¿Es legal el web scraping?

Recopilar información disponible públicamente suele ser legal en EE. UU., la UE y jurisdicciones similares, pero el «web scraping» no es una cuestión de sí o no. Su legalidad depende de cómo accede a los datos, de las condiciones de servicio del sitio, de los derechos de autor y de la ley de protección de datos — así que depende de qué recopila, de dónde y de cómo lo usa.

En la práctica, cuatro factores determinan si un proyecto de scraping concreto es lícito: cómo accede al sitio (páginas públicas o contenido tras un inicio de sesión), si aceptó condiciones que lo prohíben, si el material está protegido por derechos de autor y si los datos identifican a personas reales. Extraer fichas de empresas publicadas abiertamente se sitúa en el extremo de menor riesgo de ese espectro; recolectar datos personales tras una cuenta se sitúa en el de mayor riesgo. Esta página repasa cada factor y cómo se aplica a los datos de directorios de empresas como las Páginas Amarillas.

Ninguna ley única regula el web scraping. En su lugar se solapan varias: las leyes de acceso a ordenadores (como el CFAA de EE. UU.), las condiciones de servicio del sitio, los derechos de autor y de bases de datos, y las leyes de protección de datos como el RGPD, la PIPEDA y la CCPA. Las leyes antispam rigen después cómo puede contactar a las personas o empresas que recopila.

La conclusión: la recopilación y el uso de los datos se rigen por separado. Puede recopilar lícitamente fichas de empresa públicas e infringir igualmente las normas al escribirles sin cumplir la ley antispam — así que ambos pasos importan.

Recopilar datos genuinamente públicos — visibles para cualquiera sin iniciar sesión — está ampliamente permitido, y los tribunales de EE. UU. han considerado que por sí mismo no infringe el Computer Fraud and Abuse Act. Sin embargo, no es una licencia general: el contrato, los derechos de autor y las normas de privacidad pueden aplicarse igualmente según el sitio y los datos.

«Público» es la palabra clave. Los datos que se muestran a cualquier visitante de un sitio se tratan de forma muy distinta de los datos tras una contraseña, un muro de pago o una barrera técnica. Eludir controles de acceso, usar credenciales robadas o ignorar un bloqueo lleva un proyecto de «leer una página pública» hacia «acceso no autorizado», que es donde empieza el verdadero riesgo jurídico. Los directorios de empresas publican sus fichas abiertamente para que la gente las encuentre, por lo que extraerlas suele ser de menor riesgo que extraer una red social con inicio de sesión.

En hiQ Labs contra LinkedIn, el Noveno Circuito de EE. UU. indicó que extraer datos disponibles públicamente — sin iniciar sesión ni eludir controles de acceso — no infringe el Computer Fraud and Abuse Act. No hizo legal todo el scraping: una resolución posterior consideró que hiQ había incumplido el acuerdo de usuario de LinkedIn, y el caso acabó llegando a un acuerdo.

Es la autoridad estadounidense más citada sobre el scraping de datos públicos. Su enseñanza duradera es estrecha pero útil: reunir información que un sitio muestra al público no es «piratería» bajo el CFAA. Al mismo tiempo, el fallo posterior sobre el contrato recuerda que las condiciones de servicio de un sitio pueden vincularle igualmente. Los dos fallos juntos explican por qué respetar las condiciones de cada sitio — y no solo su muro de inicio de sesión — importa.

Sí. Las leyes de protección de datos como el RGPD, la PIPEDA y la CCPA se aplican cuando la información identifica a un individuo. Los datos firmográficos de empresa — un nombre de empresa, una dirección de oficina y una centralita — conllevan menos riesgo que los datos personales, pero el nombre de una persona o un correo personal pueden ser igualmente datos personales, así que las fichas de contacto deben tratarse con cuidado.

Extraer fichas de directorios como las Páginas Amarillas es en su mayoría firmográfico: describe organizaciones más que particulares. Eso es de menor riesgo. La línea a vigilar es donde una ficha nombra a una persona concreta o da un correo personal — en ese punto puede aplicarse la ley de privacidad, y necesita una base legal para usarlo, sobre todo para marketing en la UE, el Reino Unido y Canadá. Trate cada ficha de contacto como si pudiera contener datos personales y estará del lado seguro.

Extraer datos de contacto de empresa publicados — nombre de empresa, dirección, teléfono y correo comercial — es de menor riesgo que recopilar datos personales, porque es información comercial publicada para que la encuentren. Aun así, debe respetar las condiciones de servicio de cada directorio, evitar sobrecargar sus servidores y usar los datos solo con fines comerciales legítimos.

Los directorios de empresas existen precisamente para que los clientes puedan descubrir y contactar empresas, así que las fichas son públicas por diseño. Eso hace de los datos de directorios una de las fuentes más defendibles con las que trabajar — siempre que los recopile a un ritmo razonable, siga las condiciones de cada sitio, los mantenga exactos y los use para investigación y prospección B2B genuinas en lugar de spam. Yellow Pages Scraper solo reúne los campos que un directorio ya publica; el uso lícito de esos datos después es responsabilidad del remitente.

Recopile solo campos de empresa públicos, respete robots.txt y las condiciones de cada sitio, limite su frecuencia de solicitudes para no perturbar el servicio, mantenga los datos exactos y seguros, atienda las solicitudes de baja y supresión, y úselos solo con fines B2B legítimos. Después, siga la ley antispam siempre que contacte a las empresas que recopiló.

Sí, para investigación y prospección entre empresas legítimas — pero cómo contacta a las personas se regula por separado de cómo recopila los datos. Las leyes antispam como CAN-SPAM (EE. UU.), CASL (Canadá) y el RGPD (UE) fijan normas de consentimiento, identificación honesta y una baja fácil que debe respetar.

Recopilar un teléfono o un correo comercial público es un paso; escribirle o llamarle es otro, y ese segundo paso es donde más aprietan las normas. Identifíquese con honestidad, ofrezca una forma funcional de darse de baja, respete las solicitudes de no contactar y — sobre todo en Canadá y la UE — asegúrese de tener una base legal para contactar. Usados así, los datos de directorios impulsan una investigación de contactos legítima; usados para enviar spam no solicitado, infringen la ley con independencia de cómo se obtuvieran los datos.