¿Cuándo es legal el web scraping? Cuatro preguntas, cuatro respuestas distintas

¿Es legal el web scraping?

Ninguna ley por sí sola hace legal o ilegal el web scraping, así que la pregunta se parte en cuatro que responden de forma independiente cuerpos normativos distintos: el derecho de acceso a sistemas informáticos, el derecho contractual, los derechos de autor y los derechos sobre bases de datos, y el derecho de protección de datos cuando los registros describen a una persona. Cada uno tiene su propio detonante y su propio remedio, así que un scrape supera la primera pregunta y pierde la segunda. Responda las cuatro para su objetivo antes de escribir el cliente.

Esta página describe decisiones de tribunales y reguladores identificados por su nombre, con fechas. No es asesoramiento legal.

Última verificación: 8 de septiembre de 2026

¿Qué decidió hiQ Labs v. LinkedIn sobre la CFAA?

El Ninth Circuit confirmó una medida cautelar que impedía a LinkedIn bloquear los scrapers de hiQ, porque hiQ había planteado dudas serias sobre si LinkedIn podía invocar la CFAA siquiera. La sentencia es hiQ Labs, Inc. v. LinkedIn Corp., No. 17-16783, redactada por la Judge Berzon y presentada el 18 de abril de 2022 tras la devolución del Supreme Court. El tribunal razonó que la cláusula "without authorization" (sin autorización) de la CFAA quizá no alcance a un sitio que no exige autorización alguna a sus visitantes y luego rechaza un bot concreto por carta.

Revise la fase procesal antes de citarla. Una medida cautelar confirmada bajo la sliding scale solo pregunta si el demandante planteó dudas serias mientras el balance de perjuicios se inclinaba claramente a su favor, y no decide nada sobre el fondo.

¿Qué cambió Van Buren en "exceeds authorized access"?

El Supreme Court sostuvo que una persona "exceeds authorized access" (excede el acceso autorizado) bajo la CFAA solo al tomar información de zonas de un ordenador que le están vedadas, no información que sí podía alcanzar y usó con un fin prohibido. Van Buren v. United States, No. 19-783 se decidió el 3 de junio de 2021, seis contra tres, con voto de la Justice Barrett. El tribunal planteó ambas cláusulas de la CFAA como una "gates-up-or-down inquiry" (un examen de si la puerta está abierta o cerrada) y rechazó la lectura del gobierno porque impondría penas criminales a "a breathtaking amount of commonplace computer activity." (una cantidad asombrosa de actividad informática corriente).

Una distinción limita hasta dónde ayuda Van Buren a quien hace scraping: interpretó "exceeds authorized access" en 18 U.S.C. 1030(e)(6), que cubre a un usuario ya dentro con credenciales. Hacer scraping de una página sin sesión iniciada activa la otra cláusula, "without authorization", que según el tribunal de hiQ Van Buren no abordó directamente.

¿Puede un scrape ser legal bajo la CFAA e incumplir aun así los términos de servicio?

Sí, y hiQ lo prueba: la demandante que ganó el punto de la CFAA perdió el punto contractual en el mismo caso. El Judge Edward M. Chen, del Northern District of California, resolvió en summary judgment el caso 17-cv-03301-EMC el 27 de octubre de 2022, publicado el 4 de noviembre de 2022. Concluyó que "the relevant language of the User Agreement unambiguously prohibits hiQ's scraping and unauthorized use of the scraped data," (el texto pertinente del User Agreement prohíbe sin ambigüedad el scraping de hiQ y el uso no autorizado de los datos extraídos) y que hiQ lo incumplió al hacer scraping y a través de contratistas que crearon identidades falsas. Dio la razón a LinkedIn sobre las identidades falsas y reservó para juicio el incumplimiento por scraping, porque las defensas de renuncia y estoppel de hiQ planteaban hechos controvertidos. Un consent judgment presentado el 8 de diciembre de 2022 fijó $500.000 contra hiQ más una medida cautelar permanente contra la recogida automatizada sin permiso escrito de LinkedIn.

Las dos pretensiones cuestan distinto de plantear: una acción civil bajo la CFAA conforme a 18 U.S.C. 1030(g) exige al menos $5.000 de pérdida en un periodo de un año según (c)(4)(A)(i)(I), mientras que el incumplimiento de contrato no lleva umbral. El derecho de la UE también las separa. En Ryanair Ltd v. PR Aviation BV, Case C-30/14, resuelto el 15 de enero de 2015, el Court of Justice sostuvo que la Directive 96/9/EC "not preclude the author of such a database from laying down contractual limitations on its use by third parties" (no impide al autor de tal base de datos imponer limitaciones contractuales a su uso por terceros) cuando la base de datos no atrae ni derechos de autor ni el derecho sui generis.

¿Protegen los derechos de autor los datos que extrae?

Los derechos de autor protegen la expresión original y nunca los hechos subyacentes, así que un precio, una marca de tiempo o un recuento de votos no son de nadie. Feist Publications, Inc. v. Rural Telephone Service Co., 499 U.S. 340, resuelto el 27 de marzo de 1991 con voto de la Justice O'Connor, rechazó la doctrina "sweat of the brow" (el sudor de la frente) y limitó el derecho de autor sobre una compilación a su selección, coordinación o disposición originales. La redacción de una publicación es un activo distinto del hecho de que exista, y pertenece a quien la escribió.

Entrenar un modelo con material extraído no convierte la copia en fair use. En Thomson Reuters v. Ross Intelligence, No. 1:20-cv-613-SB, el Circuit Judge Bibas, actuando por designación en Delaware, revisó su resolución anterior el 11 de febrero de 2025 y dio a Thomson Reuters el summary judgment sobre fair use por los headnotes de Westlaw copiados para construir una herramienta de investigación competidora, al considerar que el uso no era transformativo. La UE añade una capa que Estados Unidos no tiene: el derecho sui generis de bases de datos protege la inversión sustancial en el contenido de una base de datos.

¿Qué cambia cuando los registros describen a una persona?

La visibilidad pública no aporta base jurídica, y las sanciones más altas están aquí. La CNIL francesa multó a Clearview AI con 20 millones de euros en la deliberación SAN-2022-019 del 17 de octubre de 2022 por construir una base de datos de rostros con imágenes extraídas de la web abierta, y apreció infracciones del Artículo 6 por falta de base jurídica y de los Artículos 12, 15 y 17 sobre derechos de los interesados. El regulador sostuvo que la accesibilidad pública no impide que los datos sean personales, y no crea permiso general para reutilizarlos.

El Artículo 83(5) sitúa el fallo de base jurídica en el tramo sancionador más alto, donde el techo es una fórmula:

Maximum fine = the higher of EUR 20,000,000 and 4% of total worldwide annual turnover in the preceding financial year

Una empresa con una facturación de 300 millones de euros aplica el 4% y llega a 12 millones de euros, así que gana la cifra fija y su techo es de 20 millones de euros. Una empresa con una facturación de 1.200 millones de euros aplica el 4% y aterriza en un techo de 48 millones de euros. Determine qué campos de su conjunto de datos son datos personales y cuáles registros anónimos, y documente después una base jurídica bajo el Artículo 6 antes de que salga la primera petición.

¿Cómo comprobar un objetivo antes de hacerle scraping?

Lea cuatro cosas: los términos de servicio en busca de una cláusula que prohíba la recogida automatizada, el archivo robots en busca de las rutas que el operador marcó como vedadas, la documentación de la API en busca de una licencia que cubra su uso, y un registro de muestra en busca de campos que identifiquen a una persona. Los términos llevan el riesgo que hiQ perdió, así que una cuenta que su empresa tenga en el objetivo pesa más que el diseño del scraper. Tenga en cuenta que una regla disallow en robots.txt es una convención, no una ley, y que tomar la API documentada le lleva a un contrato que usted negoció.

Presupueste primero esa vía de la API, porque los límites de tasa deciden cuántas keywords cubre un client id. RedReplier vigila Reddit, X, Bluesky, Facebook y Hacker News en un solo sitio, califica las menciones por intención de compra y expone una API y un servidor MCP para Claude Code, Cursor y cualquier cliente MCP estándar. La comparación frente a operar usted mismo la API de la plataforma está en RedReplier junto a la Reddit API.

Preguntas frecuentes

¿Es legal hacer scraping de datos disponibles públicamente?

La disponibilidad pública responde a la pregunta del acceso informático y a ninguna de las otras tres. La sentencia hiQ del 18 de abril de 2022 convirtió la visibilidad pública en la razón por la que la cláusula "without authorization" de la CFAA quizá no se aplique; la decisión Clearview de la CNIL del 17 de octubre de 2022 la volvió irrelevante para la base jurídica bajo el GDPR.

¿hiQ ganó o perdió?

Ambas cosas, en pretensiones distintas. hiQ ganó el punto de la CFAA ante el Ninth Circuit el 18 de abril de 2022 y conservó su medida cautelar, y luego perdió el punto contractual ante el Judge Chen el 27 de octubre de 2022. El 8 de diciembre de 2022 siguió un consent judgment de $500.000 contra hiQ.

¿Vinculan los términos de servicio a un scraper que nunca hizo clic en "I agree"?

La resolución de hiQ no llegó a esa cuestión, porque hiQ había aceptado el User Agreement de LinkedIn al abrir cuentas y anunciarse allí. Una cuenta o una compra en el objetivo vincula a la empresa incluso cuando el scraper corre sin sesión iniciada, así que audite lo que su empresa ya tiene.

¿Se aplica el GDPR a una empresa fuera de la UE?

El Artículo 3(2) aplica el GDPR a un responsable sin establecimiento en la UE que ofrece bienes o servicios a personas en la Unión, o vigila su comportamiento dentro de ella. Recoger publicaciones de personas identificables en la UE cae en la rama de la vigilancia, la base sobre la que la CNIL multó a Clearview AI.

¿Entrenar un modelo de IA con contenido extraído cambia la respuesta de derechos de autor?

No por sí solo. El Judge Bibas dio a Thomson Reuters el summary judgment sobre fair use el 11 de febrero de 2025 por los headnotes de Westlaw copiados a un producto competidor. Los hechos siguen sin protección bajo Feist, así que la exposición está en la expresión que usted reproduce.

¿Qué separa la cuestión de la CFAA de la cuestión contractual?

La CFAA pregunta si una puerta estaba abierta o cerrada, en la frase de Van Buren, y su acción civil exige $5.000 de pérdida en un año. La cuestión contractual no exige umbral de pérdida. Un scrape puede superar la primera y fallar la segunda, como le pasó a hiQ.

¿Qué es el derecho sui generis sobre bases de datos de la UE?

Protege una base de datos construida con una inversión sustancial en su contenido, un derecho que Estados Unidos no reconoce. Feist limita los derechos de autor estadounidenses a la selección, coordinación o disposición, así que los hechos quedan sin protección allí, mientras que la capa de la UE cubre la propia inversión. Ryanair v. PR Aviation muestra cómo se solapan ambas cosas: el TJUE dejó en pie los límites contractuales precisamente porque la base de datos de Ryanair no gozaba ni de derechos de autor ni del derecho sui generis.

¿Tiene fuerza legal un archivo robots.txt?

Una regla disallow en robots.txt es una convención que fija el sitio, no una norma por la que se pueda demandar a un scraper, así que por sí sola no tiene fuerza legal. Los tribunales examinan en cambio los términos de servicio, como hizo el juez Chen con el acuerdo de usuario de LinkedIn en la sentencia contractual de hiQ. Leer el archivo robots antes de hacer scraping igual muestra dónde trazó una línea el operador, aunque no tenga dientes legales.

¿Evita el riesgo legal hacer scraping a través de una API oficial?

Usar la API documentada traslada la relación a un contrato que usted negoció, en lugar de a unos términos que aceptó solo por usar el sitio. Eso no toca las otras tres preguntas: los derechos de autor siguen cubriendo la expresión que copia, y el GDPR sigue aplicando en cuanto un registro identifica a una persona. Presupuestar antes la vía de la API también importa en la práctica, porque los límites de tasa deciden cuántas palabras clave cubre un client id.

¿Cuánto puede llegar a subir una multa del GDPR por hacer scraping de datos personales?

El artículo 83(5) coloca la falta de base legal en el nivel más alto de sanción, con un tope fijado en el mayor entre 20 millones de euros o el 4% de la facturación mundial anual. Una empresa que factura 300 millones de euros se queda en el suelo de 20 millones, porque el 4% da solo 12 millones, mientras que una que factura 1200 millones de euros llega a un tope de 48 millones. La CNIL francesa usó este marco para multar a Clearview AI con 20 millones de euros por extraer imágenes de rostros sin base legal.