Quand le web scraping est-il légal ? Quatre questions, quatre réponses distinctes

Le web scraping est-il légal ?

Aucune loi à elle seule ne rend le web scraping légal ou illégal, la question se divise donc en quatre auxquelles des corpus juridiques distincts répondent indépendamment : le droit de l'accès aux systèmes informatiques, le droit des contrats, le droit d'auteur et les droits sur les bases de données, et le droit de la protection des données quand les enregistrements décrivent une personne. Chacun a son propre déclencheur et sa propre sanction, un scrape passe donc la première question et perd la deuxième. Répondez aux quatre pour votre cible avant d'écrire le client.

Cette page décrit des décisions de tribunaux et de régulateurs nommés, avec leurs dates. Ce n'est pas un conseil juridique.

Dernière vérification : 8 septembre 2026

Qu'a décidé hiQ Labs v. LinkedIn sur la CFAA ?

Le Ninth Circuit a confirmé une injonction préliminaire interdisant à LinkedIn de bloquer les scrapers de hiQ, parce que hiQ avait soulevé des doutes sérieux sur la possibilité même pour LinkedIn d'invoquer la CFAA. La décision est hiQ Labs, Inc. v. LinkedIn Corp., No. 17-16783, rédigée par la Judge Berzon et déposée le 18 avril 2022 après renvoi de la Supreme Court. La formation a raisonné que la clause "without authorization" (sans autorisation) de la CFAA ne vise peut-être pas un site qui n'exige aucune autorisation de ses visiteurs et refuse ensuite un bot précis par lettre.

Vérifiez la phase procédurale avant de la citer. Une injonction préliminaire confirmée selon la sliding scale demande seulement si le demandeur a soulevé des doutes sérieux alors que la balance des préjudices penchait nettement en sa faveur, et ne tranche rien sur le fond.

Qu'a changé Van Buren pour "exceeds authorized access" ?

La Supreme Court a jugé qu'une personne "exceeds authorized access" (excède l'accès autorisé) au sens de la CFAA seulement en prenant des informations dans des zones d'un ordinateur qui lui sont interdites, et non des informations qu'elle pouvait atteindre et a utilisées à une fin interdite. Van Buren v. United States, No. 19-783 a été tranché le 3 juin 2021, à six voix contre trois, sous la plume de la Justice Barrett. La Cour a présenté les deux clauses de la CFAA comme une "gates-up-or-down inquiry" (un examen de la barrière levée ou baissée) et a rejeté la lecture du gouvernement parce qu'elle attacherait des peines pénales à "a breathtaking amount of commonplace computer activity." (une quantité stupéfiante d'activités informatiques ordinaires).

Une distinction limite l'aide que Van Buren apporte à un scraper : l'arrêt a interprété "exceeds authorized access" dans 18 U.S.C. 1030(e)(6), qui vise un utilisateur déjà à l'intérieur avec des identifiants. Scraper une page déconnectée met en jeu l'autre clause, "without authorization", que Van Buren n'a pas traitée directement selon la formation hiQ.

Un scrape peut-il être légal au regard de la CFAA et violer quand même les conditions d'utilisation ?

Oui, et hiQ le prouve : la demanderesse qui a gagné sur la CFAA a perdu sur le contrat dans la même affaire. Le Judge Edward M. Chen, du Northern District of California, a statué en summary judgment dans l'affaire 17-cv-03301-EMC le 27 octobre 2022, publié le 4 novembre 2022. Il a conclu que "the relevant language of the User Agreement unambiguously prohibits hiQ's scraping and unauthorized use of the scraped data," (le texte pertinent du User Agreement interdit sans ambiguïté le scraping de hiQ et l'usage non autorisé des données extraites) et que hiQ l'a violé en scrapant et par des prestataires qui ont créé de fausses identités. Il a donné gain de cause à LinkedIn sur les fausses identités et a renvoyé au procès la violation par scraping, parce que les moyens de renonciation et d'estoppel de hiQ soulevaient des faits contestés. Un consent judgment déposé le 8 décembre 2022 a fixé $500 000 contre hiQ, assortis d'une injonction permanente contre toute collecte automatisée sans autorisation écrite de LinkedIn.

Les deux demandes coûtent différemment à porter : une action civile CFAA au titre de 18 U.S.C. 1030(g) exige au moins $5 000 de perte sur une période d'un an selon (c)(4)(A)(i)(I), tandis que la violation de contrat ne comporte aucun seuil. Le droit de l'UE les sépare aussi. Dans Ryanair Ltd v. PR Aviation BV, Case C-30/14, tranché le 15 janvier 2015, la Court of Justice a jugé que la Directive 96/9/EC "not preclude the author of such a database from laying down contractual limitations on its use by third parties" (n'empêche pas l'auteur d'une telle base de données de fixer des limites contractuelles à son utilisation par des tiers) lorsque la base de données n'attire ni le droit d'auteur ni le droit sui generis.

Le droit d'auteur protège-t-il les données que vous extrayez ?

Le droit d'auteur protège l'expression originale et jamais les faits sous-jacents, un prix, un horodatage ou un compte de votes n'appartiennent donc à personne. Feist Publications, Inc. v. Rural Telephone Service Co., 499 U.S. 340, tranché le 27 mars 1991 sous la plume de la Justice O'Connor, a rejeté la doctrine "sweat of the brow" (la sueur du front) et a limité le droit d'auteur sur une compilation à sa sélection, sa coordination ou son agencement originaux. La formulation d'un message est un actif distinct du fait qu'il existe, et elle appartient à qui l'a écrite.

Entraîner un modèle sur du matériel extrait ne transforme pas la copie en fair use. Dans Thomson Reuters v. Ross Intelligence, No. 1:20-cv-613-SB, le Circuit Judge Bibas, siégeant par désignation dans le Delaware, a révisé sa décision antérieure le 11 février 2025 et a accordé à Thomson Reuters le summary judgment sur le fair use, à propos de headnotes Westlaw copiés pour construire un outil de recherche concurrent, en jugeant l'usage non transformatif. L'UE ajoute une couche que les États-Unis n'ont pas : le droit sui generis des bases de données protège l'investissement substantiel dans le contenu d'une base.

Qu'est-ce qui change quand les enregistrements décrivent une personne ?

La visibilité publique ne fournit aucune base légale, et les sanctions les plus lourdes sont ici. La CNIL française a infligé à Clearview AI une amende de 20 millions d'euros dans la délibération SAN-2022-019 du 17 octobre 2022 pour avoir construit une base de visages à partir d'images extraites du web ouvert, en retenant des manquements à l'Article 6 faute de base légale et aux Articles 12, 15 et 17 sur les droits des personnes concernées. Le régulateur a jugé que l'accessibilité publique n'empêche pas des données d'être personnelles, et ne crée aucune permission générale de les réutiliser.

L'Article 83(5) place un défaut de base légale dans la tranche de sanction la plus haute, où le plafond est une formule :

Maximum fine = the higher of EUR 20,000,000 and 4% of total worldwide annual turnover in the preceding financial year

Une entreprise qui réalise 300 millions d'euros de chiffre d'affaires applique 4%, soit 12 millions d'euros, le montant fixe l'emporte donc et son plafond est de 20 millions d'euros. Une entreprise qui réalise 1,2 milliard d'euros applique 4% et atterrit sur un plafond de 48 millions d'euros. Déterminez quels champs de votre jeu de données sont des données personnelles et lesquels des enregistrements anonymes, puis documentez une base légale au titre de l'Article 6 avant que la première requête parte.

Comment vérifier une cible avant de la scraper ?

Lisez quatre choses : les conditions d'utilisation, pour une clause interdisant la collecte automatisée ; le fichier robots, pour les chemins que l'opérateur a marqués comme fermés ; la documentation de l'API, pour une licence couvrant votre usage ; et un enregistrement d'exemple, pour les champs qui identifient une personne. Les conditions portent le risque sur lequel hiQ a perdu, un compte que votre entreprise détient chez la cible pèse donc plus que la conception du scraper. Notez qu'une règle disallow dans robots.txt est une convention, pas une loi, et que passer par l'API documentée vous place dans un contrat que vous avez négocié.

Budgétez d'abord cette voie API, parce que les limites de débit décident du nombre de keywords que couvre un client id. RedReplier surveille Reddit, X, Bluesky, Facebook et Hacker News au même endroit, note les mentions selon l'intention d'achat, et expose une API et un serveur MCP pour Claude Code, Cursor et tout client MCP standard. L'arbitrage face à l'exploitation de l'API de la plateforme par vos soins se trouve dans RedReplier face à la Reddit API.

Questions fréquentes

Le scraping de données publiquement accessibles est-il légal ?

La disponibilité publique répond à la question de l'accès informatique et à aucune des trois autres. L'arrêt hiQ du 18 avril 2022 a fait de la visibilité publique la raison pour laquelle la clause "without authorization" de la CFAA peut ne pas s'appliquer ; la décision Clearview de la CNIL du 17 octobre 2022 l'a rendue sans effet sur la base légale au titre du GDPR.

hiQ a-t-elle gagné ou perdu ?

Les deux, sur des demandes différentes. hiQ a gagné sur la CFAA devant le Ninth Circuit le 18 avril 2022 et a conservé son injonction, puis a perdu sur le contrat devant le Judge Chen le 27 octobre 2022. Un consent judgment de $500 000 contre hiQ a suivi le 8 décembre 2022.

Les conditions d'utilisation lient-elles un scraper qui n'a jamais cliqué sur "I agree" ?

L'ordonnance hiQ n'a pas tranché ce point, parce que hiQ avait accepté le User Agreement de LinkedIn en ouvrant des comptes et en y faisant de la publicité. Un compte ou un achat chez la cible lie l'entreprise même quand le scraper tourne déconnecté, auditez donc ce que votre entreprise détient déjà.

Le GDPR s'applique-t-il à une entreprise hors de l'UE ?

L'Article 3(2) applique le GDPR à un responsable de traitement sans établissement dans l'UE qui offre des biens ou des services à des personnes dans l'Union, ou suit leur comportement en son sein. Collecter les messages de personnes identifiables dans l'UE relève du volet du suivi, le fondement sur lequel la CNIL a sanctionné Clearview AI.

Entraîner un modèle d'IA sur du contenu extrait change-t-il la réponse en droit d'auteur ?

Pas en soi. Le Judge Bibas a accordé à Thomson Reuters le summary judgment sur le fair use le 11 février 2025, à propos de headnotes Westlaw copiés dans un produit concurrent. Les faits restent non protégés sous Feist, l'exposition se situe donc dans l'expression que vous reproduisez.

Qu'est-ce qui sépare la question CFAA de la question contractuelle ?

La CFAA demande si une barrière était levée ou baissée, selon la formule de Van Buren, et son action civile exige $5 000 de perte sur un an. La question contractuelle n'exige aucun seuil de perte. Un scrape peut passer la première et échouer à la seconde, comme hiQ.

Qu'est-ce que le droit sui generis des bases de données de l'UE ?

Il protège une base de données construite avec un investissement substantiel dans son contenu, un droit qui n'existe pas aux États-Unis. Feist limite le droit d'auteur américain à la sélection, la coordination ou l'arrangement, si bien que les faits restent sans protection là-bas, tandis que la couche européenne couvre l'investissement lui-même. Ryanair v. PR Aviation montre le chevauchement des deux : la CJUE a laissé les limites contractuelles s'appliquer précisément parce que la base de données de Ryanair ne bénéficiait ni du droit d'auteur ni du droit sui generis.

Un fichier robots.txt a-t-il une force juridique ?

Une règle disallow dans robots.txt est une convention fixée par le site, pas une loi permettant de poursuivre un scraper, et elle n'a donc aucune force juridique par elle-même. Les tribunaux examinent plutôt les conditions d'utilisation, comme l'a fait le juge Chen avec les conditions d'utilisation de LinkedIn dans le jugement contractuel hiQ. Lire le fichier robots avant de scraper montre tout de même où l'exploitant a tracé une limite, même sans portée juridique.

Scraper via une API officielle évite-t-il le risque juridique ?

Utiliser l'API documentée déplace la relation vers un contrat que vous avez négocié, plutôt que des conditions acceptées simplement en utilisant le site. Cela ne change rien aux trois autres questions : le droit d'auteur continue de couvrir l'expression que vous copiez, et le GDPR continue de s'appliquer dès qu'un enregistrement identifie une personne. Budgétiser d'abord la voie de l'API compte aussi en pratique, puisque les limites de débit décident combien de mots-clés un client id peut couvrir.

Jusqu'à combien une amende GDPR peut-elle monter pour du scraping de données personnelles ?

L'article 83(5) place l'absence de base légale dans le niveau de sanction le plus élevé, avec un plafond fixé au plus élevé entre 20 millions d'euros et 4 % du chiffre d'affaires mondial annuel. Une entreprise qui réalise 300 millions d'euros de chiffre d'affaires reste au plancher de 20 millions, car 4 % ne donnent que 12 millions, tandis qu'une entreprise à 1,2 milliard d'euros atteint un plafond de 48 millions. La CNIL française a utilisé ce cadre pour infliger 20 millions d'euros à Clearview AI, qui avait extrait des images de visages sans base légale.