Données publiques, web scraping et RGPD
Une donnée personnelle accessible publiquement sur Internet n’est pas pour autant une donnée librement exploitable. Le web scraping et le RGPD soulèvent donc une question essentielle : une entreprise peut-elle collecter automatiquement des données disponibles en ligne, les stocker, les enrichir, ou les réutiliser pour ses propres besoins ?
La réponse n’est pas simplement « oui » ou « non ». Le traitement doit être analysé au regard du RGPD, de sa finalité, de sa base légale, des données collectées, de l’information des personnes et des garanties mises en place.
Le sujet prend une importance particulière avec l’essor de l’intelligence artificielle générative, qui peut nécessiter le traitement de grandes quantités de données accessibles en ligne.
Qu’est-ce que le web scraping ?
Le web scraping, également appelé « moissonnage », consiste à utiliser des outils informatiques pour extraire automatiquement des informations depuis des pages ou des sites Internet, ou des réseaux sociaux.
Une entreprise peut, par exemple, utiliser une technologie de web scraping pour récupérer certaines informations disponibles en ligne, afin de constituer ou d’enrichir une base de données.
Les informations collectées peuvent être très diverses. Il peut s’agir de données relatives à des entreprises, mais aussi de données personnelles : nom, adresse électronique, numéro de téléphone, fonction professionnelle ou autres informations permettant d’identifier une personne.
Dès lors que les données collectées sont des données personnelles, le RGPD s’applique au traitement. La CNIL rappelle ainsi que les données personnelles publiquement accessibles sur Internet ne sont pas librement réutilisables par n’importe quel responsable de traitement.
Web scraping et IA générative
Le développement de l’IA générative donne une nouvelle dimension au web scraping.
Les systèmes d’IA peuvent nécessiter de grandes quantités de données pour différentes étapes de leur développement.
La CNIL indique que le recours au moissonnage s’est fortement développé avec l’essor des systèmes d’IA générative et rappelle les obligations qui peuvent s’appliquer lorsque des données personnelles sont collectées à cette fin.
Web scraping et RGPD
Web scraping et RGPD : une donnée publique n’est pas une donnée libre
C’est probablement le principal point à retenir.
Une personne peut avoir choisi de publier une information sur Internet. Cela ne signifie pas qu’elle a nécessairement autorisé toutes les utilisations possibles de cette information.
La CNIL indique que les données personnelles publiquement accessibles en ligne restent soumises au RGPD lorsqu’elles sont réutilisées.
Web scraping et RGPD : quelle finalité ?
L’organisme doit d’abord se demander pourquoi elle souhaite collecter ces données. En effet, la finalité doit être définie avant la collecte.
Exemple : une personne publie sur un site Internet son nom et son adresse électronique professionnelle. Une entreprise récupère automatiquement ces informations avec, pour finalité, de constituer une base de prospects.
Le fait que ces informations soient visibles sur Internet ne suffit pas à rendre leur collecte et leur utilisation conformes au RGPD. L’entreprise doit notamment déterminer la finalité du traitement, mais aussi identifier une base légale et respecter les droits des personnes.
Web scraping et RGPD : quelle base légale ?
Tout traitement de données personnelles doit reposer sur une base légale prévue par l’article 6 du RGPD. Dans le contexte du web scraping, la CNIL indique que l’intérêt légitime peut, dans certaines situations, constituer une base légale.
L’entreprise doit toutefois vérifier que les conditions de l’intérêt légitime sont remplies. Elle doit notamment prendre en compte les intérêts, droits et libertés des personnes concernées.
Web scraping et RGPD : l’intérêt légitime doit être examiné concrètement
La CNIL souligne que le recours au web scraping peut présenter des risques importants pour les personnes. Ces risques peuvent provenir du volume de données collectées, du nombre de personnes concernées, ou de la difficulté à exercer ensuite certains droits.
La CNIL recommande donc de mettre en place des garanties adaptées lorsque le traitement repose sur l’intérêt légitime.
Il ne faut donc pas raisonner selon cette formule :
- « Les données sont publiques, donc notre intérêt légitime suffit. »
Le raisonnement doit être beaucoup plus précis :
- Quel est notre intérêt légitime ?
- La collecte est-elle nécessaire ?
- Quels sont les intérêts et droits des personnes ?
- Quelles garanties pouvons-nous mettre en place ? »
Web scraping et RGPD : quelles données peut-on collecter ?
Le principe de minimisation des données joue un rôle central. Une entreprise doit limiter la collecte aux données personnelles qui sont nécessaires et pertinentes au regard de la finalité poursuivie.
Il faut être d’autant plus vigilant que le web scraping à grande échelle peut entraîner la collecte incidente de données sensibles au sens de l’article 9 du RGPD.
La CNIL recommande donc une vigilance particulière lorsque les techniques de moissonnage portent sur de grands volumes de données. Elle recommande de mettre en place des mécanismes permettant d’exclure automatiquement les données qui ne sont pas nécessaires, en particulier s’il s’agit de données sensibles.
Web scraping et RGPD : ne pas collecter « tout ce qui est disponible »
Imaginons qu’une entreprise souhaite constituer une base de données contenant uniquement le nom et la fonction de professionnels. Il serait difficile de justifier automatiquement la collecte de toutes les informations présentes sur les pages consultées.
Le web scraping doit donc être paramétré en fonction de la finalité poursuivie. La question à se poser est la suivante :
- « Quelles données sont réellement nécessaires à notre objectif ? »
Cette réflexion doit intervenir avant la collecte. Si des données ne sont pas pertinentes, elles ne devraient pas être collectées.
Web scraping et RGPD : que faire des données collectées par erreur ?
Le filtrage peut ne pas être parfait et des données non pertinentes peuvent être collectées accidentellement.
La CNIL recommande en ce cas de supprimer les données non pertinentes immédiatement après leur collecte ou dès qu’elles sont identifiées comme telles, lorsque leur exclusion préalable n’a pas été possible.
Web scraping et RGPD : comment informer les personnes ?
La transparence constitue un autre enjeu majeur : une personne peut ne pas savoir qu’une entreprise récupère ses données sur Internet. Elle peut encore moins savoir ce que cette entreprise en fait ensuite.
Pourtant, le responsable du traitement doit respecter les obligations d’information prévues par le RGPD, sous réserve des conditions et exceptions prévues par celui-ci. Ce point doit aussi être prévu par l’organisme avant le lancement du scaping.
La CNIL identifie notamment l’information des personnes comme un point de vigilance important dans la réutilisation de données publiquement accessibles.
Web scraping et RGPD : l’origine des données doit-elle être expliquée ?
Oui, lorsque les données personnelles n’ont pas été obtenues directement auprès de la personne, le RGPD prévoit notamment des obligations d’information sur leur source, dans les conditions prévues par son article 14.
Cette question devient particulièrement importante lorsque l’entreprise utilise des données récupérées automatiquement sur plusieurs sites.
La personne doit pouvoir comprendre, dans les conditions prévues par le RGPD, que ses données sont traitées et pourquoi.
Web scraping et RGPD : que deviennent les données après leur collecte ?
L’entreprise doit aussi maîtriser le cycle de vie des données :
- stockage ;
- accès ;
- utilisation ;
- transmission éventuelle ;
- conservation ;
- suppression.
Le web scraping n’est donc pas seulement une question de collecte. C’est un traitement de données personnelles qui doit être maîtrisé dans son ensemble.
Peut-on scraper n’importe quel site ?
Non, car le RGPD n’est pas le seul cadre juridique à prendre en compte. La CNIL rappelle que le recours au web scraping peut également être limité par d’autres règles, notamment celles relatives au droit d’auteur ou au droit des producteurs de bases de données.
Les conditions générales d’utilisation d’un site peuvent aussi nécessiter un examen.
Il faut donc distinguer deux questions :
- Le traitement de données personnelles est-il conforme au RGPD ?
- La collecte et la réutilisation du contenu sont-elles autorisées au regard des autres règles applicables ?
Une réponse positive à la première question ne règle pas nécessairement la seconde.
La réflexion du CEPD au sujet du web scraping
Le sujet fait actuellement l’objet de travaux spécifiques au niveau européen.
Le Comité européen de la protection des données (CEPD) a publié les lignes directrices 03/2026 sur le web scraping dans le contexte de l’IA générative.
Ces lignes directrices sont actuellement soumises à consultation publique. La période de consultation court du 8 juillet au 30 octobre 2026.
Toutefois, ces lignes directrices sont actuellement en consultation. Elles ne représentent pas, à l’heure actuelle, un texte définitif. Leur élaboration atteste néanmoins que le web scraping et RGPD constituent désormais un enjeu important pour la protection des données dans le contexte de l’IA.
Web scraping et RGPD : quelle méthode pour une entreprise ?
Une démarche prudente peut suivre sept étapes.
1) Définir précisément le besoin
Commencez par la finalité. Ne partez pas de ce que l’outil peut collecter. Partez de ce dont l’entreprise a réellement besoin.
2) Cartographier les données
Identifiez les données collectées. Déterminez lesquelles sont personnelles et lesquelles ne le sont pas. Identifiez également les catégories de personnes concernées.
3) Analyser la base légale
Documentez la base légale retenue. Si l’entreprise se fonde sur l’intérêt légitime, documentez l’analyse nécessaire à cette base légale.
4) Paramétrer la collecte
Définissez des critères précis. Utilisez des filtres lorsque cela est possible. Excluez les catégories de données qui ne sont pas nécessaires.
5) Organiser l’information des personnes
Déterminez le processus permettant à l’entreprise de satisfaire à ses obligations d’information.
6) Encadrer la conservation
Définissez la durée de conservation adaptée à la finalité. Une donnée ne doit pas être conservée indéfiniment même si elle a été collectée automatiquement.
7) Vérifier les prestataires
Si un prestataire intervient dans le traitement, qualifiez son rôle et encadrez la relation conformément aux obligations applicables.
La CNIL rappelle notamment l’importance de l’encadrement contractuel lorsqu’un prestataire agit en qualité de sous-traitant.
Ce qu’il faut retenir
Le web scraping n’est pas interdit par principe par le RGPD.
Mais la possibilité technique de récupérer une information ne suffit pas à justifier son traitement. Lorsqu’une entreprise collecte des données personnelles publiques, elle doit examiner le traitement dans son ensemble.
Elle doit notamment s’interroger sur :
- la finalité ;
- la base légale ;
- la minimisation ;
- la transparence ;
- les droits des personnes ;
- la conservation ;
- la sécurité ;
- les éventuels sous-traitants ;
- les autres règles juridiques applicables.
Le contexte de l’IA générative renforce encore l’importance de ces questions.
Besoin d’évaluer un projet de web scraping ?
Vous envisagez de collecter des données publiques sur Internet, d’enrichir une base de données ou d’utiliser des données dans le cadre d’un projet d’intelligence artificielle ?
DMOuvrard vous accompagne dans l’analyse des enjeux liés au RGPD, à la protection des données personnelles et à la conformité de vos traitements.
Contactez DMOuvrard ici ou prenez rendez-vous sur https://meet.brevo.com/mickael-ouvrard/diagnostic-flash .
Découvrez également ici l’ensemble de nos services et l’ensemble de nos formations.
DMOuvrard, l’atout des petites structures !
Sources :
CNIL — 30 avril 2020
« La réutilisation des données publiquement accessibles en ligne à des fins de démarchage commercial ». La CNIL y rappelle notamment que les données personnelles publiquement accessibles ne sont pas librement réutilisables et détaille plusieurs obligations relatives à leur réutilisation. (CNIL)
CNIL — 12 juin 2024
Recommandations relatives à la réutilisation des données publiées sur Internet. Elles abordent notamment la licéité des traitements, l’information des personnes, leurs droits, la sous-traitance et l’analyse d’impact. (CNIL)
CNIL — 19 juin 2025
« La base légale de l’intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) ». Cette fiche détaille notamment les mesures de minimisation et les précautions relatives aux données sensibles. (CNIL)
CEPD — 8 juillet 2026
Lignes directrices 03/2026 sur le web scraping dans le contexte de l’IA générative. Document en consultation publique au moment de la rédaction de cet article, jusqu’au 30 octobre 2026. (CEPD)