Le scraping est-il légal dans l’UE ? RGPD, TDM et bases de données

👁 116 lectures

Le scraping consiste à collecter des données, mais sa légalité dépend de la manière dont elles sont utilisées. Voici les principaux repères applicables dans l’UE, en distinguant données personnelles, droits sur les contenus et les bases de données, et conditions d’accès - état des lieux en octobre 2026.

Décrivez d’abord le processus avant de chercher une base juridique

Demander si « le scraping d’Internet est autorisé » est trop vague. Récupérer sa propre documentation, analyser des tarifs accessibles au public et créer une copie du catalogue d’un tiers ou d’un ensemble de profils personnels sont des opérations différentes. La source, le mode d’accès, le volume de données, l’objectif et l’usage des résultats comptent. Le choix d’une bibliothèque ne permet pas de trancher ces questions.

Commencez par décrire le processus en termes simples : quelles adresses seront consultées, quels champs seront conservés, qui recevra les résultats et combien de temps ils seront stockés. Cette description permet de distinguer la collecte technique de l’analyse, du partage et de la publication. Chaque étape peut nécessiter une évaluation distincte. Le droit de consulter un document n’implique pas automatiquement celui d’en faire une archive publique.

Avec les modèles d’IA, l’usage des contenus compte également. Une consultation ponctuelle pour répondre à une question, la création d’un index de recherche et l’entraînement d’un modèle ne sont pas des processus identiques. Appeler un projet RAG ou TDM ne suffit pas à régler la question juridique. Il faut examiner son fonctionnement réel, pas seulement l’étiquette technologique utilisée.

Les repères ci-dessous aident à structurer l’analyse, mais ne garantissent pas l’issue d’un cas particulier. Pour un projet de grande ampleur ou à fort enjeu commercial, faites évaluer son périmètre réel et les conditions applicables aux sources. Une réponse générale, sans ces informations, ne peut pas confirmer de manière fiable la légalité du projet.

RGPD : les données personnelles publiques restent protégées

Un nom, un profil permettant d’identifier une personne, une adresse professionnelle qui lui est associée ou un avis lié à son auteur peuvent constituer des données personnelles. Leur présence sur Internet ne les soustrait pas au RGPD. Les collecter et les organiser constitue un traitement. Le responsable du traitement doit en évaluer la base juridique et respecter les principes applicables, notamment la limitation des finalités et la réduction des données au strict nécessaire.

L’article 5 du RGPD énonce les principes relatifs au traitement, tandis que l’article 6 en définit les bases juridiques. L’intérêt légitime ne doit pas devenir une formule ajoutée automatiquement à n’importe quel scraper. Il faut évaluer l’intérêt réel, la nécessité du traitement et les droits des personnes. Le consentement n’est pas non plus l’unique base possible pour toutes les opérations, mais le recours à une autre base doit être justifié dans le contexte concerné.

Un bon point de départ consiste à limiter les données dès la conception. Si l’objectif est de comparer la disponibilité de services dans différentes villes, collecter le nom des auteurs d’avis peut être inutile. Une analyse agrégée ne nécessite pas toujours d’identifier les personnes. Un ensemble de données plus réduit est plus facile à contrôler, à mettre à jour et à supprimer lorsque le projet n’en a plus besoin.

Transmettre les résultats à un outil d’IA externe constitue une autre étape du flux de données. Vous devez savoir où le contenu est envoyé et dans quel but il sera utilisé. Un scraper local ne rend pas l’ensemble du processus local si les données enregistrées sont ensuite transmises à un service utilisant un modèle. L’infrastructure choisie doit correspondre à la finalité et aux règles de traitement retenues, et pas seulement aux facilités d’intégration.

Bases de données : l’ensemble compte autant que chaque donnée

La protection d’une base de données ne se résume pas au droit d’auteur sur une information prise isolément. La directive 96/9/CE prévoit un droit sui generis lié à un investissement substantiel dans l’obtention, la vérification ou la présentation du contenu. Son article 7 porte sur l’extraction ou la réutilisation de la totalité ou d’une partie substantielle de la base. C’est une question distincte de celle de savoir si une information isolée constitue une œuvre.

Fractionner une extraction en petites portions ne suffit pas toujours à éviter les règles applicables. Elles couvrent également certaines extractions ou réutilisations répétées et systématiques de parties non substantielles, lorsqu’elles entravent l’exploitation normale de la base ou portent indûment atteinte aux intérêts légitimes de son producteur. L’évaluation ne peut donc pas se limiter au nombre d’enregistrements récupérés lors d’un seul appel d’API.

À l’inverse, tout ensemble de données n’est pas automatiquement une base protégée, et chaque fait n’a pas nécessairement un propriétaire exclusif. La protection et son étendue dépendent de conditions précises. Pour un projet, il faut notamment déterminer si l’ensemble envisagé reproduit une part substantielle de la source et quel rôle a joué l’investissement dans sa constitution.

Par exemple, un système qui compare certaines informations et un autre qui copie régulièrement un catalogue entier peuvent utiliser un code similaire, tout en soulevant des questions juridiques différentes. Le résultat du processus et sa répétition sont déterminants. Présenter chaque opération comme une requête distincte ne change pas automatiquement la nature de l’ensemble du projet.

TDM et opt-out : l’article 4 de la directive DSM

L’article 4 de la directive 2019/790, dite directive DSM, prévoit une exception pour l’exploration de textes et de données. Elle suppose notamment un accès licite, et le titulaire des droits peut réserver ses droits de manière appropriée. Pour les contenus accessibles au public en ligne, la réservation doit pouvoir être lue par machine. Cette disposition n’autorise pas à ignorer toutes les conditions imposées par la source.

Dans certains cas, le cadre national applicable précise les modalités de mise en œuvre de cette exception. Dans l’UE, la directive DSM prévoit que les reproductions effectuées aux fins d’exploration de textes et de données ne sont possibles que si le titulaire des droits ne les a pas réservées. La réservation doit être explicite et appropriée. Pour les contenus mis en ligne, la directive prévoit un format lisible par machine, accompagné de métadonnées. Les copies ne peuvent être conservées que le temps nécessaire à cette finalité.

Le TDM concerne l’analyse de textes et de données. Le droit de réaliser les copies nécessaires à cette analyse ne doit pas être confondu avec celui de mettre à la disposition des utilisateurs d’un produit des articles entiers appartenant à des tiers. De même, l’utilisation d’un modèle ne suffit pas à établir que toutes les étapes d’un projet relèvent de l’exception. Il faut évaluer séparément la collecte, le stockage, l’analyse et la présentation ultérieure des résultats.

En pratique, consignez les réservations de droits disponibles sur la source et la date à laquelle vous les avez vérifiées. Ne partez pas du principe que l’absence d’un avertissement visible à l’écran signifie qu’aucune réservation n’est présente dans les données du site. Pour autant, toutes les restrictions techniques n’ont pas automatiquement le même effet juridique. L’évaluation du mode de réservation et du champ de l’exception dépend de la source concernée.

robots.txt et conditions d’utilisation : des rôles différents

La RFC 9309 décrit le protocole robots.txt et le distingue clairement d’une autorisation d’accès. Ce fichier permet d’indiquer aux robots des règles de visite des ressources, mais ne constitue pas un système d’octroi de licences. L’autorisation d’accéder à un chemin ne signifie pas que tous les usages de son contenu sont permis. L’absence de fichier n’efface pas non plus les droits d’auteur ni les obligations relatives aux données personnelles.

À l’inverse, l’interdiction faite à un robot ne doit pas être considérée, sans examen des autres circonstances, comme une réponse complète à toutes les questions juridiques. Pour le TDM, il faut évaluer si une réservation de droits a été faite et de quelle manière. Pour l’accès, les conditions du service et les restrictions appliquées peuvent également compter. Le signal technique et l’analyse juridique sont liés, mais ne se remplacent pas l’un l’autre.

Les conditions d’utilisation comptent également. Dans l’affaire C-30/14, Ryanair contre PR Aviation, la Cour de justice s’est prononcée sur des restrictions contractuelles concernant une base de données non protégée par les droits prévus par la directive sur les bases de données. L’arrêt montre que l’absence de cette protection ne met pas automatiquement fin à la question des conditions contractuelles : le droit national compte. Il ne signifie cependant pas que toute clause de toutes les conditions d’utilisation est toujours valable.

Avant la mise en service, rassemblez les conditions applicables à la source, la description de l’accès et le plan d’utilisation. Ne vous contentez pas de constater que le site a répondu correctement à une requête. Le succès technique confirme que les données ont été obtenues, pas que toutes les opérations ultérieures sont autorisées.

AI Act : les obligations des fournisseurs de modèles ne sont pas une licence sur les données

Les documents de l’AI Office de l’UE expliquent les obligations des fournisseurs de modèles d’IA à usage général. L’article 53 de l’AI Act prévoit notamment une politique de conformité au droit d’auteur de l’UE et la publication d’un résumé du contenu utilisé pour l’entraînement. Ces obligations concernent un rôle précis dans la chaîne d’approvisionnement de l’IA et ne s’appliquent pas automatiquement à toute personne qui utilise un scraper ou un modèle existant.

L’AI Act ne remplace ni le RGPD, ni le droit d’auteur, ni les règles de protection des bases de données. Il ne crée pas de licence générale autorisant la collecte de données. Pour un projet, il faut d’abord déterminer quel rôle vous occupez et ce que vous faites des contenus. Utilisez-vous un modèle existant pour lire des sources, ou développez-vous et mettez-vous à disposition votre propre modèle ? La réponse influe sur le périmètre de l’analyse.

Liste de contrôle avant de lancer un scraper

• Résumez l’objectif en une phrase et dressez la liste des domaines à partir desquels vous collecterez des données.
• Vérifiez le fichier robots.txt, les conditions d’utilisation et toute réservation TDM lisible par machine ; notez la date de vérification.
• Listez les champs réellement nécessaires ; ne collectez des noms, adresses e-mail et profils personnels que si vous disposez d’une base juridique précise au titre de l’article 6 du RGPD.
• Évaluez si l’ensemble de données reproduit une partie substantielle de la base d’un tiers.
• Déterminez combien de temps vous conserverez les copies des pages ; pour le TDM, ne les gardez que pendant la durée nécessaire à l’analyse.
• Ne publiez pas les textes collectés dans leur intégralité ; présentez les résultats de l’analyse, de courtes citations et des liens vers les sources.
• Vérifiez où le contenu est envoyé après sa collecte ; un modèle externe constitue un destinataire supplémentaire des données.
• Limitez la fréquence des requêtes et prévoyez un moyen de supprimer rapidement les données provenant d’une source donnée.

Une description solide du projet relie donc les sources, les objectifs, les bases juridiques et la durée de conservation. Elle permet également de préciser les éléments manquants pour l’évaluation. Plutôt que d’affirmer que « le scraping est forcément légal », il faut justifier la démarche en fonction du processus concret. Cette approche reste pertinente, que les données soient collectées par un script maison, un Actor prêt à l’emploi ou un agent connecté via MCP.

Pour découvrir des outils, consultez notre guide sur les données web pour l’IA. Les cas d’usage de scrapers prêts à l’emploi sont abordés dans notre article sur Apify.

FAQ

Un site accessible au public autorise-t-il le scraping ?

Non. Son accessibilité ne donne pas automatiquement le droit de collecter des données dans n’importe quelle mesure et pour n’importe quel objectif. Il faut évaluer séparément l’accès, les droits sur les contenus, la protection de la base de données, les conditions contractuelles et la présence éventuelle de données personnelles.

L’opt-out concerne-t-il uniquement l’entraînement des modèles ?

Il ne faut pas limiter le mécanisme général du TDM à cette seule finalité sans examiner la disposition et le processus concernés. Il faut notamment étudier les opérations réalisées et la base juridique sur laquelle le projet entend s’appuyer.

Un scraper local règle-t-il la question du RGPD ?

Non. Le caractère local est une propriété technique. L’objectif, la base juridique, le périmètre et la durée de conservation des données restent déterminants. De plus, le contenu peut ensuite être transmis à un service externe.

Le fichier robots.txt suffit-il à vérifier la légalité ?

Non. C’est une norme de communication des règles aux robots, pas une évaluation complète des droits et des conditions applicables. Il faut aussi vérifier les autres documents pertinents et la manière dont les données seront réellement utilisées.

// lire la suiteEmbeddings et bases vectorielles expliqués simplement (test)GuidesScraping web pour l’IA : outils et moteurs de rechercheOutils d'IAMicrosoft: un cadre interne qualifiait le scraping d’IA de «plus grand vol de travail de l’histoire humaine»Actualités

Kinetyra