Conformité RGPD pour les web scrapers : guide pratique 2026

Réponse courte : le RGPD n’interdit pas le web scraping. En revanche, dès qu’un scraper collecte, stocke, organise ou réutilise des informations relatives à des personnes identifiables, il traite des données personnelles. Le simple fait qu’une information soit « publique » ne constitue pas une stratégie de conformité.

Cette nuance est aujourd’hui encore plus difficile à ignorer. En juillet 2026, le Comité européen de la protection des données (CEPD) a indiqué que le RGPD s’applique au scraping lorsqu’il inclut des opérations de traitement de données personnelles, en soulignant la limitation des finalités et la transparence comme points clés. Ses nouvelles lignes directrices sur le web scraping sont encore soumises à consultation, mais la direction est claire : l’acte technique de collecte d’une page n’est que le début de la réflexion sur la conformité. Mise à jour du CEPD

Ce guide propose un cadre opérationnel concret, et non un avis juridique. Utilisez-le pour prendre de meilleures décisions produit et techniques, puis faites intervenir un juriste privacy ou votre DPO lorsque les risques deviennent réels.

Commencez par distinguer « peut-on collecter ? » de « peut-on utiliser ? »

Trois questions différentes sont souvent mélangées :

Question	Ce qu’elle cherche à savoir
Accès	Êtes-vous autorisé à accéder au site et à collecter le contenu ?
Protection des données	Si des personnes sont identifiables, pouvez-vous traiter ces données au titre du RGPD ?
Réutilisation	Pouvez-vous conserver, enrichir, vendre, utiliser pour entraîner un modèle, publier ou contacter les personnes à partir de ces données ?

Réussir l’un de ces contrôles ne signifie pas réussir les autres. Une page peut être visible publiquement tout en contenant des données personnelles. Un crawl techniquement réussi peut malgré tout soulever des questions de RGPD, de contrat, de propriété intellectuelle, de droit des bases de données, de protection des consommateurs ou de droit du marketing.

Considérez donc la conformité comme un flux de travail à prévoir avant de lancer la collecte — pas comme un simple paragraphe ajouté ensuite dans une politique de confidentialité.

1. Déterminez d’abord si le RGPD s’applique

Commencez par deux questions.

L’ensemble de données contient-il des données personnelles ?

Les données personnelles vont bien au-delà du nom ou de l’adresse e-mail. Elles englobent toute information relative à une personne identifiée ou identifiable : photo de profil, nom d’utilisateur rattachable à une personne, localisation, adresse IP, parcours professionnel, avis, ou combinaison de champs a priori anodins. Définition du CEPD

Les données à l’échelle d’une entreprise peuvent être inoffensives dans certains cas. Mais une fiche de « contact professionnel » peut vite devenir une donnée personnelle si elle contient un entrepreneur individuel nommé, l’adresse e-mail directe d’un salarié, un numéro mobile ou un profil lié. Concevez votre approche pour le jeu de données réel, pas pour une version idéalisée.

Le RGPD s’applique-t-il à votre organisation et à votre usage ?

Le RGPD peut s’appliquer lorsqu’un traitement est lié à un établissement situé dans l’UE. Il peut aussi s’appliquer à une organisation hors UE si elle propose des biens ou des services à des personnes dans l’Union ou surveille leur comportement. Aperçu de la Commission européenne

Si les deux réponses sont oui, partez du principe que le scraping doit suivre une trajectoire RGPD documentée. Si la réponse n’est pas claire, ne prenez pas l’incertitude pour un feu vert : faites remonter le sujet.

2. Rédigez une note de cadrage d’une page avant le lancement du crawler

Le contrôle le plus simple est aussi l’un des plus efficaces : définissez ce qu’il vous faut avant la collecte.

Votre note de cadrage doit répondre aux questions suivantes :

• Objectif : quelle décision, quel service ou quelle analyse concrète nécessite ces données ?
• Personnes et champs : quelles catégories de personnes peuvent apparaître, et quels champs exacts sont nécessaires ?
• Source et accès : le contenu est-il accessible librement ? La source s’oppose-t-elle à l’accès via ses conditions, ses contrôles robots, une zone de connexion ou d’autres barrières techniques ?
• Utilisation et destinataires : qui verra les résultats ? Les données seront-elles enrichies, exportées, partagées, utilisées pour du marketing direct ou pour l’entraînement d’un modèle ?
• Conservation : à quel moment les données brutes, les fichiers de travail et les enregistrements dérivés seront-ils supprimés ou réexaminés ?
• Responsabilités : qui est responsable de traitement, qui est sous-traitant, et qui gère les demandes de droits ?

Ce n’est pas de la bureaucratie inutile. Les principes du RGPD exigent une finalité déterminée et des données adéquates, pertinentes et limitées à ce qui est nécessaire. Principes de la Commission européenne

3. Choisissez et documentez une base légale — n’en présumez pas une

Toute opération de traitement de données personnelles doit reposer sur une base légale. Le consentement peut convenir à certains produits, mais ce n’est pas la réponse par défaut pour des données web publiques. Pour certaines organisations privées, les intérêts légitimes peuvent constituer une base possible pour un scraping étroitement ciblé, assorti de vraies garanties. Rien d’automatique ici.

Une analyse défendable des intérêts légitimes pose trois questions :

1. L’intérêt est-il licite, précis, réel et actuel ?
2. Cette collecte est-elle nécessaire pour atteindre cette finalité, ou existe-t-il un moyen moins intrusif ?
3. Les intérêts, les droits ou les attentes raisonnables de la personne l’emportent-ils sur votre intérêt ?

La CNIL indique que les données publiques collectées par scraping sont généralement examinées au prisme des intérêts légitimes, mais nécessitent des mesures supplémentaires pour réduire l’impact sur les personnes. Elle insiste aussi sur une analyse au cas par cas, et non sur une autorisation générale. Guide CNIL

Documentez l’analyse, ses hypothèses et les mesures d’atténuation retenues. « Le profil était public » peut nourrir le test de mise en balance, mais ne remplace pas ce test.

4. Faites de la minimisation une exigence technique

L’enregistrement le plus conforme est souvent celui que votre scraper n’a jamais collecté.

Intégrez les garde-fous suivants au job de collecte :

• Liste blanche de champs. Définissez les champs nécessaires ; ne récupérez pas tous les champs visibles simplement parce que c’est plus facile.
• Bloquez les catégories sensibles. Excluez les données de santé, opinions politiques, religion, syndicat, vie sexuelle, biométrie et autres catégories particulières, sauf si un conseil juridique a conçu une base légale spécifique. Un texte ordinaire peut révéler ces catégories sans le vouloir.
• Excluez les sources à risque élevé. Maintenez une liste d’exclusion par défaut pour les groupes d’entraide, forums santé, espaces destinés aux enfants et autres contextes où la réutilisation pourrait être surprenante ou préjudiciable.
• Supprimez rapidement les données parasites. Si des données personnelles non pertinentes sont capturées, isolez-les et supprimez-les plutôt que de les conserver discrètement « au cas où ».
• Conservez la provenance. Stockez l’URL source, la date de collecte et la configuration pertinente avec chaque jeu de données. Cela facilite l’exactitude, la suppression et la gestion des droits.

La CNIL recommande explicitement de définir à l’avance les catégories pertinentes, de filtrer les données inutiles ou sensibles, de supprimer les données non pertinentes et de respecter l’opposition technique ou juridique à la collecte. Garanties CNIL

5. Traitez la transparence comme une partie du produit

Les données collectées sur un site web le sont généralement de manière indirecte. Cela peut rendre applicables les obligations d’information de l’article 14 : expliquer qui vous êtes, la finalité, les catégories et la source des données, la base légale, la durée de conservation, les destinataires, les transferts et les droits des personnes.

Le résumé de la Commission européenne précise que, lorsque les données proviennent d’une autre source, l’information doit en général être fournie dans un délai d’un mois, lors du premier contact ou lors de la première communication, selon le cas. Il existe des exceptions, notamment si l’information est impossible ou exigerait des efforts disproportionnés, mais elles sont conditionnelles et doivent être évaluées et documentées plutôt que présumées. Obligations de la Commission européenne

Pour des collectes larges, un avis public clair, une page dédiée au jeu de données, un point de contact spécifique et des instructions faciles à trouver pour l’opposition, l’accès, la rectification et la suppression peuvent être plus utiles qu’une page juridique cachée. Le bon format dépend du traitement et du niveau de risque.

6. Prévoyez un workflow de suppression et de gestion des droits avant le lancement

Le scraping à grande échelle rend les corrections ultérieures coûteuses. Donnez un identifiant aux données, conservez une cartographie contrôlée de la source vers l’enregistrement, et assurez-vous de pouvoir localiser puis supprimer ou masquer les données d’une personne dans les captures brutes, bases de données, exports, index et traitements en aval.

À minima, définissez :

• qui reçoit et vérifie une demande de droits ;
• comment retrouver un enregistrement sans demander d’informations supplémentaires inutiles ;
• comment la suppression ou l’opposition est propagée vers les systèmes en aval ;
• comment le masquage empêche une nouvelle collecte accidentelle ;
• combien de temps les journaux et sauvegardes conservent l’enregistrement, et quelle procédure d’exception s’applique.

Si l’ensemble de données alimente un modèle, un graphe d’enrichissement, du profilage ou du marketing direct, rendez ce plan encore plus robuste. Plus les données circulent, plus il devient difficile d’honorer les droits de manière concrète.

7. Sécurisez l’ensemble de données et évaluez tôt les cas à haut risque

Le RGPD exige des mesures proportionnées au risque, notamment contre l’accès non autorisé, la perte, la destruction et les traitements illicites. La protection dès la conception et par défaut consiste à choisir ces contrôles dès le départ, et non après une violation. Obligations de la Commission européenne

Parmi les contrôles de base utiles : accès par rôle, chiffrement en transit et au repos, gestion des secrets, journaux d’audit, revue des prestataires, contrôle des exports de données et procédure d’incident testée. La pseudonymisation peut réduire le risque, mais elle n’est pas équivalente à l’anonymisation et ne fait généralement pas disparaître à elle seule les obligations du RGPD.

Une AIPD doit être envisagée avant tout traitement susceptible d’engendrer un risque élevé, surtout si vous combinez les facteurs suivants :

• collecte ou surveillance à grande échelle ;
• profilage ou décisions ayant un impact sur les personnes ;
• données sensibles ou très personnelles ;
• enfants ou autres personnes vulnérables ;
• combinaison de jeux de données pour produire de nouvelles inférences ;
• identification persistante, données de localisation ou réutilisation de type courtier en données ;
• entraînement d’IA ou modèle susceptible de mémoriser ou d’exposer des données personnelles.

La Commission identifie l’évaluation automatisée systématique et étendue, le traitement à grande échelle de données sensibles et la surveillance systématique à grande échelle parmi les cas nécessitant une AIPD. Guide AIPD

Checklist de lancement pour les équipes de web scraping

Avant d’exécuter un job en production, vérifiez tous les points suivants :

• Nous savons si la collecte inclut des données personnelles et pourquoi le RGPD s’applique ou non.
• Nous avons une finalité écrite et précise, ainsi qu’une liste blanche des champs requis.
• Nous avons documenté une base légale et, le cas échéant, une analyse des intérêts légitimes.
• Nous avons exclu par défaut les sources ou catégories sensibles et à haut risque.
• Nous avons évalué les restrictions de la source et ne contournons pas les contrôles d’accès.
• Nous avons une explication publique transparente et un dispositif praticable pour les demandes de droits et les oppositions.
• Nous connaissons les rôles de responsable de traitement et de sous-traitant, et nous avons des clauses fournisseurs adaptées.
• Nous avons mis en place des procédures de conservation, suppression, masquage et propagation en aval.
• Nous disposons de contrôles de sécurité proportionnés et d’une responsabilité claire en cas d’incident.
• Nous avons réalisé une AIPD et une évaluation des transferts transfrontaliers, ou documenté de manière réfléchie pourquoi elles ne sont pas nécessaires.

L’essentiel à retenir

La conformité RGPD pour les web scrapers ne consiste pas à trouver une formule magique dans un fichier robots.txt ni à coller une clause de non-responsabilité dans votre produit. Il s’agit de rendre la collecte proportionnée à une finalité clairement définie, de donner aux personnes une visibilité et un contrôle réels, et de pouvoir démontrer vos choix par la suite.

Commencez petit. Collectez moins. Conservez les sources et les horodatages. Intégrez la suppression dans le modèle de données. Faites remonter en amont les usages sensibles, à grande échelle, de profilage et d’entraînement IA avant que les données ne circulent en aval. Ces habitudes rendent un scraper plus fiable — et bien plus simple à exploiter lorsque la première question privacy arrive.

Cet article fournit des informations générales et ne constitue pas un avis juridique. Sollicitez un conseil qualifié pour les faits, juridictions, catégories de données et usages prévus de votre organisation.

En savoir plus

• Le web scraping est-il légal aux États-Unis ? Ce que dit réellement la loi
• Comment démarrer un tutoriel d’extraction de données web avec Thunderbit
• Comparatif pratique de 10 API de web scraping (2026)
• Les 10 meilleurs navigateurs proxy pour la confidentialité en ligne
• Les principales statistiques sur la confidentialité des données IA à connaître en 2026