Web scraping și GDPR în România: ghid de conformitate

Web scraping-ul nu e ilegal. Dar nici nu e teren liber. În clipa în care un crawler atinge date despre oameni — un nume, un e-mail, un număr de telefon, o recenzie semnată — intri sub incidența GDPR, chiar dacă informația era afișată public pe site.

Ghidul ăsta e despre linia care separă ce poți colecta legal de ce te poate costa o investigație ANSPDCP. Nu e opinie de avocat și nu înlocuiește consultanța juridică — sunt bune practici, construite pe ghidurile autorităților europene de protecția datelor și pe deciziile recente. Dacă ești la început cu subiectul, citește mai întâi ce este web scraping; aici mergem direct la conformitate.

Date publice ≠ date libere de obligații

Cea mai scumpă presupunere în scraping e că „dacă e public, e al meu". Nu e.

Autoritatea olandeză de protecția datelor (AP) a spus-o tranșant: faptul că o informație despre tine e publică nu înseamnă automat că ai dat permisiunea să fie colectată. Poți anunța pe contul tău că tocmai ai câștigat la loto — asta nu e un consimțământ ca datele să fie extrase și reutilizate. Permisiunea o dai doar dacă ești întrebat în prealabil, ceea ce, în scraping, de regulă nu se întâmplă.

GDPR se aplică datelor cu caracter personal indiferent de sursă. Originea publică nu schimbă natura datei și nu te scutește de obligații: temei legal, minimizare, transparență, drepturi ale persoanelor vizate. Punctul ăsta e constant în ghidurile CNIL (Franța), AP (Olanda) și în opinia Comitetului European pentru Protecția Datelor (EDPB) din decembrie 2024. Accentul nu cade pe cât de accesibilă e data, ci pe existența unui temei legal valid și documentat pentru scopul tău concret.

Ce înseamnă „date cu caracter personal" în web scraping

Distincția care decide totul: colectezi date despre lucruri sau despre oameni?

Date ne-personale — preț, stoc, specificații tehnice, disponibilitate, descrierea unui produs. Nu identifică pe nimeni. GDPR nu se aplică. Atenție însă: pot exista alte obligații — drepturi de autor, Termenii de Utilizare ai site-ului, dreptul sui-generis asupra bazelor de date — dar nu protecția datelor.

Date cu caracter personal — orice identifică direct sau indirect o persoană fizică: nume, e-mail, telefon, adresă IP, ID de utilizator, fotografie, conținutul unei recenzii semnate, numele unui vânzător pe un marketplace. Aici GDPR intervine integral.

Date sensibile (categorii speciale, Art. 9) — sănătate, etnie, opinii politice sau religioase, orientare sexuală, date biometrice. Colectarea lor prin scraping e interzisă ca regulă; sunt permise doar pe excepțiile Art. 9, de pildă când persoana le-a făcut „manifest publice". Curtea de Justiție a UE a precizat (cazul Meta Platforms, C-252/21, 2023) că asta presupune o alegere explicită și în cunoștință de cauză a persoanei de a le expune unui număr nelimitat de oameni — nu simpla lor prezență online.

Arborele de decizie: ce poți colecta și în ce condiții

Înainte să pornești crawler-ul, treci datele prin acest filtru. Răspunsul la fiecare întrebare schimbă tot ce urmează.

Pe scurt: date ne-personale → liber, cu respect pentru Termenii de Utilizare și drepturile de autor. Date personale ne-sensibile → permis cu condiții, dacă ai un temei și respecți principiile. Date sensibile → interzis, cu excepții înguste.

Bazele legale: interes legitim, rareori consimțământ

GDPR cere un temei legal pentru orice prelucrare (Art. 6). În scraping, cinci din cele șase temeiuri pică din start — nu ai contract cu persoanele și nu poți obține consimțământ de la milioane de oameni pe care nu-i cunoști.

Rămâne interesul legitim (Art. 6(1)(f)). Nu e un cec în alb. CNIL și EDPB cer un test în trei pași, documentat înainte de colectare — un Legitimate Interest Assessment (LIA):

1. Interesul e legitim? Trebuie să fie real, clar și legal — nu speculativ. Autoritatea olandeză merge mai departe: un interes pur comercial, fără o componentă protejată de lege, nu se califică. Poziția e contestată și există o trimitere la CJUE pe acest punct — deci tratează zona ca incertă, nu ca rezolvată.
2. Prelucrarea e necesară? Există o cale mai puțin intruzivă de a-ți atinge scopul? Dacă da, alege-o.
3. Echilibrul înclină în favoarea ta? Interesul tău nu trebuie să fie depășit de drepturile și de așteptările rezonabile ale persoanelor.

Pentru date B2B — nume, funcție, e-mail de business, companie — argumentul interesului legitim e mai solid: contextul e profesional, iar persoanele se așteaptă la comunicare de business. Pentru date de consumator e mult mai fragil.

Conformitatea influențează și abordarea tehnică pe care o alegi — un API oficial sau un dataset licențiat ridică mult mai puține semne de întrebare decât scraping-ul brut. Vezi cum alegi unealta de web scraping pentru partea de tooling.

robots.txt și Termenii de Utilizare: semnale cu greutate

robots.txt a fost mult timp o convenție politicoasă. Nu mai e doar atât.

CNIL tratează respectarea robots.txt ca factor în balanța interesului legitim: a ignora o directivă Disallow e un semnal negativ puternic — arată desconsiderare față de voința operatorului site-ului și îți slăbește serios apărarea. EDPB a mers în aceeași direcție în ghidurile pe AI. Practic, citește robots.txt o dată per domeniu, sari peste căile interzise și respectă întârzierile cerute.

Termenii de Utilizare contează pe alt plan — cel contractual. Încălcarea lor nu e automat o faptă penală: cazul hiQ vs LinkedIn în SUA și Ryanair vs PR Aviation în UE arată că datele publice pot fi colectate, iar termenii de tip „browsewrap" neacceptați explicit sunt greu de impus. Dar pot declanșa litigii civile. Iar accesarea zonelor protejate prin parolă e clar interzisă, indiferent de cât de slabă e protecția.

Minimizare, anonimizare, retenție

Trei principii care, aplicate, te scot din zona de risc.

Minimizare (Art. 5(1)(c)) — colectează doar câmpurile de care ai efectiv nevoie. „Tot site-ul, pentru orice eventualitate" încalcă principiul. Folosește selectoare precise (CSS, XPath) și filtre care exclud câmpurile inutile încă de la extragere.

Anonimizare / pseudonimizare — dacă nu ai nevoie de identitate, n-o păstra. Atenție: pseudonimizarea nu e imunitate. Dacă datele pot fi re-legate de persoană, direct sau prin inferență, rămân sub GDPR.

Retenție (limitarea stocării) — definește cât timp păstrezi datele și șterge automat la termen. De pildă, datele de preț pot fi păstrate o perioadă pentru analiză, apoi anonimizate sau șterse; datele personale apărute accidental se șterg imediat ce sunt identificate.

Și obligația cel mai des uitată: informarea (Art. 14). Când obții date indirect — chiar definiția scraping-ului — ai datoria să informezi persoanele. Nu e teorie: CNIL a amendat KASPR cu 240.000 EUR în decembrie 2024 pentru extragerea de contacte de pe LinkedIn, iar autoritatea poloneză a aplicat o amendă de circa 220.000 EUR unei organizații care colectase date despre milioane de oameni fără să-i informeze.

Datele personale care apar accidental

Chiar cu filtre bune, datele personale se strecoară: numele unui vânzător într-un anunț, semnătura unei recenzii, un e-mail lăsat într-un comentariu.

CNIL e limpede aici: dacă, în ciuda măsurilor rezonabile, prelucrezi incidental și rezidual date pe care nu le-ai căutat, asta nu e automat ilegal — cu condiția să fi luat măsuri și să le poți demonstra. Practic: configurează filtre care exclud din start sursele și câmpurile sensibile (sau site-urile care conțin structural astfel de date), iar ce scapă, șterge imediat ce identifici. „Imediat ce identifici", nu „la următoarea curățenie de bază de date".

Date publice, dar atenție și la dreptul concurenței

Conformitatea GDPR nu e singura linie roșie. Întoarce-te la cazul din monitorizarea prețurilor concurenței: a colecta prețuri publice afișate de competitori e, în sine, scraping de date ne-personale — legitim.

Dar ce faci cu ele contează. Monitorizarea propriei poziții pe piață e una; folosirea datelor ca să coordonezi prețuri cu concurenții — direct sau prin semnalizare — e o practică anticoncurențială, ilegală într-un alt registru de lege. Aceeași dată, două destine: instrument de analiză sau probă într-un dosar. Granița nu e tehnică, e în scop și utilizare.

Cadrul din România: ANSPDCP și legislația locală

GDPR se aplică direct în România, completat de Legea nr. 190/2018 (măsuri de punere în aplicare) și de Legea nr. 506/2004 (viața privată în comunicații electronice — relevantă mai ales pentru cookies). Autoritatea care investighează și sancționează e ANSPDCP.

Ce arată practica? În 2025, ANSPDCP a aplicat zeci de sancțiuni — peste 80, conform rapoartelor publice — iar amenzile în România tind să fie modeste în valoare absolută față de plafoanele europene, concentrate mai ales pe breșe de securitate, cookies fără consimțământ și nerespectarea drepturilor persoanelor vizate. Ghidurile cele mai detaliate strict pe scraping vin deocamdată de la autorități precum CNIL și AP și de la EDPB — care pregătește ghiduri dedicate scraping-ului — dar cadrul pe care îl aplică ANSPDCP e același GDPR.

Plafonul rămâne descurajant oriunde: până la 20 de milioane EUR sau 4% din cifra de afaceri globală anuală, oricare e mai mare. Iar cazurile Clearview AI — amendată în lanț de mai multe autorități europene pentru construirea unei baze faciale din imagini publice — arată că „era public" nu e o apărare.

Întrebări frecvente

E legal web scraping-ul în România?

Da. Web scraping-ul nu e interzis. Devine o problemă când atinge date cu caracter personal fără temei legal, când ignoră robots.txt și Termenii de Utilizare sau când accesează zone protejate prin parolă. Pentru date ne-personale (prețuri, stoc, specificații), GDPR nu se aplică.

Pot colecta date doar pentru că sunt publice pe site?

Nu automat. Caracterul public nu elimină obligațiile GDPR. Ai nevoie de un temei legal (de regulă interes legitim, cu LIA documentat), trebuie să minimizezi ce colectezi și, în multe cazuri, să informezi persoanele conform Art. 14.

Ce e un Legitimate Interest Assessment (LIA)?

E testul în trei pași prin care justifici interesul legitim: interesul e real și legal, prelucrarea e necesară, iar echilibrul nu îți depășește drepturile persoanelor vizate. CNIL și EDPB cer ca el să fie documentat înainte de colectare.

Trebuie să respect robots.txt din punct de vedere legal?

Tehnic, robots.txt nu e o lege. Dar autoritățile (CNIL, EDPB) îl tratează ca semnal în balanța interesului legitim: dacă îl ignori, îți slăbești apărarea. Practic, respectă-l.

Ce fac cu datele personale apărute accidental în scraping?

Configurează filtre care să excludă din start câmpurile și sursele sensibile. Ce scapă, șterge imediat ce identifici. Documentează măsurile — colectarea reziduală, neintenționată, nu e tratată automat ca ilegală dacă ai luat precauții rezonabile.

Construiește din start corect

Conformitatea nu e blocaj — e ce-ți permite să rulezi pipeline-uri de date pe termen lung, fără surprize. Pune din prima temeiul legal, minimizarea și retenția clare. Iar cât te costă, în timp și infrastructură, un pipeline de scraping făcut corect? Despre asta vorbim în articolul următor — cât costă un proiect de web scraping. Vezi și ce putem livra pe serviciul de web scraping și data pipelines, sau explorează toate ghidurile de conformitate.