Web Scraping nel Regno Unito: cosa è rischioso e cosa potrebbe farti finire in tribunale

Qualche mese fa, un collega del nostro team sales mi ha fatto una domanda che sento ripetere spesso: "Se estraggo i prezzi di un concorrente da un sito pubblico, posso davvero avere problemi?" Aveva trovato una directory di contatti di fornitori, prezzi allineati in righe ordinate, e tutto quello che voleva era un foglio di calcolo. Il dubbio era reale — e, sinceramente, comprensibile.

Nel Regno Unito non esiste una singola "legge sul web scraping". Al contrario, quattro quadri giuridici sovrapposti determinano se una specifica attività di scraping sia lecita. Per questo la risposta è sempre "dipende" — ma non deve essere paralizzante. In questa guida ti spiegherò cosa dice davvero la legge, come si applica a scenari reali, quali sono le sanzioni e come restare conformi.

Ho passato molto tempo a fare ricerche su questo tema per il nostro team di e voglio condividere ciò che ho scoperto, così non dovrai ricostruire tutto leggendo cinque blog di studi legali diversi e un thread su Reddit.

Che cos’è il Web Scraping (e perché le aziende del Regno Unito lo usano)

Il web scraping consiste nell’usare software per raccogliere automaticamente dati dai siti web, sostituendo il noioso processo di copiare e incollare le pagine in un foglio di calcolo.

La tecnica in sé è neutrale. Non è intrinsecamente legale, né intrinsecamente illegale. Ciò che conta è cosa estrai, come lo estrai e cosa fai poi con quei dati.

Le aziende del Regno Unito usano lo scraping per ogni genere di finalità legittime:

• Confronto prezzi: PriceSpy UK, per esempio, usando il web scraping automatizzato.
• Generazione di lead: team sales che estraggono nomi azienda, email e numeri di telefono da directory pubbliche.
• Ricerche di mercato: analisti che monitorano annunci immobiliari, portali di lavoro o assortimenti di prodotti dei concorrenti.
• Ricerca accademica: l’Office for National Statistics ha raccolto oltre dai siti dei supermercati tra il 2014 e il 2015.
• Addestramento di modelli AI: un caso d’uso in forte crescita — e giuridicamente ancora poco definito.

La tendenza è chiara. Un sondaggio su 500 decision-maker (di cui 200 nel Regno Unito) ha rilevato che considera i dati web pubblici cruciali o molto importanti per l’economia globale, e il li reperisce almeno ogni giorno.

Eppure il ha anche dichiarato che l’assenza di una regolamentazione chiara preoccupa la propria organizzazione. È proprio questa ansia il motivo per cui esiste questo articolo.

Il Web Scraping è legale nel Regno Unito? La risposta diretta

Nessuna legge britannica vieta in assoluto il web scraping. Tuttavia, diverse norme regolano il modo in cui può essere fatto, e la legalità di ogni progetto specifico dipende da quattro fattori:

1. Quali dati stai estraendo (dati personali vs. dati fattuali/non personali)
2. Come vi accedi (pagina pubblica vs. aggiramento di login o CAPTCHA)
3. Cosa dicono i termini del sito (vietano l’accesso automatizzato?)
4. Come usi i dati dopo (analisi interna vs. rivendita commerciale)

L’analogia migliore che ho trovato: il web scraping è come fotografare in uno spazio pubblico. Scattare una foto in pubblico non è automaticamente illegale — ma certi soggetti, luoghi, metodi e usi creano rischio legale. Lo scraping è simile. Il fatto che qualcosa sia pubblico conta, ma non basta a raccontare tutta la storia.

La recente consultazione dell’ICO sul GenAI è una delle dichiarazioni ufficiali britanniche più chiare sui dati personali estratti dal web. L’autorità ha affermato che i legitimate interests restano la per addestrare modelli di AI generativa utilizzando dati personali raccolti tramite web scraping — ma solo se lo sviluppatore supera un severo test in tre parti. È una soglia alta, e mostra quanto seriamente i regolatori britannici trattino i dati estratti dal web.

Le quattro leggi del Regno Unito che si applicano al Web Scraping

Quattro lenti sovrapposte: qualsiasi progetto di scraping può attivarne una, due o tutte e quattro.

UK GDPR e Data Protection Act 2018

Se estrai dati personali — nomi, email, numeri di telefono, indirizzi IP, profili social — si applica il UK GDPR. "Disponibile pubblicamente" non significa "libero da usare".

I dati personali visibili pubblicamente restano dati personali.

La base giuridica più rilevante per lo scraping commerciale è i legitimate interests (articolo 6) — ma non basta citarli. Devi:

• Identificare uno scopo specifico e legittimo
• Dimostrare che il trattamento è necessario per quello scopo
• Bilanciare il tuo interesse con i diritti degli individui di cui raccogli i dati

La risposta dell’ICO sulla consultazione GenAI è particolarmente esplicita: gli sviluppatori non dovrebbero presumere che un generico beneficio sociale sia sufficiente, dovrebbero dimostrare perché alternative allo scraping non siano adatte e dovrebbero usare meccanismi di trasparenza che permettano alle persone di comprendere ed esercitare i propri diritti. Fonte: .

Per la lead generation B2B vale la stessa logica. Un team sales può fare affidamento sui legitimate interests per raccogliere contatti aziendali pubblicamente elencati, ma deve comunque documentare l’interesse legittimo, minimizzare i campi raccolti, evitare dati di categoria speciale, fornire informazioni sulla privacy dove possibile e rispettare le richieste di opt-out.

Copyright, diritti sulle banche dati e l’eccezione TDM

Il copyright tutela i contenuti originali dei siti web: testi, immagini, descrizioni dei prodotti, articoli. I dati fattuali come i prezzi, presi singolarmente, sono di solito meno sensibili dal punto di vista del copyright — ma se copi e ripubblichi espressioni protette, entri nel terreno della violazione.

I diritti sulle banche dati contano più di quanto molti immaginino quando si parla di scraping. Dopo la Brexit, il Regno Unito ha mantenuto i diritti sui generis di tipo UE sulle banche dati, e l’estrazione di una "parte sostanziale" di una banca dati protetta — directory curate, cataloghi di prodotti, inserzioni di marketplace — può costituire violazione anche quando i singoli dati sono fattuali.

L’eccezione per Text and Data Mining (TDM) prevista dalla consente copie per analisi di testo e dati solo quando l’utente ha accesso legittimo e lo scopo è una ricerca non commerciale. È una previsione limitata. Lo scraping commerciale, l’addestramento commerciale di AI e la rivendita commerciale di dataset non rientrano in questa eccezione.

Il governo britannico ha valutato l’ipotesi di ampliare questa eccezione per l’addestramento AI ma, secondo il suo , ha deciso di non introdurre riforme finché non sarà certo che soddisfino gli obiettivi di creatori, sviluppatori AI ed economia del Regno Unito. Nello status quo, di norma serve un’autorizzazione per copiare opere protette ai fini dell’addestramento AI, salvo che si applichi un’eccezione già esistente.

Termini di servizio dei siti web e diritto contrattuale

La maggior parte dei siti ha Termini di servizio (ToS) che vietano o limitano lo scraping automatizzato. Accedere al sito può già significare accettare quei termini — soprattutto se passi da una schermata di accettazione (clickwrap). Gli accordi browsewrap (termini nascosti dietro un link nel footer) dipendono più dai fatti del caso, ma i tribunali britannici hanno mostrato disponibilità a far rispettare le restrizioni di scraping contenute nei ToS. Nella controversia , il tribunale ha considerato vincolanti i termini visibili del sito in un contesto di screen scraping.

robots.txt non è una legge. È un segnale leggibile dalle macchine inviato dal proprietario del sito. Un file tipico appare così:

1User-agent: *
2Disallow: /account/
3Disallow: /checkout/
4Disallow: /private/
5Crawl-delay: 10

Ignorare robots.txt non rende automaticamente illegale lo scraping, ma per i tribunali e per l’ICO è una prova dell’intenzione del proprietario del sito. Ignorarlo aumenta l’esposizione legale, soprattutto se si somma a una violazione dei ToS o a volumi di richieste aggressivi.

Computer Misuse Act 1990

Questa è la norma che tiene molte persone sveglie la notte — e per buone ragioni. Introduce reati penali. La Section 1 riguarda l’accesso non autorizzato a materiale informatico (pena massima ). La Section 3 riguarda atti non autorizzati che compromettono il funzionamento di un sistema informatico (pena massima ).

Il rischio legato al CMA è più basso quando i dati sono davvero pubblici e lo scraper non aggira barriere tecniche. Il rischio aumenta quando:

• aggiri login, CAPTCHA o blocchi IP
• usi credenziali rubate o crei account falsi
• invii volumi di traffico tali da compromettere il servizio bersaglio

Nel Regno Unito non esiste una regola pulita in stile USA del tipo "i dati pubblici sono gioco lecito". Per questo i consigli britannici sono più prudenti: l’accesso pubblico riduce sensibilmente il rischio CMA, ma i termini del sito, i controlli tecnici e la consapevolezza dello scraper delle restrizioni possono comunque essere rilevanti.

"Posso fare scraping legalmente?" — un rapido flusso decisionale

Prima di estrarre qualsiasi cosa, passa attraverso questi cinque punti decisionali. Non è consulenza legale — solo un triage del rischio da 60 secondi.

Vorrei che qualcuno me l’avesse dato quando ho iniziato a studiare la compliance dello scraping per il nostro team. Trasforma una complessità legale confusa in una valutazione strutturata che puoi fare in meno di un minuto.

Scenari reali: la tua specifica attività di scraping è legale nel Regno Unito?

Una cosa è la teoria. Quello che le persone vogliono davvero sapere è: "Il mio progetto specifico mi farà finire nei guai?"

Domanda legittima. Ecco cinque casi d’uso comuni nel Regno Unito con una mini valutazione del rischio legale per ciascuno.

Estrarre i prezzi dei prodotti per il confronto

Uno degli usi aziendali più comuni — e spesso tra i meno rischiosi. I prezzi sono dati fattuali, e la raccolta automatica dei prezzi è esattamente il modo in cui operano siti come PriceSpy.

Il rischio però non sparisce del tutto. Se il sito target vieta lo scraping nei ToS, se copi descrizioni o immagini dei prodotti, o se estrai una parte sostanziale di un database di prodotti curato, possono emergere problemi di contratto, copyright e diritti sulle banche dati.

Livello di rischio: BASSO–MEDIO
Passo chiave di compliance: raccogli solo campi di prezzo fattuali, evita di copiare alla lettera descrizioni di prodotto, rispetta ToS e robots.txt, usa rate limiting e non ripubblicare una copia speculare del catalogo del concorrente.

Estrarre e rivendere dati a fini commerciali

Lo scenario commerciale a rischio più alto, senza mezzi termini. Stai trasformando l’investimento di dati di un’altra parte in un prodotto da vendere — e questo può coinvolgere tutti e quattro i pilastri giuridici contemporaneamente.

Livello di rischio: ALTO
Passo chiave di compliance: la revisione legale è essenziale. Valuta accordi di licenza con i proprietari dei dati. Se il prodotto include dati personali, aggiungi una valutazione d’impatto sulla protezione dei dati.

Estrarre contatti aziendali per la lead generation

Tutti i team sales con cui ho parlato fanno una qualche versione di questa attività: estrarre email, numeri di telefono e nomi aziendali da directory. Il problema? I dati di contatto aziendali includono spesso dati personali. L’email di un dipendente nominato è un dato personale, anche se è pubblicamente elencata.

Livello di rischio: MEDIO
Passo chiave di compliance: esegui una valutazione dei legitimate interests, raccogli solo dati di contatto aziendali (non della vita privata) quando possibile, documenta la base giuridica e offri una via di opt-out. Strumenti come possono ridurre il rischio di accesso in questo caso perché l’ opera nel browser dell’utente: accede solo a ciò che l’utente può già vedere, senza aggirare i controlli di accesso.

Analisi di dati per scopi accademici o di portfolio

Se stai facendo una ricerca davvero non commerciale, hai il percorso di eccezione copyright più solido: la Section 29A CDPA, a patto di avere accesso legittimo.

Livello di rischio: BASSO (se davvero non commerciale)
Passo chiave di compliance: documenta lo scopo non commerciale, cita le fonti, anonimizza o aggrega quando possibile ed evita di ridistribuire contenuti protetti da copyright o dati personali.

Estrarre contenuti per l’addestramento di modelli AI

È la domanda che tutti fanno nel 2026 — e la risposta resta insoddisfacente. L’ICO considera i dati personali raccolti dal web per l’addestramento come trattamento invisibile ad alto rischio. Il rapporto del governo britannico del 2026 non ha introdotto una vasta eccezione commerciale TDM.

Livello di rischio: MEDIO–ALTO
Passo chiave di compliance: licenze, provenienza del dataset, analisi copyright, filtraggio dei dati personali, documentazione della base giuridica e monitoraggio ravvicinato dei cambiamenti normativi nel Regno Unito.

Tabella riassuntiva degli scenari

Regno Unito vs USA vs UE: come cambia la legge sul Web Scraping

Se operi solo nel Regno Unito, puoi saltare questa sezione. Ma la maggior parte delle aziende con cui parlo fa scraping a livello internazionale — o almeno su siti ospitati in altre giurisdizioni. Le differenze contano più di quanto si pensi.

Il takeaway pratico: se fai scraping in più giurisdizioni, conformati alla legge più rigorosa applicabile. Gli USA sono più permissivi sull’accesso ai dati pubblici sotto hiQ, ma hiQ non è un lasciapassare generale (alla fine è stato vietato a hiQ di fare scraping di LinkedIn e ha pagato 500K$). L’UE ha un’architettura TDM più ampia attraverso la DSM Directive. Il Regno Unito si colloca nel mezzo: nessuna ampia eccezione commerciale TDM, forti diritti sulle banche dati e un regolatore molto attivo.

Sanzioni e enforcement: cosa succede davvero se vieni scoperto

Avvertimenti vaghi su "multe" e "problemi legali" non aiutano nessuno. Ecco i numeri reali.

Multe UK GDPR

Sanzione massima: , a seconda di quale importo sia maggiore.

Esempio reale: Clearview AI è stata multata di dall’ICO nel 2022 per aver estratto immagini facciali dai social media del Regno Unito. Il First-tier Tribunal ha annullato la decisione per motivi di giurisdizione, ma l’ ha accolto l’appello dell’ICO e rinviato il caso. L’ICO ha osservato che Clearview aveva a dicembre 2025.

Sanzioni penali del Computer Misuse Act

• Section 1 (accesso non autorizzato): fino a
• Section 3 (compromissione non autorizzata): fino a

L’azione penale per il normale scraping di pagine pubbliche è estremamente rara.

Il profilo di rischio cambia drasticamente quando il comportamento assomiglia a hacking, uso improprio di credenziali, aggiramento di CAPTCHA o compromissione del servizio.

Copyright e diritti sulle banche dati

Danni civili più inibitoria. Sono possibili sanzioni penali per violazione commerciale dolosa, ma la maggior parte delle controversie di scraping procede come causa civile.

Violazione contrattuale (ToS)

Danni civili, chiusura dell’account, blocco IP. Di solito è la forma di enforcement pratica più comune — e spesso la prima a scattare.

Sintesi della severità delle sanzioni

Come lo strumento di scraping giusto riduce il rischio legale

Lo strumento che scegli non rende lecita un’estrazione illecita. Ma può eliminare i rischi evitabili.

Per esperienza, la differenza tra uno strumento che rispetta i segnali del sito e uno che aggira tutto in modo aggressivo è spesso la differenza tra un normale progetto dati e un problema legale.

Rispetto di robots.txt e dei segnali del sito

Uno strumento responsabile dovrebbe rendere facile verificare e rispettare robots.txt prima di fare scraping. Anche se non è legalmente vincolante, il rispetto di robots.txt è considerato da tribunali e ICO come prova di buona fede. La di Thunderbit consiglia agli utenti di estrarre dati pubblicamente disponibili e di rispettare robots.txt e i termini del sito.

Opzioni di scraping da browser vs cloud

Questa distinzione conta dal punto di vista legale. Lo scraping da browser accede solo a ciò che l’utente può vedere nella propria sessione autenticata — in pratica automatizza ciò che faresti manualmente. Lo scraping cloud invia richieste dai server, è più veloce per i siti pubblici ma può sembrare più simile a un "accesso automatizzato" dal punto di vista del sito.

offre entrambe le modalità. Lo scraping da browser è adatto ai siti che richiedono login, riducendo il rischio di "accesso non autorizzato" ai sensi del CMA, mentre lo scraping cloud funziona bene per pagine ecommerce pubbliche in cui la velocità è importante. Questo approccio doppio consente agli utenti di allineare il metodo di scraping al profilo di rischio legale di ciascun sito.

Nessun aggiramento dei controlli di accesso

Uno strumento che funziona nel browser e non forza CAPTCHA o schermate di login è intrinsecamente meno rischioso ai sensi del Computer Misuse Act. L’estensione Chrome di Thunderbit opera all’interno della sessione browser dell’utente: accede solo a ciò che l’utente può già vedere.

Esportazione trasparente dei dati (a supporto della compliance GDPR)

Thunderbit esporta direttamente in Excel, Google Sheets, Airtable o Notion. L’utente controlla dove vanno i dati. Questo supporta la trasparenza e la documentazione della base giuridica previste dal GDPR: sai esattamente quali dati hai raccolto e dove sono finiti. Nessun trattamento nascosto o conservazione dei dati da parte dello strumento.

Rate limiting e accesso responsabile

Volumi di richieste aggressivi possono attivare la Section 3 del CMA (compromissione non autorizzata). Il rate limiting non è solo una best practice tecnica — è una tutela legale. Gli strumenti responsabili evitano di sovraccaricare i server, riducendo sia il rischio legale sia la possibilità di vedere il proprio IP bloccato.

Una checklist pratica di compliance per il Web Scraping nel Regno Unito

Passa in rassegna questi punti prima di estrarre qualsiasi cosa:

1. Leggi i Termini di servizio e la Politica di uso accettabile del sito target.
2. Controlla il file robots.txt e documenta se i percorsi rilevanti sono disallowed.
3. Stabilisci se i dati che vuoi sono dati personali. Se sì, identifica la tua base giuridica secondo il UK GDPR.
4. Valuta se stai estraendo una "parte sostanziale" di una banca dati.
5. Conferma di non star aggirando controlli tecnici di accesso (CAPTCHA, login, limiti di frequenza).
6. Se il tuo scopo è una ricerca non commerciale, documentalo per beneficiare dell’eccezione TDM.
7. Usa il rate limiting. Non sovraccaricare il server bersaglio.
8. Documenta tutto: base giuridica, revisione dei ToS, campi raccolti, destinazioni di export, periodo di conservazione.
9. In caso di dubbio, chiedi un parere legale a un solicitor specializzato in protezione dei dati e IP.

Questa checklist non sostituisce il parere di un legale, ma ti offre una solida struttura di partenza e dimostra buona fede se dovessero sorgere domande.

Punti chiave da ricordare

• Il web scraping non è illegale nel Regno Unito, ma è regolato da quattro quadri giuridici sovrapposti: UK GDPR, copyright/diritti sulle banche dati, diritto contrattuale e Computer Misuse Act.
• La legalità di ogni scraping dipende da cosa estrai, come vi accedi, cosa dicono i termini del sito e cosa fai con i dati.
• Lo scraping di dati personali comporta il carico di compliance più elevato. I legitimate interests sono di solito l’unica base giuridica praticabile e richiedono un test di bilanciamento documentato.
• Nel Regno Unito non esiste una vasta eccezione commerciale TDM. L’addestramento AI commerciale e la rivendita di dataset sono attività ad alto rischio senza licenza.
• Usa il flusso decisionale e la tabella degli scenari qui sopra per valutare la tua situazione specifica prima di iniziare.
• Scegli strumenti allineati alle best practice di compliance: accesso da browser, nessun aggiramento dei CAPTCHA, export trasparente dei dati e rate limiting. è progettato con questi principi in mente — ma la responsabilità della compliance resta sempre dell’utente.
• In caso di dubbio, documenta il tuo ragionamento e parla con un solicitor. Il costo di un parere legale è quasi sempre inferiore al costo di un’indagine dell’ICO.

FAQ

È legale fare scraping di dati pubblicamente disponibili nel Regno Unito?

In generale sì — estrarre dati pubblici è meno rischioso che estrarre dati protetti da login o privati. Ma "pubblicamente disponibile" non significa "libero da usare come vuoi". Il UK GDPR può ancora applicarsi ai dati personali pubblici, il copyright può riguardare espressioni copiate, i diritti sulle banche dati possono proteggere raccolte curate e i ToS possono limitare l’accesso automatizzato.

Posso estrarre email e numeri di telefono dai siti britannici?

Se i dati sono dati personali (e di solito email e numeri di telefono lo sono), ti serve una base giuridica ai sensi del UK GDPR. I legitimate interests sono la base più comune per la lead generation B2B, ma devi eseguire un test di bilanciamento, minimizzare i dati raccolti e offrire un’opzione di opt-out. Estrarre contatti della vita privata (numeri mobili, email personali) è molto più rischioso rispetto ai riferimenti presenti in directory aziendali.

Qual è la differenza tra web scraping e web crawling secondo la legge britannica?

Dal punto di vista legale, non c’è una distinzione significativa: la legge guarda al comportamento, non all’etichetta. Il crawling di solito significa scoprire o indicizzare pagine; lo scraping di solito significa estrarre dati strutturati. Entrambi comportano accesso automatizzato ai siti web e sono soggetti agli stessi quadri normativi.

robots.txt rende illegale lo scraping?

No. robots.txt non è vincolante giuridicamente. Tuttavia, ignorarlo aumenta l’esposizione legale perché tribunali e ICO lo considerano una prova dell’intenzione del proprietario del sito. Se ignori robots.txt e i ToS del sito vietano anche lo scraping, stai accumulando fattori di rischio — ed è una posizione molto più difficile da difendere.

Posso essere perseguito penalmente per web scraping nel Regno Unito?

Solo se aggiri controlli di accesso (CAPTCHA, login, blocchi IP) o causi danni a un sistema informatico ai sensi del . Lo scraping ordinario di dati davvero pubblici, a volumi ragionevoli e senza elusione tecnica, difficilmente porta a accuse penali. Il profilo di rischio cambia drasticamente quando il comportamento assomiglia a hacking o a una deliberata compromissione del servizio.

Scopri di più