Je veux traiter des données personnelles issues du “web scraping” : comment procéder ?

Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !

Le “web scraping” est une technique d’extraction du contenu de sites web, via un script ou un programme. Si les données que vous souhaitez ainsi extraire sont des données personnelles, alors ce traitement (comprenant la collecte et/ou l’analyse ultérieure) n’est pas exempt du cadre juridique du RGPD1 et de la LIL2. Cette réglementation s’applique nécessairement, même si les données ont été rendues publiques par les personnes concernées (→ voir “Je veux traiter des données personnelles rendues manifestement publiques : comment procéder ?”).

Toutes les étapes assurant un traitement licite doivent être menées et respectées (→ voir “Comment traiter des données personnelles : étapes élémentaires)

Dans ce billet, nous soulignons quelques conseils ou recommandations s’appliquant spécifiquement à ce mode de recueil de données, pour s’assurer de la conformité du traitement à la règlementation sur la protection des données personnelles.

Web scraping, données personnelles et droit d’auteur

Les données extraites d’un site web sont protégées par le droit d’auteur, et par un droit sui generis (à part entière) protégeant son producteur (articles L.112-3 et L.341-1 du code de la propriété intellectuelle). Il faudra donc veiller, en sus du respect de la LIL et du RGPD, à respecter les principes de la propriété intellectuelle. Le producteur de la base peut interdire toute extraction d’une partie substantielle de la base, tout comme sa réutilisation par la mise à disposition du public.

Web scraping, données personnelles et analyse d’impact

Un projet qui recourt au web scraping sera aussi plus susceptible d’être concerné par l’obligation de réaliser une analyse d’impact relative à la protection des données (→ voir “Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?”). En effet, le web scraping est un “traitement à grande échelle de données personnelles”, or l’analyse d’impact est obligatoire si votre traitement répond à au moins 2 de ces critères :

  • évaluation d’aspects personnels ou notation d’une personne (exemple : scoring financier) ;
  • prise de décision automatisée ;
  • surveillance systématique de personnes (exemple : télésurveillance) ;
  • traitement de données sensibles (→ voir “Que sont les données personnelles “sensibles” ? Peut-on les traiter ?”) ;
  • traitement de données concernant des personnes vulnérables (voir ci-dessous “Focus sur les populations vulnérables”);
  • traitement à grande échelle de données personnelles ;
  • croisement d’ensembles de données ;
  • usages innovants ou application de nouvelles technologies (exemple : objet connecté) ;
  • exclusion du bénéfice d’un droit, d’un service ou contrat (exemple : liste noire).
Focus sur les populations vulnérables

Certaines données personnelles renseignent des “populations vulnérables”. Ces populations ne sont pas explicitement définies par le RGPD ni par la LIL, mais on comprend qu’il s’agit de personnes pour lesquelles il est moins évident de faire valoir ses droits – telles que :

  • les enfants de moins de 15 ans ;
  • les personnes âgées ;
  • les personnes souffrant de maladie mentale ;
  • les salariés enquêtés sur leur établissement professionnel ;
  • les prisonniers ;
  • les réfugiés et demandeurs d’asile ;
  • les patients dans un établissement médical ;

Si, d’après cette analyse d’impact, le risque encouru pour les personnes est trop important mais nécessaire pour atteindre vos objectifs de recherche, un avis préalable de la CNIL est requis avant tout traitement.

Web scraping, données personnelles sensibles et consentement

Lors des collectes de données par web scraping, le consentement des personnes se révèle souvent impossible à obtenir au vu des moyens dont disposent les chercheurs. La plupart du temps, parce que la majorité des traitements en SHS peuvent se fonder sur la base légale “exécution d’une mission de service public” (au lieu de la base légale du consentement), le recueil du consentement est seulement nécessaire pour traiter des données particulières (dites “sensibles”) qui ne sont pas rendues manifestement publiques (→ voir “Qu’est-ce que le consentement des personnes ? Est-il toujours nécessaire pour traiter des données personnelles dans le cadre d’une recherche publique ?”).

Dans le cadre d’un traitement fondé sur l’”exécution d’une mission d’intérêt public”, pour savoir si le recueil du consentement est nécessaire (et, dans ce cas, comment y déroger), vous devrez donc répondre aux questions suivantes :

Si les données collectées par web scraping ne sont pas “sensibles” ; ou si les données “sensibles” collectées par web scraping ont été rendues manifestement publiques par les personnes concernées : dans ces cas, le recueil du consentement n’est pas nécessaire au traitement.

Si les données collectées par web scraping sont des données “sensibles” qui n’ont pas été manifestement rendues publiques par les personnes concernées : dans ce cas, il est nécessaire de recueillir le consentement des personnes. Si ce recueil n’est pas concevable, et si ce traitement est nécessaire à des fins scientifiques, le traitement sera possible sous réserve d’un avis de la CNIL (démarche relativement compliquée nécessitant 6 mois d’instruction minimum). Cet avis de la CNIL devra être sollicité en sus de la réalisation d’une analyse d’impact (car votre traitement sera concerné par deux situations à risque : le traitement de données sensibles ; et le traitement à grande échelle (→ voir précédemment dans ce billet, “Web scraping, données personnelles et analyse d’impact”).

Comment traiter des données sensibles recueillies par web scraping, sans recueillir le consentement des personnes ? → Voir ci-après dans ce billet, l’exemple de la délibération CNIL du 3 mai 2018 autorisant l’Université de Lorraine à traiter des données “web scrapées”

Web scraping, données personnelles et droits des personnes

Respecter le cadre juridique, c’est aussi garantir les droits des personnes (information, accès, rectification, limitation, effacement, voire portabilité). Nous rappelons que plusieurs dérogations ou aménagements sont possibles dans le cadre des traitements fondés sur “l’exécution d’une mission d’intérêt public” (→ voir étape 5, partie 5.3. du billet “Comment traiter des données personnelles en SHS : étapes élémentaires”).

Le droit d’information des personnes peut être aménagé si les efforts nécessaires à la fourniture d’informations se révèlent disproportionnés. Le caractère disproportionné des efforts doit se justifier à l’aide de plusieurs arguments, comme (source : CNIL – Recherche scientifique hors santé : comment assurer le respect des droits des personnes ?) : “le nombre élevé de personnes concernées ; l’ancienneté des données personnelles traitées (plus de dix ans par exemple) ; la difficulté de réidentifier les personnes concernées (exemple : données issues de bases comprenant uniquement des données pseudonymisées, sans table de correspondance) ; la difficulté de retrouver leurs coordonnées”. Si les efforts à déployer se révèlent disproportionnés, les personnes ne sont pas individuellement informées, mais une information générale doit être publiquement disponible, via tous les médias possibles : publication sur les sites web de l’université, du laboratoire, du projet de recherche (ex : carnet Hypothèses), de l’institution auprès de laquelle on a recueilli les données ; publication dans un journal ; affichage dans les locaux ; etc.

Le droit d’opposition (qui correspond au droit d’effacement pour les traitements fondés sur une autre base légale que celle du consentement) peut être exclu (i.e. ne pas s’appliquer, même par principe) si la base légale est celle de “l’exécution d’une mission d’intérêt public”.

Les autres droits (accès, rectification, limitation) peuvent faire l’objet d’une dérogation si leur exercice compromet la recherche. Pour répondre à toute personne demandant leur application, il faudra alors mentionner ces dérogations et expliquer les motifs du refus de l’exercice du droit, en documentant précisément le préjudice que l’application de ce droit porterait à la recherche.

Comment garantir les droits d’information et d’accès des personnes lorsque les données sont collectées par web-scraping ? → Voir ci-après dans ce billet, l’exemple de la délibération CNIL du 3 mai 2018 autorisant l’Université de Lorraine à traiter des données “web scrapées”

Exemple de la délibération CNIL du 3 mai 2018 autorisant l’Université de Lorraine à traiter des données “web scrapées”

La délibération du 3 mai 2018 de la CNIL, autorisant l’Université de Lorraine à mettre en œuvre un traitement automatisé de données personnelles, donne un exemple des aménagements et dérogations applicables dans le cas d’un traitement de données collectées par web scraping à des fins de recherche publique.

Le projet de recherche, porté par l’UMR LORIA, s’appuie sur le traitement des données d’environ 20 000 profils du réseau social “Facebook”, librement accessibles à tout internaute, pour mettre en évidence les risques encourus par les personnes lorsqu’elles dévoilent des informations sur les réseaux sociaux.

Réutilisation / changement de finalité

Les données que le LORIA souhaite traiter ont d’abord été collectées à d’autres fins que celles du laboratoire : la finalité de ce premier traitement est celle du réseau social (Facebook). La réutilisation des données Facebook par le LORIA est ici autorisée : la CNIL rappelle que, dans le cas où le traitement ultérieur est effectué à des fins de recherche scientifique, le changement de finalité est systématiquement réputé compatible avec la finalité initiale (considérant 50 et article 5 du RGPD).

Voir aussi – sur ce blog

Données sensibles

Le traitement est susceptible de contenir des données sensibles, induites de certaines publications ou d’un croisement d’informations : “A titre d’illustration, le fait d’appartenir à un groupe, d’être “ami” avec certaines personnes, de publier ou “liker” certains contenus peut laisser penser que l’utilisateur est sympathisant de telle famille politique ou de telle obédience religieuse”. Ces données sensibles peuvent être traitées sans recueillir de consentement, en vertu de deux dérogations (→ voir “Que sont les données personnelles “sensibles”? Peut-on les traiter ?”).

Premièrement, les données sont considérées comme “rendues manifestement publiques” par les personnes concernées. Pour justifier le caractère délibéré de ces publicisations, la CNIL souligne que les personnes “ont diffusées [ces données], de leur propre initiative, en ligne, sans aucun paramétrage de confidentialité spécifique, les laissant ainsi librement accessibles à tout internaute”.

Deuxièmement, la CNIL autorise ce traitement de données sensibles pour la recherche publique, sous réserve que les intérêts du traitement soient importants pour le responsable du traitement et n’aient pas d’impact négatif sur les personnes, et que la sécurité du traitement soit assurée. En effet, la CNIL souligne la nature du porteur de projet, “une unité mixte de recherche bénéficiant de financements publics” ; elle relève également la “finalité exploratoire d’utilité publique” qu’elle considère “déterminée, explicite et légitime”. Ce dernier adjectif résulte de la confrontation de l’intérêt du traitement (sensibiliser le grand public à une utilisation maîtrisée des réseaux sociaux, notamment en développant un outil informatique permettant à chaque internaute de calculer son “score d’anonymat”) avec le risque sur les personnes (il est souligné que le traitement n’amènera aucune décision produisant des effets sur les personnes concernées). Le traitement est autorisé, à condition qu’il s’accompagne de mesures de sécurité renforcées (détaillées dans la délibération).

Droits des personnes

La CNIL a considéré que “la délivrance d’une information individuelle aux personnes concernées par la recherche du LORIA conduirait à un effort disproportionné au regard de l’intérêt de la démarche”, et pourrait potentiellement entraver la recherche. Plusieurs arguments sont avancés :

  • une fois informées, les personnes concernées pourraient modifier leur comportement en ligne ;
  • le nombre de profils concernés rendrait très difficile la délivrance d’une information individuelle par email ou voie postale, étant donné que de nombreux utilisateurs de réseaux sociaux ne dévoilent pas leur véritable identité, que les informations de contact partagées ne sont pas nécessairement à jour, et que l’envoi d’un courrier d’information aurait “un coût financier extrêmement élevé”;
  • enfin, la CNIL reconnaît que la délivrance d’une information individuelle via le réseau social lui-même (Facebook) n’est pas forcément réalisable au vu des conditions générales d’utilisation (CGU) de l’application et des interfaces de programmations applicatives (API) qu’elle propose, d’autant plus que les objectifs du projet de recherche pourraient déplaire à l’entreprise (i.e. démontrer le degré d’exposition de la vie privée sur ce réseau social).

Cela étant, les chercheurs sont invités à procéder à une information générale : par exemple, en insérant sur le site du LORIA un espace dédié aux mentions informatives.

S’agissant du droit d’accès, elle autorise qu’il soit dérogé en vertu de l’article 39-II de la LIL, puisque les données personnelles “sont conservées sous une forme excluant manifestement tout risque d’atteinte à la vie privée des personnes concernées et pendant une durée qui n’excède pas celle nécessaire aux seules finalités d’établissement de statistiques ou de recherche scientifique ou historique”. Plus précisément, le responsable de traitement devra pseudonymiser les données dès leur collecte, restreindre l’accès aux données à un nombre limité de personnels, supprimer les données traitées dès l’obtention des résultats anonymisés souhaités.

Références

Notes

  1. Règlement Général sur la Protection des Données Personnelles (RGPD) du 27 avril 2016 – voir la version en vigueur []
  2. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) – voir la version en vigueur []

OpenEdition vous propose de citer ce billet de la manière suivante :
Aliette ROUX (14 octobre 2022). Je veux traiter des données personnelles issues du “web scraping” : comment procéder ? So MSH ! Consulté le 21 avril 2026 à l’adresse https://doi.org/10.58079/ugfr


Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

This site uses Akismet to reduce spam. Learn how your comment data is processed.