RGPD et scraping de données publiques : la pratique en 2026
Ce qui a changé dans l'interprétation du RGPD après Schrems II et Meta v. Bright Data. Base légale du scraping, obligations du responsable/sous-traitant, amendes réelles 2024-2025.
Pourquoi c'est important en ce moment
Le RGPD s'applique depuis 2018, mais sa position sur le scraping ne cesse d'évoluer. En 2024–2025, plusieurs décisions faisant jurisprudence ont sensiblement modifié la pratique :
- Meta v. Bright Data (2024) — un tribunal américain a en partie donné raison à Bright Data sur les données publiques, mais l'a contraint à cesser la collecte depuis des sessions authentifiées.
- Clearview AI (2024) — une amende de €30.5M aux Pays-Bas pour le scraping de photos de visages publiques sans consentement.
- OpenAI (2025) — l'autorité de protection des données (DPA) italienne a allégué une utilisation illicite de données obtenues par web scraping à des fins d'entraînement. L'enquête est en cours.
À retenir : le RGPD n'interdit pas le scraping, mais place la barre haut pour la légitimité — surtout dans les cas d'usage commerciaux.
Base légale du scraping de données publiques
L'article 6 du RGPD prévoit 6 bases légales. Pour le scraping, 2 sont réalistes :
1. Intérêt légitime (Art. 6(1)(f))
La plus courante pour le scraping B2B. Conditions :
- Un « intérêt légitime » clair de votre entreprise (génération de leads, surveillance des prix, étude de marché)
- Nécessité — le scraping est réellement indispensable pour atteindre l'objectif
- Une mise en balance — votre intérêt prime sur les droits de la personne concernée
- Une information de transparence — vous devez informer les personnes concernées du traitement
Documentez le résultat de la mise en balance. En cas de plainte, vous devrez le fournir à la DPA.
2. Consentement (Art. 6(1)(a))
Inapplicable au scraping de données publiques — vous ne pouvez pas obtenir le consentement explicite des millions de personnes dont vous scrapez les profils.
Obligations du responsable de traitement
Si vous scrapez des données personnelles (nom, e-mail, photo, intitulé de poste, téléphone), vous êtes un responsable de traitement avec l'ensemble des obligations :
- Information sur la confidentialité — sur votre site, avec les sources de données, les finalités du traitement, la base légale, la durée de conservation.
- Droit d'accès — fournir une copie des données d'une personne concernée sur demande (1 mois).
- Droit à l'effacement — supprimer les données sur demande (1 mois).
- Droit d'opposition — permettre l'opt-out de votre base de données.
- Registre des traitements (Art. 30) — documentation de toutes les activités de traitement.
- DPIA — obligatoire si le traitement présente un risque élevé (grande échelle, automatisé, scoring).
- Désignation d'un DPO — obligatoire si vous traitez régulièrement des PII à grande échelle.
- Notification de violation — 72 heures à la DPA + information des personnes concernées.
Amendes réelles 2024–2025
| Entreprise | Amende | Juridiction | Motif |
|---|---|---|---|
| Clearview AI | €30.5M | NL | Scraping de photos sans consentement |
| OpenAI (à venir) | enquête | IT | Données d'entraînement issues du web scraping |
| Voodoo Sàrl | €3M | FR | Identifiants de tracking sans intérêt légitime |
| Meta (Irlande) | €1.2B | IE | Transferts de données transfrontaliers (une conséquence de Schrems II) |
| TikTok | €345M | IE | Traitement de données d'enfants |
Bonnes pratiques pour 2026
- N'agrégez pas de PII provenant de plusieurs sources — même si chacune est légale, l'agrégation crée un « profil complet » qui nécessite sa propre base légale.
- Évitez les données sensibles — religion, opinions politiques, orientation sexuelle, santé (Art. 9). Les amendes y sont 4× plus élevées.
- Préférez les données B2B aux données B2C — l'e-mail et le titre d'un CEO présentent moins de risque que le profil personnel d'un étudiant.
- Appliquez la minimisation des données — ne collectez pas de champs dont vous n'avez pas besoin pour la tâche métier.
- Pseudonymisez tôt — remplacez les PII par un hash dès la collecte, puis travaillez avec des données anonymisées.
- Évitez les profils d'enfants — les données d'enfants bénéficient d'une protection renforcée (Art. 8).
- Travaillez avec des fournisseurs prêts pour la conformité pour les cas entreprise — Bright Data et Oxylabs proposent des modèles de DPA.
Ce texte est un aperçu, pas un conseil juridique. Discutez des questions spécifiques avec un avocat spécialisé dans votre juridiction — en particulier pour les projets B2C et l'agrégation commerciale de PII.