Este artigo é uma informação educacional geral, não um aconselhamento jurídico. As leis variam de país para país e mudam com o tempo, e a forma como se aplicam depende dos fatos específicos do seu caso. Para a sua situação, consulte um advogado qualificado.
“Web scraping é legal?” é uma das perguntas mais pesquisadas no mundo dos dados, e a resposta honesta é: geralmente sim, mas depende. O web scraping em si, o ato de ler programaticamente páginas da web disponíveis publicamente, é amplamente legal em muitas jurisdições. O que transforma uma coleta de dados de algo claramente aceitável em algo juridicamente arriscado é a combinação de três fatores: o quê você coleta, como você coleta e onde você e seus alvos estão localizados.
Esta é uma visão geral, em linguagem simples, do panorama jurídico: os princípios que decidem a maioria dos casos, as decisões marcantes que vale conhecer e os hábitos práticos que mantêm o scraping do lado certo da linha. Isso não substitui um advogado, mas ajudará você a fazer as perguntas certas.
A versão resumida
Para a maior parte do scraping de dados não pessoais disponíveis publicamente, feito sem contornar controles de acesso e sem sobrecarregar o alvo, os tribunais nos EUA e em outros lugares têm sido geralmente permissivos. O risco aumenta drasticamente quando você entra em qualquer uma destas situações:
- Fazer scraping de dados pessoais (nomes, e-mails, perfis): aciona a legislação de privacidade.
- Fazer scraping por trás de um login ou paywall que você não está autorizado a contornar.
- Republicar conteúdo protegido por direitos autorais em vez de extrair fatos.
- Degradar os servidores do alvo com carga excessiva.
- Violar os Termos de Serviço de um site de forma que crie responsabilidade contratual.
Fique na zona segura, público, não pessoal, respeitoso, factual, e você estará em terreno sólido na maioria dos lugares. Entre na zona de risco e “isso é legal” se torna uma pergunta real, dependente dos fatos específicos.
Os arcabouços jurídicos que realmente decidem isso
A legalidade não é uma única lei, são vários conjuntos de leis que se sobrepõem, e um determinado scraping pode envolver mais de um deles.
1. Leis de acesso a computadores (por exemplo, a CFAA dos EUA). O Computer Fraud and Abuse Act penaliza o “acesso não autorizado” a sistemas de computador. A questão central é se fazer scraping de páginas públicas é “não autorizado”. A legislação recente dos EUA restringiu isso consideravelmente (veja os casos abaixo), dados públicos acessíveis a qualquer pessoa com um navegador geralmente não são “acesso não autorizado”. Acessar dados protegidos por autenticação que você não tem direito de usar é uma história diferente.
2. Direito contratual / Termos de Serviço. Os ToS da maioria dos sites proíbem o acesso automatizado. Violar os ToS é geralmente uma questão contratual, não um crime, mas pode expor você a responsabilidade civil (quebra de contrato). Os tribunais tratam os termos “clickwrap” (quando você clica em “Concordo”) com mais rigor do que os “browsewrap” (um link no rodapé com o qual você nunca interagiu). Violar os ToS não torna o scraping criminoso, mas representa um risco civil real.
3. Direitos autorais. Fatos e dados não são protegidos por direitos autorais; a expressão criativa é. Extrair preços, especificações ou estatísticas é muito mais seguro do que copiar e republicar artigos, fotos ou outro conteúdo original. Se você reproduz material protegido por direitos autorais, você entra no território dos direitos autorais, onde o uso justo (fair use / fair dealing) e o licenciamento entram em jogo.
4. Direitos sobre bases de dados (especialmente na UE). O direito sui generis sobre bases de dados da UE protege o investimento substancial na compilação de uma base de dados, mesmo quando os fatos individuais não são protegidos por direitos autorais. Fazer scraping e reutilizar uma parte substancial de uma base de dados protegida pode infringir esse direito na UE, sem equivalente nos EUA.
5. Legislação de privacidade / proteção de dados (GDPR, CCPA e outras). Esta é a mais importante quando se trata de dados pessoais. O GDPR se aplica a dados pessoais de pessoas na UE independentemente de onde você faça o scraping, e geralmente exige uma base legal, transparência e respeito aos direitos dos indivíduos. Fazer scraping de dados pessoais, rostos, perfis, dados de contato, é a categoria de maior risco, e vários órgãos reguladores já aplicaram multas altas por isso. A CCPA/CPRA da Califórnia e uma lista crescente de outras leis de privacidade acrescentam suas próprias exigências.
6. Trespass to chattels (violação de bens móveis). Uma doutrina mais antiga que pode se aplicar quando o scraping prejudica os sistemas do alvo, por exemplo, sobrecarregando servidores. O dano, não o acesso, é o que aciona essa doutrina.
A conclusão: não existe uma única “lei do scraping”. Se um scraping é legal depende de quais desses pontos ele toca, e isso é determinado por quais dados, como e onde.
Casos marcantes que vale conhecer
Algumas decisões judiciais moldaram como isso se desenrola na prática. (A jurisprudência evolui, trate essas decisões como orientação, não como a palavra final atual.)
hiQ Labs v. LinkedIn (EUA, 9º Circuito). A hiQ fazia scraping de perfis públicos do LinkedIn. Os tribunais indicaram que fazer scraping de dados disponíveis publicamente provavelmente não constitui “acesso não autorizado” sob a CFAA, um sinal importante de que o scraping de dados públicos não é invasão criminosa. É importante notar que a hiQ posteriormente enfrentou responsabilidade em bases contratuais por violar os termos do LinkedIn, ilustrando que a CFAA e os ToS são questões separadas.
Van Buren v. United States (Suprema Corte dos EUA, 2021). A Corte restringiu a cláusula “exceeds authorized access” (excede o acesso autorizado) da CFAA: usar um acesso que você legitimamente possui para um propósito indevido não constitui automaticamente uma violação da CFAA. Isso reduziu a exposição à CFAA em muitos cenários de scraping.
Meta v. Bright Data (EUA, N.D. Cal., 2024). Um tribunal concluiu que fazer scraping de dados públicos do Facebook e do Instagram não violava os termos da Meta, em parte porque o scraper não estava autenticado ao coletar os dados públicos. Mais um indício de que o scraping público e sem login está em terreno mais sólido do que o scraping por trás de autenticação.
Clearview AI (reguladores da UE/Reino Unido). Reguladores multaram a Clearview por fazer scraping de imagens faciais, dados pessoais, para construir um banco de dados de reconhecimento sem base legal. Uma ilustração clara de que o scraping de dados pessoais é regido pela legislação de privacidade, onde as regras são estritas.
O padrão em todos esses casos: o scraping público, sem login, não pessoal e factual é o terreno mais seguro; autenticação, dados pessoais e conteúdo republicado são onde o risco jurídico se concentra.
Onde os proxies se encaixam nisso?
Um equívoco comum é pensar que usar um proxy muda o quadro jurídico. Não muda, em nenhuma das direções.
Um proxy residencial é uma ferramenta de roteamento, o mesmo tipo de infraestrutura que alimenta CDNs, VPNs e redes corporativas. Usar um proxy é legal. Mas um proxy não lava a legalidade: rotear um scraping ilegal por um proxy não o torna legal, e rotear um scraping legal por um proxy não o torna ilegal. Os proxies mudam de qual IP a requisição vem, não se você deveria estar fazendo essa requisição.
Aquilo com que os proxies legitimamente ajudam é a operar de forma responsável em grande escala, distribuindo a carga para não sobrecarregar um único endpoint, e a alcançar conteúdo apropriado para cada região geográfica. A legalidade da atividade subjacente permanece inalterada. (Nossa política de uso aceitável estabelece o que é permitido na Shifter, e ela segue exatamente esses princípios.)
Boas práticas para ficar do lado certo
Você não vai obter certeza jurídica a partir de um post de blog, mas pode reduzir drasticamente o seu risco ao incorporar estes hábitos. Eles também são, por coincidência, boa prática de engenharia.
- Faça scraping de dados públicos, não de dados por trás de um login. A autenticação é uma linha clara. Se você precisa fazer login ou contornar um controle de acesso para chegar até o dado, trate isso como alto risco e busque orientação jurídica.
- Evite dados pessoais, a menos que você tenha uma base legal. Nomes, e-mails, perfis e, especialmente, dados biométricos ou sensíveis acionam a legislação de privacidade. Se você não precisa de dados pessoais, não os colete. Se precisar, busque orientação adequada sobre sua base legal e suas obrigações.
- Respeite o robots.txt quando ele for relevante. Não é uma lei, mas honrar o robots.txt e os desejos declarados de um site é uma forte evidência de boa-fé, e é a norma.
- Não degrade o alvo. Limite a taxa de requisições, faça scraping fora do horário de pico quando razoável, e nunca deixe sua coleta prejudicar o desempenho do site. O dano ao servidor é a base sobre a qual as alegações de trespass são construídas. (Boas práticas de scraping e comportamento legal se sobrepõem bastante.)
- Extraia fatos, não republique conteúdo criativo. Preços, especificações e pontos de dados são muito mais seguros do que copiar artigos, imagens ou outra expressão original.
- Leia os Termos de Serviço. Saiba com o que você está concordando, especialmente termos clickwrap, e avalie o risco contratual de violá-los.
- Preste atenção à jurisdição. Titulares de dados da UE colocam o GDPR em jogo onde quer que você opere; bases de dados da UE trazem os direitos sobre bases de dados; as leis do seu próprio país também se aplicam. O scraping transfronteiriço multiplica os conjuntos de regras.
- Documente seu propósito e seu processo. Um uso legítimo e bem documentado (comparação de preços, pesquisa, monitoramento) é mais fácil de defender do que uma coleta vaga ou agressiva.
Esses princípios são os mesmos que sustentam a construção de datasets e a coleta de dados de treinamento responsáveis, conformidade e qualidade caminham na mesma direção.
FAQ
Web scraping é legal? Em geral, fazer scraping de dados não pessoais disponíveis publicamente, sem contornar controles de acesso ou prejudicar o alvo, é amplamente legal em muitas jurisdições. Isso se torna juridicamente arriscado quando envolve dados pessoais, autenticação/paywalls, conteúdo protegido por direitos autorais, dano ao servidor ou violação dos Termos de Serviço. Sempre depende dos fatos específicos e da jurisdição.
Fazer scraping de dados públicos é legal? Dados públicos e sem login são o terreno mais seguro, a jurisprudência dos EUA tem indicado repetidamente que fazer scraping de páginas acessíveis publicamente provavelmente não constitui “acesso não autorizado”. Mas público não significa irrestrito: se esses dados públicos forem dados pessoais, a legislação de privacidade ainda se aplica, e republicar conteúdo público protegido por direitos autorais ainda levanta questões de direitos autorais.
Violar os Termos de Serviço torna o scraping ilegal? Não criminal, mas potencialmente um problema civil. Violar os ToS é geralmente uma questão contratual que pode expor você à responsabilidade por quebra de contrato, separada das leis de acesso a computadores. Os termos clickwrap (nos quais você concordou ativamente) têm mais peso do que os browsewrap (um link no rodapé).
Fazer scraping de dados pessoais é legal? Esta é a categoria de maior risco. Dados pessoais acionam leis de privacidade como o GDPR (para pessoas na UE, independentemente de onde você faça o scraping) e a CCPA, que geralmente exigem uma base legal e impõem obrigações. Vários reguladores já multaram empresas por fazer scraping de dados pessoais sem uma base legal. Busque orientação jurídica antes de fazer scraping de dados pessoais.
Usar um proxy torna o scraping legal ou ilegal? Nenhum dos dois. Um proxy é uma ferramenta de roteamento legal; ele muda de qual IP uma requisição vem, não se a atividade subjacente é permitida. Ele não pode tornar um scraping ilegal em legal, nem torna um scraping legal em ilegal.
É legal fazer scraping de conteúdo protegido por direitos autorais? Extrair fatos (preços, especificações, números) é geralmente seguro porque fatos não são protegidos por direitos autorais. Copiar e republicar conteúdo criativo original, artigos, fotos, vídeos, pode infringir direitos autorais, a menos que esteja amparado pelo uso justo (fair use / fair dealing) ou por uma licença.
Conclusão
O web scraping é, na maior parte das vezes, legal, especialmente quando você coleta dados factuais, não pessoais e públicos, sem contornar controles de acesso ou prejudicar o site. O risco jurídico está nas bordas: dados pessoais, autenticação, conteúdo protegido por direitos autorais, sobrecarga de servidor e termos contratuais. Boa parte de manter a conformidade é simplesmente ficar longe dessas bordas e agir de boa-fé.
Nada disso substitui uma orientação sobre o seu projeto específico, em caso de dúvida, converse com um advogado. Mas os princípios são consistentes e podem ser aprendidos: faça scraping do que é público, colete apenas o que você precisa, não prejudique o alvo, respeite a privacidade e os direitos autorais, e conheça as jurisdições envolvidas. Feito isso, uma rede de proxies residenciais de qualidade é apenas uma infraestrutura responsável para coletar dados públicos em escala, exatamente da forma como deve ser usada. Para saber mais sobre o web scraping em si, comece com o que é web scraping e como ele pode apoiar um negócio.