Scraping et social listening : où s'arrête la veille, où commence l'infraction

C'est l'erreur de raisonnement la plus répandue dans le métier de la veille : parce qu'une donnée est accessible sans mot de passe, on la croit librement réutilisable. Le droit français dit l'inverse sur trois terrains distincts.

Premier terrain, les conditions d'utilisation. Lorsque vous accédez à une plateforme — réseau social, place de marché, site d'avis — vous acceptez ses CGU. La quasi-totalité d'entre elles interdisent expressément l'extraction automatisée (scraping, crawling, aspiration). Violer ces CGU est une faute contractuelle, et selon les cas une atteinte à un système de traitement automatisé de données réprimée par l'article 323-3 du Code pénal lorsque l'accès contourne des mesures techniques.

Deuxième terrain, le droit des bases de données. L'article L.342-1 du Code de la propriété intellectuelle protège le producteur d'une base par un droit sui generis dès lors qu'il a réalisé un investissement substantiel pour la constituer. Extraire une "partie qualitativement ou quantitativement substantielle" de cette base — par exemple le catalogue de prix d'un concurrent, un annuaire, une base d'avis — est interdit sans autorisation. La Cour de cassation et la CJUE l'ont confirmé à plusieurs reprises.

Troisième terrain, le RGPD, que nous détaillons plus bas. Trois régimes qui se cumulent : un scraping peut être parfaitement anonyme et tomber malgré tout sous le droit des bases de données.

Avant de lancer un script d'extraction ou de paramétrer un outil de social listening sur une nouvelle source, posez-vous systématiquement ces trois questions. Si l'une appelle un "non", la collecte n'est pas sécurisée juridiquement.

1. Les CGU de la source autorisent-elles l'accès automatisé ? Beaucoup de plateformes proposent une API officielle, payante ou gratuite, qui est la seule voie conforme. Passer par l'API plutôt que par l'aspiration sauvage change radicalement votre exposition.
2. Est-ce que j'extrais une part substantielle d'une base protégée ? Remonter trois articles pour un bulletin n'est pas la même chose que dupliquer un catalogue entier. Le volume et la systématicité font la qualification.
3. Y a-t-il des données personnelles dans ce que je collecte ? Un avis signé d'un pseudo, un profil, un commentaire géolocalisé : tout cela est du donnée personnelle.

Une veille licite privilégie toujours les sources ouvertes à la réutilisation (licences ouvertes, API officielles, abonnements presse) et documente la provenance de chaque donnée remontée à un client.

Le social listening manipule par nature des données personnelles : pseudonymes rattachables à une personne, opinions, sentiments, parfois données sensibles (santé, opinions politiques). Dès cette collecte, vous devenez responsable de traitement et vous devez :

• disposer d'une base légale (le plus souvent l'intérêt légitime, qui suppose un test de mise en balance documenté) ;
• respecter le principe de minimisation : ne collecter que ce qui est nécessaire à la prestation ;
• limiter la durée de conservation : conserver indéfiniment un corpus d'avis nominatifs est une non-conformité classique relevée en cas de contrôle CNIL ;
• pouvoir répondre aux droits des personnes (accès, effacement) sur les données traitées.

La CNIL a publié des positions claires sur la collecte de données par moissonnage : l'accessibilité publique d'une donnée ne dispense ni de base légale, ni d'information des personnes. Une mise en demeure ou une sanction qui rejaillit sur votre client transforme une prestation de veille en sinistre.

La frontière juridique se double d'une frontière assurantielle qu'il faut comprendre avant le sinistre, pas pendant.

Une assurance RC Pro adaptée au métier de la veille couvre les fautes commises de bonne foi : une erreur d'appréciation sur le caractère réutilisable d'une source, une reprise involontaire de contenu protégé dans un rapport, un dommage immatériel causé au client par une donnée mal qualifiée. La garantie atteinte involontaire à la propriété intellectuelle joue précisément sur ce terrain.

En revanche, aucune assurance ne couvre une violation manifeste et délibérée : aspirer massivement une base en sachant que les CGU l'interdisent, contourner une protection technique, revendre un corpus de données personnelles sans base légale. La faute intentionnelle est inassurable par principe (article L.113-1 du Code des assurances). C'est pourquoi la conformité n'est pas une option : elle conditionne la couverture elle-même.

On l'oublie souvent : votre outil de social listening concentre une information extrêmement sensible. Les requêtes de vos clients trahissent leurs intentions stratégiques — un industriel qui surveille soudain une cible de rachat, une marque qui scrute un futur concurrent, un laboratoire qui veille une molécule. Si votre plateforme est compromise, ce n'est pas seulement votre donnée qui fuit : c'est la stratégie confidentielle de vos clients.

Une intrusion sur cet outil, un vol d'identifiants ou une exfiltration de corpus déclenche des frais de notification, une perte d'exploitation et un risque réputationnel majeur. C'est le périmètre d'une assurance cyber, qui prend en charge la gestion de crise, l'expertise forensic et les conséquences financières de l'incident. Pour un veilleur dont l'actif central est immatériel, ce volet n'est pas accessoire.

Vous pouvez retrouver l'ensemble des garanties pensées pour ce métier sur la page dédiée veille, benchmark et social listening.