Scraping de données : les règles légales que tout dirigeant doit connaître

## L'enjeu du scraping de données pour les entreprises en 2026 Le web scraping s'est imposé en quelques années comme un pilier de la stratégie data des entreprises B2B. En 2026, la capacité à collecter, structurer et exploiter des données issues du web n'est plus un avantage optionnel, mais un véritable facteur de compétitivité. Cette technique permet aux entreprises de surveiller la concurrence, optimiser leurs prix, enrichir leurs bases clients ou encore alimenter leurs outils d'intelligence artificielle. Toutefois, cette montée en puissance s'accompagne d'un double enjeu. D'un côté, le scraping ouvre des opportunités business considérables, de l'autre, il expose les organisations à des risques juridiques croissants si les pratiques ne sont pas encadrées. Les sanctions peuvent atteindre plusieurs millions d'euros et compromettre durablement l'activité de l'entreprise. Cet article examine les règles juridiques applicables au scraping en France, les risques encourus et les bonnes pratiques à mettre en œuvre pour sécuriser vos opérations de collecte de données. ## Le cadre juridique : entre autorisation de principe et exceptions strictes ### Le principe de licéité du scraping Le web scraping est légal. En effet, lorsqu'un site web publie du contenu, celui-ci est considéré comme public et peut donc être extrait. Cette position, confirmée par plusieurs décisions de justice, repose sur un principe simple : l'accès aux informations librement consultables ne constitue pas en soi une infraction. En droit français, l'activité de web scraping est régie par [l'article L. 342-3 du code de la propriété intellectuelle](/fr/blog/contrefacon-logiciel-licence-tacite-bordeaux-jurisprudence). Il autorise [l'extraction des données d'une page web](/fr/blog/transferts-donnees-hors-ue-schrems-ii-cct-bcr) lorsqu'elles font partie du domaine public. Cette base légale permet notamment l'extraction de prix publics, d'informations d'entreprises ou de contenus mis à disposition sans restriction d'accès. ### Les limites du droit sui generis Le droit français protège cependant les producteurs de bases de données par le "droit sui generis". Le producteur de bases de données a le droit d'interdire l'extraction, par transfert permanent ou temporaire de la totalité ou d'une partie qualitativement ou quantitativement substantielle du contenu d'une base de données sur un autre support, par tout moyen et sous toute forme que ce soit. Cette protection vise à préserver [les investissements substantiels réalisés pour constituer, vérifier ou présenter une base de données](/fr/blog/blockchain-constat-huissier-preuve-numerique). L'article L342-1 du CPI précise les actes interdits sans autorisation du producteur : l'extraction par transfert permanent ou temporaire de la totalité ou d'une partie qualitativement ou quantitativement substantielle du contenu sur un autre support. L'article L342-2 du CPI étend la protection aux extractions ou réutilisations répétées et systématiques de parties non substantielles du contenu, lorsqu'elles excèdent manifestement les conditions d'utilisation normale de la base. ## Les obligations RGPD : un impératif de conformité ### L'application du RGPD au scraping [Le RGPD, et à l'échelle nationale la loi informatique et libertés](/fr/blog/rgpd-nis2-ai-act-conformite-unifiee-2026), imposent un certain nombre d'exigences de conformité afin d'assurer la légalité des traitements de données à caractère personnel. Le web scraping constitue sans aucun doute un traitement de données et doit donc, lorsque des données personnelles sont concernées, respecter ces exigences. La CNIL elle-même, dans sa fiche de juin 2025, ne conditionne pas la licéité du scraping à l'accord préalable du site source, mais à l'existence d'une base légale RGPD valide et au respect des mécanismes techniques d'opposition. L'intérêt légitime peut servir de base légale pour certaines collectes, notamment dans le cadre de la prospection B2B. ### Les mesures obligatoires selon la CNIL La CNIL impose des mesures obligatoires notamment au titre du principe de minimisation des données (article 5.1.c du RGPD) : définir, en amont, des critères précis de collecte ; exclure de la collecte certaines catégories de données lorsqu'elles ne sont pas nécessaires ; lorsque c'est possible, par l'intermédiaire de filtres ; veiller à supprimer les données non pertinentes qui auraient pu être collectées malgré ces critères immédiatement après leur collecte. Les entreprises doivent également mettre en place des procédures pour garantir les droits des personnes : information sur l'origine des données, possibilité d'exercer un droit d'opposition, et suppression effective des données dans les délais impartis. ## Les sanctions encourues : des risques financiers majeurs ### Les amendes RGPD Si l'utilisation des données collectées par web scraping contrevient au RGPD, les entreprises s'exposent à la sanction suivante : une amende pouvant aller jusqu'à 20 millions d'€ ou 4% de son CA annuel total (article 83, paragraphe 5 du RGPD). Cette menace n'est pas théorique : la formation restreinte de la CNIL a imposé une amende de 240,000 euros à KASPR, laquelle a été rendue publique, et a ordonné à l'entreprise de se conformer au RGPD. ### Les sanctions pénales et civiles L'article L343-4 du Code de la Propriété intellectuelle prévoit une peine de 3 ans d'emprisonnement et une amende de 300 000 euros, en cas d'utilisation non autorisée de la base de données. Ces sanctions visent particulièrement les extractions massives qui portent atteinte aux investissements des producteurs de bases. En matière de droit des bases de données, le producteur peut agir en justice pour obtenir des dommages et intérêts et l'interdiction de poursuivre l'extraction. La concurrence déloyale constitue également un fondement d'action fréquemment invoqué. ## La question des conditions générales d'utilisation ### CGU versus droit Extraire des données publiques de fiches Google Maps à des fins de prospection B2B peut contrevenir aux CGU de Google tout en restant légal au regard du RGPD et du droit français. Ce sont deux systèmes distincts. La violation des CGU expose principalement à une résiliation du compte Google, pas à des sanctions pénales ou administratives. Cette distinction cruciale éclaire la stratégie à adopter : les CGU sont un contrat privé, pas la loi. La jurisprudence (hiQ v. LinkedIn 2022, Ryanair v. Booking.com 2023) montre que les conditions d'utilisation ne peuvent pas empêcher l'accès à des données publiques. ### Les risques contractuels Toutefois, le non-respect des CGU expose à des mesures de rétorsion techniques : blocage d'adresse IP, restriction d'accès, suspension de compte. LinkedIn, par exemple, a refondu ses conditions d'utilisation fin 2024 pour y interdire de façon encore plus explicite toute forme de collecte automatisée, y compris sur les profils publics. Les sanctions prévues vont désormais bien au-delà de la simple suspension de compte et incluent un blocage permanent de l'accès à la plateforme. ## Les bonnes pratiques pour un scraping conforme ### Analyse préalable des données ciblées

Type de données	Statut juridique	Recommandations
Données d'entreprises publiques	Librement accessibles	Scraping autorisé avec modération
Données personnelles de contact professionnel	RGPD applicable	Base légale requise, droit d'opposition
Données personnelles sensibles	Strictement protégées	Collecte interdite sans consentement
Contenus protégés par le droit d'auteur	Propriété intellectuelle	Extraction limitée aux exceptions légales

La première étape consiste à qualifier juridiquement les données visées. Le numéro de téléphone d'une pizzeria à Lyon, c'est une donnée personnelle ? Non. C'est une donnée d'entreprise, publiquement affichée sur Google Maps par son propriétaire. Le RGPD distingue clairement les deux — et cette distinction change tout pour la légalité du scraping. ### Mise en œuvre technique respectueuse La CNIL recommande notamment la mise en œuvre des mesures suivantes : établir une liste de sites dont la collecte serait exclue par défaut. Cela concernerait certains sites qui contiennent des données particulièrement intrusives compte tenu de leur sensibilité (comme les sites pornographiques, les forums de santé, etc.) ou du niveau d'information qu'elles permettent d'obtenir sur les personnes. Les entreprises doivent également respecter les signaux techniques d'opposition : fichier robots.txt, métadonnées d'exclusion, et limitations de fréquence. Certains sites implémentent des protections techniques (fichier robots.txt, limites de fréquence, captchas, blocage IP) pour réguler ou dissuader l'extraction automatisée. ### Documentation et traçabilité Lors d'un contrôle, vous devrez fournir : la mise en balance, les scripts, les logs de suppression et les preuves de pseudonymisation. Les établissements de paiement tracent déjà chaque appel API ; faites-en autant pour vos robots. La tenue d'un registre des traitements détaillé, incluant la finalité de la collecte, la base légale retenue et les mesures de sécurité mises en œuvre, constitue un prérequis indispensable. ## Articles liés - [RGPD, NIS2 et AI Act : la conformité unifiée en 2026](/fr/blog/rgpd-nis2-ai-act-conformite-unifiee-2026) - [AI Act 2026 : la CNIL devient autorité de contrôle avec des sanctions jusqu'à 35M€](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros) - [DSA et DMA : ce que les entreprises doivent savoir sur la nouvelle responsabilité des plateformes](/fr/blog/dsa-dma-responsabilite-plateformes-numeriques) ## L'essentiel à retenir • Le scraping de données publiques est légal en principe, mais soumis à des conditions strictes selon le type de données collectées • Le RGPD s'applique dès qu'une donnée personnelle est concernée, imposant une base légale valide et des mesures de protection • Les sanctions peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires, comme l'illustrent les récentes décisions de la CNIL • Les CGU des plateformes créent un risque contractuel distinct du risque légal, mais ne peuvent empêcher l'accès aux données publiques • La documentation des processus et le respect des signaux techniques d'opposition constituent des prérequis essentiels ### Peut-on scraper des données sans autorisation préalable ? Le web scraping est légal. En effet, lorsqu'un site web publie du contenu, celui-ci est considéré comme public et peut donc être extrait. Aucune autorisation préalable n'est requise pour collecter des informations librement accessibles, à condition de respecter le cadre réglementaire applicable. ### Quelles sont les sanctions RGPD en cas de scraping illégal ? Si l'utilisation des données collectées par web scraping contrevient au RGPD, les entreprises s'exposent à une amende pouvant aller jusqu'à 20 millions d'€ ou 4% de son CA annuel total (article 83, paragraphe 5 du RGPD). La CNIL peut également ordonner la cessation du traitement et la suppression des données. ### Le scraping de réseaux sociaux est-il autorisé ? Le scraping de réseaux sociaux dépend du type de données et des paramètres de confidentialité. La CNIL a considéré que KASPR avait collecté les coordonnées de contact d'utilisateurs qui avaient choisi de restreindre la visibilité à leurs connexions de 1er et 2e degré. Cette collecte a été sanctionnée d'une amende de 240 000 euros. ### Comment respecter le droit sui generis des bases de données ? L'article L342-3 du CPI organise plusieurs exceptions au droit sui generis qui préservent certains usages légitimes : l'extraction ou la réutilisation d'une partie non substantielle du contenu par un utilisateur ayant licitement accès à la base, à des fins privées ou pédagogiques. L'extraction doit rester proportionnée et ne pas porter atteinte à l'exploitation normale de la base. ### Que faire en cas de blocage technique par une plateforme ? Google peut vous bloquer techniquement — c'est son droit. Mais il ne peut pas vous poursuivre pénalement pour avoir lu des données publiques. La nuance est cruciale. Le blocage technique constitue une mesure contractuelle, distincte des sanctions légales.

---

**Besoin d'un accompagnement en droit des affaires ?** Je vous accompagne dans la négociation et la sécurisation de vos contrats, en France comme à l'international. [Consultation en visioconférence](/fr/qui-suis-je) · [Prendre rendez-vous](/fr/qui-suis-je)