Webbskrapning i Storbritannien: Vad som är riskabelt – och vad som kan leda till stämning

För några månader sedan ställde en kollega i vårt säljteam mig en fråga jag har hört dussintals gånger: ”Om jag skrapar konkurrenters priser från en offentlig webbplats, kan jag faktiskt råka illa ut?” Han hade hittat en katalog med leverantörskontakter, priser snyggt uppradade i kolumner, och allt han ville ha var ett kalkylblad. Tvekan var verklig — och ärligt talat befogad.

Storbritannien har ingen enda ”lag om webbskrapning”. I stället är det fyra överlappande rättsliga ramverk som avgör om en viss skrapningsaktivitet är laglig. Därför är svaret nästan alltid ”det beror på” — men det behöver inte vara lamslående. I den här guiden går jag igenom vad lagen faktiskt säger, hur den tillämpas i verkliga scenarier, hur påföljderna kan se ut och hur du håller dig inom regelverket.

Jag har lagt mycket tid på att undersöka det här för vårt team på , och jag vill dela med mig av det jag hittat så att du slipper pussla ihop det från fem olika advokatbloggar och en Reddit-tråd.

Vad är webbskrapning (och varför använder brittiska företag det)?

Webbskrapning är att använda programvara för att automatiskt samla in data från webbplatser — och ersätta det tidskrävande arbetet med att kopiera och klistra in från webbsidor till ett kalkylblad.

Tekniken i sig är neutral. I sig är den varken laglig eller olaglig. Det som spelar roll är vad du skrapar, hur du skrapar det och vad du gör med datan efteråt.

Brittiska företag använder webbskrapning för en rad legitima ändamål:

• Prisjämförelse: PriceSpy UK, till exempel, med automatiserad webbskrapning.
• Leadgenerering: Säljteam som hämtar företagsnamn, e-postadresser och telefonnummer från offentliga kataloger.
• Marknadsundersökning: Analytiker som bevakar bostadsannonser, platsannonser eller konkurrenters produktsortiment.
• Akademisk forskning: Office for National Statistics samlade in över från stormarknaders webbplatser mellan 2014 och 2015.
• Träning av AI-modeller: Ett snabbt växande — och juridiskt osäkert — användningsområde.

Trenden är tydlig. En undersökning från bland 500 beslutsfattare (inklusive 200 i Storbritannien) visade att såg offentliga webdata som avgörande eller mycket viktiga för den globala ekonomin, och hämtade dem minst dagligen.

Samtidigt sade också att bristen på tydlig reglering oroade deras organisation. Det är just den oron som gör att den här artikeln finns.

Är webbskrapning lagligt i Storbritannien? Det raka svaret

Ingen brittisk lag förbjuder webbskrapning generellt. Däremot reglerar flera lagar hur det får göras, och lagligheten i ett visst projekt beror på fyra faktorer:

1. Vilken data du skrapar (personuppgifter kontra faktabaserad/icke-personlig data)
2. Hur du får åtkomst (offentlig sida kontra att kringgå inloggningsväggar eller CAPTCHAs)
3. Vad webbplatsens villkor säger (förbjuder de automatiserad åtkomst?)
4. Hur du använder datan efteråt (intern analys kontra kommersiell vidareförsäljning)

Den bästa liknelsen jag har hittat: webbskrapning är som att fotografera på en offentlig plats. Att ta en bild på en offentlig plats är inte automatiskt olagligt — men vissa motiv, platser, metoder och användningar skapar juridisk risk. Skrapning är liknande. Att något är offentligt tillgängligt är relevant, men det är inte hela bilden.

ICO:s senaste samråd om generativ AI är ett av de tydligaste officiella brittiska ställningstagandena om skrapade personuppgifter. Där slås fast att legitima intressen är den för att träna generativa AI-modeller med webbskrapade personuppgifter — men bara om utvecklaren klarar ett strikt test i tre delar. Det är en hög ribba, och det visar hur seriöst brittiska tillsynsmyndigheter ser på skrapad data.

De fyra brittiska lagar som gäller för webbskrapning

Fyra överlappande perspektiv — ett skrapningsprojekt kan trigga en, två eller alla fyra.

UK GDPR och Data Protection Act 2018

Skrapar du personuppgifter — namn, e-postadresser, telefonnummer, IP-adresser, profiler i sociala medier — då gäller UK GDPR. ”Offentligt tillgängligt” betyder inte ”fritt att använda”.

Personuppgifter som är synliga offentligt är fortfarande personuppgifter.

Den mest relevanta lagliga grunden för kommersiell skrapning är legitima intressen (artikel 6) — men du kan inte bara vifta bort allt med den formuleringen. Du måste:

• Identifiera ett specifikt och legitimt syfte
• Visa att behandlingen är nödvändig för det syftet
• Väga ditt intresse mot de berörda individernas rättigheter

ICO:s svar i samrådet om generativ AI är särskilt tydligt: utvecklare ska inte anta att bred samhällsnytta räcker, de ska visa varför alternativ till skrapning inte fungerar och de ska använda transparensmekanismer som gör det möjligt för individer att förstå och utöva sina rättigheter. Källa: .

Samma logik gäller för B2B-leadgenerering. Ett säljteam kan luta sig mot legitima intressen för att samla in offentligt listade kontaktuppgifter för företag, men man måste ändå dokumentera det legitima intresset, minimera vilka fält som samlas in, undvika särskilda kategorier av data, lämna integritetsinformation där det är möjligt och respektera opt-outs.

Upphovsrätt, databasrättigheter och TDM-undantaget

Upphovsrätt skyddar webbplatsens originalinnehåll: text, bilder, produktbeskrivningar, artiklar. Faktiska datapunkter som priser är normalt mindre känsliga ur upphovsrättsperspektiv i sig — men kopierar och publicerar du skyddat uttryck hamnar du i intrångsområdet.

Databasrättigheter är viktigare för webbskrapning än många inser. Storbritannien behöll EU-liknande sui generis-databasrättigheter efter Brexit, och att extrahera en ”väsentlig del” av en skyddad databas — kuraterade kataloger, produktkataloger, marknadsplatslistor — kan innebära intrång även när enskilda datapunkter är faktabaserade.

Text- och datautvinningsundantaget (TDM) enligt tillåter kopior för text- och dataanalys endast när användaren har laglig åtkomst och syftet är icke-kommersiell forskning. Det här är snävt. Kommersiell skrapning, kommersiell AI-träning och kommersiell vidareförsäljning av dataset omfattas inte.

Den brittiska regeringen övervägde att bredda undantaget för AI-träning men beslutade, enligt sin , att inte införa reformer förrän man är säker på att de uppfyller målen för skapare, AI-utvecklare och den brittiska ekonomin. I nuläget krävs normalt tillstånd för att kopiera skyddade verk för AI-träning om inget befintligt undantag gäller.

Webbplatsens användarvillkor och avtalsrätt

De flesta webbplatser har användarvillkor som förbjuder eller begränsar automatiserad skrapning. Besöker du webbplatsen kan du redan ha godkänt villkoren — särskilt om du klickar dig igenom en godkännandesida (clickwrap). Browsewrap-avtal (villkor bakom en länk i sidfoten) är mer beroende av omständigheterna, men brittiska domstolar har visat vilja att upprätthålla villkor som begränsar skrapning. I tvisten behandlade domstolen synliga webbplatsvillkor som bindande i ett sammanhang med screen scraping.

robots.txt är ingen lag. Det är en maskinläsbar signal från webbplatsägaren. En typisk fil ser ut så här:

1User-agent: *
2Disallow: /account/
3Disallow: /checkout/
4Disallow: /private/
5Crawl-delay: 10

Att ignorera robots.txt gör inte automatiskt skrapning olaglig, men domstolar och ICO ser det som bevis på webbplatsägarens avsikt. Att ignorera den ökar din juridiska exponering, särskilt om det kombineras med brott mot användarvillkor eller aggressiva begärandemängder.

Computer Misuse Act 1990

Det här är den lag som håller många vakna om nätterna — och med goda skäl. Den innehåller straffrättsliga brott. Section 1 gäller obehörig åtkomst till datormaterial (maximalt ). Section 3 gäller obehöriga handlingar som försämrar datorsystemets funktion (maximalt ).

Risken enligt CMA är lägst när datan verkligen är offentlig och skraparen inte kringgår tekniska hinder. Risken ökar när du:

• Kringgår inloggningsväggar, CAPTCHAs eller IP-blockeringar
• Använder stulna uppgifter eller skapar falska konton
• Skickar trafikvolymer som försämrar tjänstens funktion

Storbritannien har inte någon tydlig amerikansk regel av typen ”offentliga data är fritt fram”. Det gör brittiska råd mer försiktiga: offentlig åtkomst minskar risken enligt CMA avsevärt, men webbplatsvillkor, tekniska kontroller och skraparens kännedom om begränsningar kan fortfarande spela roll.

”Kan jag lagligt skrapa det här?” — ett snabbt beslutsträd

Innan du skrapar något, gå igenom de här fem beslutsstegen. Inte juridisk rådgivning — bara en risktriage på 60 sekunder.

Usch, jag önskar att någon hade gett mig det här när jag först började undersöka efterlevnad av skrapning för vårt team. Det gör juridisk komplexitet till en strukturerad egenkontroll som du kan köra på under en minut.

Verkliga scenarier: Är just din skrapningsaktivitet laglig i Storbritannien?

Abstrakt lag är en sak. Det folk egentligen vill veta är: ”Kommer mitt projekt att ställa till det för mig?”

Rimligt. Här är fem vanliga användningsfall för webbskrapning i Storbritannien, med en kort juridisk riskbedömning för varje.

Skrapa produktpriser för jämförelse

Ett av de vanligaste — och ofta minst riskfyllda — affärsanvändningsfallen. Priser är faktadata, och automatiserad prisinsamling är så sajter som PriceSpy fungerar.

Risken försvinner dock inte helt. Om målsajten förbjuder skrapning i sina användarvillkor, om du kopierar produktbeskrivningar eller bilder, eller om du extraherar en väsentlig del av en kuraterad produktdatabas, kan frågor om avtal, upphovsrätt och databasrätt uppstå.

Risknivå: LÅG till MEDEL
Viktig efterlevnadsåtgärd: Samla endast in faktabaserade prisfält, undvik att kopiera produktbeskrivningar ordagrant, respektera användarvillkor och robots.txt, använd hastighetsbegränsning och publicera inte en rå kopia av konkurrentens katalog.

Skrapa och sälja data kommersiellt

Det mest riskfyllda kommersiella scenariot, utan tvekan. Du förvandlar någon annans datainvestering till en produkt som säljs — och det kan beröra alla fyra rättsliga pelare samtidigt.

Risknivå: HÖG
Viktig efterlevnadsåtgärd: Juridisk granskning är avgörande. Överväg licensavtal med datans ägare. Om produkten innehåller personuppgifter, lägg till en konsekvensbedömning enligt dataskyddsreglerna.

Extrahera kontaktuppgifter för företag för leadgenerering

Varje säljteam jag har pratat med gör någon variant av detta: skrapar e-postadresser, telefonnummer och företagsnamn från kataloger. Haken? Kontaktuppgifter för företag innehåller ofta personuppgifter. En namngiven anställds e-postadress är personuppgift, även om den är offentligt listad.

Risknivå: MEDEL
Viktig efterlevnadsåtgärd: Gör en Legitimate Interests Assessment, samla endast in kontaktuppgifter för verksamheten (inte privatlivet) där det går, dokumentera din lagliga grund och erbjud en opt-out-väg. Verktyg som kan minska åtkomstrisken här eftersom körs i användarens webbläsare — det hämtar bara det användaren redan kan se, utan att kringgå åtkomstkontroller.

Akademisk dataanalys eller analys för portfölj

Om du gör verkligt icke-kommersiell forskning har du den starkaste vägen via upphovsrättsundantaget: Section 29A CDPA, förutsatt att du har laglig åtkomst.

Risknivå: LÅG (om det verkligen är icke-kommersiellt)
Viktig efterlevnadsåtgärd: Dokumentera det icke-kommersiella syftet, ange källor, anonymisera eller aggregera där det går och undvik att vidarepublicera upphovsrättsskyddat innehåll eller personuppgifter.

Skrapa innehåll för träning av AI-modeller

Det här är frågan alla ställer 2026 — och svaret är fortfarande frustrerande otydligt. ICO ser webbskrapade personuppgifter för träning som riskfylld, osynlig behandling. Den brittiska regeringens rapport från 2026 införde inget brett kommersiellt TDM-undantag.

Risknivå: MEDEL till HÖG
Viktig efterlevnadsåtgärd: Licensiering, kontroll av datasetets ursprung, upphovsrättsanalys, filtrering av personuppgifter, dokumentation av laglig grund och noggrann bevakning av förändringar i brittisk politik.

Sammanfattande tabell för scenarier

Storbritannien vs. USA vs. EU: hur webbskrapningslagen skiljer sig åt

Om du bara verkar i Storbritannien kan du hoppa över det här avsnittet. Men de flesta företag jag pratar med skrapar internationellt — eller åtminstone webbplatser som finns i andra jurisdiktioner. Skillnaderna är viktigare än man tror.

Det praktiska budskapet: om du skrapar över jurisdiktioner, följ den strängaste tillämpliga lagen. USA är mer tillåtande när det gäller åtkomst till offentliga data enligt hiQ, men hiQ är inte ett generellt tillstånd att skrapa fritt (hiQ förbjöds till slut från att skrapa LinkedIn och betalade 500 000 dollar). EU har en bredare TDM-struktur genom DSM-direktivet. Storbritannien ligger någonstans däremellan — inget brett kommersiellt TDM-undantag, starka databasrättigheter och en aktiv tillsynsmyndighet.

Påföljder och tillsyn: vad som faktiskt händer om du åker dit

Vaga varningar om ”böter” och ”juridiska problem” hjälper ingen. Här är de faktiska siffrorna.

Böter enligt UK GDPR

Maxstraff: , beroende på vilket som är högst.

Verkligt exempel: Clearview AI fick i böter av ICO 2022 för att ha skrapat ansiktsbilder från brittiska sociala medier. First-tier Tribunal upphävde beslutet på jurisdiktionsgrunder, men tillät ICO:s överklagande och skickade tillbaka målet. ICO noterade att Clearview hade i december 2025.

Straff enligt Computer Misuse Act

• Section 1 (obehörig åtkomst): upp till
• Section 3 (obehörig försämring): upp till

Straffrättsliga åtal för vanlig skrapning av offentliga sidor är extremt ovanliga.

Riskbilden förändras dramatiskt när beteendet liknar hacking, missbruk av inloggningsuppgifter, CAPTCHA-kringgående eller störning av tjänsten.

Upphovsrätt och databasrättigheter

Skadestånd enligt civilrätt plus föreläggande. Straffrättsliga påföljder kan förekomma vid uppsåtligt kommersiellt intrång, men de flesta tvister om webbskrapning drivs som civilrättsliga mål.

Brott mot avtal (användarvillkor)

Skadestånd, kontostängning, IP-blockering. Detta är vanligtvis den vanligaste praktiska verkställighetsåtgärden — och ofta det första som händer.

Sammanfattning av påföljdsnivåer

Hur rätt skrapverktyg minskar din juridiska risk

Verktyget du väljer gör inte en olaglig skrapning laglig. Men det kan eliminera onödig risk.

Enligt min erfarenhet är skillnaden mellan ett verktyg som respekterar sajtens signaler och ett som aggressivt kringgår allt ofta skillnaden mellan ett vanligt dataprojekt och en juridisk huvudvärk.

Respekterar robots.txt och webbplatsens signaler

Ett ansvarsfullt verktyg bör göra det enkelt att kontrollera och respektera robots.txt innan skrapning. Även om den inte är juridiskt bindande behandlas efterlevnad av robots.txt av domstolar och ICO som bevis på god tro. Thunderbits råder användare att skrapa offentligt tillgänglig data och följa robots.txt och villkor.

Alternativ för skrapning i webbläsaren vs. i molnet

Den här skillnaden spelar juridiskt roll. Skrapning i webbläsaren kommer åt bara det användaren kan se i sin autentiserade session — i praktiken att automatisera det du annars skulle göra manuellt. Molnskrapning skickar begäranden från servrar, vilket är snabbare för offentliga sajter men kan se mer ut som ”automatiserad åtkomst” ur sajtens perspektiv.

erbjuder båda lägena. Skrapning i webbläsaren passar sajter som kräver inloggning (och minskar risken för ”obehörig åtkomst” enligt CMA), medan molnskrapning fungerar bra för offentligt tillgängliga e-handelsidor där hastighet är viktigt. Den här dubbla modellen låter användare anpassa skrapmetoden efter den juridiska riskprofilen för varje sajt.

Ingen kringgång av åtkomstkontroller

Ett verktyg som fungerar i webbläsaren och inte knäcker CAPTCHAs eller kringgår inloggningsväggar är i sig lägre risk enligt Computer Misuse Act. Thunderbits Chrome-tillägg körs inom användarens webbläsarsession — det hämtar bara det användaren redan kan se.

Transparent dataexport (stöd för GDPR-efterlevnad)

Thunderbit exporterar direkt till Excel, Google Sheets, Airtable eller Notion. Användaren styr vart datan går. Det här stödjer transparens enligt GDPR och dokumentation av laglig grund: du vet exakt vilken data du samlade in och vart den skickades. Ingen dold behandling eller datalagring av verktyget.

Hastighetsbegränsning och ansvarsfull åtkomst

Aggressiva begärandevolymer kan utlösa CMA Section 3 (obehörig försämring). Hastighetsbegränsning är inte bara en teknisk best practice — det är ett juridiskt skydd. Ansvarsfulla verktyg undviker att överbelasta servrar, vilket minskar både den juridiska risken och chansen att få din IP blockerad.

En praktisk checklista för efterlevnad vid webbskrapning i Storbritannien

Gå igenom det här innan du skrapar något:

1. Läs målsajtens användarvillkor och policy för acceptabel användning.
2. Kontrollera robots.txt-filen och dokumentera om relevanta sökvägar är förbjudna.
3. Avgör om datan du vill ha är personuppgifter. Om ja, identifiera din lagliga grund enligt UK GDPR.
4. Bedöm om du extraherar en ”väsentlig del” av en databas.
5. Bekräfta att du inte kringgår några tekniska åtkomstkontroller (CAPTCHAs, inloggningar, hastighetsgränser).
6. Om syftet är icke-kommersiell forskning, dokumentera detta för att kunna använda TDM-undantaget.
7. Använd hastighetsbegränsning. Överbelasta inte målservern.
8. Dokumentera allt: din lagliga grund, granskning av användarvillkor, vilka datafält som samlats in, exportdestinationer, lagringsperiod.
9. Om du är osäker, ta juridisk rådgivning från en solicitor som är specialiserad på dataskydd och immaterialrätt.

Den här checklistan ersätter inte en jurists bedömning — men den ger dig en stabil startpunkt och visar god tro om frågor skulle uppstå.

Viktiga slutsatser

• Webbskrapning är inte olagligt i Storbritannien — men det regleras av fyra överlappande rättsliga ramverk: UK GDPR, upphovsrätt/databasrättigheter, avtalsrätt och Computer Misuse Act.
• Lagligheten i en skrapning beror på vad du skrapar, hur du får åtkomst, vad webbplatsens villkor säger och vad du gör med datan.
• Skrapning av personuppgifter innebär den största efterlevnadsbördan. Legitima intressen är oftast den enda realistiska lagliga grunden, och den kräver en dokumenterad intresseavvägning.
• Storbritannien har inget brett kommersiellt TDM-undantag. Kommersiell AI-träning och vidareförsäljning av dataset är högrisk utan licens.
• Använd beslutsflödet och scenariotabellen ovan för att bedöma din specifika situation innan du börjar.
• Välj verktyg som ligger i linje med god efterlevnadspraxis: åtkomst i webbläsaren, ingen CAPTCHA-kringgång, transparent dataexport och hastighetsbegränsning. är byggt med de här principerna i åtanke — men efterlevnadsansvaret ligger alltid hos användaren.
• Om du är osäker, dokumentera ditt resonemang och prata med en solicitor. Kostnaden för ett juridiskt utlåtande är nästan alltid lägre än kostnaden för en ICO-utredning.

Vanliga frågor

Är det lagligt att skrapa offentligt tillgängliga data i Storbritannien?

Generellt, ja — skrapning av offentliga data är mindre riskfyllt än skrapning av skyddade eller privata data. Men ”offentligt tillgängligt” betyder inte ”fritt att använda som du vill”. UK GDPR kan fortfarande gälla för offentliga personuppgifter, upphovsrätt kan gälla för kopierat uttryck, databasrättigheter kan skydda kuraterade samlingar och användarvillkor kan begränsa automatiserad åtkomst.

Kan jag skrapa e-postadresser och telefonnummer från brittiska webbplatser?

Om datan är personuppgifter (vilket e-postadresser och telefonnummer oftast är) behöver du en laglig grund enligt UK GDPR. Legitima intressen är den vanligaste grunden för B2B-leadgenerering, men du måste göra en intresseavvägning, minimera den data du samlar in och erbjuda en opt-out-väg. Skrapning av kontaktuppgifter för privatlivet (mobilnummer, privata e-postadresser) är betydligt mer riskfyllt än listningar i företagskataloger.

Vad är skillnaden mellan webbskrapning och webbcrawling enligt brittisk lag?

Juridiskt finns ingen meningsfull skillnad — lagen bryr sig om beteendet, inte etiketten. Crawling betyder vanligtvis att upptäcka eller indexera sidor; skrapning betyder vanligtvis att extrahera strukturerad data. Båda innebär automatiserad åtkomst till webbplatser och omfattas av samma rättsliga ramverk.

Gör robots.txt skrapning olagligt?

Nej. robots.txt är inte juridiskt bindande. Men att ignorera den ökar din juridiska exponering eftersom domstolar och ICO ser den som bevis på webbplatsägarens avsikt. Om du ignorerar robots.txt och sajtens användarvillkor dessutom förbjuder skrapning, staplar du riskfaktorer — och det är en mycket svårare position att försvara.

Kan jag bli straffrättsligt åtalad för webbskrapning i Storbritannien?

Endast om du kringgår åtkomstkontroller (CAPTCHAs, inloggningar, IP-blockeringar) eller orsakar skada på ett datorsystem enligt . Vanlig skrapning av verkligt offentliga data, i rimliga volymer och utan teknisk kringgång, leder extremt sällan till straffrättsliga åtal. Riskbilden förändras dramatiskt när beteendet liknar hacking eller avsiktlig störning av tjänsten.

Läs mer