Web scraping et extraction de données : état du droit et des risques
Aspirer automatiquement le contenu d’un site pour reconstituer une base concurrente, alimenter un comparateur ou entraîner un modèle d’intelligence artificielle : le web scraping est devenu une pratique aussi banale que contentieuse.
Techniquement trivial, il se heurte pourtant à un empilement de règles, propriété intellectuelle, droit des données personnelles, concurrence déloyale, droit pénal, dont l’articulation décide, au cas par cas, de la licéité de l’opération.
Aucun texte ne nomme le scraping en tant que tel. La qualification passe par la notion d’extraction, empruntée au droit des bases de données, mais le contentieux mobilise en réalité plusieurs fondements, souvent invoqués ensemble. L’enjeu pratique est double : pour l’éditeur d’un site, savoir sur quel terrain se défendre ; pour celui qui collecte, mesurer où passe la ligne.
Cet article cartographie les cinq fondements aujourd’hui mobilisés : le droit sui generis du producteur de bases de données, le droit d’auteur, la concurrence déloyale et le parasitisme, le RGPD et le droit pénal, enfin le régime spécifique de la fouille de données à l’ère de l’IA, et signale les points d’équilibre dégagés par la jurisprudence la plus récente.
I. LE DROIT SUI GENERIS DU PRODUCTEUR DE BASE DE DONNÉES
C’est le fondement central, et le plus redoutable, parce qu’il protège le contenu de la base indépendamment de toute originalité. Issu de la directive 96/9/CE, transposé aux articles L. 341-1 et suivants du Code de la propriété intellectuelle, il bénéficie au producteur — la personne qui prend l’initiative et le risque des investissements — dès lors que la constitution, la vérification ou la présentation du contenu atteste d’un investissement financier, matériel ou humain substantiel.1 Cette protection est autonome et se cumule avec le droit d’auteur.2
Extraction et réutilisation : les deux actes réservés
L’article L. 342-1 du CPI réserve au producteur le droit d’interdire, d’une part, l’extraction, le transfert de la totalité ou d’une partie substantielle du contenu sur un autre support, « par tout moyen et sous toute forme que ce soit » et, d’autre part, la réutilisation, c’est-à-dire la mise à disposition du public de ce contenu.3 La formule « par tout moyen » englobe aussi bien le robot d’aspiration que la recopie manuelle : le procédé technique est indifférent.
Même une aspiration « au fil de l’eau » de fragments non substantiels peut être sanctionnée : l’article L. 342-2 vise l’extraction ou la réutilisation répétée et systématique de parties non substantielles lorsqu’elle excède manifestement les conditions normales d’utilisation de la base.4 Autrement dit, on ne se soustrait pas à l’interdiction en morcelant la collecte.
Ce que le droit ne couvre pas : la simple consultation
La Cour de justice a posé une limite structurante dès l’arrêt British Horseracing Board : le droit sui generis protège l’extraction et la réutilisation, mais pas la consultation d’une base que le producteur a lui-même rendue accessible au public. Celui-ci ne peut interdire à un tiers de la lire ; il peut seulement s’opposer au transfert ou à la mise à disposition de son contenu.5 Le même arrêt distingue l’investissement consacré à l’obtention des données (rechercher et rassembler des éléments existants), qui est protégé, de celui consacré à leur création, qui ne l’est pas, nuance décisive lorsque l’exploitant produit lui-même la donnée.
Le tournant du préjudice : l’atteinte à l’amortissement de l’investissement
L’arrêt CV-Online Latvia c/ Melons (CJUE, 3 juin 2021) a recentré l’analyse. Reprenant les informations d’un site d’annonces d’emploi via un métamoteur, l’opérateur commet bien un acte d’extraction et de réutilisation ; mais l’atteinte n’est caractérisée que si l’opération porte atteinte à l’investissement du producteur en le privant des revenus censés lui permettre d’amortir cet investissement.6 En l’espèce, aucun préjudice n’a été retenu, le site d’origine demeurant l’intermédiaire principal. Le contentieux se joue désormais autant sur le préjudice économique que sur l’investissement.
La jurisprudence française illustre cette exigence, et sa part d’incertitude. En 2022, la Cour de cassation a confirmé la protection de la base « leboncoin » et de sa sous-base immobilière contre l’aspiration opérée par un concurrent, jugeant qu’un cessionnaire peut lui-même invoquer le droit sui generis dès lors qu’il réalise de nouveaux investissements substantiels.7 Mais les juges du fond divergent sur le préjudice : en février 2025, le tribunal judiciaire de Paris a débouté LBC France face à Directannonces — l’investissement était reconnu, mais le préjudice n’était pas établi, la société adverse préexistant au dispositif et ne cherchant pas à priver l’éditeur de ses revenus ;8 un mois plus tôt, dans l’affaire Nestenn, le même tribunal avait au contraire retenu que la seule captation des annonces constituait un préjudice intrinsèque.9
Leçon pratique : documenter l’investissement ne suffit plus. Il faut aussi être en mesure de démontrer en quoi l’extraction détourne un trafic ou des revenus, faute de quoi l’action échoue.
II. LE DROIT D’AUTEUR : UNE PROTECTION RÉSIDUELLE DE LA STRUCTURE
Le droit d’auteur ne protège pas le contenu de la base, mais son architecture, le choix et la disposition des matières, et seulement si celle-ci est originale, c’est-à-dire si elle porte l’empreinte de choix libres et créatifs de son auteur. Une arborescence dictée par des considérations purement fonctionnelles ou techniques (classement alphabétique, chronologique, géographique) ne l’est pas.
En pratique, ce terrain est peu mobilisé contre le scraping : l’aspiration vise le contenu, non la mise en forme, et la condition d’originalité de la structure est rarement remplie. Le droit d’auteur reste néanmoins utile lorsque des éléments éditoriaux originaux (fiches rédigées, descriptifs, visuels) sont repris à l’identique, et il se cumule alors avec le droit sui generis.
III. CONCURRENCE DÉLOYALE ET PARASITISME
Sur le fondement de l’article 1240 du Code civil, la concurrence déloyale et le parasitisme offrent un terrain de repli, lorsque le droit sui generis est écarté, ou complémentaire, à condition, dans ce dernier cas, que les faits invoqués soient distincts de ceux déjà sanctionnés au titre de la base de données. Le parasitisme consiste à se placer dans le sillage d’autrui pour tirer indûment profit de ses efforts, de ses investissements ou de sa réputation.
La chambre commerciale de la Cour de cassation en a toutefois resserré les conditions en 2024 : la reprise d’une prestation non protégée par un droit privatif n’est pas fautive en elle-même et ne le devient que par les circonstances qui l’accompagnent ; encore faut-il, au préalable, identifier une valeur économique individualisée résultant d’investissements.10 Appliqué au scraping, cela signifie qu’une simple reprise de données publiques ne suffit pas : il faut caractériser, par exemple, la reproduction d’une signature éditoriale, un détournement de clientèle par démarchage des utilisateurs aspirés, ou une captation manifestement injustifiée de la valeur créée par le site source.
IV. RGPD ET DROIT PÉNAL : DONNÉES PERSONNELLES ET ACCÈS FRAUDULEUX
Quand les données aspirées sont personnelles
Dès que le scraping porte sur des données à caractère personnel (noms, fonctions, coordonnées, photographies), le RGPD s’applique. Point cardinal, régulièrement méconnu : le caractère public d’une donnée n’autorise pas sa collecte. La CNIL a ainsi sanctionné, en décembre 2024, l’éditeur d’une extension de navigateur qui aspirait sur LinkedIn des coordonnées dont les utilisateurs avaient pourtant limité la visibilité : leur accessibilité à des contacts ne valait pas autorisation de les collecter, d’où une collecte illicite, assortie d’une amende de 240 000 euros.11
La Cour de cassation a consacré la même logique au pénal : le fait que des données soient « en accès libre sur internet ne retire rien au caractère déloyal » de leur collecte lorsqu’elle est opérée à l’insu des personnes, à des fins de profilage — un délit réprimé par l’article 226-18 du Code pénal.12 La décision concernait un enquêteur privé, mais le principe vaut pour toute aspiration de profils. La CNIL admet que le moissonnage n’est pas, en soi, incompatible avec le RGPD ; il suppose néanmoins une base légale (souvent l’intérêt légitime, à l’issue d’une mise en balance), une information des personnes et le respect des conditions d’utilisation et des signaux d’opposition du site source.13
L’accès et l’extraction frauduleux
Lorsque l’aspiration suppose de contourner une mesure technique de protection (authentification, captcha, limitation d’accès), elle peut relever des atteintes aux systèmes de traitement automatisé de données : accès ou maintien frauduleux (art. 323-1 C. pén.), extraction ou reproduction frauduleuse de données (art. 323-3 C. pén.). Le franchissement d’une barrière technique, et non la seule lecture d’un site ouvert, marque ici le basculement dans le pénal.
V. LE CAS PARTICULIER DE L’IA : L’EXCEPTION DE FOUILLE ET L’« OPT-OUT »
Le scraping massif destiné à entraîner des modèles d’IA relève d’un régime propre : l’exception de fouille de textes et de données (text and data mining), introduite par la directive (UE) 2019/790. Son article 3 autorise la fouille par les organismes de recherche et institutions du patrimoine à des fins de recherche scientifique ; son article 4 l’étend à toute finalité, y compris commerciale, mais sous réserve d’opposition du titulaire de droits (mécanisme dit d’« opt-out »).
Cette réserve doit pouvoir être exprimée par des procédés lisibles par machine — fichier robots.txt, métadonnées, conditions générales d’utilisation. Le règlement (UE) 2024/1689 sur l’IA renforce le dispositif en imposant aux fournisseurs de modèles à usage général une politique d’identification et de respect de cette réserve de droits.14 La première décision européenne sur le sujet, rendue à Hambourg en septembre 2024 dans l’affaire Kneschke c/ LAION, a admis le scraping au titre de la fouille à des fins de recherche scientifique, dans le contexte particulier d’un organisme à but non lucratif ;15 elle ne préjuge pas du sort des collectes purement commerciales, où l’opt-out et la transparence restent les points de friction.
Côté producteur de base de données, une exception symétrique existe (art. L. 342-3, 6° du CPI) et obéit à la même logique d’opposition.4 Pour un éditeur, exprimer clairement sa réserve de droits (CGU, robots.txt, balises) n’est donc pas un geste cosmétique : c’est la condition pour transformer une collecte tolérée en collecte fautive.
Conclusion : une défense qui se prépare en amont
Il n’existe pas un « droit du scraping », mais une combinaison de fondements dont l’efficacité dépend étroitement de la preuve. Trois réflexes structurent une stratégie solide.
D’abord, documenter en continu les investissements consacrés à la base (comptabilité, équipes dédiées, infrastructures) : la protection sui generis se gagne sur ce terrain probatoire.
Ensuite, verrouiller et signaler : des conditions générales interdisant l’extraction, une réserve de droits lisible par machine, et des dispositifs de détection (surveillance du trafic, données-pièges) transforment une aspiration en faute caractérisée et en facilitent la preuve.
Enfin, constater avant d’agir : un constat d’huissier, désormais commissaire de justice, horodaté, voire une saisie-contrefaçon, doit précéder toute mise en demeure, sous peine de voir les éléments litigieux disparaître. Le scraping se combat moins par le texte que par l’anticipation.
Notes et références
1. Directive 96/9/CE du 11 mars 1996 concernant la protection juridique des bases de données, art. 7 ; CPI, art. L. 341-1 — legifrance.gouv.fr.
2. CPI, art. L. 341-1, al. 2 : la protection du producteur « est indépendante et s’exerce sans préjudice » de celle résultant du droit d’auteur. Les deux protections se cumulent.
3. CPI, art. L. 342-1 — legifrance.gouv.fr.
4. CPI, art. L. 342-2 (actes répétés et systématiques) et art. L. 342-3, spéc. 6° (exception de fouille de textes et de données, renvoi à l’art. L. 122-5-3) — legifrance.gouv.fr.
5. CJCE, gr. ch., 9 nov. 2004, C-203/02, The British Horseracing Board Ltd e.a. c/ William Hill Organization Ltd (distinction consultation / extraction ; investissement d’obtention vs de création) — eur-lex.europa.eu.
6. CJUE, 5e ch., 3 juin 2021, C-762/19, CV-Online Latvia c/ Melons (l’extraction/réutilisation n’est sanctionnable que si elle porte atteinte à l’amortissement de l’investissement du producteur) — juricaf.org.
7. Cass. 1re civ., 5 oct. 2022, n° 21-16.307, LBC France (leboncoin) c/ Entreparticuliers.com, publié au bulletin — legifrance.gouv.fr.
8. TJ Paris, 3e ch. 2e sect., 21 févr. 2025, n° 21/09261, LBC France c/ Directannonces (investissement reconnu, mais préjudice non établi) — décision consultable sur justice.pappers.fr.
9. TJ Paris, 3e ch. 1re sect., 30 janv. 2025, n° 22/01517, Nestenn c/ Entreparticuliers.com (la captation des annonces vaut préjudice intrinsèque), tel que rapporté par le décryptage de l’Agence pour la protection des programmes — app.asso.fr.
10. Cass. com., 26 juin 2024, n° 23-13.535 — legifrance.gouv.fr ; et n° 22-17.647 — courdecassation.fr (la reprise d’une prestation non protégée n’est pas fautive en soi ; nécessité d’une valeur économique individualisée). Fondement : C. civ., art. 1240.
11. CNIL, formation restreinte, délib. n° SAN-2024-020 du 5 déc. 2024, société KASPR (amende de 240 000 €) — legifrance.gouv.fr.
12. Cass. crim., 30 avr. 2024, n° 23-80.962, publié au bulletin (collecte déloyale de données en libre accès, à l’insu des personnes ; art. 226-18 C. pén. ; contexte : enquêteur privé, profilage de salariés) — legifrance.gouv.fr.
13. CNIL, fiche « La base légale de l’intérêt légitime : mesures à prendre en cas de collecte de données par moissonnage (web scraping) » — cnil.fr.
14. Directive (UE) 2019/790 du 17 avr. 2019, art. 3 et 4 (transposés aux art. L. 122-5-3 et, pour le producteur, L. 342-3, 6° du CPI) ; Règlement (UE) 2024/1689 sur l’IA, art. 53, § 1, c) (renvoi à la réserve de droits de l’art. 4, § 3).
15. Landgericht Hamburg (Tribunal régional de Hambourg), 27 sept. 2024, Kneschke c/ LAION (première décision européenne sur l’exception de fouille appliquée à l’entraînement d’une IA, retenue au titre de la recherche scientifique). Voir le commentaire — derrienic.com.