日本でのウェブスクレイピングは合法？知っておくべきすべての法律

日本のウェブスクレイピングを規律する法律は5つあります。しかも、そのどれにも実際には「ウェブスクレイピング」という言葉は出てきません。

日本で自分のスクレイピング案件が合法かどうかを調べようとしたことがあるなら、曖昧なフォーラム投稿、AI学習に偏った記事、食い違う助言の壁にぶつかったことがあるはずです。私は数週間かけて、日本の公式法令、政府ガイダンス、執行データ、法的解説を掘り下げ、できるだけ分かりやすい英語のガイドをまとめました。

楽天の競合価格を監視する場合でも、不動産データを取得して市場分析する場合でも、B2Bの見込み客リストを作る場合でも、この記事では関係するすべての法律を、実用的な表、実例、そしてデータ取得を始める前に使える10項目のコンプライアンスチェックリストとともに解説します。

「日本でのウェブスクレイピングは合法」とは、実際には何を意味するのか？

ウェブスクレイピングとは、ソフトウェアを使ってWebサイトから自動的にデータを取得することですが、日本にはそれだけを直接対象にした単独の法律はありません。「スクレイピングは合法」とも「スクレイピングは違法」とも、どの法令にも明記されていません。案件が適法かどうかは、何を取得するのか、どのようにアクセスするのか、そして取得後にそのデータをどう使うのかの3点で決まります。

法的な土台となるのは次の5つの法令です。

この記事の残りでは、それぞれの法律を実例とリスク評価とともに分かりやすく整理します。すぐに実務ポイントだけ知りたい方は、へ進んでください。

日本の著作権法と第30条の4：情報解析の例外

日本の著作権法は、記事、写真、商品説明、創造的な配列を持つデータベース構造などの創作物を保護します。スクレイパーがWebページをダウンロードすると、法的にはに基づく「複製」に当たります。これは著作者の専有的な複製権です。

しかし、日本で際立っているのはここです。

2018年、日本は大幅な改正を行い（2019年1月1日施行）、を新設しました。これにより、ほとんどの分析目的のウェブスクレイピングが許容される、柔軟な著作権の例外が設けられました。はこれを、データ分析とAI開発に関して世界でも有数の寛容な制度の一つだと位置づけています。

英語圏の記事の多くは、第30条の4をAI学習だけに関係するものとして説明しますが、それでは狭すぎます。この条文は明確に「情報解析」――データの抽出、比較、分類、その他の統計的分析――を対象にしています。つまり、ビジネス向けスクレイパーが日常的に行っていることそのものです。

第30条の4は実際に何を定めているのか（平易な英語で）

第30条の4は、著作物に表された思想または感情を「自己又は他人において享受することを目的としない場合」に、その著作物の利用を認めます。実務上は、次の2条件を満たす必要があります。

1. 「享受」テスト。 創作的な内容を消費したり再公開したりするのではなく、価格、日付、面積、在庫数のような事実データを抽出しているなら、適法側に立ちます。でも、非享受利用にはデータ分析、分類、インデックス作成が含まれるとされています。

2. 「不当に害する」テスト。 スクレイピングが元の著作物の代替になったり、著作権者の市場を食い荒らしたりしてはいけません。たとえば、購入を避けるために有料の分析用データセットをスクレイピングする場合、たとえ目的が分析であってもこの条件を満たさない可能性があります。

第30条の4における現実のスクレイピング事例

ここで実務の話になります。この条文はAI学習をはるかに超えて適用されます。

もう一つの論点として、第47条の5は、コンピュータによる情報処理に付随する「軽微利用」をより限定的に保護します。検索結果における短い断片やサムネイルのようなものをイメージするとよいでしょう。これはスクレイピングの主たる安全地帯ではありませんが、検索や分析サービスに必要な準備的複製を支えることがあります。では、「軽微」かどうかを、割合、量、表示の正確さで判断しています。

要するに、創作表現を再公開するのではなく、分析のために事実を抽出するのであれば、日本の著作権制度は味方です。

日本の不正アクセス禁止法（UCAL）：スクレイピングが一線を越えるとき

この法律を英語圏のスクレイピング記事で説明しているものはほとんどありません。しかし、日本法ではおそらく最も重要な明確線です。

（不正アクセス行為の禁止等に関する法律、1999年法律第128号）は、米国CFAAに相当する日本の実務上の法律です。認証手段によって保護されたコンピュータへの無権限アクセスを犯罪とします。の罰則は、3年以下の拘禁刑または100万円以下の罰金に及ぶことがあります。

UCALは、公開Webページのスクレイピングを禁止しません。この法律が問題になるのは、ログイン画面、パスワード、アクセス・トークンなどの認証を迂回または回避したときだけです。この違いがすべてです。

典型的なスクレイピング場面におけるUCALのリスクレベル

警察庁はし、前年から8.1%増加しました。そのうち511件（90.8%）は他人の識別符号の無断使用でした。執行の焦点は圧倒的に認証情報の不正使用であり、通常の公開スクレイピングではありません。

UCALと米国CFAAの違い

UCALは、実質的にCFAAより狭い法律です。焦点はあくまで認証の回避にあり、CFAAの「認可を超えるアクセス」という文言は、米国の裁判所で何十年も争われてきました。米連邦最高裁の以降、Webサイトの利用規約に違反しただけでは、CFAA上の刑事責任に直結する可能性は低くなっています。日本でも似た実務的な結論になります。利用規約違反は契約問題であって、独立したアクセス制御の回避がない限り、UCAL上の刑事問題ではありません。

APPI 2022年改正：個人データについてスクレイパーが知っておくべきこと

日本の（APPI）は、日本の主要なデータ保護法です。そしてによって、ルールはかなり厳格になりました。日本のWebサイトから氏名、メールアドレス、電話番号、あるいは生存する個人を識別できるあらゆるデータをスクレイピングするなら、APPIが適用されます。

実務上の疑問は、どの時点でスクレイピングがAPPI対応を必要とするのか、ということです。

APPI上の「個人情報」とは何か

APPIは、個人情報を、他の情報と容易に照合することができる場合も含め、特定の生存する個人を識別できるデータと定義しています。では、firstname.lastname@company.jp のような業務用メールアドレスでも、特定の人物を識別できるなら個人情報になり得ること、またCookie IDも、識別を可能にする他のデータと組み合わされれば個人情報になることが確認されています。

2022年改正では、新たに**「個人関連情報」**という区分が導入されました。これは、単独では個人を直接識別できないが、他の情報と組み合わせると識別可能になりうるデータです（Cookie ID、閲覧履歴、購買履歴など）。スクレイピングで重要なのは、スクレイパーには匿名に見えるデータでも、受け手側でCRMや広告技術データと統合すると識別可能になる場合がある、という点です。

越境移転の制限

日本国外から日本のWebサイトをスクレイピングし、個人データを収集する場合、そのデータを海外へ移転する前に、APPIに基づく検討が必要です。では、主に3つのルートが示されています。受領者がPPC指定の同等国にいる場合、受領者が同等の保護措置を整備している場合、または第27条第1項の例外が適用される場合です。

米国、EU、シンガポールの企業が日本のサイトから個人データをスクレイピングし、日本国外に保存するなら、APPIの越境移転分析が必要です。これは国際チームがよく見落とすポイントです。

オプトアウト型第三者提供（第27条）

フォーラムで最もよく見る質問は、「日本のサイトからスクレイピングしたデータを共有したり売ったりしたらどうなるのか？」です。

APPIは、原則として第三者提供に本人の事前同意を求めます。形式的なオプトアウト制度もありますが、への届出、本人への通知、そして第三者提供を止められる仕組みが必要です。2022年改正でこの制度はさらに狭くなり、不正に取得された個人データや、他の事業者からオプトアウト提供で受けた個人データには使えなくなりました。

によれば、2021年10月以降に受理されたオプトアウト届出は合計405件で、そのうち2024年度は93件でした。制度はありますが、気軽に使うものではなく、正式な手続きです。

どのような場合にスクレイピングはAPPIに当たらないのか

生存する個人を識別できないデータにはAPPIは適用されません。APPIリスクが比較的低い項目には、次のようなものがあります。

• 商品価格、SKU、在庫数、送料
• 営業時間や一般的な会社の連絡先（info@company.jp など）
• 物件価格、面積、築年数、駅からの距離。ただし名義人や担当者名と結びつかない場合
• 個別対応関係を排除した集計済みの市場統計

実務上、注目すべき設計上の工夫があります。のAI項目提案機能を使えば、抽出するデータ列をユーザーが正確に指定できます。必要なビジネス事実だけに絞り、個人データ項目を意図的に除外できるため、APPIリスクを偶然ではなく設計で下げられます。

不正競争防止法（UCPA）：競合データのスクレイピング

スクレイピングが公開情報から機密の事業情報や制限付きデータセットへ移るとき、が問題になります。

UCPAでは、営業秘密を、(1)秘密として管理され、(2)事業に有用で、(3)公然と知られていない情報と定義しています。は、これを営業秘密保護の3要件として要約しています。

公開Webサイトの情報――商品価格、店舗所在地、求人情報、商品カタログ――は、通常、秘密でも公知でない情報でもないため、営業秘密ではありません。したがって、これらをスクレイピングしても通常はUCPA違反にはなりません。

どんなときにUCPAがスクレイピングに適用されうるか

2018年のUCPA改正では、**「限定アクセス共有データ」**への保護が追加されました。これは、相当程度蓄積され、電子的に管理され、特定の者に対して反復継続的に提供される技術情報または営業情報を指します。ただしUCPAは、無償で公表された情報と実質的に同一のデータを除外します。したがって、無料の公開商品一覧と、会員限定の商用データセットは別物です。

サーバー過負荷と日本の刑法：サイトを落とさないこと

データ自体を集めることは、まったく合法である場合があります。しかし、どのようにスクレイピングするかによっては、刑事リスクが生じます。日本のには、Webサイトや業務システムの運用を自動アクセスが妨害した場合に適用される業務妨害関連の規定があります。

日本のスクレイピング論議は、最終的に岡崎市立中央図書館事件（約2010年）に行き着きます。あるソフトウェアエンジニアが、図書館サイトから新刊情報を収集するクローラーを作成し、2週間で約33,000回の自動アクセスを発生させました。図書館のサーバーは利用しにくい状態になり、警察は業務妨害の疑いで利用者を逮捕しました。この事件は実体判断で終結したわけではありませんが、データ自体が公開情報であっても、サーバーへの影響が重要であることを強く示す事例として残っています。

サイト運営者が対応を強める理由については、で、2024年のWebトラフィックの51%が自動ボットで、そのうち悪性ボットが37%だったとされています。でも、全Webトラフィックの42%がボットで、特にECへの影響が大きいと示されました。

サーバー過負荷を避けるには

• robots.txtを尊重する（法令ではありませんが、運営者の意思を示す証拠になります）
• リクエスト間隔を空け、同時接続数を抑える
• 対象サイトのピーク時間を避ける
• エラー、ブロック、レート制限応答が出たら停止または減速する
• 同じURLに何度もアクセスせず、取得済みページをキャッシュする

Thunderbitのクラウドスクレイピング機能は、複数サーバーにリクエストを分散するため、自然に負荷が分散され、単一の対象サーバーを圧迫するリスクが下がります。法的な免罪符ではありませんが、責任あるスクレイピングに沿った実務的な設計です。

利用規約違反：刑事リスクではなく契約リスク

日本のWebサイトの多くには、スクレイピングや自動データ収集を禁止する利用規約があります。日本法では、利用規約違反は契約上の問題であり、刑事犯罪ではありません。

では、Webサイトの規約は、取引契約に適切に組み込まれていれば拘束力を持つと説明されています。「同意する」をクリックしなければならないクリックラップ型の合意は最も強力です。一方、目立たないフッターリンクの中に埋もれた規約は弱いです。

利用規約違反だけで日本の刑事責任に引き上げられると示す信頼できる権威は見つかりませんでした。実務上は、利用規約違反は民事上の契約リスク（損害賠償、差止め）を生み得ますが、刑事上のリスクには通常、独立した要素――UCALによるアクセス制御回避、刑法による業務妨害、または著作権侵害――が必要です。

私の助言はシンプルです。日本のWebサイトをスクレイピングする前に、必ず利用規約を確認してください。スクレイピングを明示的に禁止しているなら、API、データ提携、あるいは同じ情報を得る別の手段を探しましょう。

日本と米国とEU：ウェブスクレイピング法の比較

米国法やEU法の背景をお持ちなら、この表が感覚をつかむ助けになります。日本の制度は、ある分野ではより寛容で、別の分野ではより厳格です。

比較から見える重要ポイント

日本の第30条の4は、米国のフェアユースやEUのTDM例外より広く、著作権の観点では日本を分析目的のスクレイピングにかなり寛容な国の一つにしています。UCALは認証回避にだけ焦点を当てるため、CFAAより狭いです。APPIの越境移転ルールは、分断された米国のプライバシー制度より厳格ですが、運用の細部ではGDPRほど細かく規定していない面もあります。

国際チームにとっては、公開されている日本のデータを分析目的でスクレイピングする自由度は、思っているより高いかもしれません。複雑さが集中するのは個人データの扱いです。とりわけ、越境移転と第三者提供です。

日本のWebサイトをスクレイピングするための10項目コンプライアンスチェックリスト

日本のWebサイトをスクレイピングし始める前に、次の10の質問を順に確認してください。それぞれが上記の5つの法令のいずれかに対応しています。

1. データは一般公開されていますか？（ログイン不要、ペイウォールなし、アクセス制御の迂回なし）→ はいなら、UCALリスクは低いです。
2. Webサイトの利用規約でスクレイピングは禁止されていますか？ → はいなら、契約リスクを評価し、別のデータソースを検討してください。
3. APPIで定義される個人情報を収集しますか？（氏名、メール、電話番号、IDなど）→ はいなら、APPIへの対応が必要です。
4. スクレイピングした個人データを日本国外へ移転しますか？ → はいなら、APPI第28条の越境移転ルールに従ってください。
5. スクレイピングデータを第三者と共有または販売する予定ですか？ → はいなら、APPI第27条のオプトアウト手続きに従うか、同意を取得してください。
6. そのデータは著作権で保護されていますか？ → 情報解析のためのスクレイピング（創作表現の再公開ではない）であれば、第30条の4が適用される可能性が高いです。
7. スクレイピングの行為が元の著作物の代替になりますか？ → はいなら、第30条の4の保護は適用されない可能性が高いです。
8. 認証、CAPTCHA、アクセス制御を迂回していますか？ → はいならUCALリスクは高いので、法的助言なしに進めないでください。
9. スクレイピング量がサーバー過負荷のリスクを生みますか？ → はいなら、リクエストを抑制し、間隔を空け、分散スクレイピングを使ってください。
10. 対象データは会社によって営業秘密として管理されていますか？ → 非公開の専有データであれば、UCPAが適用される可能性があります。

すべての答えが、公開・事実ベース・非個人情報・レート制限対応・再公開なしの分析を指すなら、かなり良い状態です。どこか一つでも赤信号があれば、開始前に法的レビューが必要です。

Thunderbitが日本のWebサイトを適法にスクレイピングするのをどう支援するか

先にお伝えしておくと、Thunderbitはツールであり、法的助言ではありません。ただし、ここで説明したコンプライアンス原則に沿うように設計されています。

• AI項目提案：ThunderbitのAIがページを読み取り、抽出すべきデータ列を正確に提案します。これにより、必要な非個人データ項目だけを意図的に定義でき、不要な個人データ収集を偶発ではなく設計で減らせます。
• クラウドスクレイピング：複数サーバーにリクエストを分散し、単一の日本のサーバーに負荷が集中するリスクを自然に下げます。（組み込みのレート制限配慮機能と考えてください。）
• 無料のメール・電話番号抽出：日本のWebサイトから連絡先情報を収集する必要がある場合、とでワンクリック抽出できます。ただし、上記のAPPIガイダンスと必ず組み合わせてください。個人データの取得には、コンプライアンス義務の理解が必要です。
• Excel、Google Sheets、Airtable、Notionへエクスポート：スクレイピングデータを構造化し、すぐに分析用として出力できます。これは第30条の4が保護する「情報解析」という目的を支えます。
• メンテナンス不要：ThunderbitのAIは毎回サイトを新しく読み取り、レイアウト変更に適応します。つまり、壊れたスクレイパーが失敗リクエストを繰り返してサーバーを叩き続けることがなく、岡崎図書館事件のようなサーバー負荷問題を避ける実務的な手段になります。

実際のThunderbitの使い方を知りたい方は、またはをご覧ください。から無料で試せます。

実践ユースケースの例

日本でのウェブスクレイピングの適法性に関する重要ポイント

日本では、ウェブスクレイピングは多くの場合合法です。特に、公開されている非個人の事実データを分析目的でスクレイピングする場合はそうです。ただし、「多くの場合」は「すべての場合」ではありません。

• 著作権法（第30条の4）: 公開データの分析目的スクレイピングは認められます。創作表現の再公開は認められません。
• UCAL: 認証やアクセス制御を迂回しないでください。
• APPI: 個人データは慎重に扱い、特に越境移転と第三者提供に注意してください。
• UCPA: 公開データは通常営業秘密ではありませんが、制限付きまたは有料データはリスクが高いです。
• 刑法: サーバーを落とさないでください。

スクレイピング案件を始める前に、10項目のチェックリストを使ってください。迷う場合は、特に個人データやアクセス制限付きコンテンツを扱う案件では、法律専門家に相談してください。

日本のWebサイトを適法にスクレイピングし始める準備ができているなら、は非技術者でも扱いやすいように設計されています。抽出項目を定義し、データを取得し、使いたいツールに出力して、分析に集中できます。

よくある質問

日本の公開Webサイトをスクレイピングするのは合法ですか？

一般的にははいです。情報解析のために公開データをスクレイピングすることは、サーバーを過負荷にしない、アクセス制御を迂回しない、APPIに従わずに個人データを取得しない、著作権で保護された表現を再公開しない限り、日本の著作権法第30条の4の下で通常は合法です。違いを生むのは目的です。再公開ではなく、分析であることが重要です。

日本のWebサイトから個人データ（メールアドレス、電話番号）をスクレイピングできますか？

できますが、APPIが適用されます。適法な目的が必要で、データの利用方法を明示し、越境移転や第三者提供に制限があります。2022年改正でこれらのルールはかなり厳格化され、特に日本国外へ出るデータや他社と共有するデータが対象です。

日本のWebサイトの利用規約でスクレイピングが禁止されていたらどうなりますか？

利用規約違反は契約上の問題であり（損害賠償や差止めの可能性はある）、刑事犯罪ではありません。ただし、より広い法的請求の根拠になったり、執行リスクを高めたりすることはあります。スクレイピング前には必ず利用規約を読み、代替手段で同じデータが得られないか検討してください。

ログイン壁の向こう側をスクレイピングするのは日本で合法ですか？

自分の認証情報を使う場合はグレーです。UCALが直接適用されない可能性はありますが、利用規約違反と契約リスクは残ります。認証を迂回する、他人の認証情報を使う、アクセス制御を回避する行為は、不正アクセス禁止法違反として刑事罰の対象となる可能性が高く、3年以下の拘禁刑または100万円以下の罰金が科されることがあります。

日本のWebサイトからスクレイピングしたデータを販売できますか？

データに個人情報が含まれる場合、APPI第27条のオプトアウト型第三者提供の手続きを守る必要があります。これには正式なPPC届出、本人通知、オプトアウト機構が必要です。適切な手続きなしに個人データを販売するのはコンプライアンス違反です。個人情報を含まない事実ベースの集計であればAPPIリスクは低いですが、著作権、UCPA、利用規約、そしては依然として適用されます。

さらに詳しく知る