Le scraping de données personnelles reste légal sous certaines conditions, mais la frontière entre pratique acceptable et infraction RGPD est plus fine qu’on ne le pense. Voici ce que nous constatons chez nos clients, et la méthode pour sécuriser cette pratique.
Pourquoi le scraping n’est pas automatiquement illégal ?
Beaucoup de dirigeants pensent que le scraping de données publiquement accessibles échappe au RGPD, sous prétexte que ces informations sont déjà visibles sur internet. Cette croyance est fausse et constitue l’un des malentendus les plus fréquents que nous rencontrons en accompagnement.
Le RGPD s’applique dès qu’une donnée personnelle est collectée et traitée, quelle que soit sa source, y compris une donnée librement accessible sur un site web ou un réseau social professionnel. La CNIL l’a confirmé à plusieurs reprises dans ses décisions, notamment concernant des entreprises ayant collecté massivement des profils LinkedIn pour constituer des bases de prospection.
Ce qui détermine la légalité du scraping n’est donc pas la source des données, mais la base légale invoquée pour leur traitement, la finalité poursuivie, et l’information donnée aux personnes concernées sur cette collecte, même lorsqu’elle a été réalisée automatiquement sans leur intervention directe.
La différence fondamentale entre scraping B2B et scraping B2C :
Cette distinction est centrale et pourtant fréquemment ignorée par les entreprises qui pratiquent le scraping à des fins commerciales. En B2B, le scraping de coordonnées professionnelles, nom, fonction, entreprise, email professionnel, peut s’appuyer sur l’intérêt légitime comme base légale, à condition que la personne ait été informée et puisse s’opposer facilement au traitement.
En B2C, cette même souplesse ne s’applique pas. Le scraping de données de particuliers, pour de la prospection commerciale directe, nécessite en principe un consentement préalable, un cadre juridique beaucoup plus strict que celui applicable aux contacts professionnels.
Exemple concret : un client du secteur des services avait constitué une base de prospection en scrapant des profils de dirigeants sur un réseau professionnel, ce qui restait défendable sous l’intérêt légitime, dès lors qu’une information claire et un lien de désinscription simple étaient prévus. Le même client avait cependant aussi scrapé une liste de participants à un événement grand public, comprenant des adresses email personnelles, une pratique nettement plus risquée qui aurait nécessité un consentement explicite non recueilli.
Cette confusion entre les deux régimes explique une part importante des mises en demeure de la CNIL sur ce sujet, les entreprises appliquant à tort le cadre B2B à des données relevant en réalité du B2C.
Les méthodes de scraping et leur niveau de risque juridique :
Toutes les techniques de scraping ne présentent pas le même niveau de risque. Le scraping manuel ponctuel, réalisé par un collaborateur qui collecte quelques dizaines de contacts à la main, reste relativement marginal en termes de risque, même s’il n’est pas exempt d’obligations RGPD.
Le scraping automatisé à grande échelle, via des scripts ou des outils spécialisés qui aspirent des milliers de profils en continu, change radicalement la nature du risque. Ce volume attire davantage l’attention de la CNIL, mais surtout, il rend impossible une information individualisée des personnes concernées au moment de la collecte, ce qui doit être compensé par une information a posteriori rigoureuse. D’ailleurs, attention avec les données Data.gouv. Les adresses mails présentes sont souvent déjà blacklistées car spammées. Vos outils les détectent et vous finirez ensuite en spam, bien avant d’avoir un risque de la CNIL.
Une troisième méthode, de plus en plus fréquente, consiste à sous traiter le scraping à un prestataire tiers spécialisé, qui livre ensuite une base de données déjà constituée. Cette méthode déplace une partie du risque vers le prestataire, mais ne l’élimine jamais complètement pour l’entreprise cliente, qui reste responsable de traitement pour l’usage final qu’elle fait de ces données, même si elle n’a pas techniquement réalisé la collecte elle même.
Comment bien choisir un sous traitant spécialisé en scraping ?
Le choix d’un prestataire de scraping ou de fourniture de bases de données constitue un point de vigilance majeur, car de nombreux acteurs de ce marché opèrent dans une zone grise juridique, parfois hors Union européenne, sans garantie sérieuse de conformité.
Le premier critère à vérifier est la capacité du prestataire à documenter précisément la base légale qu’il invoque pour sa collecte, et à démontrer qu’une information des personnes concernées a bien été réalisée, par exemple via une politique de confidentialité publique et un mécanisme de désinscription fonctionnel.
Le second critère concerne la fraîcheur et la traçabilité des données livrées. Un prestataire incapable d’indiquer la date de collecte de chaque contact, ou l’origine précise de chaque source scrapée, ne permet pas à l’entreprise cliente de respecter son obligation de mise à jour et de suppression des données obsolètes.
Le troisième critère, souvent négligé, est la localisation réelle du traitement et du stockage des données collectées. Un prestataire basé hors Union européenne, ou hébergeant ses bases chez un cloud provider non européen, ajoute une couche supplémentaire de risque lié au transfert international de données.
Notre recommandation pratique : exigez systématiquement un contrat de sous traitance conforme à l’article 28 du RGPD avec ce type de prestataire, ainsi qu’une clause de garantie sur la licéité de la collecte initiale. Un prestataire réputé sérieux accepte sans difficulté ce type de clause, un prestataire réticent doit alerter immédiatement.
Les bonnes pratiques pour sécuriser une démarche de scraping
1 – La première bonne pratique consiste à documenter formellement, avant toute collecte, la finalité précise poursuivie et la base légale retenue, exactement comme pour tout autre traitement de données personnelles. Cette documentation doit être rédigée avant le lancement de la collecte, pas après coup en cas de contrôle.
2 – La seconde bonne pratique est la mise en place systématique d’une information des personnes concernées, même lorsque la collecte a été automatisée. Concrètement, cela signifie qu’un email de prospection issu d’une base scrapée doit toujours contenir une mention claire sur l’origine de la donnée et un moyen simple de s’y opposer, au delà du simple lien de désinscription standard.
3 – La troisième bonne pratique consiste à limiter strictement la durée de conservation des données scrapées non exploitées. Une base constituée par scraping et jamais utilisée dans les mois suivants doit être purgée, car sa conservation prolongée sans finalité active constitue en elle même un manquement au principe de minimisation.
Les pièges les plus fréquents que nous observons en accompagnement :
Le piège le plus répandu consiste à scraper une source sans vérifier si celle ci interdit explicitement cette pratique dans ses conditions d’utilisation. Certaines plateformes, notamment les réseaux professionnels, prohibent contractuellement le scraping automatisé, ce qui expose l’entreprise à un risque juridique distinct du RGPD, relevant du droit des contrats ou de la propriété des données.
Un second piège fréquent est l’absence totale de mécanisme de désinscription réellement fonctionnel sur les campagnes construites à partir de bases scrapées. Une personne qui souhaite s’opposer au traitement de ses données doit pouvoir le faire simplement, faute de quoi l’entreprise s’expose à une plainte individuelle, souvent le point de départ d’un contrôle CNIL plus large.
Un troisième piège concerne le mélange de sources de données sans distinction claire de leur origine. Lorsqu’une base commerciale combine des contacts scrapés, des contacts issus de salons professionnels, et des contacts ayant réellement consenti à recevoir des communications, l’entreprise perd la capacité de traiter chaque catégorie selon ses obligations propres, ce qui finit par uniformiser à tort le traitement de données pourtant soumises à des règles différentes.
| Aspect à vérifier | Scraping B2B | Scraping B2C |
|---|---|---|
| Base légale généralement applicable | Intérêt légitime | Consentement explicite |
| Niveau de risque CNIL | Modéré si information et opposition prévues | Élevé sans consentement documenté |
| Obligation d’information | Recommandée systématiquement | Obligatoire avant tout traitement |
| Durée de conservation recommandée | Limitée à la finalité commerciale active | Très limitée, suppression rapide si non consenti |
Le scraping reste une pratique encadrée, pas interdite, à condition de documenter précisément sa base légale, de choisir ses prestataires avec rigueur, et de distinguer clairement les régimes B2B et B2C. Cyberstrat accompagne les entreprises dans l’audit de leurs pratiques de collecte de données et dans la sécurisation juridique de leurs bases de prospection. Contactez notre équipe pour évaluer vos pratiques actuelles.
