Web scraping : jusqu'où peut-on aller ? — 4 critères pour collecter des données en toute légalité

Le web scraping peut se faire en toute légalité. Dans la décision 2021도1533, la Cour suprême (대법원) a prononcé la relaxe sur les trois chefs d’accusation — violation de la loi sur les réseaux d’information et de communication (정보통신망법), entrave à l’activité au moyen de systèmes informatiques (컴퓨터등장애업무방해) et violation de la loi sur le droit d’auteur (저작권법) — dans une affaire de collecte d’informations sur le serveur d’API d’une application concurrente. Tout se joue sur la cible et la méthode, en trois points.

Domaine	Base légale	À vérifier lors de la conception
Droits d’accès	Loi sur les réseaux d’information et de communication (정보통신망법) §48①	Mesures de protection (connexion, CAPTCHA), interdiction de collecte dans les conditions d’utilisation
Données personnelles	Loi sur la protection des informations personnelles (개인정보보호법) §15①	Présence de noms ou de coordonnées. Le cas échéant, définir d’abord la base légale
Œuvres et bases de données	Loi sur le droit d’auteur (저작권법) §16, §93①②	Copie intégrale pour retraitement, ou utilisation de la seule partie nécessaire

① Droits d’accès — l’accès était-il restreint ?

L’article 48, alinéa 1 de la loi sur les réseaux d’information et de communication (정보통신망법) interdit de « pénétrer dans un réseau d’information et de communication sans droit d’accès légitime, ou au-delà du droit d’accès autorisé ».

La Cour suprême a précisé comment apprécier une restriction d’accès.

La question de savoir si le fournisseur de services a restreint le droit d’accès doit être jugée avec prudence, en considérant de manière globale les circonstances objectivement révélées, telles que les mesures de protection ou les conditions d’utilisation.

— Cour suprême (대법원), décision 2021도1533 rendue le 12 mai 2022

robots.txt n’est pas une mesure de protection. La norme (RFC 9309) précise elle-même qu’il n’est « pas un substitut à des moyens efficaces de sécurisation des contenus ». L’enfreindre ne rend pas la collecte illégale en soi, et le respecter n’en garantit pas la légalité. Lisez-le et respectez-le, sans vous en contenter.

② Données personnelles — la collecte porte-t-elle sur des personnes ?

L’article 15, alinéa 1 de la loi sur la protection des informations personnelles (개인정보보호법) énumère de manière limitative les cas où la collecte et l’utilisation sont permises (consentement, dispositions particulières de la loi, conclusion et exécution d’un contrat, etc.).

Dès que des noms, coordonnées ou adresses sont collectés, une réglementation distincte s’applique, que la collecte se fasse par scraping ou non. L’objectif et la base légale se définissent avant de commencer.

③ Œuvres et bases de données — quelle part collectez-vous ?

Le producteur d’une base de données a « le droit de reproduire, distribuer, diffuser ou transmettre le tout ou une partie substantielle » (loi sur le droit d’auteur (저작권법) §93①).

C’est un point souvent mal compris. Un élément isolé n’est pas une « partie substantielle », mais collecter peu à peu sur la durée n’est pas pour autant sans risque : une extraction répétée et systématique qui équivaut au final à la reproduction d’une partie substantielle constitue une atteinte (§93②).

Communiquez-nous la cible et le mode de collecte : nous étudions sans frais une architecture de collecte conforme et le périmètre réalisable. Si vous envisagez de sous-traiter, la collecte de données est proposée à partir de 150 000 wons.

→ Consulter la grille tarifaire et nos réalisations · Vérifier le périmètre possible

Au-delà de ces trois points

• Ne pas surcharger le serveur — fréquence de collecte comparable à un usage humain, nombre de requêtes parallèles limité. Des requêtes massives reviennent à perturber le service d’un tiers.
• Ne pas masquer le robot — indiquer l’objectif et un contact dans le User-Agent.

Ordre de vérification

1. Lire les conditions d’utilisation et le robots.txt du site cible
2. Déterminer si les données collectées sont des données personnelles ou une partie substantielle d’une base de données
3. Pour les cas complexes, solliciter l’avis d’un juriste

L’étape 1 vient en premier pour une raison. Indépendamment de la loi, les conditions d’utilisation fixent parfois le périmètre, notamment pour les espaces vendeurs et commerçants accessibles après connexion. C’est une question contractuelle avant d’être juridique : la vérifier d’abord évite de devoir refaire le travail.

Par ailleurs, 2021도1533 est une affaire pénale. Une relaxe au pénal ne signifie pas l’absence de responsabilité civile.

En résumé

La plupart des collectes se font sans difficulté. C’est aussi ce qui explique la relaxe sur les trois chefs : ne pas entrer là où l’accès est fermé, ne pas toucher aux données personnelles, ne pas reprendre en bloc la base de données d’autrui et ne pas surcharger le serveur.

La question est rarement « est-ce possible ? », le plus souvent « jusqu’où ? ». Fixer cette limite en amont évite de revenir en arrière une fois l’outil développé.

Lorsque vous évaluez seul, la difficulté réelle n’est pas l’interprétation de la loi, mais la suite : des conditions d’utilisation muettes, une cible située derrière une connexion, un doute sur la présence de données personnelles. Ces cas ne se tranchent pas à la seule lecture des textes ; il faut les examiner avec l’architecture de collecte. Demandez une revue de votre projet de collecte : nous vous communiquons notre analyse pour chaque cible.

---

Communiquez-nous l’adresse du site concerné.

Décrivez en une ligne les données recherchées : nous vérifions les conditions d’utilisation, le robots.txt et la présence de données personnelles, puis vous indiquons si la collecte est possible et dans quelles limites. La décision de lancer le développement intervient après cet examen.

→ Vérifier la faisabilité d’une collecte · Nos réalisations

---

Références

• Loi sur les réseaux d’information et de communication (정보통신망법), article 48, alinéa 1 · Loi sur la protection des informations personnelles (개인정보보호법), article 15, alinéa 1 · Loi sur le droit d’auteur (저작권법), articles 16, 93, alinéas 1 et 2 [vérifié — Centre national d’information juridique (국가법령정보센터)]
• Décision de la Cour suprême (대법원) 2021도1533, rendue le 12 mai 2022 [vérifié — texte original du jugement. Les trois chefs d’accusation poursuivis ont tous abouti à un acquittement]
• RFC 9309 Robots Exclusion Protocol [vérifié — IETF, 2022]