La mayoría de los proyectos de scraping llegan tarde al equipo legal, como una solicitud de visto bueno para algo que ya está construido. Esa es la forma más lenta de conseguir la aprobación. Las preguntas que hacen los abogados son predecibles, y un equipo que las responde de antemano suele obtener una decisión en días en lugar de semanas.
Esta lista de verificación plantea las preguntas, agrupadas de la forma en que normalmente transcurre una revisión legal, explicando por qué importa cada una y cómo es una buena respuesta. Está escrita para los ingenieros y responsables de datos que presentan el proyecto, para que sepan qué preparar.
Esto es información general, no asesoramiento legal. Las normas difieren según el país y cambian con rapidez, y es su propio asesor legal quien decide qué se aplica a su proyecto.
1. ¿Qué datos, exactamente?
Las primeras preguntas son sobre el alcance, y las respuestas vagas aquí ralentizan todo lo demás.
- ¿Qué campos va a recopilar? Enumérelos. “Datos de producto” no es una respuesta; “nombre del producto, precio, moneda, estado de stock y URL” sí lo es.
- ¿De qué sitios, y cuántas páginas? Indique las fuentes, el volumen y la frecuencia.
- ¿Para qué es? El propósito determina gran parte de lo que sigue: el seguimiento interno de precios, una funcionalidad de producto, la reventa o el entrenamiento de un modelo de IA plantean cuestiones distintas.
- ¿Necesita todo esto? Espere que le pidan eliminar campos que no sirven al propósito.
Una buena respuesta es un alcance de una página con un registro de muestra y una lista de campos, cada campo vinculado al propósito.
2. ¿Hay datos personales entre ellos?
Esta es a menudo la pregunta más importante, y la que más suelen equivocar los equipos al asumir que público significa sin restricciones.
- ¿Podría algún campo identificar a una persona, por sí solo o combinado con otros? Nombres, nombres de usuario, fotos, URLs de perfil y datos de contacto cuentan. También lo hacen las reseñas y publicaciones con un autor asociado.
- ¿De quién son los datos, y dónde viven esas personas? La normativa de protección de datos europea y del Reino Unido se aplica a los datos personales de personas en esas regiones, independientemente de dónde esté ubicado quien los recopila, y no hace ninguna excepción para los datos disponibles públicamente.
- ¿Cuál es la base legal, y alguien ha sopesado el interés del proyecto frente a los derechos de las personas?
- ¿Cómo se informará a las personas? Cuando se recopilan datos sobre personas en lugar de a partir de ellas, la ley sigue esperando que se les informe, y los reguladores han multado a empresas que construyeron bases de datos a partir de material publicado públicamente.
- ¿Puede evitarlo? La mejor respuesta suele ser excluir los campos personales en el momento de la recopilación.
Una buena respuesta muestra qué campos son personales, por qué se necesita cada uno, y cómo se filtra el resto antes del almacenamiento. Si los datos personales son centrales en el proyecto, espere una evaluación de impacto formal. Nuestro resumen sobre cumplimiento del RGPD cubre los fundamentos.
3. ¿De dónde proceden?
El equipo legal querrá saber exactamente qué tipo de acceso sustenta el proyecto.
- ¿Es todo visible públicamente sin necesidad de iniciar sesión? Los datos detrás de un inicio de sesión son un asunto distinto: recopilarlos normalmente implica aceptar los términos del sitio, y los casos estadounidenses han girado exactamente en torno a eso. En la disputa entre hiQ y LinkedIn, hiQ ganó resoluciones tempranas sobre la ley antihackeo, pero más tarde se determinó que había incumplido el acuerdo de usuario, en parte mediante cuentas falsas, y el caso terminó con una orden judicial y una orden de destruir los datos.
- ¿Ha aceptado los términos del sitio? Si hay una cuenta o un acuerdo aceptado de por medio, el equipo legal leerá esos términos. Un tribunal de Estados Unidos determinó en 2024 que los términos de Meta no prohibían la recopilación de datos públicos sin haber iniciado sesión, lo que muestra por qué los casos con sesión iniciada y sin ella se tratan de forma tan distinta.
- ¿Qué dicen robots.txt y otras señales de exclusión? Incluso donde robots.txt no es jurídicamente vinculante, el equipo legal preguntará si lo respeta. Para el entrenamiento de IA en la UE, las reservas legibles por máquina tienen peso legal. Nuestra guía sobre robots.txt y las exclusiones para IA cubre estas señales.
- ¿Existe una API oficial o una licencia? Si un sitio ofrece sus datos mediante una API o a cambio de un pago, el equipo legal preguntará por qué no está usando esa vía.
Una buena respuesta enumera cada fuente con su tipo de acceso (público, con sesión iniciada, API), sus términos y su posición respecto a robots.txt, comprobados en una fecha indicada.
4. ¿Cómo lo va a recopilar?
El método importa, por separado de los datos. Las reclamaciones basadas en cómo se accedió a un sitio han prosperado en los tribunales incluso cuando las reclamaciones sobre los propios datos no lo hicieron: en el caso de 2024 de X Corp contra una empresa de datos, el tribunal desestimó las reclamaciones sobre el scraping y la reventa de publicaciones públicas, pero más tarde permitió que avanzaran las reclamaciones sobre la carga en los servidores.
- ¿A qué velocidad, y con cuánta carga? Indique la tasa de solicitudes por sitio y cómo se adapta a errores y respuestas lentas.
- ¿Se elude algún control de acceso? Los inicios de sesión, los muros de pago y las medidas técnicas que restringen el acceso son donde el riesgo legal aumenta drásticamente. Espere una pregunta firme en este punto.
- ¿Cómo se identifican? El equipo legal puede preguntar si quien recopila se identifica o facilita un contacto.
- ¿Quién proporciona la infraestructura? Si usa una red de proxies o un servicio de scraping, el equipo legal preguntará cómo obtiene el proveedor sus direcciones IP y qué registra. Nuestra explicación sobre cómo los proveedores obtienen IPs residenciales de forma ética cubre qué preguntar a un proveedor.
Una buena respuesta describe la configuración de recopilación en términos claros: tasas, comportamiento de reintento y espera progresiva, cómo se gestionan los bloqueos, y una declaración de que el proyecto no elude inicios de sesión ni muros de pago.
5. ¿Quién es el propietario, y qué puede hacer con ellos?
Recopilar datos no le convierte en su propietario. El equipo legal separará lo que puede usar libremente de lo que sigue perteneciendo a otro.
- ¿Son hechos o contenido? Los precios, las fechas y los recuentos generalmente no están protegidos por derechos de autor. El texto de los artículos, las fotos y la redacción de las reseñas sí lo están.
- ¿Proceden de una base de datos europea? En la UE y el Reino Unido, el creador de una base de datos que haya invertido sustancialmente en ella puede impedir que otros extraigan una parte sustancial, incluso cuando cada elemento sea un simple hecho.
- ¿Va a compartirlos, venderlos o publicarlos? El análisis interno, una funcionalidad orientada al cliente y la reventa conllevan, cada uno, más riesgo que el anterior.
- ¿Se usarán para entrenar un modelo de IA? Espere preguntas sobre las exclusiones, el origen de cada parte del conjunto de datos, y cómo se documentó la adquisición. Resoluciones recientes en Estados Unidos han tratado cómo se adquirió el material de entrenamiento como una cuestión separada de cómo se usó.
Una buena respuesta separa el conjunto de datos en hechos, datos derivados y contenido copiado, y explica qué sale de la empresa. Nuestra guía sobre quién es el propietario de los datos obtenidos mediante scraping cubre estas capas en profundidad.
6. ¿Dónde se van a almacenar, y durante cuánto tiempo?
- ¿Dónde se almacenan y procesan? La jurisdicción afecta a qué leyes se aplican, y la ubicación de las salidas de sus proxies no es lo mismo que la ubicación de sus datos. Vea la residencia de los datos no es la ubicación del proxy.
- ¿Quién puede acceder a ellos? Espere preguntas sobre el control de acceso y la seguridad, especialmente para cualquier dato personal.
- ¿Durante cuánto tiempo los va a conservar? Tenga un periodo de conservación y una forma de eliminar los datos cuando este termine.
- ¿Puede eliminar un registro o una fuente concreta a petición? Si una persona o el propietario de un sitio lo solicita, necesita poder localizar y eliminar lo que procede de ellos.
Una buena respuesta indica el lugar de almacenamiento, el grupo de acceso, el periodo de conservación y el proceso de eliminación.
7. ¿Quién es responsable, y qué ocurre si alguien se opone?
- ¿Quién es el responsable del proyecto? Una persona designada que pueda responder preguntas y detener la recopilación.
- ¿Qué se documenta? Fuentes, fechas, configuraciones y cambios, conservados de forma que pueda demostrar más adelante qué se recopiló y cómo. La supervisión también ayuda aquí; vea cómo supervisar un pipeline de web scraping.
- ¿Qué ocurre si un sitio envía una queja o una carta de cese y desistimiento? El equipo legal querrá un plan: quién la recibe, con qué rapidez se puede pausar la recopilación de esa fuente, y quién decide qué pasa a continuación.
- ¿Cuándo se revisará de nuevo el proyecto? Los sitios cambian sus términos y señales; una revisión anual, o cada vez que cambie el propósito, es habitual.
Una buena respuesta nombra al responsable, señala la documentación, y describe un procedimiento de parada que se pueda ejecutar el mismo día.
Un resumen de admisión de una página
Lleve esto a la primera reunión, ya completado. Responde a la mayoría de las preguntas anteriores antes de que se formulen.
| Tema | Qué llevar |
|---|---|
| Alcance | Lista de campos, registro de muestra, fuentes, volumen, frecuencia |
| Propósito | Para qué son los datos, y quién los va a usar |
| Datos personales | Qué campos son personales, por qué se necesitan, cómo se excluyen los demás |
| Acceso | Para cada fuente: público o con sesión iniciada, términos, robots.txt, API disponible o no |
| Método | Tasas de solicitud, espera progresiva, gestión de bloqueos, sin eludir inicios de sesión o muros de pago |
| Infraestructura | Proveedor de proxies o de scraping, y cómo obtiene las IPs |
| Uso | Interno, orientado al cliente, reventa o entrenamiento de IA |
| Almacenamiento | Ubicación, grupo de acceso, periodo de conservación, proceso de eliminación |
| Responsabilidad | Responsable del proyecto, documentación, procedimiento de quejas y de parada, fecha de revisión |
Una política permanente agiliza esto para cada proyecto posterior al primero. Nuestra plantilla de política de recopilación de datos para empresas convierte estas respuestas en normas aplicables a toda la empresa, de forma que cada nuevo proyecto solo tiene que documentar lo que es diferente. Para el panorama legal más amplio, vea es legal el web scraping.
Preguntas frecuentes
¿El scraping necesita aprobación legal?
Muchas empresas la exigen, especialmente para proyectos que implican datos personales, acceso con sesión iniciada, reventa o entrenamiento de IA. Incluso cuando no se exige, una revisión breve evita construir algo que luego haya que retirar.
¿Cuál es el motivo más habitual por el que el equipo legal bloquea un proyecto de scraping?
Los datos personales sin un propósito y una base legal claros son uno frecuente. La recopilación detrás de inicios de sesión, y los planes de republicar contenido protegido por derechos de autor, son otros. Reducir el alcance suele resolver los tres.
¿Son los datos públicos libres de recopilar mediante scraping?
No sin condiciones. Los datos personales públicos siguen protegidos por la normativa de protección de datos en Europa y el Reino Unido, el contenido creativo sigue protegido por derechos de autor, y en la UE algunas bases de datos están protegidas incluso cuando solo contienen hechos. Cómo los recopile también importa.
¿Cuánto tarda una revisión legal de un proyecto de scraping?
Depende de la empresa y del proyecto, pero la mayor parte del retraso proviene de idas y venidas sobre el alcance y los datos. Llevar un resumen de admisión completado a la primera reunión elimina la mayor parte de ese retraso.
La conclusión
Los equipos legales hacen las mismas preguntas sobre todos los proyectos de scraping: qué datos, de quién, de dónde, cómo, para qué, dónde se almacenan y quién es responsable. Prepare las respuestas antes de que comience la revisión, mantenga los datos personales y el acceso con sesión iniciada fuera del alcance a menos que sean imprescindibles, y documente fuentes y métodos sobre la marcha. Los proyectos que llegan con un resumen de admisión claro se aprueban más rápido, y resultan más fáciles de defender si alguien hace preguntas más adelante.