8 juillet 2026 Le Conseil européen de la protection des données (EDPB) a adopté lors de sa session plénière à Bruxelles le « Guide 03/2026 sur le web scraping dans le contexte de l'IA générative » — le premier document paneuropéen qui répond directement à la question qui a plané pendant des années sur l'ensemble de l'industrie de la collecte de données : le scraping est-il soumis au RGPD si les données sont accessibles publiquement ? La réponse de l'EDPB est claire et pour beaucoup désagréable : oui, cela s'applique — et "public" ne signifie plus "peut être pris librement". Le document est ouvert aux consultations publiques jusqu'au 30 octobre 2026, mais il établit déjà un cadre selon lequel les régulateurs européens évalueront toute collecte de données personnelles.
Que décide exactement l'EDPB
Le principal argument du guide est simple. Le RGPD s'applique chaque fois que le web scraping concerne des données personnelles — c'est-à-dire toute opération de collecte, stockage, organisation et extraction d'informations permettant d'identifier directement ou indirectement une personne. Et — point clé — peu importe si cette information était visible publiquement. L'EDPB rejette clairement l'hypothèse populaire dans l'industrie selon laquelle « puisque les données sont sur un profil ouvert, elles échappent à la réglementation ». Les organisations ne devraient pas s'attendre à ce que les autorités européennes considèrent ces données comme exemptées du RGPD.
Cela renverse la logique habituelle. Pendant de nombreuses années, les collecteurs de données se sont appuyés sur l'association « accessible publiquement + proxy résidentiel = techniquement possible, légalement tolérable ». L'EDPB dissocie deux questions qui auparavant étaient amalgamées : la disponibilité technique des données et la base légale pour leur traitement — ce ne sont pas la même chose. La première est résolue par l'infrastructure. La seconde — uniquement par la loi.
Test de l'« intérêt légitime » : plus par défaut
La plupart des scrapers de données personnelles justifient leur traitement par l'« intérêt légitime » (legitimate interest, art. 6(1)(f) RGPD). L'EDPB confirme que cette base est en principe applicable au scraping pour l'apprentissage de l'IA, mais l'encadre de conditions strictes. Aucune évaluation « en gros » ne peut être faite — le test est effectué pour chaque cas particulier et se compose de trois étapes :
- Intérêt réel. Il faut formuler un intérêt spécifique, légitime et actuel — pas un abstrait « nous avons besoin de données ».
- Nécessité. Prouver que l'objectif ne peut être atteint de manière moins intrusive que par la collecte massive de données personnelles.
- Équilibrage. Peser son intérêt contre les droits fondamentaux et les attentes raisonnables des personnes dont les données sont collectées — et montrer qu'il ne les surpasse pas.
De plus, le document doit exister au préalable, et ne pas être élaboré a posteriori. Comme le souligne Brian Hengesbo, responsable mondial de la pratique Data & Cyber chez Baker McKenzie, lors de l'examen d'une plainte, le régulateur demandera en premier lieu l'évaluation de l'intérêt légitime et la documentation justificative. Pas de papier — pas de protection.
Minimisation des données : filtrer avant la collecte, et non après
L'EDPB exige d'intégrer la protection dès la phase de conception, avant la première demande. Le contrôleur doit :
- définir des critères de collecte précis, et ne pas tout ramasser indiscriminément ;
- appliquer des filtres excluant les catégories sensibles de données ;
- exclure certains sites — en particulier les ressources destinées aux mineurs et les sites protégés contre le scraping ;
- appliquer une post-traitement après la collecte : filtrage syntaxique et anonymisation.
Le point concernant les « sites protégés contre le scraping » mérite d'être relu deux fois. L'EDPB dit en fait : si une ressource a clairement mis en place des barrières anti-bots, les contourner est un signal que vous agissez contre la volonté du propriétaire et les attentes raisonnables des utilisateurs. Ce n'est pas une question de CFAA ou de piratage, c'est une question d'équilibre des intérêts au sein du RGPD.
Catégories particulières de données — presque tabou
Les données de santé, les opinions politiques, la religion, l'orientation sexuelle (art. 9 RGPD) sont en principe interdites à la collecte lors du scraping — et même une capture involontaire (par exemple, à partir d'un post ouvert sur les réseaux sociaux) déclenche une interdiction stricte. Pour un traitement légal, il faut simultanément une base selon l'art. 6 et une exception selon l'art. 9(2), que le scraper de masse n'a généralement pas. L'EDPB exige un contrôle tout au long du cycle de vie — jusqu'aux filtres à la sortie du modèle et aux restrictions sur les prompts après le déploiement.
Pourquoi un document unique est apparu maintenant
Jusqu'à présent, l'Europe a réagi au scraping pour l'IA de manière fragmentée, par des autorités nationales — et les résultats ont été contradictoires. L'Autorité italienne Garante a infligé en décembre 2024 une amende de 15 millions d'euros à OpenAI pour avoir formé ChatGPT sans base légale appropriée et en violation des exigences de transparence. Mais en mars 2026, le tribunal de Rome a annulé cette sanction — une illustration claire de la précarité du cadre juridique. La DPC irlandaise a obtenu en 2024, par le biais d'une requête auprès de la Haute Cour, que X cesse définitivement de former le chatbot Grok sur les posts publics des utilisateurs européens pendant la période du 7 mai au 1er août 2024. De plus, des actions distinctes des régulateurs néerlandais et français.
Ce paysage patchwork créait de l'incertitude tant pour les entreprises que pour les citoyens. Le Guide 03/2026 développe l'« Avis 28/2024 » antérieur sur l'IA et établit pour la première fois une norme unique pour les 27 pays. Le même jour, l'EDPB a également adopté un guide complémentaire sur l'anonymisation, où il a fixé le critère des trois conditions : les données sont considérées comme anonymes seulement si il n'est pas possible d'extraire un enregistrement spécifique, de relier des enregistrements entre eux, ou de déduire de nouvelles informations sur une personne. Comme l'a exprimé la présidente de l'EDPB, Anu Talus, les documents « établissent des normes claires qui facilitent l'utilisation des données tout en protégeant les droits fondamentaux des personnes ».
Qu'est-ce que cela signifie pour ceux qui collectent des données
Tout d'abord et avant tout : il s'agit de la portée territoriale du RGPD. Si votre échantillon contient des données personnelles de résidents de l'UE, le règlement s'applique indépendamment de l'endroit où vous vous trouvez. Et cela ne concerne pas seulement les laboratoires LLM : toute organisation qui scrape des données directement ou par le biais de sous-traitants — que ce soit pour le réentraînement d'un modèle ou pour l'analyse de sentiments — est soumise à ces exigences.
Deuxièmement, la ligne de démarcation pratique se fait selon le type de données, et non selon le mode d'accès :
- Données non personnelles — prix, disponibilité des produits, caractéristiques, textes publics sans lien avec une personne, analyse de marché — restent dans une zone à faible risque. La surveillance des prix, le parsing des catalogues, la collecte de la structure SERP sous le RGPD concernant les données personnelles ne pose pas de problème.
- Données personnelles — profils, contacts, comportements de personnes spécifiques — sont désormais entièrement soumises au RGPD, même si elles sont accessibles publiquement. Ici, une base légale, un test documenté de l'intérêt légitime, la minimisation et une anonymisation précoce sont nécessaires.
Troisièmement, l'hygiène de la collecte, que l'EDPB a en fait rendue obligatoire : critères de sélection étroits, filtrage des données personnelles et sensibles à l'entrée, anonymisation le plus tôt possible, respect des barrières anti-scraping et des sites pour mineurs, politique de confidentialité publique décrivant le scraping.
Où sont les proxies — et où ils ne sont pas
Il convient de dissocier honnêtement deux dimensions que l'EDPB a séparées en premier. Le choix de l'infrastructure — proxies résidentiels, mobiles ou proxies de centre de données — détermine la fiabilité, la géolocalisation et le pourcentage de requêtes réussies, c'est-à-dire le côté technique de la collecte. Mais cela ne change pas votre base légale. Une IP résidentielle ne transforme pas un traitement illégal de données personnelles en légal — la conformité dépend de ce que vous collectez et pourquoi, et non de l'adresse d'où la requête est envoyée. C'est d'ailleurs une bonne nouvelle pour les projets honnêtes : si vous scrapez des données non personnelles ou filtrez et anonymisez correctement des données personnelles, une infrastructure proxy de qualité résout le problème technique, et vous restez dans le cadre légal en substance.
La même logique s'applique au scraping agentiel, où des agents IA écrivent eux-mêmes des parseurs : l'outil est devenu plus intelligent, mais les règles de traitement des données n'ont pas été assouplies — au contraire, l'EDPB étend clairement les exigences à de tels pipelines.
Conclusion
Le Guide 03/2026 ne prohibe pas le web scraping — il met fin à l'illusion confortable selon laquelle l'ouverture des données élimine la question de leur traitement. Dans l'UE, l'ère du « public signifie gratuit » pour les données personnelles s'est terminée le 8 juillet 2026. Pour les collecteurs de données, ce n'est pas un verdict, mais un changement de discipline : séparer les données personnelles et non personnelles, filtrer à l'entrée, anonymiser tôt, documenter l'intérêt légitime avant, et non après, la demande du régulateur. La technique est toujours résolue par des proxies et des anti-detects ; la légalité dépend désormais de ce que vous mettez dans votre base.
```