Extraer precios o fichas de producto de un sitio público sigue siendo, por regla general, lícito en Europa. El scraping de datos cambia de naturaleza cuando apunta a personas identificables: el RGPD (Reglamento UE 2016/679, aplicable desde el 25 de mayo de 2018) se aplica incluso a un perfil visible para todos. En su ficha del 19 de junio de 2025, la CNIL (Commission nationale de l’informatique et des libertés, la autoridad francesa de protección de datos) indica que esta recolección automatizada se apoya, por lo general, en el interés legítimo (artículo 6.1.f), con salvaguardas precisas. Detrás de una página protegida con contraseña, toma el relevo el Código Penal francés.
Scraping de datos: definición y funcionamiento
Un programa pide una página a un servidor web igual que lo haría Chrome o Firefox. Lee el código HTML recibido y aísla los campos que le interesan: un precio, un nombre, una dirección, una reseña. El resultado acaba en una hoja de cálculo o en una base de datos. Las bibliotecas de Python Beautiful Soup y Scrapy hacen este trabajo desde hace años; para las páginas construidas con JavaScript, la herramienta maneja un navegador sin ventana como Playwright o Puppeteer. Los proxies cambian la dirección IP para esquivar los límites de peticiones.
El uso va de la vigilancia de precios a la creación de ficheros de prospección, pasando por el entrenamiento de modelos de IA. Estos ficheros suelen alimentar secuencias de correos automatizados: un contacto añadido sin verificar recibe varios recordatorios antes de que el error se haga visible.
Scraping, crawling y API: tres formas de leer un sitio
El crawling recorre los enlaces de un sitio para levantar su mapa; es el oficio de Googlebot. El scraping extrae campos concretos de cada página visitada. Un crawler puede alimentar a un scraper, y la mayoría de las herramientas reúnen ambas funciones. Solo el scraper produce un conjunto de datos reutilizable.
La API funciona de otro modo. El propio sitio publica un punto de acceso con sus cuotas y sus condiciones de reutilización: su consentimiento está dado de antemano, algo que el scraping no siempre puede reclamar.
¿Es legal el scraping en Francia? La respuesta depende del dato
Sí, con condiciones: todo depende de la naturaleza del dato y de la forma de recogerlo. Tres preguntas permiten situar un proyecto. ¿El dato se refiere a una persona identificable? ¿Es accesible sin iniciar sesión? ¿El sitio ha expresado su rechazo en sus condiciones de uso o con un archivo robots.txt? Cada respuesta abre un régimen distinto.
Datos no personales: bases de datos y competencia
Un catálogo de precios queda fuera del RGPD, pero lo protege otro texto, procedente de la directiva 96/9/CE del 11 de marzo de 1996. El productor de una base de datos puede prohibir la extracción de una parte sustancial de su contenido (artículo L342-1 del Code de la propriété intellectuelle, el Código de la Propiedad Intelectual francés, que también contempla las extracciones repetidas de partes no sustanciales en su artículo L342-2). El Tribunal de Apelación de París (cour d’appel de Paris) lo aplicó el 2 de febrero de 2021 (n.º 17/17688). LeBonCoin logró la condena de Entreparticuliers.com, que reutilizaba sus anuncios inmobiliarios, con 20 000 € por el daño a su imagen.
En cuanto al derecho de autor, la excepción de minería de textos y datos de la Directiva (UE) 2019/790 autoriza ciertas extracciones. Deja de aplicarse cuando el titular ha reservado sus derechos de forma adecuada, por ejemplo con un medio legible por máquina para un contenido en línea.
Datos personales: la ficha de la CNIL de junio de 2025
Un dato público sigue siendo un dato personal. El nombre y el cargo de un empleado entran en el RGPD aunque figuren en una página abierta. La «fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping)» (ficha sobre las medidas que adoptar al recoger datos mediante web scraping), publicada por la CNIL el 19 de junio de 2025, señala que esta recolección se apoya por lo general en el interés legítimo, siempre que se añadan medidas que protejan a las personas. El moissonnage (la recolección automatizada) no está prohibido en sí mismo; el análisis se hace caso por caso.
Los ejemplos de la ficha tratan sobre todo de la creación de bases de entrenamiento para IA. Sus salvaguardas sirven de referencia para una recolección más amplia, sin haberse escrito pensando en la prospección. Las citas de la CNIL que siguen son traducción nuestra.
- Minimización: definir de antemano criterios precisos de recogida y eliminar lo innecesario en cuanto se detecte.
- Exclusión de los sitios que se oponen a la recolección automatizada, señalada con robots.txt o con un CAPTCHA.
- Derecho de oposición «discrecional y previo» para las personas afectadas.
- Información difundida lo más ampliamente posible sobre la recogida y sobre los derechos que asisten a las personas, por ejemplo publicando la lista de los sitios afectados.
- Supresión automatizada de los datos sensibles descubiertos después; atención particular a los menores.
La ficha pide «excluir de la recogida los sitios que se oponen claramente al moissonnage de su contenido» (traducción nuestra): sin esta precaución, según la CNIL, el tratamiento excede las expectativas razonables de las personas.
A estas exigencias se suman la obligación de informar a las personas cuyos datos se han obtenido de otra fuente (artículo 14 del RGPD) y la elección de una finalidad precisa antes de la primera petición. Según el volumen del fichero y la naturaleza de los datos, puede añadirse una evaluación de impacto (EIPD, AIPD en francés).
Páginas tras un inicio de sesión y condiciones de uso
Crear una cuenta para llegar a perfiles cerrados cambia el panorama. Acceder o mantenerse de forma fraudulenta en un sistema de tratamiento automatizado de datos es un delito (artículo 323-1 del Code pénal, el Código Penal francés), castigado con 3 años de prisión y 100 000 € de multa.
Las condiciones de uso crean, por su parte, una obligación contractual. El Tribunal de Justicia de la Unión Europea declaró el 15 de enero de 2015 (asunto Ryanair, C-30/14) que un sitio puede limitar por contrato la reutilización de una base que no protegen ni el derecho de autor ni el derecho sui generis. La CNIL lo recuerda: las condiciones de uso pueden prohibir la recolección automatizada.
Qué pasa y qué no pasa
| Situación | Veredicto | Base jurídica |
|---|---|---|
| Precios y características de productos de una página pública | Por lo general permitido | Fuera del RGPD; límite si la extracción es sustancial (derecho de bases de datos) |
| Perfiles públicos de personas, con minimización y oposición previa | Posible con condiciones | Interés legítimo, ficha de la CNIL del 19 de junio de 2025 |
| Sitio que prohíbe la recolección automatizada (robots.txt, CAPTCHA, condiciones de uso) | Debe excluirse | Condición del interés legítimo; riesgo contractual |
| Contenido tras un inicio de sesión, con acceso obtenido de forma indebida | Ilegal | Acceso fraudulento, Código Penal francés, art. 323-1 |
| Fotos de rostros sin base jurídica | Ilegal | RGPD; sanción de la CNIL del 17 de octubre de 2022 contra Clearview AI |
| Anuncios o base de un competidor reutilizados en masa | Arriesgado | Derecho sui generis (artículos L342-1 y L342-2 del Código de la Propiedad Intelectual francés) |
hiQ, Meta, Clearview: lo que han resuelto las decisiones
El caso hiQ contra LinkedIn se lee en dos tiempos. El Noveno Circuito de Estados Unidos dio la razón a hiQ en 2019 (938 F.3d 985) y de nuevo en abril de 2022 (31 F.4th 1180): el scraping de perfiles públicos planteaba, como mínimo, serias dudas respecto a la CFAA (Computer Fraud and Abuse Act). Se mantuvo el requerimiento a favor de hiQ, dictado ya en 2017.
El desenlace, sin embargo, se volvió contra hiQ. El 4 de noviembre de 2022, el tribunal de distrito concluyó que había infringido las condiciones de uso de LinkedIn. El 8 de diciembre de 2022, una sentencia pactada impuso 500 000 dólares y la destrucción de los perfiles y del código, como detalla el despacho Proskauer. Los jueces descartaron así el acceso público como defensa frente al incumplimiento de las condiciones de uso. El alcance del caso termina ahí: ningún juez francés queda vinculado por una decisión estadounidense.
Meta ilustra la otra cara: la propia plataforma también puede pagar. La Data Protection Commission irlandesa adoptó el 25 de noviembre de 2022 y anunció el 28 una multa de 265 millones de euros contra Meta Platforms Ireland. El motivo: el incumplimiento de los apartados 1 y 2 del artículo 25 del RGPD, sobre la protección de datos desde el diseño y por defecto. La investigación se centró en la búsqueda de Facebook y en los importadores de contactos de Messenger e Instagram, entre mayo de 2018 y septiembre de 2019.
Y por último, Clearview AI. Mediante la deliberación SAN-2022-019 del 17 de octubre de 2022 (hecha pública el 20 de octubre), recogida en la tabla de sanciones de la CNIL, la formation restreinte (sala sancionadora de la CNIL) impuso 20 millones de euros a esta sociedad de reconocimiento facial. Los motivos: falta de base jurídica, incumplimiento del derecho de acceso y del derecho de supresión, y falta de cooperación. Iba acompañada de un requerimiento con multa coercitiva. La deliberación SAN-2023-005 del 17 de abril de 2023 liquidó esa multa coercitiva en 5,2 millones de euros por falta de respuesta.
Extraer direcciones de correo para prospectar
Una dirección como nombre.apellido@empresa.fr identifica a una persona y entra en el ámbito del RGPD, también en B2B. En este terreno, la CNIL admite la prospección por correo entre profesionales sin consentimiento previo (artículo L34-5 del Code des postes et des communications électroniques, el Código de Correos y Comunicaciones Electrónicas francés) si se cumplen dos condiciones. El objeto de la oferta debe guardar relación con la profesión del destinatario. La persona debe además haber sido informada del uso de su dirección y poder oponerse de forma sencilla y gratuita en cada mensaje (página de la CNIL sobre la prospección por correo electrónico). Las direcciones genéricas de personas jurídicas (info@, contact@) quedan fuera del dispositivo.
El segundo riesgo es técnico. Una lista obtenida por scraping envejece: los empleados cambian de empresa, algunos negocios cierran, y los dominios catch-all responden «aceptado» a cualquier dirección. Cada dirección muerta produce un hard bounce. Un porcentaje alto de hard bounces deteriora la reputación del remitente en Gmail y Outlook. Los mensajes destinados a contactos válidos también lo sufren.
Las formas de recopilar direcciones que pasan por un formulario o un intercambio directo reducen este riesgo por construcción. Con una lista obtenida por scraping, queda por documentar la prueba de consentimiento y la baja antes de escribir a nadie. Pasar una muestra de la lista por una herramienta de verificación de direcciones de correo antes de la próxima campaña muestra qué parte de las direcciones no es válida.
API oficiales y datos comprados
La vía más segura es usar la API del sitio: la plataforma fija ella misma el perímetro y las cuotas. La API solo entrega los campos que la plataforma decide abrir, lo que limita la prospección.
Comprar o alquilar datos desplaza el problema sin borrarlo. El RGPD se aplica a quien los utiliza, y la obligación de informar persiste si las personas nunca han oído hablar de él. El detalle de los riesgos figura en nuestro análisis sobre la compra de listas de correos. Para una base propia, la construcción de una lista B2B cualificada mediante canales directos evita tanto el scraping como la compra.
Preguntas frecuentes sobre el scraping de datos
¿Es ilegal el scraping en Francia?
No. Pasa a serlo según lo que se recoja: datos personales sin base jurídica ni información, un espacio privado forzado o una base protegida extraída en lo sustancial. Un caso concreto merece la opinión de un abogado o del delegado de protección de datos.
¿Se puede hacer scraping de LinkedIn o X?
Sus condiciones de uso prohíben el scraping no autorizado. En Europa, el RGPD se suma en cuanto se trata de perfiles de personas. El detalle del caso hiQ figura más arriba: es una decisión estadounidense, que no vincula a los jueces europeos.
¿Tiene el robots.txt valor jurídico?
No es una ley. La CNIL lo trata, sin embargo, como una señal clara de oposición: un sitio que se opone debe excluirse de la recogida para que el interés legítimo se sostenga.
¿Qué sanciones se arriesgan?
Según el caso: una multa de la autoridad de protección de datos, una condena civil por vulnerar una base de datos o un procedimiento penal, en particular por acceso fraudulento a un sistema informático.
