Ryanair, que des données non couvertes par le droit des bases pouvaient tout de même être verrouillées par les conditions générales d'un site. Accepter les CGU, puis les enfreindre en aspirant le contenu, expose à une action contractuelle. À l'inverse, une autre décision européenne a rappelé qu'il fallait équilibrer la protection du producteur et l'accès légitime des tiers.

Quand la sanction tombe : l'exemple Clearview

Pour mesurer le sérieux du sujet, un cas fait référence. L'entreprise Clearview AI, qui a constitué une base de reconnaissance faciale en aspirant des milliards d'images sur le web sans base légale, a écopé d'une amende de 20 millions d'euros de la CNIL en 2022, suivie d'une astreinte pour non-exécution, et d'autres sanctions en Europe. Le message est clair : le scraping de données biométriques sans consentement, à grande échelle, coûte très cher.

Une grille de lecture simple

Pour un projet de collecte, quatre questions permettent de se situer :

• Est-ce que je collecte des données personnelles ? Si oui, le RGPD s'applique : base légale, minimisation, information, droit d'opposition.
• Est-ce que je puise dans une base protégée ? Attention au droit sui generis si l'extraction est substantielle.
• Ai-je accepté des CGU qui interdisent la collecte ? Le terrain devient contractuel.
• Est-ce que je respecte le robots.txt et la charge du site ? C'est le minimum de bonne foi, et la CNIL y attache de l'importance.

Collecter proprement, techniquement aussi

Le respect du droit a un versant technique. Limiter sa cadence pour ne pas surcharger un serveur, respecter les règles publiées, ne prendre que la donnée utile : ce sont des pratiques qui protègent à la fois le site visé et le collecteur. WyndPath intègre cette logique, avec une limitation de débit et le respect des directives des sites. La technique ne dispense jamais du cadre légal, mais elle aide à rester du bon côté.