La plupart des projets de scraping n’arrivent devant l’équipe juridique que tard, sous la forme d’une demande de validation pour quelque chose de déjà construit. C’est la façon la plus lente d’obtenir une approbation. Les questions que posent les juristes sont prévisibles, et une équipe qui y répond en amont obtient généralement une décision en quelques jours plutôt qu’en plusieurs semaines.
Cette checklist expose ces questions, regroupées comme le déroule habituellement une revue juridique, avec pourquoi chacune compte et à quoi ressemble une bonne réponse. Elle est écrite pour les ingénieurs et les responsables data qui portent le projet, afin qu’ils sachent quoi préparer.
Ceci est une information générale, pas un conseil juridique. Les règles diffèrent selon les pays et évoluent rapidement, et c’est votre propre conseil juridique qui décide de ce qui s’applique à votre projet.
1. Quelles données, précisément ?
Les premières questions portent sur le périmètre, et des réponses vagues ici ralentissent tout le reste.
- Quels champs allez-vous collecter ? Listez-les. « Données produit » n’est pas une réponse ; « nom du produit, prix, devise, statut de stock et URL » en est une.
- Depuis quels sites, et combien de pages ? Nommez les sources, le volume et la fréquence.
- À quoi cela sert-il ? L’usage détermine une grande partie de ce qui suit : surveillance interne des prix, fonctionnalité produit, revente, ou entraînement d’un modèle d’IA soulèvent chacun des problématiques différentes.
- En avez-vous vraiment besoin de tout ? Attendez-vous à ce qu’on vous demande de retirer des champs qui ne servent pas l’objectif.
Une bonne réponse tient en une page de périmètre avec un enregistrement exemple et une liste de champs, chacun relié à l’objectif.
2. Y a-t-il des données personnelles ?
C’est souvent la question la plus importante, et celle sur laquelle les équipes se trompent le plus souvent en supposant que « public » signifie « sans restriction ».
- Un champ pourrait-il identifier une personne, seul ou combiné avec d’autres ? Les noms, pseudonymes, photos, URLs de profil et coordonnées comptent tous. Les avis et publications avec un auteur rattaché aussi.
- À qui appartiennent ces données, et où vivent ces personnes ? Le droit européen et britannique de la protection des données s’applique aux données personnelles des personnes situées dans ces régions, où que le collecteur soit basé, et il ne fait aucune exception pour les données publiquement disponibles.
- Quelle est la base légale, et quelqu’un a-t-il mis en balance l’intérêt du projet et les droits des personnes ?
- Comment les personnes seront-elles informées ? Lorsque des données sont collectées sur des personnes plutôt qu’auprès d’elles, la loi s’attend tout de même à ce qu’elles soient informées, et des régulateurs ont sanctionné des entreprises ayant constitué des bases de données à partir de contenus publiés publiquement.
- Pouvez-vous l’éviter ? La meilleure réponse est souvent d’exclure les champs personnels dès la collecte.
Une bonne réponse montre quels champs sont personnels, pourquoi chacun est nécessaire, et comment le reste est filtré avant le stockage. Si les données personnelles sont centrales au projet, attendez-vous à une analyse d’impact formelle. Notre présentation de la conformité RGPD couvre les bases.
3. D’où cela provient-il ?
L’équipe juridique voudra savoir exactement quel type d’accès sous-tend le projet.
- Tout est-il visible publiquement sans connexion ? Les données situées derrière une connexion sont une autre affaire : les collecter implique généralement d’accepter les conditions d’utilisation du site, et des affaires américaines ont été tranchées précisément sur ce point. Dans le litige hiQ contre LinkedIn, hiQ a d’abord gagné sur la loi anti-piratage, mais a ensuite été jugé en infraction avec le contrat d’utilisateur, en partie via de faux comptes, et l’affaire s’est terminée par une injonction et un ordre de destruction des données.
- Avez-vous accepté les conditions du site ? Si un compte ou une acceptation en un clic est impliqué, l’équipe juridique lira ces conditions. Un tribunal américain a jugé en 2024 que les conditions de Meta n’interdisaient pas la collecte de données publiques hors connexion, ce qui montre pourquoi les cas avec et sans connexion sont traités si différemment.
- Que disent robots.txt et les autres signaux d’opt-out ? Même lorsque robots.txt n’a pas de valeur contraignante légale, l’équipe juridique demandera si vous le respectez. Pour l’entraînement d’IA dans l’UE, les réserves lisibles par machine ont un poids juridique. Notre guide sur robots.txt et les opt-outs pour l’IA couvre ces signaux.
- Existe-t-il une API officielle ou une licence ? Si un site propose ses données via une API ou moyennant paiement, l’équipe juridique demandera pourquoi vous n’empruntez pas cette voie.
Une bonne réponse liste chaque source avec son type d’accès (public, connecté, API), ses conditions et sa position robots.txt, vérifiés à une date indiquée.
4. Comment allez-vous les collecter ?
La méthode compte, indépendamment des données. Des réclamations fondées sur la façon dont un site a été accédé ont survécu en justice même quand les réclamations sur les données elles-mêmes ont échoué : dans l’affaire de 2024 opposant X Corp à une entreprise de données, le tribunal a rejeté les réclamations concernant le scraping et la revente de publications publiques, mais a ensuite laissé avancer les réclamations concernant la charge serveur.
- À quelle vitesse, et quelle charge ? Précisez le taux de requêtes par site et comment il s’adapte aux erreurs et aux réponses lentes.
- Contournez-vous un contrôle d’accès ? Les connexions, paywalls et mesures techniques restreignant l’accès sont les points où le risque juridique augmente nettement. Attendez-vous à une question ferme ici.
- Comment vous identifiez-vous ? L’équipe juridique peut demander si le collecteur se nomme ou fournit un contact.
- Qui fournit l’infrastructure ? Si vous utilisez un réseau de proxies ou un service de scraping, l’équipe juridique demandera comment le fournisseur se procure ses adresses IP et ce qu’il enregistre. Notre explication sur comment les fournisseurs sourcent de manière éthique les IP résidentielles couvre ce qu’il faut demander à un fournisseur.
Une bonne réponse décrit le dispositif de collecte en termes simples : taux, comportement de réessai et de ralentissement, gestion des blocages, et une déclaration précisant que le projet ne contourne ni les connexions ni les paywalls.
5. Qui en est propriétaire, et qu’avez-vous le droit d’en faire ?
Collecter des données ne vous en rend pas propriétaire. L’équipe juridique séparera ce que vous pouvez utiliser librement de ce qui reste la propriété d’autrui.
- S’agit-il de faits ou de contenu ? Les prix, dates et quantités ne sont généralement pas protégés par le droit d’auteur. Le texte des articles, les photos et la formulation des avis le sont.
- Cela provient-il d’une base de données européenne ? Dans l’UE et au Royaume-Uni, le producteur d’une base de données ayant investi substantiellement dedans peut empêcher d’autres d’en extraire une partie substantielle, même quand chaque élément est un simple fait.
- Allez-vous partager, vendre ou publier ces données ? L’analyse interne, une fonctionnalité orientée client et la revente portent chacune plus de risque que la précédente.
- Cela servira-t-il à entraîner un modèle d’IA ? Attendez-vous à des questions sur les opt-outs, l’origine de chaque partie du jeu de données, et comment l’acquisition a été documentée. Des décisions américaines récentes ont traité la façon dont le matériel d’entraînement a été acquis comme une question distincte de la façon dont il a été utilisé.
Une bonne réponse sépare le jeu de données en faits, données dérivées et contenu copié, et explique ce qui sort de l’entreprise. Notre guide sur qui possède les données scrapées couvre ces différentes couches en détail.
6. Où ces données vivront-elles, et pendant combien de temps ?
- Où sont-elles stockées et traitées ? La juridiction affecte quelles lois s’appliquent, et l’emplacement de vos sorties de proxy n’est pas le même que celui de vos données. Voir la résidence des données n’est pas la localisation du proxy.
- Qui peut y accéder ? Attendez-vous à des questions sur le contrôle d’accès et la sécurité, surtout pour tout ce qui est personnel.
- Combien de temps allez-vous les conserver ? Ayez une durée de conservation et un moyen de supprimer les données une fois celle-ci écoulée.
- Pouvez-vous supprimer un enregistrement ou une source spécifique sur demande ? Si une personne ou un propriétaire de site le demande, vous devez pouvoir retrouver et supprimer ce qui vient de lui.
Une bonne réponse nomme le lieu de stockage, le groupe d’accès, la durée de conservation et le processus de suppression.
7. Qui est responsable, et que se passe-t-il en cas d’objection ?
- Qui porte le projet ? Une personne nommée qui peut répondre aux questions et arrêter la collecte.
- Qu’est-ce qui est documenté ? Les sources, dates, réglages et modifications, conservés pour pouvoir montrer plus tard ce qui a été collecté et comment. La surveillance aide aussi sur ce point ; voir comment surveiller un pipeline de web scraping.
- Que se passe-t-il si un site envoie une réclamation ou une mise en demeure ? L’équipe juridique voudra un plan : qui la reçoit, à quelle vitesse la collecte depuis cette source peut être suspendue, et qui décide de la suite.
- Quand le projet sera-t-il réexaminé ? Les sites changent leurs conditions et signaux ; un réexamen annuel, ou à chaque changement d’objectif, est courant.
Une bonne réponse nomme le responsable, pointe vers la documentation, et décrit une procédure d’arrêt exécutable le jour même.
Un résumé d’accueil tenant sur une page
Apportez ceci à la première réunion, rempli. Cela répond à la plupart des questions ci-dessus avant même qu’elles ne soient posées.
| Sujet | Ce qu’il faut apporter |
|---|---|
| Périmètre | Liste de champs, enregistrement exemple, sources, volume, fréquence |
| Objectif | À quoi servent les données, et qui les utilisera |
| Données personnelles | Quels champs sont personnels, pourquoi ils sont nécessaires, comment les autres sont exclus |
| Accès | Pour chaque source : public ou connecté, conditions, robots.txt, API disponible ou non |
| Méthode | Taux de requêtes, ralentissement, gestion des blocages, aucun contournement de connexions ou de paywalls |
| Infrastructure | Fournisseur de proxy ou de scraping, et comment il se procure les IP |
| Usage | Interne, orienté client, revente ou entraînement d’IA |
| Stockage | Localisation, groupe d’accès, durée de conservation, processus de suppression |
| Responsabilité | Responsable du projet, documentation, procédure de réclamation et d’arrêt, date de réexamen |
Une politique permanente accélère ce processus pour chaque projet suivant le premier. Notre modèle de politique de collecte de données d’entreprise transforme ces réponses en règles valables pour toute l’entreprise, de sorte que chaque nouveau projet n’a plus qu’à documenter ce qui diffère. Pour une vue d’ensemble juridique plus large, voir le web scraping est-il légal.
FAQ
Le scraping nécessite-t-il une approbation juridique ?
De nombreuses entreprises l’exigent, en particulier pour les projets impliquant des données personnelles, un accès connecté, de la revente ou de l’entraînement d’IA. Même lorsque ce n’est pas requis, une revue rapide évite de construire quelque chose qui devra être démantelé plus tard.
Quelle est la raison la plus courante pour laquelle l’équipe juridique bloque un projet de scraping ?
Les données personnelles sans objectif clair ni base légale en sont une fréquente. La collecte derrière des connexions, et les projets de republication de contenu protégé par le droit d’auteur, en sont d’autres. Restreindre le périmètre résout souvent les trois à la fois.
Les données publiques sont-elles libres de scraping ?
Pas sans conditions. Les données personnelles publiques restent protégées par le droit de la protection des données en Europe et au Royaume-Uni, le contenu créatif reste protégé par le droit d’auteur, et dans l’UE, certaines bases de données sont protégées même quand elles ne contiennent que des faits. La façon dont vous les collectez compte aussi.
Combien de temps dure une revue juridique d’un projet de scraping ?
Cela dépend de l’entreprise et du projet, mais la majeure partie du délai provient des allers-retours sur le périmètre et les données. Apporter un résumé d’accueil complet à la première réunion en élimine la plus grande partie.
En résumé
Les équipes juridiques posent les mêmes questions pour chaque projet de scraping : quelles données, à qui appartiennent-elles, d’où viennent-elles, comment, pour quoi faire, où sont-elles stockées, et qui est responsable. Préparez les réponses avant le début de la revue, gardez les données personnelles et l’accès connecté hors périmètre à moins qu’ils ne soient essentiels, et documentez sources et méthodes au fur et à mesure. Les projets qui arrivent avec un résumé d’accueil clair sont approuvés plus vite, et plus faciles à défendre si quelqu’un pose des questions par la suite.