Scraping web en la UE: qué es legal y cómo mantenerlo funcionando

Sí, en la Unión Europea se pueden extraer datos de webs públicas, pero no todos ni de cualquier forma. Lo que decide si un proyecto de scraping es legal no es la técnica, sino tres preguntas: qué datos sacas, de qué base de datos los sacas y cómo llegas a ellos. Si los datos no identifican a personas, no copias una parte sustancial de la base de datos de otro y no te saltas ningún login ni protección técnica, el riesgo es bajo.

Te contamos cómo lo planteamos nosotros antes de escribir una sola línea de código, y qué hace falta para que el extractor siga funcionando seis meses después.

Primera pregunta: ¿hay datos personales?

Es la que más proyectos tumba. El Reglamento General de Protección de Datos (RGPD) se aplica a cualquier dato que identifique a una persona, aunque sea público. Un nombre en un perfil profesional, un teléfono en un anuncio o una foto en una red social siguen siendo datos personales.

Eso no prohíbe extraerlos, pero obliga a tener una base legal (normalmente el interés legítimo, que hay que justificar y documentar), a avisar a las personas afectadas y a no guardar más de lo necesario. Varias autoridades europeas de protección de datos han multado a Clearview AI por construir su base de datos con fotos públicas sacadas de internet.

En la práctica, nuestra primera recomendación casi siempre es la misma: no recojas datos personales si no los necesitas. Para comparar precios, vigilar stock o seguir licitaciones no hacen falta.

Segunda pregunta: ¿de quién es la base de datos?

En la UE, quien ha invertido de forma sustancial en reunir y mantener una base de datos tiene un derecho propio sobre ella, aunque los datos sueltos no estén protegidos. Viene de la Directiva 96/9/CE y en España está en el artículo 133 de la Ley de Propiedad Intelectual. Lo que protege es la extracción de una parte sustancial del contenido, o la extracción repetida de partes pequeñas que acaba siendo lo mismo.

El Tribunal de Justicia de la UE ha matizado cuándo se vulnera ese derecho (caso CV-Online, 2021): lo importante es si la extracción pone en riesgo la inversión de quien creó la base de datos. Sacar unos cientos de precios para un estudio no es lo mismo que replicar entero un portal y competir con él.

Y si la base de datos no está protegida por ese derecho, las condiciones de uso de la web pueden prohibir la extracción como contrato (caso Ryanair, 2015). Por eso leemos siempre los términos de la fuente antes de empezar.

Tercera pregunta: ¿cómo accedes a los datos?

Aquí la línea es clara:

• Páginas públicas, sin registro: es el caso normal.
• Detrás de un login con tu propia cuenta: depende de las condiciones que aceptaste al registrarte, que muchas veces lo prohíben.
• Saltarse un login, un captcha o cualquier protección técnica: no lo hacemos. En España, acceder a un sistema vulnerando sus medidas de seguridad puede ser delito.

El archivo robots.txt no es una ley, pero cuenta. La Directiva de 2019 sobre derechos de autor en el mercado único digital permite la minería de textos y datos salvo que el titular se haya opuesto de forma legible por máquina, y robots.txt es la forma más habitual de hacerlo. Además, ignorarlo deja por escrito que sabías que el titular no quería que entraras.

Lo que hacemos antes de escribir el extractor

1. Buscar una API oficial. Si la fuente ofrece una, aunque sea de pago, suele ser más barata que mantener un extractor y elimina casi todo el riesgo legal.
2. Leer los términos y el robots.txt de cada fuente, y apuntar qué permiten.
3. Definir los campos exactos que necesitas. Ni uno más. Es lo que más reduce el riesgo con el RGPD y lo que más abarata el proyecto.
4. Calcular el volumen y la frecuencia. No es lo mismo una foto mensual que precios cada cinco minutos.

Si alguna de estas respuestas no está clara, lo decimos antes de presupuestar. Este artículo no es asesoramiento legal: en proyectos con datos personales o fuentes dudosas, recomendamos que lo revise un abogado.

Cómo hacer que no te bloqueen (sin trampas)

La mayoría de bloqueos no vienen de sistemas antibots sofisticados, sino de extractores mal educados. Lo que funciona:

• Ir despacio. Pocas peticiones por segundo, repartidas, y fuera de las horas punta de la web si se puede.
• Identificarse. Un agente de usuario con un nombre y un contacto. Muchas webs prefieren saber quién eres a bloquearte.
• No pedir dos veces lo mismo. Guardar en caché lo que no cambia y pedir solo lo nuevo.
• Respetar los errores. Si la web responde que vas demasiado rápido, esperar de verdad.

Lo que no hacemos: rotar miles de direcciones IP para esquivar un bloqueo explícito o resolver captchas de forma automática. Si una fuente no quiere que la leas, lo honesto es buscar otra o pedir permiso.

El problema real: que siga funcionando

Un extractor que funciona el día de la entrega no vale nada si se rompe en silencio un mes después. Las webs cambian su diseño, renombran campos o mueven datos de sitio, y el extractor sigue "funcionando" pero devuelve columnas vacías.

Por eso cada extractor que entregamos lleva:

• Validación de los datos, no solo de que la página cargue: si un campo que siempre traía precios llega vacío, es un fallo.
• Alertas cuando cambia la estructura de la fuente o baja el volumen de forma anormal.
• Mantenimiento: si la fuente cambia, lo arreglamos nosotros.

Es lo que hacemos en nuestro servicio de scraping y datos. Los datos se entregan como prefieras: un CSV puntual, una API o directamente en tu base de datos, una vez o en tiempo real.

En resumen

• Sin datos personales, sin copiar bases de datos enteras y sin saltarse protecciones, el scraping en la UE es viable.
• Busca primero una API y pide solo los campos que necesitas.
• Ve despacio, identifícate y respeta el robots.txt.
• Presupuesta el mantenimiento desde el principio: es donde está el coste real.

Si tienes una fuente en mente, cuéntanos qué datos necesitas y con qué frecuencia. Te decimos si es viable, cómo lo haríamos y cuánto cuesta, antes de empezar.