Réponse rapide
Que me demande le RGPD quand je collecte des données publiques via des proxies ?
Quand les données incluent des données personnelles, documentez une base légale, généralement l'intérêt légitime au titre de l'article 6(1)(f) du RGPD, et collectez uniquement les champs nécessaires. Excluez les sites qui s'opposent au scraping et respectez les réserves de text and data mining. EuroCity Proxies a rédigé cette checklist à partir des orientations de l'EDPB, de la CNIL, du Garante et de l'AP néerlandaise consultées en octobre 2026. Ceci n'est pas un avis juridique.
Le RGPD s'applique-t-il aux données que tout le monde peut lire en ligne ?
Oui, dès que les données se rapportent à une personne identifiable. Le RGPD définit les données personnelles à l'article 4(1), et le fait qu'elles soient publiques ne les en exclut pas. L'autorité néerlandaise (AP) écrit que le scraping collecte presque toujours des données personnelles.
Certaines données ne sont généralement pas personnelles : la liste de prix d'un supermarché, des frais de livraison, les horaires d'ouverture d'une chaîne de magasins. D'autres données sur les mêmes pages le sont : noms d'évaluateurs, vendeurs particuliers dans les petites annonces, numéros de téléphone d'agents, visages sur les photos. Cartographiez chaque champ avant de le collecter.
Quelles étapes figurent sur la checklist ?
Cartographier les champs
Listez chaque champ que vous prévoyez de collecter et marquez ceux qui peuvent identifier une personne. Écartez ceux dont vous n'avez pas besoin.
Documenter la base légale
Pour l'intérêt légitime, l'EDPB énonce trois conditions cumulatives. Il s'agit d'un intérêt légitime, de la nécessité du traitement, et d'une mise en balance selon laquelle les personnes concernées ne prévalent pas. Rédigez l'évaluation avant de commencer.
Minimiser et filtrer
L'article 5(1)(c) exige des données limitées à ce qui est nécessaire. La CNIL demande des critères de collecte précis définis à l'avance, et la suppression rapide des données collectées hors de ces critères.
Exclure les sites qui s'y opposent
Ignorez les sites qui refusent le scraping via robots.txt, des CAPTCHAs ou leurs conditions. La CNIL et l'EDPB citent tous deux cette mesure comme garde-fou.
Tenir à l'écart les données sensibles
La santé, la religion, les opinions politiques et les autres catégories de l'article 9 nécessitent une exception distincte. Filtrez-les, et supprimez-les immédiatement si elles sont collectées par accident.
Informer et permettre l'opposition
L'article 14 couvre les données non obtenues auprès de la personne, et l'article 21 donne un droit d'opposition. La CNIL suggère de publier la liste des sources et de tenir une liste d'opt-out.
Réaliser une AIPD lorsque le risque est élevé
L'article 35 exige une analyse d'impact relative à la protection des données pour les traitements à risque élevé ; les recommandations de l'AP sur le scraping l'incluent.
Vérifier les réserves de droit d'auteur
L'exploration de textes et de données au titre de l'article 4 de la directive DSM s'arrête lorsque le titulaire des droits l'a réservée, par des moyens lisibles par machine pour les contenus en ligne.
Qu'ont dit les autorités européennes de protection des données sur le web scraping ?
| Autorité | Document | Date | Point pour les utilisateurs de proxy |
|---|---|---|---|
| EDPB | Lignes directrices 1/2024 sur le traitement fondé sur l'article 6(1)(f), version 1.0 pour consultation | Adoptées le 8 octobre 2024 | Trois conditions cumulatives, évaluées et documentées avant le traitement |
| EDPB | Rapport des travaux de la ChatGPT Taskforce | Publié le 24 mai 2024 | Traite le web scraping comme une étape de collecte avec ses propres risques, évalués au titre de l'article 6(1)(f) |
| EDPB | Avis 28/2024 sur les modèles d'IA | Adopté le 18 décembre 2024 | Les exemples de garanties incluent l'exclusion des sites qui s'y opposent, par exemple en respectant robots.txt ou ai.txt |
| CNIL (France) | Fiche focus : intérêt légitime et collecte par web scraping | 19 juin 2025 | Critères de collecte définis à l'avance, exclusion des sites qui refusent le scraping, suppression des données non pertinentes, listes d'opt-out |
| Garante (Italie) | Note d'information sur le web scraping pour l'entraînement de l'IA générative (registre des décisions n° 329) | 20 mai 2024 (Gazzetta Ufficiale n° 132, 7 juin 2024) | Contre-mesures possibles pour les exploitants de sites, présentées comme des options et non comme des obligations RGPD |
| AP (Pays-Bas) | Handreiking scraping door particulieren en private organisaties | Avril 2025 | Le scraping implique presque toujours des données personnelles ; le respect du robots.txt figure parmi les garanties supplémentaires |
Que dit le droit d'auteur de l'UE sur l'extraction de textes et de données ?
L'article 4 de la directive (UE) 2019/790 autorise l'extraction de textes et de données de contenus licitement accessibles. Il ne s'applique que si le titulaire des droits n'a pas réservé cet usage, pour les contenus en ligne, par des moyens lisibles par machine comme les règles du robots.txt. L'article 3 ajoute une exception plus large pour les organismes de recherche et les institutions du patrimoine culturel.
En décembre 2025, la cour d'appel régionale de Hambourg a jugé que LAION, une association de recherche non commerciale, pouvait invoquer l'exception TDM pour la recherche scientifique. Elle a aussi jugé qu'une réserve en langage clair n'était pas lisible par machine avec la technologie disponible en 2021. Elle a précisé que cela pourrait changer et a autorisé un pourvoi devant la Cour fédérale de justice. Pour la collecte commerciale, considérez aujourd'hui les réserves en langage clair figurant dans les conditions d'utilisation comme contraignantes. Ceci n'est pas un avis juridique.
L'utilisation d'un proxy modifie-t-elle l'une de ces obligations ?
Non. Vous restez responsable du traitement des données que vous collectez, quel que soit l'IP de sortie utilisée. Une IP résidentielle à Munich ou à Milan vous donne la version locale d'une page ; elle ne rend pas une collecte licite.
De notre côté, la Politique d'utilisation acceptable s'applique à chaque compte. Bloqués : Sites bancaires, gouvernementaux et de portails de paiement, plus les ports SMTP (envoi d'emails) 25, 465 et 587. Nous ne journalisons pas le contenu de vos requêtes, les URL complètes ni les données des pages. Pour traiter les signalements d'abus et les litiges de facturation, nous conservons les métadonnées de connexion (heure, compte, IP de sortie, nom d'hôte cible, octets) jusqu'à 30 jours, puis nous les supprimons. Nous conservons votre numéro de compte, vos commandes, vos dépôts et vos totaux de trafic tant que votre compte est ouvert, et ensuite uniquement le temps requis par les règles comptables. Nous ne communiquons des données aux autorités que lorsque la loi l'exige. Notre fournisseur réseau en amont peut conserver ses propres logs selon sa propre politique. La politique de confidentialité donne les détails.
Quelle configuration est raisonnable pour les relevés de prix et les vérifications locales ?
Collectez des données d'entreprise, pas des données de personnes : prix, frais, stocks et créneaux de livraison. Laissez les noms des auteurs d'avis, les profils de vendeurs et les coordonnées hors de votre parseur, ou supprimez-les avant le stockage.
Gardez un débit modéré, avec une session par ville et par exécution, comme décrit dans sessions persistantes par ville. Lisez le robots.txt et les conditions de chaque site avant la première exécution. Quand un site refuse l'accès automatisé, vérifiez-le à la main ou utilisez son API officielle.
RGPD et proxies : questions
La collecte de données publiques est-elle légale dans l'UE ?
Cela dépend des données, de la finalité et des conditions du site. Les données personnelles publiques restent couvertes par le RGPD, et les réserves de droit d'auteur peuvent limiter l'extraction de textes et de données. Cette page répertorie les règles et les lignes directrices ; elle ne tranche pas votre cas. Ceci n'est pas un avis juridique.
L'intérêt légitime peut-il couvrir un projet commercial ?
Oui, si les trois conditions sont remplies et documentées : un intérêt légitime, la nécessité et une mise en balance. Les lignes directrices 1/2024 de l'EDPB expliquent chaque condition. Les autorités l'évaluent au cas par cas, avec des garanties comme la minimisation et l'exclusion des sites qui s'y opposent.
Dois-je respecter le robots.txt au titre du RGPD ?
Le RGPD ne mentionne pas le robots.txt. La CNIL indique que la collecte ne peut pas répondre aux attentes raisonnables des personnes si les sites qui refusent clairement le scraping ne sont pas exclus. L'EDPB et l'AP rangent le respect du robots.txt parmi les garanties. Au titre de la directive DSM, une réserve lisible par machine limite aussi l'extraction de textes et de données.
Quelle est mon autorité compétente ?
En général, l'autorité du pays de votre établissement principal dans l'UE. Chaque pays de l'UE en compte une ou plusieurs, répertoriées comme membres de l'EDPB. Citons la CNIL en France, le Garante en Italie et l'Autoriteit Persoonsgegevens aux Pays-Bas.
Les prix et les frais de livraison sont-ils des données personnelles ?
En général non, lorsqu'ils concernent une entreprise. Ils peuvent devenir des données personnelles lorsqu'ils sont liés à une personne, comme le nom d'un entrepreneur individuel ou l'annonce d'un vendeur particulier. Vérifiez chaque champ.
Que conserve EuroCity Proxies à propos de mes requêtes ?
Nous ne journalisons pas le contenu de vos requêtes, les URL complètes ni les données des pages. Pour traiter les signalements d'abus et les litiges de facturation, nous conservons les métadonnées de connexion (heure, compte, IP de sortie, nom d'hôte cible, octets) jusqu'à 30 jours, puis nous les supprimons. Nous conservons votre numéro de compte, vos commandes, vos dépôts et vos totaux de trafic tant que votre compte est ouvert, et ensuite uniquement le temps requis par les règles comptables. Nous ne communiquons des données aux autorités que lorsque la loi l'exige. Notre fournisseur réseau en amont peut conserver ses propres logs selon sa propre politique.
Sources (11)
- Règlement (UE) 2016/679 (RGPD), articles 4, 5, 6, 9, 14, 21 et 35 — EUR-Lex (checked 2026-10-18)
- Directive (UE) 2019/790 sur le droit d'auteur dans le marché unique numérique, articles 3 et 4 — EUR-Lex (checked 2026-10-18)
- Lignes directrices 1/2024 sur le traitement des données personnelles fondé sur l'article 6, paragraphe 1, point f), du RGPD — European Data Protection Board (adopted 2024-10-08, checked 2026-10-18)
- Rapport des travaux de la ChatGPT Taskforce — European Data Protection Board (2024-05-24, checked 2026-10-18)
- Avis 28/2024 sur certains aspects de la protection des données liés au traitement de données personnelles dans le contexte des modèles d'IA — European Data Protection Board (2024-12-18, checked 2026-10-18)
- La base légale de l'intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) — CNIL (2025-06-19, checked 2026-10-18)
- Provvedimento del 20 maggio 2024 [10020316]: Nota informativa in materia di web scraping per finalità di addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto — Garante per la protezione dei dati personali (2024-05-20, checked 2026-10-18)
- Handreiking scraping door particulieren en private organisaties — Autoriteit Persoonsgegevens (2025-04-02, checked 2026-10-18)
- La cour d'appel régionale de Hambourg confirme que l'entraînement d'une IA était autorisé (Kneschke c. LAION) — Bird & Bird (2025-12-17, checked 2026-10-18)
- Membres de l'EDPB (autorités de contrôle nationales) — European Data Protection Board (checked 2026-10-18)
- RFC 9309 : Robots Exclusion Protocol — IETF (September 2022)