Estrarre prezzi o schede prodotto da un sito pubblico resta, di norma, consentito in Francia. Lo scraping di dati cambia natura quando prende di mira persone identificabili: il GDPR (RGPD in Francia, regolamento UE 2016/679, applicabile dal 25 maggio 2018) si applica anche a un profilo visibile a tutti. Nella sua scheda del 19 giugno 2025, la CNIL (Commission nationale de l’informatique et des libertés, il Garante francese) indica che questa raccolta si fonda in genere sul legittimo interesse (articolo 6.1.f), con salvaguardie precise. Dietro una pagina protetta da password subentra il Codice penale.
Scraping di dati: definizione e funzionamento
Un programma chiede una pagina a un server web come farebbe Chrome o Firefox. Legge il codice HTML restituito e isola i campi che gli servono: un prezzo, un nome, un indirizzo, una recensione. Il risultato finisce in un foglio di calcolo o in un database. Le librerie Python Beautiful Soup e Scrapy svolgono questo lavoro da anni; per le pagine costruite in JavaScript, lo strumento pilota un browser senza finestra come Playwright o Puppeteer. Dei proxy cambiano l’indirizzo IP per aggirare i limiti di richieste.
Gli usi vanno dal monitoraggio dei prezzi alla costruzione di file per la prospezione, fino all’addestramento di modelli di IA. Questi file alimentano spesso delle sequenze di email automatiche: un contatto aggiunto senza verifica viene sollecitato più volte prima che l’errore diventi visibile.
Scraping, crawling e API: tre modi di leggere un sito
Il crawling segue i link di un sito per tracciarne la mappa: è il mestiere di Googlebot. Lo scraping preleva campi precisi da ogni pagina visitata. Un crawler può alimentare uno scraper, e la maggior parte degli strumenti riunisce del resto le due funzioni. Solo lo scraper produce un insieme di dati riutilizzabile.
L’API funziona in un altro modo. È il sito stesso a pubblicare un punto di accesso, con le sue quote e le sue condizioni di riutilizzo: il suo consenso è acquisito in partenza, cosa che lo scraping non può sempre rivendicare.
Lo scraping è legale in Francia? La risposta dipende dal dato
Sì, a condizioni precise: tutto dipende dalla natura del dato e dal modo di raccoglierlo. Tre domande permettono di inquadrare un progetto. Il dato riguarda una persona identificabile? È accessibile senza login? Il sito ha espresso il suo rifiuto con le condizioni d’uso o con un file robots.txt? Ogni risposta apre un regime diverso.
Dati non personali: banche dati e concorrenza
Un catalogo di prezzi non rientra nel GDPR. Resta però protetto da un altro testo, derivato dalla direttiva 96/9/CE dell’11 marzo 1996. Il costitutore di una banca dati può vietare l’estrazione di una parte sostanziale del suo contenuto (articolo L342-1 del Codice francese della proprietà intellettuale, Code de la propriété intellectuelle, che riguarda anche le estrazioni ripetute di parti non sostanziali, articolo L342-2). La corte d’appello di Parigi l’ha applicato il 2 febbraio 2021 (n. 17/17688). LeBonCoin ha ottenuto la condanna di Entreparticuliers.com, che riprendeva i suoi annunci immobiliari, tra cui 20.000 € per il danno d’immagine.
Sul fronte del diritto d’autore, l’eccezione di text and data mining prevista dalla direttiva (UE) 2019/790 consente alcune estrazioni. Smette di valere quando il titolare ha riservato i propri diritti in modo appropriato, ad esempio con un mezzo leggibile da una macchina per un contenuto online.
Dati personali: la scheda CNIL di giugno 2025
Un dato pubblico resta un dato personale. Il nome e la funzione di un dipendente rientrano nel GDPR anche quando compaiono su una pagina aperta. La « fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) », pubblicata dalla CNIL il 19 giugno 2025, indica che questa raccolta si fonda in genere sul legittimo interesse, a condizione di aggiungere misure che tutelino le persone. Il moissonnage (il web scraping, nel linguaggio della CNIL) non è vietato di per sé; l’analisi si fa caso per caso.
Gli esempi della scheda riguardano soprattutto la costituzione di basi di addestramento per l’IA. Le sue salvaguardie valgono come riferimento per una raccolta più ampia, senza essere state scritte per la prospezione.
- Minimizzazione: definire in anticipo criteri precisi di raccolta, poi cancellare ciò che non serve non appena lo si individua.
- Esclusione dei siti che si oppongono alla raccolta automatizzata, segnalata da robots.txt o da un CAPTCHA.
- Diritto di opposizione « discrezionale e preventivo » per gli interessati.
- Informazione diffusa il più ampiamente possibile sulla raccolta e sui diritti riconosciuti, ad esempio pubblicando l’elenco dei siti interessati.
- Cancellazione automatica dei dati sensibili scoperti a posteriori; particolare attenzione ai minori.
La scheda chiede di « escludere dalla raccolta i siti che si oppongono chiaramente allo scraping dei loro contenuti » (traduzione nostra dal francese). Senza questa precauzione, secondo la CNIL, il trattamento esce dalle ragionevoli aspettative delle persone.
A questi requisiti si aggiungono l’obbligo di informare le persone i cui dati sono stati raccolti altrove (articolo 14 del GDPR) e la scelta di una finalità precisa prima della prima richiesta. A seconda delle dimensioni del file e della natura dei dati, può aggiungersi una valutazione d’impatto (AIPD, in francese analyse d’impact).
Pagine dietro un login e condizioni d’uso
Un account creato per raggiungere profili chiusi cambia le carte in tavola. Accedere o mantenersi fraudolentemente in un sistema di trattamento automatizzato di dati costituisce un reato (articolo 323-1 del Codice penale francese), punito con 3 anni di reclusione e 100.000 € di multa.
Le condizioni d’uso creano a loro volta un obbligo contrattuale. Il 15 gennaio 2015 la Corte di giustizia dell’Unione europea (causa Ryanair, C-30/14) ha stabilito che un sito può limitare per contratto il riutilizzo di una banca dati che né il diritto d’autore né il diritto sui generis proteggono. La CNIL lo ricorda: le condizioni generali possono vietare lo scraping.
Cosa passa e cosa no
| Situazione | Verdetto | Base giuridica |
|---|---|---|
| Prezzi e caratteristiche di prodotti di una pagina pubblica | In genere consentito | Fuori dal GDPR; limite oltre un’estrazione sostanziale (diritto delle banche dati) |
| Profili pubblici di persone con minimizzazione e opposizione preventiva | Possibile a condizioni | Legittimo interesse, scheda CNIL del 19 giugno 2025 |
| Sito che vieta lo scraping (robots.txt, CAPTCHA, condizioni d’uso) | Da escludere | Condizione del legittimo interesse; rischio contrattuale |
| Contenuti dietro un login, accesso ottenuto con un raggiro | Illegale | Accesso fraudolento, Codice penale art. 323-1 |
| Foto di volti senza base giuridica | Illegale | GDPR; sanzione CNIL del 17 ottobre 2022 contro Clearview AI |
| Annunci o banca dati di un concorrente riutilizzati in massa | Rischioso | Diritto sui generis (articoli L342-1 e L342-2 del Codice della proprietà intellettuale) |
hiQ, Meta, Clearview: cosa hanno stabilito le decisioni
Il caso hiQ contro LinkedIn si legge in due tempi. Il Nono circuito americano ha dato ragione a hiQ nel 2019 (938 F.3d 985) e poi nell’aprile 2022 (31 F.4th 1180): fare scraping di profili pubblici sollevava almeno seri dubbi rispetto al CFAA (Computer Fraud and Abuse Act). L’ingiunzione a favore di hiQ, pronunciata già nel 2017, è stata mantenuta.
L’esito si è però ribaltato contro hiQ. Il 4 novembre 2022 il tribunale distrettuale ha stabilito che aveva violato le condizioni d’uso di LinkedIn. L’8 dicembre 2022 una sentenza concordata ha imposto 500.000 $ e la distruzione dei profili e del codice, come riferisce lo studio Proskauer. I giudici hanno quindi respinto l’accesso pubblico come difesa contro la violazione delle condizioni d’uso. La portata del caso si ferma qui: nessun giudice francese è vincolato da una decisione americana.
Meta mostra l’altro versante: anche la piattaforma può pagare. La Data Protection Commission irlandese ha adottato il 25 novembre 2022 e annunciato il 28 una multa di 265 milioni di euro contro Meta Platforms Ireland. Il motivo: la violazione dei paragrafi 1 e 2 dell’articolo 25 del GDPR, sulla protezione dei dati fin dalla progettazione e per impostazione predefinita. L’indagine riguardava la ricerca di Facebook e gli importatori di contatti di Messenger e Instagram nel periodo da maggio 2018 a settembre 2019.
Infine Clearview AI. Con la deliberazione SAN-2022-019 del 17 ottobre 2022 (resa pubblica il 20 ottobre), elencata nella tabella delle sanzioni della CNIL, la formazione ristretta ha inflitto 20 milioni di euro a questa società di riconoscimento facciale. I motivi: assenza di base giuridica, mancato rispetto del diritto di accesso e del diritto alla cancellazione, mancata cooperazione. Una diffida con penalità la accompagnava. La deliberazione SAN-2023-005 del 17 aprile 2023 ha liquidato questa penalità in 5,2 milioni di euro, in assenza di risposta.
Fare scraping di indirizzi email per la prospezione
Un indirizzo come nome.cognome@azienda.fr identifica una persona: rientra nel GDPR anche in ambito B2B. Su questo terreno la CNIL ammette la prospezione via email tra professionisti senza consenso preventivo (articolo L34-5 del Codice francese delle poste e delle comunicazioni elettroniche) a due condizioni. L’oggetto della proposta deve avere attinenza con l’attività professionale del destinatario. La persona deve inoltre essere stata informata dell’uso del suo indirizzo e poter opporsi in modo semplice e gratuito a ogni messaggio (pagina della CNIL sulla prospezione tramite posta elettronica). Gli indirizzi generici delle persone giuridiche (info@, contact@) sono esclusi dal regime.
Il secondo rischio è tecnico. Una lista raccolta invecchia: i dipendenti cambiano azienda, le imprese chiudono, i domini catch-all rispondono « accettato » a qualsiasi indirizzo. Ogni indirizzo morto produce un hard bounce. Un tasso di hard bounce elevato danneggia la reputazione del mittente presso Gmail e Outlook. Ne risentono anche i messaggi destinati ai contatti validi.
I metodi di raccolta degli indirizzi che passano da un modulo o da uno scambio diretto limitano questo rischio per costruzione. Per una lista raccolta con lo scraping resta da documentare la prova del consenso e la disiscrizione prima di scrivere a chiunque. Passare un campione della lista in uno strumento di verifica degli indirizzi email prima della prossima campagna mostra quale quota di indirizzi non è valida.
API ufficiali e dati acquistati
La via più sicura consiste nell’usare l’API del sito: è la piattaforma a fissare perimetro e quote. L’API fornisce solo i campi che la piattaforma sceglie di aprire, il che limita la prospezione.
Acquistare o noleggiare dati sposta il problema senza cancellarlo. Il GDPR si applica a chi li usa; l’obbligo di informazione resta se le persone non hanno mai sentito parlare di lui. I rischi sono dettagliati nella nostra analisi sull’acquisto di liste di email. Per una base propria, la costruzione di una lista B2B qualificata tramite canali diretti evita sia lo scraping sia l’acquisto.
Domande frequenti sullo scraping di dati
Lo scraping è illegale in Francia?
No. Lo diventa a seconda di ciò che si raccoglie: dati personali senza base giuridica né informativa, uno spazio privato forzato o una banca dati protetta estratta nella sua sostanza. Un caso specifico merita il parere di un avvocato o del responsabile della protezione dei dati.
Si può fare scraping di LinkedIn o X?
Le loro condizioni d’uso vietano lo scraping non autorizzato. In Europa il GDPR si aggiunge non appena si tratta di profili di persone. Il caso hiQ è spiegato più sopra: è una decisione americana, che non vincola i giudici europei.
Il robots.txt ha un valore giuridico?
Non è una legge. La CNIL ne fa però un chiaro segnale di opposizione: un sito che si oppone va escluso dalla raccolta perché il legittimo interesse regga.
Quali sanzioni si rischiano?
A seconda della situazione: una multa dell’autorità di protezione dei dati, una condanna civile per violazione di una banca dati o un procedimento penale, in particolare per accesso fraudolento a un sistema informatico.
