Scraping web : ce qui est légal (et ce qui ne l'est pas)

Le scraping — extraction automatisée de données depuis des sites web — est un outil puissant pour la veille concurrentielle, la prospection ou l'agrégation de données. Sa légalité n'est ni un blanc-seing ni une interdiction : c'est un cadre à respecter.

Le principe : des données publiques ne sont pas des données libres

Qu'une information soit accessible sans mot de passe ne signifie pas qu'on peut la collecter librement. Trois cadres juridiques s'appliquent en France :

• Le RGPD dès lors que des données personnelles sont collectées (noms, emails, profils).
• Le droit d'auteur et le droit des bases de données, qui protègent le contenu et les bases constituées avec un investissement substantiel.
• Les CGU des sites, dont la violation peut engager la responsabilité contractuelle.

Ce qui est généralement possible

Les pratiques raisonnablement acceptées :

• Veille tarifaire et concurrentielle sur des données publiques et non personnelles : prix, disponibilités, catalogues.
• Agrégation d'informations publiques à des fins d'analyse, dans le respect des conditions du site.
• Scraping de vos propres données ou avec l'accord explicite du site source.

La jurisprudence européenne et française admet largement la collecte de données publiques à des fins légitimes — à condition de ne pas dégrader le service du site source ni contourner de protections techniques.

Ce qui pose problème

• Collecter des données personnelles en masse sans base légale : c'est le cas le plus risqué au regard du RGPD (la CNIL a déjà sanctionné des pratiques de scraping massif).
• Contourner des protections : captchas, blocages techniques ou restrictions d'accès sont des signaux clairs que le site s'oppose à l'extraction.
• Surcharger les serveurs : un scraping agressif qui dégrade le service peut être qualifié d'atteinte au système de traitement automatisé.
• Réutiliser du contenu protégé : republier des fiches produits ou des bases entières peut relever de la contrefaçon.

Les bonnes pratiques qui limitent les risques

1. Identifier la nature des données avant de coder : personnelles ou non, protégées ou non.
2. Respecter les robots.txt et les CGU quand ils s'appliquent.
3. Limiter le débit des requêtes pour ne pas impacter le site source.
4. Documenter la finalité de la collecte — une obligation de toute façon dès que le RGPD entre en jeu.
5. Préférer les API officielles quand elles existent : plus stables, plus propres juridiquement.

En résumé : le scraping est légal quand il collecte des données publiques non personnelles, respecte les moyens techniques du site et sert une finalité légitime. Chaque projet mérite une analyse au cas par cas — c'est systématiquement la première étape de mes missions de scraping.