Le webscraping, technique d’extraction automatisée de contenu d’un site web pour un usage dans un autre contexte, se développe. Cette pratique est-elle pour autant légale ? Dans une décision du 9 septembre 2019, la cour d’appel des Etats-Unis pour le 9ème circuit a jugé que l’extraction de données publiques depuis LinkedIn par un tiers était licite, bien que le réseau social professionnel ait prohibé cette pratique dans ses conditions générales d’utilisation. Pour la cour, le scraping n’enfreint pas le Computer Fraud and Abuse Act, qui punit l’accès non autorisé à un système d’information, du fait du caractère public des données en cause. En France, comme en Europe, la question se pose également et la réponse n’est pas forcément éloignée de la position américaine, même si elle doit être nuancée.

Depuis sa création en 2012, la société américaine hiQ Labs collecte les informations figurant sur les profils publics des membres de LinkedIn dans le but de proposer des offres commerciales en ressources humaines. LinkedIn ne s’en était pas plaint, jusqu’au moment où il a envisagé de proposer des produits similaires. En 2016, LinkedIn a mis en demeure hiQ Labs de cesser d’extraire les données de son site au nom du Computer Fraud ans Abuse Act (CFAA) et de ses CGU, et il a bloqué les bots qui scannaient ses pages. hiQ Labs, dont le modèle économique repose entièrement sur cette activité, a saisi la cour du district Nord de Californie pour obtenir une réponse claire sur sa légalité.

Dans une injonction préliminaire du 14 août 2017, la cour lui donne raison considérant que les profils des utilisateurs sont publics. Cette décision a été confirmée par le jugement du 9 septembre dernier. La cour commence par affirmer que le réseau social n’a pas de droits sur les données de ses membres qui optent pour un profil public pour les rendre accessibles aux tiers. Elle poursuit en indiquant qu’il ne peut y avoir atteinte au CFAA dans la mesure où les données sont en accès libre. Elle estime, par ailleurs, que laisser à LinkedIn la possibilité de contrôler l’accès à ces données pourrait être préjudiciable à l’intérêt public. Cet argument a du reste été soutenu par l’Electronic Frontier Foundation, le moteur de recherche DuckDuckGo et l’Internet Archive dans un Amicus brief. Enfin, la cour met en avant le fait qu’une telle interdiction mettrait en péril hiQ Labs.

Comme le souligne Pascal Agosti, avocat associé du cabinet Caprioli, « la question centrale dans cette affaire porte sur le fait qu’il s’agit d’une donnée dont l’accès est public. Cette donnée dite publique est mise en ligne par le membre de LinkedIn en acceptant les CGU. Mais ces données restent la propriété du membre ». Se pose donc la question de l’autorisation du titulaire des données. Mais pour les juges américains, la notion d’autorisation n’a pas de sens car les données sont publiques. Le membre ne s’oppose pas à ce qu’on puisse les exploiter. D’ailleurs, constate la cour, il les a mises en ligne pour pouvoir être utilisées dans une finalité professionnelle.

En France, la question n’est pas tranchée et dépend bien sûr de chaque cas. Elle pourrait être posée sous l’angle du droit pénal, sur le fondement des atteintes aux systèmes de traitement automatisé de données (article 323-1 et suite). Encore faut-il établir une intention frauduleuse. On peut également retenir que l’aspiration s’apparente à une extraction substantielle de données. Mais on sait que la protection des bases de données reste difficile à mettre en œuvre. Le web scraping pourrait aussi, dans certaines conditions, être considéré comme un acte de parasitisme. Concernant le non-respect de CGU qui interdirait cette pratique, la cour d’appel de Paris a justement rappelé qu’elles ne sont pas opposables aux tiers, dans un arrêt du 23 mars 2012 concernant l’aspiration des données de vols de Ryanair par Opodo.

De façon générale, les sites n’ont pas de droits sur les données en tant que telles contrairement au titulaire qui peut autoriser leur utilisation par un acteur tiers. Selon Pascal Agosti, « les règles adoptées en matière financière peuvent constituer un état de l’art applicable aux prestataires dans d’autres domaines ». Les Fintech pratiquent en effet le screen scraping qui permet d’accéder aux données d’un client d’une banque en utilisant ses codes d’accès pour offrir leurs services. Le législateur européen est intervenu pour réguler la pratique. En vertu de la directive révisée sur les services de paiement (DSP2), entrée en vigueur le 13 janvier 2018, le screen scraping est prohibé. Toutefois, les banques ont désormais l’obligation de fournir un accès facilité à ces données via une API ou accès par protocole informatique. Pascal Agosti explique que « l’agrégation de données en matière bancaire doit répondre à des exigences d’interopérabilité voulues au niveau communautaire, dans le cadre du règlement d’exécution découlant de la directive DSP2. Ces règles en matière de données financières devraient pouvoir s’étendre à tout type de données, en termes de protection de données personnelles et de sécurité informatique ». Dans cette logique pragmatique, autant envisager un encadrement technologique et contractuel de l’extraction de donnée afin qu’elle ne soit pas massive et donc préjudiciable au site et qu’elle soit profitable au détenteur de la donnée.