A raspagem de dados na web é legal em 2026? Os casos, as linhas, o checklist
Raspar dados públicos é amplamente legal. Raspar dados pessoais, obras protegidas por direitos autorais ou qualquer coisa atrás de um login é onde as coisas dão errado. Aqui estão os casos que traçaram as linhas e um checklist para se manter do lado certo delas.
"A raspagem de dados na web é legal?" é a pergunta errada, e é por isso que as respostas online se contradizem. A raspagem não é um único ato — é uma ferramenta, e sua legalidade depende inteiramente do que você coleta, como você acessa e o que faz com isso depois. A versão clara: raspar dados publicamente disponíveis é amplamente legal nos EUA, UE e Reino Unido, mas dados pessoais, obras protegidas por direitos autorais, conteúdo protegido por login e contornar bloqueios são onde os casos se perdem. Este guia percorre as decisões que traçaram essas linhas e termina com um checklist que você pode realmente aplicar. É informativo, não é aconselhamento jurídico — para uma decisão real, consulte um advogado na sua jurisdição.
A resposta curta
Não há lei que proíba a raspagem de dados na web. Um scraper solicita dados públicos da mesma forma que um navegador; ambos recebem dados que o servidor escolhe servir e fazem algo com eles do seu lado. Enquanto os dados estiverem publicamente disponíveis — você pode vê-los sem fazer login — coletá-los é geralmente lícito. O risco não vem da raspagem em si; vem de quatro coisas sobrepostas: dados pessoais, direitos autorais, termos de serviço e como você acessa o site. Acertar esses pontos e você estará em terreno sólido.
Os casos que traçaram as linhas
Um punhado de decisões molda o cenário atual, e vale a pena conhecê-las porque são o que os tribunais realmente citam:
- hiQ Labs v. LinkedIn (EUA). O 9º Circuito decidiu que raspar dados publicamente disponíveis não viola o Computer Fraud and Abuse Act — você não pode "exceder o acesso autorizado" a uma página que está aberta para todos. Este é o ponto de ancoragem para a posição de que dados públicos são justos para raspar nos EUA.
- Ryanair v. PR Aviation (UE). O tribunal mais alto da Europa decidiu que um site pode restringir a raspagem através de seus termos de uso, mesmo para dados publicamente disponíveis. Raspar os dados pode ser lícito, mas fazê-lo em violação de termos aplicáveis pode ser um problema contratual — a jurisdição importa.
- Meta v. Social Data Trading (EUA). A Meta processou uma empresa que usou milhares de contas automatizadas falsas para raspar Instagram e Facebook após ser bloqueada. A lição não é "raspar redes sociais é ilegal" — é que contornar bloqueios técnicos e usar contas falsas o move de coleta de dados públicos para um território próximo ao hacking.
A linha condutora: dados visíveis publicamente e acessíveis abertamente são defensáveis; contornar um bloqueio, um login ou um contrato aplicável para acessá-los não é.
Dados pessoais são a verdadeira linha
Se há uma coisa para internalizar, é esta: publicamente disponível não significa não regulamentado quando os dados são sobre pessoas. Sob o GDPR, todos os dados pessoais são protegidos independentemente de onde vieram — uma empresa foi multada por raspar dados pessoais publicamente disponíveis de um registro comercial público (a multa foi posteriormente anulada, mas o princípio de que PII pública ainda é protegida foi mantido). Dados pessoais são definidos de forma ampla: nomes, endereços, e-mails, números de telefone, até endereços IP e handles sociais. O GDPR se aplica a qualquer pessoa que processe dados de residentes do EEE, onde quer que estejam baseados.
Os EUA são mais permissivos, mas estão se movendo na mesma direção. O CCPA da Califórnia, expandido pelo CPRA em 2023, ampliou o que conta como informação pessoal protegida, embora trate dados que uma pessoa tornou públicos de forma mais leniente do que o GDPR. Colorado e Virgínia aprovaram leis semelhantes. A regra prática em todos os lugares: colete o mínimo possível de dados pessoais, evite categorias especiais inteiramente e não construa um banco de dados de pessoas identificáveis sem uma base legal. Nossa análise mais aprofundada sobre GDPR e raspagem de dados pessoais cobre a questão da base legal em detalhes.
Direitos autorais e termos de serviço
Duas camadas adicionais se sobrepõem à privacidade. Direitos autorais: fatos não são protegidos — preços, especificações, níveis de estoque, classificações por estrelas são justos para coletar — mas obras criativas são. Imagens, artigos, músicas, bancos de dados e textos longos podem ser protegidos por direitos autorais, e republicá-los pode infringir mesmo que raspá-los não tenha. Termos de serviço: como estabelecido pela Ryanair, os termos de um site podem proibir a coleta automatizada, e um acordo "clickwrap" que você aceitou ativamente é muito mais aplicável do que um aviso "browsewrap" enterrado em um rodapé. Violar termos aplicáveis é um risco contratual, não criminal, mas é um risco. O movimento seguro é verificar os termos do alvo antes de construir um pipeline em torno dele.
Um checklist de conformidade
Antes de uma raspagem, passe por isto. Ele mapeia diretamente os riscos acima e os princípios do scraper ético que os estudiosos jurídicos propõem — colete dados públicos e factuais; seja um bom cidadão da web; e construa algo transformador em vez de um imitador:
- É público? Sem login, sem paywall, sem bloqueio para contornar. Se você precisaria de credenciais, pare.
- É dado pessoal? Se identifica pessoas, minimize, obtenha uma base legal e evite categorias especiais. Em caso de dúvida, não colete.
- É protegido por direitos autorais? Raspe fatos livremente; tenha cuidado ao republicar imagens, artigos ou mídia.
- O que dizem os termos? Leia-os. Violar termos aplicáveis é um risco contratual.
- Você é educado? Limite a taxa, raspe fora do pico e não degrade o serviço do site para usuários reais.
- Seu propósito é transformador? Construir análise ou um novo produto é defensável; clonar a fonte para roubar seus usuários não é.
Ser educado também é um sinal de conformidade, não apenas cortesia — sobrecarregar um servidor fortalece qualquer reivindicação contra você. Nosso guia sobre robots.txt e ética de raspagem e nosso guia para escolher provedores de proxy éticos ambos aprofundam em como fazer isso de forma responsável.
Colete dados públicos da web de forma compatível com Scraper API
Como a infraestrutura mantém você em conformidade
Boas ferramentas tornam a coisa certa a coisa fácil. Limitação de taxa e rotação de proxies residenciais permitem que você espalhe solicitações para nunca sobrecarregar um único servidor — a cortesia que o checklist pede. Uma Scraper API que apenas busca páginas públicas e retorna dados estruturados limpos mantém você fora da armadilha de contornar logins por design. Nada disso substitui o julgamento jurídico sobre o que você coleta e por quê, mas remove os atalhos técnicos que transformam uma raspagem defensável em uma indefensável.
Perguntas frequentes
A raspagem de dados na web é legal nos EUA?
Raspar dados publicamente disponíveis é amplamente legal nos EUA, e os tribunais decidiram que isso não viola o CFAA. Os riscos são direitos autorais (não republique obras protegidas), leis de privacidade como o CCPA/CPRA (tenha cuidado com dados pessoais) e termos de serviço (violar termos aplicáveis é um risco contratual). Contornar bloqueios ou logins muda a análise.
A raspagem de dados na web é legal na Europa?
Sim, para dados publicamente disponíveis e não pessoais — mas o GDPR protege todos os dados pessoais independentemente da fonte, então raspar informações identificáveis sobre pessoas precisa de uma base legal. A Diretiva de Banco de Dados da UE e os termos do site também podem restringir a coleta. Na prática, evite dados pessoais, respeite os termos e trate a UE como a jurisdição mais rigorosa em que você opera.
A raspagem de dados na web é legal para uso pessoal?
O uso pessoal e acadêmico geralmente enfrenta menos riscos do que o uso comercial, mas as mesmas linhas se aplicam: mantenha-se em dados públicos, evite informações pessoais e material protegido por direitos autorais, respeite os termos do site e não sobrecarregue o servidor. "Para uso pessoal" não é uma isenção geral — apenas tende a diminuir as apostas e a probabilidade de uma disputa.
É legal raspar o LinkedIn?
O caso hiQ apoiou a raspagem de dados visíveis publicamente do LinkedIn sem fazer login, mas os termos do LinkedIn proíbem a coleta automatizada e muitos dos dados úteis estão atrás de um login. Raspar perfis públicos que você pode ver sem uma conta é a borda defensável; usar contas falsas ou contornar a autenticação é onde os casos foram perdidos, como mostrou o litígio da Meta.
A raspagem de dados na web é uma ferramenta legal com limites claros: público e factual é defensável, pessoal e protegido por direitos autorais e protegido por login é onde o risco vive. Conheça os casos, siga o checklist, minimize dados pessoais, respeite os termos e raspe educadamente. Faça isso, e você gasta sua energia nos dados em vez de nas disputas — esta é uma informação geral, então confirme os detalhes para o seu projeto com um advogado.