Le web scraping est-il légal ?

Collecter des informations publiquement disponibles est généralement légal aux États-Unis, dans l’UE et dans des juridictions similaires, mais le « web scraping » n’est pas une question par oui ou non. Sa légalité dépend de la façon dont vous accédez aux données, des conditions d’utilisation du site, du droit d’auteur et du droit de la protection des données — elle tient donc à ce que vous collectez, d’où, et à la façon dont vous l’utilisez.

En pratique, quatre éléments déterminent si un projet de scraping donné est licite : comment vous accédez au site (pages publiques ou contenu derrière une connexion), si vous avez accepté des conditions qui l’interdisent, si le contenu est protégé par le droit d’auteur, et si les données identifient des personnes réelles. Extraire des fiches d’entreprises publiées ouvertement se situe à l’extrémité à faible risque de ce spectre ; récolter des données personnelles derrière un compte se situe à l’extrémité à haut risque. Cette page passe en revue chaque facteur et son application aux données d’annuaires d’entreprises telles que les Pages Jaunes.

Aucune loi unique ne régit le web scraping. Plusieurs se recoupent : les lois d’accès aux ordinateurs (comme le CFAA américain), les conditions d’utilisation du site, le droit d’auteur et les droits sur les bases de données, et les lois de protection des données telles que le RGPD, la LPRPDE et le CCPA. Les lois anti-spam régissent ensuite la façon dont vous pouvez contacter les personnes ou entreprises que vous collectez.

À retenir : la collecte et l’utilisation des données sont régies séparément. Vous pouvez collecter licitement des fiches d’entreprises publiques et enfreindre tout de même les règles en leur écrivant sans respecter le droit anti-spam — les deux étapes comptent donc.

Collecter des données réellement publiques — visibles par quiconque sans se connecter — est largement permis, et des tribunaux américains ont jugé que cela ne viole pas en soi le Computer Fraud and Abuse Act. Ce n’est toutefois pas une autorisation générale : le contrat, le droit d’auteur et les règles de confidentialité peuvent tout de même s’appliquer selon le site et les données.

« Public » est le mot clé. Les données montrées à tout visiteur d’un site sont traitées très différemment des données derrière un mot de passe, un paywall ou une barrière technique. Contourner des contrôles d’accès, utiliser des identifiants volés ou ignorer un blocage fait passer un projet de « lire une page publique » vers « accès non autorisé », là où commence le vrai risque juridique. Les annuaires d’entreprises publient leurs fiches ouvertement pour que les gens les trouvent, c’est pourquoi les extraire est généralement moins risqué que de scraper un réseau social nécessitant une connexion.

Dans hiQ Labs c. LinkedIn, la Cour d’appel du 9e circuit américain a indiqué que scraper des données publiquement disponibles — sans se connecter ni contourner de contrôles d’accès — ne viole pas le Computer Fraud and Abuse Act. Cela n’a pas rendu tout scraping légal : une décision ultérieure a jugé que hiQ avait enfreint le contrat d’utilisation de LinkedIn, et l’affaire s’est finalement réglée.

C’est l’autorité américaine la plus citée sur le scraping de données publiques. Son enseignement durable est étroit mais utile : rassembler des informations qu’un site montre au public n’est pas du « piratage » au sens du CFAA. En même temps, la constatation ultérieure sur le contrat rappelle que les conditions d’utilisation d’un site peuvent tout de même vous lier. Les deux décisions ensemble expliquent pourquoi respecter les conditions de chaque site — et pas seulement sa page de connexion — est important.

Oui. Les lois de protection des données comme le RGPD, la LPRPDE et le CCPA s’appliquent lorsque l’information identifie un individu. Les données firmographiques d’entreprise — un nom de société, une adresse de bureau et un standard téléphonique — comportent moins de risque que les données personnelles, mais le nom d’une personne ou un e-mail personnel peut tout de même constituer une donnée personnelle, donc les fiches de contact doivent être traitées avec soin.

Extraire des fiches d’annuaires telles que les Pages Jaunes est essentiellement firmographique : cela décrit des organisations plutôt que des particuliers. C’est à moindre risque. La ligne à surveiller est celle où une fiche nomme une personne précise ou donne un e-mail personnel — à ce moment, le droit de la vie privée peut s’appliquer, et il vous faut une base légale pour l’utiliser, surtout pour le marketing dans l’UE, au Royaume-Uni et au Canada. Traitez chaque fiche de contact comme si elle pouvait contenir des données personnelles, et vous restez du bon côté.

Extraire des coordonnées d’entreprises publiées — nom de société, adresse, téléphone et e-mail professionnel — est moins risqué que collecter des données personnelles, car il s’agit d’informations professionnelles publiées pour être trouvées. Vous devez tout de même respecter les conditions d’utilisation de chaque annuaire, éviter de surcharger ses serveurs, et n’utiliser les données qu’à des fins professionnelles légitimes.

Les annuaires d’entreprises existent précisément pour que les clients puissent découvrir et contacter des sociétés : les fiches sont donc publiques par nature. Cela fait des données d’annuaires l’une des sources les plus défendables — à condition de les collecter à un rythme raisonnable, de suivre les conditions de chaque site, de les garder exactes et de les utiliser pour de la recherche et de la prospection B2B véritables plutôt que du spam. Yellow Pages Scraper ne rassemble que les champs qu’un annuaire publie déjà ; l’usage licite de ces données ensuite relève de la responsabilité de l’expéditeur.

Ne collectez que des champs d’entreprises publics, respectez robots.txt et les conditions de chaque site, limitez votre cadence de requêtes pour ne pas perturber le service, gardez les données exactes et sécurisées, honorez les demandes d’opt-out et de suppression, et n’utilisez les données qu’à des fins B2B légitimes. Suivez ensuite le droit anti-spam chaque fois que vous contactez les entreprises collectées.

Oui, pour de la recherche et de la prospection interentreprises légitimes — mais la façon de contacter les personnes est régie séparément de la façon de collecter les données. Les lois anti-spam telles que CAN-SPAM (US), la LCAP (Canada) et le RGPD (UE) fixent des règles de consentement, d’identification honnête et d’opt-out facile que vous devez respecter.

Collecter un numéro de téléphone ou un e-mail professionnel public est une étape ; leur écrire ou les appeler en est une autre, et c’est cette seconde étape qui est la plus encadrée. Identifiez-vous honnêtement, offrez un moyen fonctionnel de se désinscrire, respectez les demandes de non-contact et — surtout au Canada et dans l’UE — assurez-vous d’avoir une base légale pour prendre contact. Utilisées ainsi, les données d’annuaires alimentent une recherche de prospects légitime ; utilisées pour envoyer du spam non sollicité, elles enfreignent la loi quelle que soit la façon dont les données ont été obtenues.