Scraping web légal en France en 2026 : ce que vous pouvez faire (et ce qui est interdit)

Le scraping web n'est pas interdit en France. Mais confondre "autorisé" avec "sans risque" est l'erreur qui a coûté 240 000 euros à la société KASPR en décembre 2024 (CNIL, décision du 12 décembre 2024), après avoir constitué une base de 160 millions de contacts en aspirant des profils LinkedIn. Ce n'est pas un cas isolé : depuis 2021, les amendes de la CNIL liées au scraping ont été multipliées par 12, passant de 20 000 euros (société Nestor) à 240 000 euros.

Ce guide couvre ce que vous avez le droit de collecter, ce qui vous expose à des sanctions civiles et pénales, et comment construire une approche de collecte juridiquement solide. Vous y trouverez les quatre régimes juridiques applicables, la jurisprudence française de référence (dont deux arrêts de la Cour de cassation en 2022 et 2025) et les positions récentes de la CNIL publiées en juin 2025.

Quelles lois s'appliquent au scraping web en France ?

La première erreur est de croire que le scraping est régi uniquement par le RGPD. En France, au moins quatre régimes juridiques s'appliquent de façon cumulative. Ignorer l'un d'eux suffit à créer une exposition légale significative.

Le RGPD (Règlement général sur la protection des données) s'applique dès que vous collectez des données permettant d'identifier une personne physique, directement ou indirectement. Un email professionnel, un numéro de téléphone direct, un profil LinkedIn : ce sont des données personnelles, même si elles sont publiquement accessibles.

Le droit sui generis des bases de données, issu de la Directive 96/9/CE et transposé aux articles L.341-1 et suivants du Code de la propriété intellectuelle, protège le producteur d'une base de données contre l'extraction de parties substantielles de son contenu. Ce droit se constitue automatiquement, sans dépôt, dès lors qu'un investissement substantiel a été consenti pour créer, vérifier ou présenter la base. Il s'applique indépendamment du RGPD et peut être invoqué pour des bases sans données personnelles : annonces immobilières, catalogues de prix, offres automobiles.

Les CGU contractuelles : toute plateforme qui interdit le scraping dans ses conditions générales dispose d'un mécanisme contractuel opposable. Si vous avez accepté ces CGU pour accéder au site, les violer constitue une faute civile. Si l'accès est maintenu de force après un refus explicite, cela peut tomber sous le coup de l'article 323-1 du code pénal : maintien frauduleux dans un système de traitement automatisé de données, passible de 3 ans de prison et 100 000 euros d'amende.

Le code pénal, aux articles 323-1 et suivants, sanctionne l'accès frauduleux et l'extraction de données d'un STAD. L'article 323-3 prévoit jusqu'à 5 ans d'emprisonnement et 150 000 euros d'amende pour l'extraction frauduleuse de données. Le Code de la propriété intellectuelle prévoit quant à lui jusqu'à 3 ans et 300 000 euros d'amende pour atteinte aux droits du producteur de bases de données.

Ce que la CNIL a précisé en juin 2025 : les 5 conditions cumulatives

Le 19 juin 2025, la CNIL a publié deux fiches pratiques sur le web scraping, dont l'une porte spécifiquement sur l'intérêt légitime comme base légale pour la collecte par moissonnage. La CNIL reconnaît explicitement que l'article 6.1.f du RGPD peut justifier le scraping de données publiques, sous des conditions précises et cumulatives.

• La collecte doit être limitée aux données strictement nécessaires (principe de minimisation).
• Le site cible ne doit pas s'opposer au scraping via son fichier robots.txt ou par des mécanismes techniques (CAPTCHA, blocage IP).
• Les personnes concernées doivent être informées de la collecte, au plus tard lors du premier contact (article 14 RGPD).
• Les données sensibles au sens de l'article 9 RGPD doivent être exclues par défaut (santé, opinions politiques, religion).
• Un test de mise en balance doit être documenté : l'intérêt du responsable de traitement contre les droits des personnes.

Jurisprudence scraping en France 2022-2026 : les arrêts qui font référence

Sur le droit sui generis, la Cour de cassation a rendu deux arrêts structurants qui ont élargi significativement la portée de ce droit.

LBC France c. Entreparticuliers.com (5 octobre 2022) : Entreparticuliers.com scrapait les annonces immobilières de LeBonCoin pour les afficher sur sa propre plateforme, en incluant un hyperlien vers la source. La Cour de cassation a retenu l'atteinte aux droits du producteur de bases de données. La Cour d'appel de Paris a confirmé cette position le 19 avril 2023 : l'extraction qualitativement substantielle du contenu d'une sous-base, même avec lien de référence, constitue une violation. L'hyperlien ne protège pas.

La Centrale c. ADS4ALL (15 octobre 2025) : Le site leparking.fr transférait les annonces automobiles de lacentrale.fr vers sa plateforme via scraping. La Cour a introduit un critère nouveau, le "risque d'amortissement" : pour qu'une extraction soit qualifiée de substantielle, elle doit menacer la viabilité économique du producteur. La baisse documentée du trafic sur lacentrale.fr suffisait à caractériser ce risque.

Un troisième arrêt complète ce tableau : en avril 2026, la Cour d'appel de Versailles (LBC France c. Babel France/Jinka) a rejeté la défense "aperçu limité + lien" et accordé 200 000 euros de dommages-intérêts. L'argument selon lequel afficher un extrait avec lien vers la source protège de toute responsabilité est désormais invalide en droit français.

Que peut-on scraper légalement en France ?

Plusieurs cas d'usage sont clairement légaux, sous conditions précises.

Veille tarifaire e-commerce : scraper les pages produits de sites concurrents pour collecter titres, prix et disponibilités est possible si vous ne collectez aucune donnée personnelle et si vous n'extrayez pas un volume qualitativement substantiel d'une base protégée. Des outils comme Octoparse (plan Standard à 69 $/mois) ou Scrapy (open source, gratuit) couvrent ce cas d'usage. L'absence de données personnelles simplifie considérablement l'analyse juridique.

Prospection B2B sur PagesJaunes Professionnels : scraper les fiches professionnelles d'artisans et de commerçants (adresse, téléphone fixe, site web) est légal si trois conditions sont réunies : l'offre doit être en lien direct avec l'activité du destinataire, chaque email doit mentionner la source PagesJaunes, et un mécanisme de désinscription fonctionnel doit être proposé. Les Pages Blanches (particuliers) sont exclues de ce régime et nécessitent un consentement explicite.

Données publiques officielles : Pappers, Societe.com et Infogreffe exposent les données légales des entreprises françaises (SIREN, code NAF, chiffre d'affaires, dirigeants) issues des registres publics INSEE, INPI et Infogreffe. Ces données peuvent être réutilisées pour la prospection B2B sans scraping illégal. Pappers propose une API pour l'intégration directe. C'est la source juridiquement la plus solide pour la prospection B2B en France.

Ce qui est clairement interdit

• Scraper des données personnelles sans base légale valide : profils LinkedIn incluant des contacts à visibilité restreinte, adresses email personnelles, numéros de téléphone mobile de particuliers.
• Ignorer un robots.txt qui s'oppose au scraping : depuis juin 2025, la CNIL considère explicitement que cela fragilise toute base légale de traitement, y compris l'intérêt légitime.
• Extraire un volume substantiel d'une base de données concurrente : annonces immobilières, automobiles, offres d'emploi, catalogues produits complets d'une plateforme concurrente.
• Contourner des mesures de protection techniques : CAPTCHA, blocage IP, token anti-bot. Le contournement peut caractériser un accès frauduleux au sens de l'article 323-1 du code pénal.
• Collecter des données sensibles : opinions politiques, croyances religieuses, données de santé. L'exclusion de ces catégories est une obligation absolue dans tout projet basé sur l'intérêt légitime.

À noter : l'arrêt américain hiQ c. LinkedIn (9th Circuit, 2022), qui autorisait le scraping de profils publics LinkedIn, n'est pas applicable en France. La CNIL a rappelé dès le 30 avril 2020 que les données LinkedIn, même publiques, sont des données personnelles soumises au RGPD.

Scraper LinkedIn pour la prospection B2B : le scénario qui mène à l'amende

C'est le scénario que je rencontre le plus souvent. Une équipe growth cible 5 000 profils LinkedIn (PDG, DAF de PME) via une extension Chrome du type KASPR ou un outil similaire. Les profils sont publics, l'équipe estime que la prospection B2B relève de l'intérêt légitime, et elle constitue une base avec emails et numéros directs. Tout semble logique. Rien ne l'est juridiquement.

Ce que l'équipe ne vérifie pas :

1. Certains profils avaient restreint leur visibilité à leurs 1er et 2e degrés. L'outil a collecté leurs données quand même, exactement comme dans le dossier KASPR.
2. Les communications de prospection doivent être rédigées en français, conformément à la décision CNIL du 5 décembre 2024.
3. La durée de conservation est limitée. Les contacts qui ne répondent pas doivent être purgés dans un délai raisonnable, 3 ans maximum selon la doctrine CNIL.
4. L'obligation d'information au premier contact (article 14 RGPD) impose de mentionner la source des données dans chaque email envoyé.
5. Aucun registre de traitement ne documente la base légale, ce qui constitue une violation distincte et autonome.

La CNIL peut être saisie par une seule personne contactée. Le dossier KASPR a donné lieu à une instruction complète et à une amende de 240 000 euros. Pour une violation grave, le plafond légal RGPD est de 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial.

Le correctif est structuré et chiffrable :

1. Utiliser LinkedIn Sales Navigator (à partir de 99 euros/mois) pour l'identification, dans le respect des CGU.
2. Enrichir les données via une source RGPD-native : Pharow (99 euros/mois, 78,7% de couverture email sur la base française, selon Pharow.com) ou Dropcontact.
3. Documenter la base légale dans un registre de traitement avant toute campagne. Ce document doit exister avant le premier envoi.
4. Inclure dans chaque email la mention de la source des données et un lien de désinscription fonctionnel.
5. Purger les contacts inactifs au bout de 3 ans maximum et documenter ces purges.

Ce dispositif coûte plus cher qu'une extension Chrome à 30 euros par mois. Il élimine le risque d'une amende à six chiffres. Le calcul est simple. Une fois votre base de contacts B2B constituée légalement, l'étape suivante est d'automatiser vos séquences de relances clients avec n8n.

Quels outils de scraping sont conformes au RGPD ?

Les outils de scraping ne se valent pas du point de vue réglementaire. Le tableau suivant compare les sept principales options sur les critères qui comptent juridiquement.

Un point sur la maintenance des données : 30% des données B2B deviennent obsolètes chaque année (Gartner, 2024). Avec Pharow ou Clay, cette maintenance est gérée en continu. Avec Octoparse ou Scrapy, elle reste entièrement à votre charge. Pour intégrer ces données dans un processus automatisé, l'article IA pour PME détaille les outils disponibles pour les connecter à vos workflows.