Webscraping in het VK: wat riskant is en waardoor je aangeklaagd kunt worden

Een paar maanden geleden stelde een collega van ons salesteam me een vraag die ik al tientallen keren had gehoord: "Als ik concurrerende prijzen van een openbare website scrape, kan ik daar echt problemen mee krijgen?" Hij had een bedrijvengids gevonden met leverancierscontacten en prijzen netjes in kolommen, en alles wat hij wilde was een spreadsheet. Die twijfel was echt — en eerlijk gezegd ook terecht.

Het VK heeft geen één enkele "webscrapingwet". In plaats daarvan bepalen vier overlappende juridische kaders of een specifieke scrapingactiviteit rechtmatig is. Daarom is het antwoord altijd "dat hangt ervan af" — maar dat hoeft niet verlammend te zijn. In deze gids loop ik door wat de wet daadwerkelijk zegt, hoe die op praktijksituaties wordt toegepast, hoe de sancties eruitzien en hoe je compliant blijft.

Ik heb hier voor ons team bij veel onderzoek naar gedaan, en ik wil delen wat ik heb gevonden, zodat jij het niet uit vijf verschillende advocatenblogs en een Reddit-draadje hoeft bij elkaar te zoeken.

Wat is webscraping (en waarom Britse bedrijven het gebruiken)

Webscraping is het gebruik van software om automatisch gegevens van websites te verzamelen — in plaats van het tijdrovende werk om content van webpagina’s naar een spreadsheet te kopiëren en plakken.

De techniek zelf is neutraal. Niet per se legaal, niet per se illegaal. Het gaat erom wat je scrape, hoe je het doet en wat je daarna met de data doet.

Britse bedrijven gebruiken scraping voor allerlei legitieme doeleinden:

• Prijsvergelijking: PriceSpy UK werkt bijvoorbeeld met geautomatiseerde webscraping en .
• Leadgeneratie: salesteams die bedrijfsnamen, e-mails en telefoonnummers uit openbare gidsen halen.
• Marktonderzoek: analisten die woningaanbod, vacaturebanken of productassortimenten van concurrenten volgen.
• Academisch onderzoek: het Office for National Statistics verzamelde tussen 2014 en 2015 meer dan van supermarktw websites.
• Training van AI-modellen: een snelgroeiende — en juridisch nog onduidelijke — toepassing.

De trend is duidelijk. Een onder 500 besluitvormers (waaronder 200 in het VK) liet zien dat openbare webdata zag als cruciaal of zeer belangrijk voor de wereldeconomie, en deze minstens dagelijks gebruikte.

Toch zei ook dat het gebrek aan duidelijke regels hun organisatie zorgen baarde. Precies daarom bestaat dit artikel.

Is webscraping legaal in het VK? Het directe antwoord

Geen enkele Britse wet verbiedt webscraping in het algemeen. Maar meerdere wetten reguleren wel hoe het mag worden gedaan, en de rechtmatigheid van een specifiek project hangt af van vier factoren:

1. Welke gegevens je scrape (persoonsgegevens vs. feitelijke/niet-persoonsgegevens)
2. Hoe je erbij komt (open pagina vs. inlogmuren of CAPTCHA’s omzeilen)
3. Wat de voorwaarden van de website zeggen (verbieden ze geautomatiseerde toegang?)
4. Hoe je de gegevens daarna gebruikt (interne analyse vs. commerciële doorverkoop)

De beste vergelijking die ik heb gevonden: webscraping is als fotograferen in een openbare ruimte. In het openbaar een foto maken is niet automatisch illegaal — maar bepaalde onderwerpen, locaties, methoden en toepassingen creëren juridisch risico. Scraping werkt vergelijkbaar. Openbaarheid is relevant, maar niet het hele verhaal.

De recente GenAI-consultatie van de ICO is een van de duidelijkste officiële Britse standpunten over gescrapete persoonsgegevens. Daarin staat dat gerechtvaardigde belangen de blijven voor het trainen van generatieve AI-modellen met webgescrapete persoonsgegevens — maar alleen als de ontwikkelaar een strikte test in drie delen doorstaat. Dat is een hoge drempel en laat zien hoe serieus Britse toezichthouders met gescrapete data omgaan.

De vier Britse wetten die op webscraping van toepassing zijn

Vier overlappende kaders — elk scrapingproject kan één, twee of alle vier activeren.

UK GDPR en de Data Protection Act 2018

Scrape je persoonsgegevens — namen, e-mails, telefoonnummers, IP-adressen, socialmediaprofielen — dan is de UK GDPR van toepassing. "Publiek zichtbaar" betekent niet "vrij te gebruiken".

Publiek zichtbare persoonsgegevens zijn nog steeds persoonsgegevens.

De meest relevante rechtmatige grondslag voor commerciële scraping is gerechtvaardigde belangen (artikel 6) — maar je kunt daar niet zomaar mee zwaaien. Je moet:

• Een specifiek, legitiem doel vaststellen
• Aantonen dat de verwerking noodzakelijk is voor dat doel
• Jouw belang afwegen tegen de rechten van de betrokkenen van wie je gegevens verzamelt

De reactie van de ICO op de GenAI-consultatie is extra scherp: ontwikkelaars moeten niet aannemen dat een breed maatschappelijk voordeel genoeg is, moeten onderbouwen waarom alternatieven voor scraping ongeschikt zijn, en moeten transparantiemechanismen gebruiken waarmee mensen hun rechten kunnen begrijpen en uitoefenen. Bron: .

Voor B2B-leadgeneratie geldt dezelfde logica. Een salesteam kan zich op gerechtvaardigde belangen baseren voor het verzamelen van openbaar vermelde zakelijke contactgegevens, maar moet nog steeds het gerechtvaardigd belang documenteren, de verzamelde velden minimaliseren, bijzondere persoonsgegevens vermijden, waar mogelijk privacy-informatie bieden en afmeldverzoeken respecteren.

Auteursrecht, databankrechten en de TDM-uitzondering

Auteursrecht beschermt originele websitecontent: tekst, afbeeldingen, productbeschrijvingen, artikelen. Feitelijke gegevens zoals prijzen zijn op zichzelf meestal minder gevoelig onder het auteursrecht — maar kopieer en publiceer je beschermde uitdrukkingsvormen opnieuw, dan kom je in inbreukgebied.

Databankrechten zijn belangrijker voor scraping dan de meeste mensen beseffen. Het VK heeft na Brexit de EU-achtige sui generis databankrechten behouden, en het extraheren van een "substantieel deel" van een beschermde databank — samengestelde directories, productcatalogi, marktplaatsvermeldingen — kan inbreuk opleveren, zelfs wanneer de afzonderlijke datapunten feitelijk zijn.

De Text and Data Mining (TDM)-uitzondering onder staat kopieën toe voor tekst- en data-analyse alleen wanneer de gebruiker rechtmatige toegang heeft en het doel niet-commercieel onderzoek is. Dit is smal. Commerciële scraping, commerciële AI-training en commerciële doorverkoop van datasets vallen hier niet onder.

De Britse overheid heeft overwogen deze uitzondering te verruimen voor AI-training, maar heeft in haar besloten geen hervormingen in te voeren totdat men zeker weet dat ze aan de doelen voor makers, AI-ontwikkelaars en de Britse economie voldoen. Onder de huidige stand van zaken is toestemming meestal nodig om beschermde werken voor AI-training te kopiëren, tenzij een bestaande uitzondering van toepassing is.

Algemene voorwaarden van websites en contractenrecht

De meeste websites hebben Terms of Service (ToS) die geautomatiseerd scrapen verbieden of beperken. Open je de site, dan kun je daar mogelijk al mee instemmen — vooral als je een acceptatiescherm aanklikt (clickwrap). Browsewrap-overeenkomsten (voorwaarden achter een footerlink) zijn feitelijk gevoeliger, maar Britse rechters hebben laten zien ToS-beperkingen op scraping te willen handhaven. In het geschil beschouwde de rechtbank zichtbare websitevoorwaarden als bindend in een context van screen scraping.

robots.txt is geen wet. Het is een machineleesbaar signaal van de eigenaar van de site. Een typisch bestand ziet er zo uit:

1User-agent: *
2Disallow: /account/
3Disallow: /checkout/
4Disallow: /private/
5Crawl-delay: 10

robots.txt negeren maakt scraping niet automatisch illegaal, maar rechters en de ICO zien het als bewijs van de intentie van de website-eigenaar. Het negeren ervan vergroot je juridische risico, zeker in combinatie met schending van ToS of agressieve aantallen verzoeken.

De Computer Misuse Act 1990

Deze wet houdt mensen wakker — en niet zonder reden. Ze creëert strafbare feiten. Section 1 gaat over onbevoegde toegang tot computermateriaal (maximaal ). Section 3 gaat over onbevoegde handelingen die de werking van een computersysteem schaden (maximaal ).

Het CMA-risico is het laagst wanneer data echt openbaar is en de scraper geen technische barrières omzeilt. Het risico stijgt wanneer je:

• Inlogmuren, CAPTCHA’s of IP-blokkades omzeilt
• Gestolen inloggegevens gebruikt of nepaccounts aanmaakt
• Verkeersvolumes verstuurt die de doelservice verstoren

Het VK heeft geen nette, VS-achtige regel ontwikkeld dat "openbare data fair game is". Daardoor is Brits advies voorzichtiger: openbare toegang verlaagt het CMA-risico aanzienlijk, maar websitevoorwaarden, technische maatregelen en de kennis van de scraper over beperkingen kunnen nog steeds relevant zijn.

"Kan ik dit legaal scrapen?" — een snelle beslisflowchart

Loop deze vijf beslispunten door vóór je iets scrape. Geen juridisch advies — gewoon een risico-inschatting in 60 seconden.

Pff, ik had gewild dat iemand me dit had gegeven toen ik voor het eerst begon met het onderzoeken van scraping-compliance voor ons team. Het maakt van juridische complexiteit een gestructureerde zelfcheck die je in minder dan een minuut kunt uitvoeren.

Praktijksituaties: is jouw specifieke scrapingactiviteit legaal in het VK?

Abstracte wetgeving is één ding. Wat mensen echt willen weten: "Kom ik met mijn specifieke project in de problemen?"

Terecht. Hier zijn vijf veelvoorkomende scrapingtoepassingen in het VK, met voor elk een korte juridische risico-inschatting.

Productprijzen scrapen voor vergelijking

Een van de meest voorkomende — en vaak minst risicovolle — zakelijke toepassingen. Prijzen zijn feitelijke gegevens, en geautomatiseerde prijsverzameling is hoe sites zoals PriceSpy werken.

Maar het risico verdwijnt niet volledig. Als de doelsite scraping verbiedt in de ToS, als je productbeschrijvingen of afbeeldingen kopieert, of als je een substantieel deel van een samengestelde productdatabase extraheert, kunnen contract-, auteursrecht- en databankrechtkwesties ontstaan.

Risiconiveau: LAAG tot GEMIDDELD
Belangrijkste compliance-stap: verzamel alleen feitelijke prijsvelden, kopieer productbeschrijvingen niet letterlijk, respecteer ToS en robots.txt, gebruik rate limiting en publiceer geen kale spiegel van de catalogus van de concurrent.

Data scrapen en commercieel doorverkopen

Het commerciële scenario met het hoogste risico, zonder twijfel. Je verandert de data-investering van een andere partij in een product dat je verkoopt — en dat kan alle vier juridische pijlers tegelijk raken.

Risiconiveau: HOOG
Belangrijkste compliance-stap: juridische review is essentieel. Overweeg licentieovereenkomsten met de data-eigenaar. Bevat het product persoonsgegevens, voeg dan een data protection impact assessment toe.

Zakelijke contactgegevens extraheren voor leadgeneratie

Elk salesteam waarmee ik heb gesproken doet hier een vorm van: e-mails, telefoonnummers en bedrijfsnamen uit gidsen scrapen. De valkuil? Zakelijke contactgegevens bevatten vaak persoonsgegevens. Een e-mailadres van een genoemde werknemer is persoonsgegevens, ook al staat het openbaar vermeld.

Risiconiveau: GEMIDDELD
Belangrijkste compliance-stap: voer een Legitimate Interests Assessment uit, verzamel waar mogelijk alleen zakelijke (niet-privé) contactgegevens, documenteer je rechtmatige grondslag en bied een afmeldoptie. Tools zoals kunnen het toegangsrisico hier verminderen, omdat de in de browser van de gebruiker werkt — ze opent alleen wat de gebruiker al kan zien, zonder toegangscontroles te omzeilen.

Academische of portfolio-data-analyse

Doe je echt niet-commercieel onderzoek, dan heb je de sterkste auteursrechtelijke uitzonderingsroute: Section 29A CDPA, mits je rechtmatige toegang hebt.

Risiconiveau: LAAG (als het echt niet-commercieel is)
Belangrijkste compliance-stap: documenteer het niet-commerciële doel, vermeld bronnen, anonimiseer of aggregeer waar mogelijk en herdistribueer geen auteursrechtelijk beschermde content of persoonsgegevens.

Content scrapen voor training van AI-modellen

Dit is de vraag die iedereen in 2026 stelt — en het antwoord is nog steeds onbevredigend. De ICO beschouwt webgescrapete persoonsgegevens voor training als risicovolle, onzichtbare verwerking. Het Britse overheidsrapport uit 2026 heeft geen brede commerciële TDM-uitzondering ingevoerd.

Risiconiveau: GEMIDDELD tot HOOG
Belangrijkste compliance-stap: licenties, herkomst van datasets, auteursrechtanalyse, filtering van persoonsgegevens, documentatie van de rechtmatige grondslag en nauwlettende monitoring van wijzigingen in Brits beleid.

Samenvattingstabel van scenario’s

VK vs. VS vs. EU: hoe webscrapingwetgeving verschilt

Als je alleen in het VK actief bent, kun je dit stuk overslaan. Maar de meeste bedrijven met wie ik praat scrapen internationaal — of in elk geval websites die in andere rechtsgebieden gehost worden. De verschillen zijn groter dan je zou denken.

De praktische les: als je over meerdere rechtsgebieden scrapt, houd je dan aan de strengst toepasselijke wet. De VS is soepeler rond toegang tot openbare data onder hiQ, maar hiQ is geen algemene vrijbrief (hiQ mocht uiteindelijk LinkedIn niet meer scrapen en betaalde $500K). De EU heeft via de DSM-richtlijn een ruimere TDM-structuur. Het VK zit daar tussenin: geen brede commerciële TDM-uitzondering, sterke databankrechten en een actieve toezichthouder.

Sancties en handhaving: wat gebeurt er echt als je gepakt wordt

Vage waarschuwingen over "boetes" en "juridische problemen" helpen niemand. Hier zijn de echte bedragen.

Boetes onder de UK GDPR

Maximale sanctie: , afhankelijk van welk bedrag hoger is.

Praktijkvoorbeeld: Clearview AI kreeg in 2022 van de ICO een boete van voor het scrapen van gezichtsafbeeldingen van Britse social media. Het First-tier Tribunal vernietigde de zaak op bevoegdheidsgronden, maar het gaf de ICO gelijk in hoger beroep en verwees de zaak terug. Volgens de ICO had Clearview in december 2025 .

Strafrechtelijke sancties onder de Computer Misuse Act

• Section 1 (onbevoegde toegang): tot
• Section 3 (onbevoegde verstoring): tot

Strafrechtelijke vervolging voor het scrapen van gewone openbare pagina’s is extreem zeldzaam.

Het risicoprofiel verandert drastisch wanneer het gedrag lijkt op hacken, misbruik van inloggegevens, CAPTCHA-bypass of verstoring van de dienst.

Auteursrecht en databankrechten

Civiele schadevergoeding plus een verbodsom of injunction. Strafrechtelijke sancties zijn mogelijk bij opzettelijke commerciële inbreuk, maar de meeste scrapinggeschillen worden civiel behandeld.

Contractbreuk (ToS)

Civiele schadevergoeding, beëindiging van accounts, IP-blokkering. Dit is meestal de meest voorkomende handhavingsactie in de praktijk — en vaak ook het eerste wat gebeurt.

Samenvatting van sanctiezwaarte

Hoe de juiste scrapingtool je juridische risico verlaagt

De tool die je kiest maakt een onrechtmatige scrape niet ineens rechtmatig. Maar hij kan vermijdbaar risico wel wegnemen.

In mijn ervaring is het verschil tussen een tool die sitesignalen respecteert en een tool die alles agressief omzeilt vaak het verschil tussen een routine dataproject en juridisch gedoe.

Respect voor robots.txt en sitesignalen

Een verantwoordelijke tool zou het gemakkelijk moeten maken om robots.txt te controleren en te respecteren vóór je gaat scrapen. Hoewel niet juridisch bindend, zien rechters en de ICO naleving van robots.txt als bewijs van goede trouw. Thunderbit’s adviseert gebruikers om openbaar beschikbare data te scrapen en robots.txt en voorwaarden te respecteren.

Browser scraping versus cloud scraping

Dat onderscheid is juridisch belangrijk. Browser scraping opent alleen wat de gebruiker kan zien in zijn geauthenticeerde sessie — in feite het automatiseren van wat je anders handmatig zou doen. Cloud scraping verstuurt verzoeken vanaf servers, wat sneller is voor openbare sites maar vanuit het perspectief van de site meer lijkt op "geautomatiseerde toegang".

biedt beide modi. Browser scraping is geschikt voor sites waarvoor login nodig is (en verlaagt zo het risico op "onbevoegde toegang" onder de CMA), terwijl cloud scraping goed werkt voor openbaar beschikbare ecommercepagina’s waar snelheid belangrijk is. Met die dubbele aanpak kunnen gebruikers hun methode afstemmen op het juridische risicoprofiel van elke site.

Geen omzeiling van toegangscontroles

Een tool die binnen de browser werkt en geen CAPTCHA’s kraakt of inlogmuren omzeilt, heeft onder de Computer Misuse Act van nature een lager risico. Thunderbit’s Chrome-extensie werkt binnen de browsersessie van de gebruiker — en opent alleen wat de gebruiker al kan zien.

Transparante data-export (ondersteunt GDPR-compliance)

Thunderbit exporteert rechtstreeks naar Excel, Google Sheets, Airtable of Notion. De gebruiker bepaalt waar de data naartoe gaat. Dit ondersteunt GDPR-transparantie en documentatie van de rechtmatige grondslag: je weet precies welke data je hebt verzameld en waar die terecht is gekomen. Geen verborgen verwerking of dataretentie door de tool.

Rate limiting en verantwoord gebruik

Agressieve hoeveelheden verzoeken kunnen CMA Section 3 (onbevoegde verstoring) triggeren. Rate limiting is dus niet alleen een technische best practice — het is een juridische beveiliging. Verantwoorde tools vermijden dat servers worden overbelast, wat zowel het juridische risico als de kans op een IP-blokkade verlaagt.

Een praktische compliance-checklist voor webscraping in het VK

Loop dit na vóór je iets scrape:

1. Lees de Terms of Service en het Acceptable Use Policy van de doelwebsite.
2. Controleer het robots.txt-bestand en leg vast of relevante paden zijn verboden.
3. Bepaal of de data die je wilt persoonsgegevens zijn. Zo ja, bepaal je rechtmatige grondslag onder de UK GDPR.
4. Beoordeel of je een "substantieel deel" van een databank extraheert.
5. Controleer of je geen technische toegangscontroles omzeilt (CAPTCHA’s, logins, rate limits).
6. Als je doel niet-commercieel onderzoek is, documenteer dat om van de TDM-uitzondering te profiteren.
7. Gebruik rate limiting. Overbelast de doelserver niet.
8. Documenteer alles: je rechtmatige grondslag, review van de ToS, verzamelde gegevensvelden, exportbestemmingen en bewaartermijn.
9. Vraag bij twijfel juridisch advies aan een advocaat die gespecialiseerd is in gegevensbescherming en IE-recht.

Deze checklist vervangt geen juridisch advies, maar geeft je wel een sterk startkader en laat goede trouw zien als er ooit vragen ontstaan.

Belangrijkste conclusies

• Webscraping is niet illegaal in het VK — maar het wordt gereguleerd door vier overlappende juridische kaders: UK GDPR, auteursrecht/databankrechten, contractrecht en de Computer Misuse Act.
• De rechtmatigheid van elke scrape hangt af van wat je scrape, hoe je erbij komt, wat de websitevoorwaarden zeggen en wat je met de data doet.
• Scraping van persoonsgegevens brengt de zwaarste compliance-last met zich mee. Gerechtvaardigde belangen is meestal de enige werkbare rechtmatige grondslag en vereist een gedocumenteerde afweging.
• Het VK heeft geen brede commerciële TDM-uitzondering. Commerciële AI-training en doorverkoop van datasets zijn risicovol zonder licentie.
• Gebruik de beslisflowchart en scenariotabel hierboven om je specifieke situatie te beoordelen vóór je begint.
• Kies tools die aansluiten op goede compliancepraktijken: browsergebaseerde toegang, geen CAPTCHA-bypass, transparante data-export en rate limiting. is met deze principes in gedachten ontworpen — maar de verantwoordelijkheid voor compliance ligt altijd bij de gebruiker.
• Bij twijfel: documenteer je redenering en praat met een advocaat. De kosten van juridisch advies zijn bijna altijd lager dan de kosten van een ICO-onderzoek.

FAQ

Is het legaal om openbaar beschikbare data in het VK te scrapen?

Over het algemeen wel — het scrapen van openbare data is minder risicovol dan het scrapen van afgeschermde of privédata. Maar "openbaar beschikbaar" betekent niet "vrij te gebruiken zoals je wilt". De UK GDPR kan nog steeds van toepassing zijn op openbare persoonsgegevens, auteursrecht kan gelden voor gekopieerde uitdrukkingsvormen, databankrechten kunnen samengestelde collecties beschermen en ToS kunnen geautomatiseerde toegang beperken.

Kan ik e-mails en telefoonnummers van Britse websites scrapen?

Als de data persoonsgegevens zijn (wat e-mails en telefoonnummers doorgaans zijn), heb je onder de UK GDPR een rechtmatige grondslag nodig. Gerechtvaardigde belangen is de meest gebruikelijke basis voor B2B-leadgeneratie, maar je moet een afweging maken, zo min mogelijk data verzamelen en een afmeldoptie bieden. Het scrapen van privécontactgegevens (mobiele nummers, privé-e-mails) is veel risicovoller dan vermeldingen in zakelijke gidsen.

Wat is het verschil tussen webscraping en webcrawling onder Brits recht?

Juridisch is er geen betekenisvol verschil — de wet kijkt naar het gedrag, niet naar het label. Crawling betekent meestal pagina’s ontdekken of indexeren; scraping betekent meestal gestructureerde data extraheren. Beide gaan om geautomatiseerde toegang tot websites en vallen onder dezelfde juridische kaders.

Maakt robots.txt scraping illegaal?

Nee. robots.txt is juridisch niet bindend. Het negeren ervan vergroot wel je juridische risico, omdat rechters en de ICO het zien als bewijs van de bedoeling van de website-eigenaar. Als je robots.txt negeert én de ToS van de site scraping verbieden, stapel je risicofactoren op — en dat is een veel lastiger positie om te verdedigen.

Kan ik strafrechtelijk vervolgd worden voor webscraping in het VK?

Alleen als je toegangscontroles omzeilt (CAPTCHA’s, logins, IP-blokkades) of schade veroorzaakt aan een computersysteem onder de . Gewoon scrapen van echt openbare data, in redelijke volumes en zonder technische omzeiling, leidt extreem zelden tot strafrechtelijke vervolging. Het risicoprofiel verandert drastisch wanneer het gedrag lijkt op hacken of opzettelijke verstoring van de dienst.

Meer weten