RGPD et Web Scraping : Données personnelles, amendes et une liste de contrôle

Le RGPD n'interdit pas le scraping — il régit les données personnelles. Voici exactement quand il s'applique, pourquoi l'intérêt légitime est votre seule base réaliste, ce que les récentes amendes de l'UE ont sanctionné, et une liste de contrôle que les ingénieurs peuvent réellement utiliser.

Le RGPD n'interdit pas le web scraping. Il régule le traitement des données personnelles, et le scraping n'entre en collision avec lui que lorsque les données que vous collectez peuvent identifier une personne. Comprenez bien cette distinction et la plupart des questions de conformité se résolvent d'elles-mêmes ; faites une erreur et vous héritez de l'exposition que l'application récente de l'UE a rendue très concrète. Ceci est un guide pour les ingénieurs, pas une conférence : quand le RGPD s'applique réellement à un scraping, pourquoi l'intérêt légitime est réalistement votre seule base légale, les règles de minimisation des données et de notification que les régulateurs continuent de sanctionner pour non-respect, et une liste de contrôle que vous pouvez utiliser avant de commencer un travail. C'est un guide informatif et non un conseil juridique — pour un projet spécifique, impliquez un avocat spécialisé en protection des données.

La seule question qui compte d'abord : s'agit-il de données personnelles ?

Le RGPD définit les données personnelles comme toute information se rapportant à une personne identifiée ou identifiable, et il s'applique aux données des résidents de l'UE, peu importe où se trouvent vos serveurs. La ligne pratique pour les scrapers est claire. Le scraping de données non personnelles est généralement en dehors du champ d'application du RGPD : prix et spécifications des produits, chiffres boursiers et de marché, contenus d'actualités et de blogs, annonces immobilières, statistiques publiques gouvernementales. Dès que votre ensemble de données contient des noms, adresses e-mail, numéros de téléphone, photos, profils — ou des identifiants moins évidents comme les adresses IP, les identifiants de cookies et les empreintes digitales des appareils — vous traitez des données personnelles et le poids total de la réglementation s'applique. Les données de santé, biométriques et similaires de 'catégorie spéciale' élèvent encore plus la barre, nécessitant généralement un consentement explicite. Si votre cible est les prix et les données de catalogue, vous êtes principalement en sécurité ; le cadre juridique plus large au-delà du RGPD est dans le web scraping est-il légal en 2026.

Pourquoi l'intérêt légitime est votre seule base réaliste

L'article 6 du RGPD énumère six bases légales, mais une seule convient au scraping à grande échelle. Le consentement est impraticable — vous ne pouvez pas obtenir l'accord éclairé de millions de personnes dont vous n'avez pas encore collecté les données. La nécessité contractuelle échoue car vous n'avez pas de relation avec les personnes concernées. Cela laisse l'intérêt légitime, et le groupe de travail ChatGPT de l'EDPB et la CNIL française le confirment comme la base standard — avec des conditions. Il exige un test documenté en trois parties : l'intérêt est réellement légitime, le traitement est nécessaire et non excessif, et il ne l'emporte pas sur les droits et les attentes raisonnables des personnes dont vous prenez les données. Rédigez cette évaluation de l'intérêt légitime avant de scraper ; 'si vous ne pouvez pas prouver la conformité, vous n'êtes pas conforme' est le principe opérationnel appliqué par les régulateurs.

Ce que les récentes amendes ont réellement sanctionné

L'application des deux dernières années vous indique exactement où le risque se concentre. L'autorité néerlandaise de protection des données a infligé une amende de 30,5 millions d'euros à Clearview AI en 2024 pour avoir construit une base de données de reconnaissance faciale à partir d'images publiques scrapées sans informer les personnes ou offrir un accès et une suppression — le régulateur italien avait déjà infligé une amende de 20 millions d'euros pour le même modèle. La CNIL française a infligé une amende de 240 000 euros à KASPR en décembre 2024 pour avoir scrapé des détails de contact LinkedIn, y compris ceux d'utilisateurs ayant restreint leur visibilité, sur une base de données d'environ 160 millions de contacts. L'autorité polonaise de protection des données a imposé une amende de 220 000 euros à un courtier en données qui a scrapé des registres publics d'entreprises couvrant des millions de personnes et a ensuite soutenu que les informer était un 'effort disproportionné' — le régulateur a rejeté cela catégoriquement. Le plafond de tout cela est le maximum du RGPD de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé.

Lisez à travers ces cas et le schéma est cohérent : les violations consistaient à ne pas informer les gens, à ignorer leurs droits, à collecter des données personnelles restreintes ou excessives, et à continuer après avoir été prié d'arrêter. Aucun d'eux ne s'est basé sur 'le scraping est illégal' — ils se sont basés sur la manière dont les données personnelles ont été traitées.

La liste de contrôle de l'ingénieur

Traduisez les principes en étapes que vous exécutez, pas une politique que vous archivez. Avant et pendant tout travail qui touche aux données personnelles :

• Minimisez au point de collecte. Ne conservez que les champs dont vous avez réellement besoin pour votre objectif documenté. Si vous avez besoin du texte d'un commentaire, ne stockez pas le nom et le pseudonyme du commentateur à côté.
• Limitez-vous aux données librement accessibles. Les directives de la CNIL indiquent de rester sur les pages publiques qui ne nécessitent pas de connexion — ne scrapez pas derrière une authentification ou au-delà des paramètres de visibilité restreinte.
• Respectez les objections techniques. robots.txt et CAPTCHA sont des signaux qu'un site ne souhaite pas de collecte automatisée ; les ignorer affaiblit votre position légale. Détails dans robots.txt en pratique.
• Fixez des limites de rétention. Supprimez les données personnelles une fois qu'elles ont servi leur objectif ; le stockage indéfini est une violation de la limitation du stockage.
• Préparez-vous pour l'Article 14 et les DSARs. Soyez capable d'informer les personnes concernées et de gérer les demandes d'accès et de suppression — l'échec qui a coulé les cas Clearview et Pologne.
• Exécutez un DPIA pour une collecte à grande échelle ou à risque plus élevé, et conservez la documentation.

Deux de ces éléments sont littéralement du code. La minimisation est un filtre qui élimine les PII que vous n'aviez pas prévu de collecter :

KEEP = {"product", "price", "currency", "rating", "review_text"}
PII  = {"reviewer_name", "email", "user_id", "ip"}

def minimize(record):
    # keep only declared fields; never persist PII you did not need
    return {k: v for k, v in record.items() if k in KEEP and k not in PII}

Et respecter les souhaits déclarés du site est une vérification que vous effectuez avant la première requête, en utilisant la bibliothèque standard :

import urllib.robotparser as rp

def allowed(url, ua="MyResearchBot"):
    r = rp.RobotFileParser()
    r.set_url(url.rstrip("/").split("/", 3)[0] + "//" +
              url.split("/")[2] + "/robots.txt")
    r.read()
    return r.can_fetch(ua, url)

Où les proxies s'intègrent — et où ils ne le font pas

Les proxies sont des infrastructures pour accéder de manière fiable aux données publiques et depuis la bonne géographie ; ils ne sont pas un raccourci vers la conformité. Acheminer un scraping via une API de scraping ou des IP résidentielles ne change pas si vous avez une base légale, et cela ne blanchit pas les données personnelles que vous ne devriez pas collecter. Là où ils aident réellement, c'est en vous gardant sur le chemin de la conformité : collecter uniquement des données publiques, non personnelles à grande échelle — prix, catalogues, signaux de marché — ce qui est exactement le travail à faible risque dont la plupart des équipes ont réellement besoin. Si votre projet touche aux données des personnes, comme la recherche de contacts B2B, traitez la conformité comme une contrainte de conception dès le départ, comme nous le cadrons dans données publiques LinkedIn et conformité.

Questions fréquemment posées

Le web scraping est-il légal sous le RGPD ?

Le scraping n'est pas interdit par le RGPD, mais le traitement des données personnelles des résidents de l'UE nécessite une base légale et le respect des principes du règlement. Si vous scrapez uniquement des données non personnelles — prix, niveaux de stock, actualités — le RGPD ne s'applique généralement pas. Si vos données identifient des personnes, vous avez besoin d'une base documentée (généralement l'intérêt légitime), de la minimisation des données, de limites de rétention et d'un moyen d'honorer les droits des personnes concernées.

Quelles données personnelles puis-je scraper sans enfreindre le RGPD ?

La position la plus sûre est d'éviter complètement les données personnelles : les données de produits, de prix, de stock, de marché, d'actualités et statistiques publiques tombent généralement en dehors du RGPD. Lorsque vous devez traiter des données personnelles, limitez-vous aux informations publiques librement accessibles, collectez uniquement ce que votre objectif documenté nécessite, et soyez prêt à informer les gens et à gérer les demandes de suppression. Évitez les données de catégorie spéciale comme les informations de santé à moins d'avoir un consentement explicite.

Le RGPD s'applique-t-il si mon entreprise est en dehors de l'UE ?

Oui. Le RGPD s'applique en fonction des données que vous traitez, pas de l'endroit où vous êtes situé. Si vous scrapez des données personnelles d'individus dans l'UE ou l'EEE, le règlement s'applique indépendamment du pays de votre entreprise. Le scraping de données concernant uniquement des individus non-UE relève des lois de ces juridictions, mais les cas de l'UE montrent que les régulateurs poursuivront les opérateurs étrangers traitant les données des résidents de l'UE.

Quelle est l'amende maximale du RGPD pour le scraping ?

Le plafond du RGPD est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Les pénalités réelles pour le scraping ont varié de six chiffres — 220 000 euros pour un scraping de registre, 240 000 euros pour un scraping de contacts LinkedIn — à 30,5 millions d'euros contre Clearview AI. Le fil conducteur est la mauvaise gestion des données personnelles : pas de notification, droits ignorés, et collecte excessive.

Le chemin de la conformité est plus étroit que 'scraper tout ce qui est public' et bien plus large que 'le scraping est illégal'. Restez sur les données non personnelles quand vous le pouvez, documentez l'intérêt légitime et minimisez quand vous ne le pouvez pas, respectez les signaux que les sites vous donnent, et gardez les preuves. Faites cela et le RGPD est une contrainte de conception, pas une menace.

Collectez des données publiques, non personnelles avec l'API de Scraper