Quando o web scraping é legal? Quatro perguntas, quatro respostas separadas

O web scraping é legal?

Nenhuma lei sozinha torna o web scraping legal ou ilegal, então a pergunta se divide em quatro que corpos normativos distintos respondem de forma independente: o direito de acesso a sistemas informáticos, o direito contratual, os direitos autorais e os direitos sobre bases de dados, e o direito de proteção de dados quando os registros descrevem uma pessoa. Cada um tem o próprio gatilho e a própria consequência, então um scrape passa na primeira pergunta e perde na segunda. Responda às quatro para o seu alvo antes de escrever o cliente.

Esta página descreve decisões de tribunais e reguladores identificados pelo nome, com datas. Não é aconselhamento jurídico.

Última verificação: 8 de setembro de 2026

O que hiQ Labs v. LinkedIn decidiu sobre a CFAA?

O Ninth Circuit confirmou uma liminar que proibia o LinkedIn de bloquear os scrapers da hiQ, porque a hiQ tinha levantado dúvidas sérias sobre se o LinkedIn poderia sequer invocar a CFAA. A decisão é hiQ Labs, Inc. v. LinkedIn Corp., No. 17-16783, redigida pela Judge Berzon e protocolada em 18 de abril de 2022, depois da devolução pela Supreme Court. O colegiado raciocinou que a cláusula "without authorization" (sem autorização) da CFAA talvez não alcance um site que não exige autorização alguma dos visitantes e depois recusa um bot específico por carta.

Confira a fase processual antes de citar a decisão. Uma liminar confirmada pela sliding scale pergunta apenas se o autor levantou dúvidas sérias enquanto o balanço dos prejuízos pendia claramente a favor dele, e não decide nada sobre o mérito.

O que Van Buren mudou em "exceeds authorized access"?

A Supreme Court decidiu que uma pessoa "exceeds authorized access" (excede o acesso autorizado) sob a CFAA apenas ao tirar informação de áreas de um computador vedadas a ela, não informação que podia alcançar e usou para um fim proibido. Van Buren v. United States, No. 19-783 foi decidido em 3 de junho de 2021, por seis votos a três, com voto da Justice Barrett. A Corte tratou as duas cláusulas da CFAA como uma "gates-up-or-down inquiry" (um exame de porteira levantada ou baixada) e rejeitou a leitura do governo porque ela imporia penas criminais a "a breathtaking amount of commonplace computer activity." (uma quantidade impressionante de atividade computacional corriqueira).

Uma distinção limita o quanto Van Buren ajuda quem faz scraping: ele interpretou "exceeds authorized access" em 18 U.S.C. 1030(e)(6), que cobre um usuário já dentro com credenciais. Fazer scraping de uma página deslogada aciona a outra cláusula, "without authorization", que segundo o colegiado da hiQ Van Buren não tratou diretamente.

Um scrape pode ser legal sob a CFAA e mesmo assim violar os termos de serviço?

Sim, e a hiQ prova: a autora que ganhou o ponto da CFAA perdeu o ponto contratual no mesmo caso. O Judge Edward M. Chen, do Northern District of California, decidiu em summary judgment no caso 17-cv-03301-EMC em 27 de outubro de 2022, publicado em 4 de novembro de 2022. Ele concluiu que "the relevant language of the User Agreement unambiguously prohibits hiQ's scraping and unauthorized use of the scraped data," (o texto pertinente do User Agreement proíbe sem ambiguidade o scraping da hiQ e o uso não autorizado dos dados extraídos) e que a hiQ o violou ao fazer scraping e por meio de prestadores que criaram identidades falsas. Ele deu ganho de causa ao LinkedIn sobre as identidades falsas e reservou a violação por scraping para julgamento, porque as defesas de renúncia e estoppel da hiQ levantavam fatos controvertidos. Um consent judgment protocolado em 8 de dezembro de 2022 fixou $500.000 contra a hiQ, mais uma liminar permanente contra coleta automatizada sem permissão escrita do LinkedIn.

As duas pretensões custam diferente para propor: uma ação civil da CFAA sob 18 U.S.C. 1030(g) exige pelo menos $5.000 de prejuízo em um período de um ano segundo (c)(4)(A)(i)(I), enquanto a violação de contrato não tem limiar. O direito da UE também as separa. Em Ryanair Ltd v. PR Aviation BV, Case C-30/14, decidido em 15 de janeiro de 2015, a Court of Justice sustentou que a Directive 96/9/EC "not preclude the author of such a database from laying down contractual limitations on its use by third parties" (não impede o autor de tal base de dados de impor limitações contratuais ao uso dela por terceiros) quando a base de dados não atrai nem direitos autorais nem o direito sui generis.

Os direitos autorais protegem os dados que você extrai?

Os direitos autorais protegem a expressão original e nunca os fatos subjacentes, então um preço, um carimbo de tempo ou uma contagem de votos não é de ninguém. Feist Publications, Inc. v. Rural Telephone Service Co., 499 U.S. 340, decidido em 27 de março de 1991, com voto da Justice O'Connor, rejeitou a doutrina "sweat of the brow" (o suor da testa) e limitou o direito autoral sobre uma compilação à seleção, coordenação ou disposição originais dela. A redação de um post é um ativo distinto do fato de que ele existe, e pertence a quem o escreveu.

Treinar um modelo com material extraído não converte a cópia em fair use. Em Thomson Reuters v. Ross Intelligence, No. 1:20-cv-613-SB, o Circuit Judge Bibas, atuando por designação em Delaware, revisou a decisão anterior dele em 11 de fevereiro de 2025 e deu à Thomson Reuters o summary judgment sobre fair use pelas headnotes da Westlaw copiadas para construir uma ferramenta de pesquisa concorrente, por considerar o uso não transformativo. A UE acrescenta uma camada que os Estados Unidos não têm: o direito sui generis de bases de dados protege o investimento substancial no conteúdo de uma base.

O que muda quando os registros descrevem uma pessoa?

Visibilidade pública não fornece base legal, e as maiores penalidades estão aqui. A CNIL francesa multou a Clearview AI em 20 milhões de euros na deliberação SAN-2022-019 de 17 de outubro de 2022 por construir uma base de rostos com imagens extraídas da web aberta, apontando violações do Artigo 6 por falta de base legal e dos Artigos 12, 15 e 17 sobre direitos dos titulares. O regulador decidiu que a acessibilidade pública não impede que os dados sejam pessoais, e não cria permissão geral para reutilizá-los.

O Artigo 83(5) coloca a falha de base legal na faixa de sanção mais alta, onde o teto é uma fórmula:

Maximum fine = the higher of EUR 20,000,000 and 4% of total worldwide annual turnover in the preceding financial year

Uma empresa com faturamento de EUR 300 milhões aplica 4%, ou EUR 12 milhões, então o valor fixo vence e o teto dela é EUR 20 milhões. Uma empresa com faturamento de EUR 1,2 bilhão aplica 4% e chega a um teto de EUR 48 milhões. Descubra quais campos do seu conjunto de dados são dados pessoais e quais são registros anônimos, depois documente uma base legal sob o Artigo 6 antes de a primeira requisição sair.

Como conferir um alvo antes de fazer scraping nele?

Leia quatro coisas: os termos de serviço, atrás de uma cláusula que proíba coleta automatizada; o arquivo robots, atrás dos caminhos que o operador marcou como fechados; a documentação da API, atrás de uma licença que cubra o seu uso; e um registro de amostra, atrás de campos que identifiquem uma pessoa. Os termos carregam o risco em que a hiQ perdeu, então uma conta que a sua empresa mantém no alvo pesa mais que o projeto do scraper. Note que uma regra disallow no robots.txt é uma convenção, não uma lei, e que usar a API documentada leva você a um contrato que você negociou.

Orce esse caminho da API primeiro, porque os limites de taxa decidem quantas keywords um client id cobre. O RedReplier monitora Reddit, X, Bluesky, Facebook e Hacker News em um só lugar, classifica as menções por intenção de compra e expõe uma API e um servidor MCP para Claude Code, Cursor e qualquer cliente MCP padrão. A comparação com operar você mesmo a API da plataforma está em RedReplier ao lado da Reddit API.

Perguntas frequentes

Fazer scraping de dados publicamente disponíveis é legal?

A disponibilidade pública responde à pergunta do acesso ao computador e a nenhuma das outras três. A decisão hiQ de 18 de abril de 2022 fez da visibilidade pública a razão pela qual a cláusula "without authorization" da CFAA pode não se aplicar; a decisão Clearview da CNIL de 17 de outubro de 2022 a tornou irrelevante para a base legal sob o GDPR.

A hiQ ganhou ou perdeu?

As duas coisas, em pretensões diferentes. A hiQ ganhou o ponto da CFAA no Ninth Circuit em 18 de abril de 2022 e manteve a liminar, depois perdeu o ponto contratual diante do Judge Chen em 27 de outubro de 2022. Um consent judgment de $500.000 contra a hiQ veio em 8 de dezembro de 2022.

Os termos de serviço vinculam um scraper que nunca clicou em "I agree"?

A ordem em hiQ não chegou a esse ponto, porque a hiQ tinha aceitado o User Agreement do LinkedIn ao abrir contas e anunciar lá. Uma conta ou uma compra no alvo vincula a empresa mesmo quando o scraper roda deslogado, então audite o que a sua empresa já tem.

O GDPR se aplica a uma empresa fora da UE?

O Artigo 3(2) aplica o GDPR a um controlador sem estabelecimento na UE que oferece bens ou serviços a pessoas na União, ou monitora o comportamento delas dentro dela. Coletar publicações de pessoas identificáveis na UE cai no braço do monitoramento, o fundamento sobre o qual a CNIL multou a Clearview AI.

Treinar um modelo de IA com conteúdo extraído muda a resposta de direitos autorais?

Não por si só. O Judge Bibas deu à Thomson Reuters o summary judgment sobre fair use em 11 de fevereiro de 2025 pelas headnotes da Westlaw copiadas para um produto concorrente. Os fatos seguem sem proteção sob Feist, então a exposição está na expressão que você reproduz.

O que separa a pergunta da CFAA da pergunta contratual?

A CFAA pergunta se uma porteira estava levantada ou baixada, na frase de Van Buren, e a ação civil dela exige $5.000 de prejuízo em um ano. A pergunta contratual não exige limiar de prejuízo. Um scrape pode passar na primeira e falhar na segunda, como a hiQ falhou.

O que é o direito sui generis sobre bases de dados da UE?

Ele protege uma base de dados construída com investimento substancial em seu conteúdo, um direito que os Estados Unidos não reconhecem. Feist limita os direitos autorais americanos à seleção, coordenação ou arranjo, então os fatos ficam sem proteção lá, enquanto a camada da UE cobre o próprio investimento. Ryanair v. PR Aviation mostra essa sobreposição: o TJUE manteve os limites contratuais justamente porque a base de dados da Ryanair não tinha nem direitos autorais nem o direito sui generis.

Um arquivo robots.txt tem força legal?

Uma regra disallow no robots.txt é uma convenção definida pelo site, não uma lei que permita processar um scraper, e por si só não tem força legal. Os tribunais examinam os termos de serviço, como o juiz Chen fez com o acordo de usuário do LinkedIn na decisão contratual da hiQ. Ainda assim, ler o arquivo robots antes de fazer scraping mostra onde o operador traçou uma linha, mesmo sem força legal.

Fazer scraping por uma API oficial evita risco legal?

Usar a API documentada move a relação para um contrato negociado por você, em vez de termos aceitos apenas por usar o site. Isso não muda as outras três questões: os direitos autorais continuam cobrindo a expressão copiada, e o GDPR continua se aplicando assim que um registro identifica uma pessoa. Planejar o caminho da API primeiro também importa na prática, já que os limites de taxa decidem quantas palavras-chave um client id cobre.

Quão alta pode ficar uma multa do GDPR por scraping de dados pessoais?

O artigo 83(5) coloca a falta de base legal no nível mais alto de penalidade, com um teto fixado no maior valor entre 20 milhões de euros ou 4% do faturamento mundial anual. Uma empresa que fatura 300 milhões de euros fica no piso de 20 milhões, porque 4% dão apenas 12 milhões, enquanto uma que fatura 1,2 bilhão de euros chega a um teto de 48 milhões. A CNIL francesa usou essa estrutura para multar a Clearview AI em 20 milhões de euros por extrair imagens de rostos sem base legal.