Scraping legal: qué se puede y qué no

Que un scraping sea defendible depende de cuatro cosas, y ninguna es «si técnicamente puedes»: si el dato es realmente público, qué dicen los términos de servicio, si hay datos personales de por medio y quién tiene los derechos sobre el contenido. Extraer datos públicos y no personales, sin dañar el servicio de origen y sin republicar el contenido ajeno, es la zona tranquila. Fuera de ahí, la respuesta deja de ser general.

Aviso necesario antes de seguir: esto no es asesoría legal. Es el mapa de las preguntas que hay que hacerse, escrito por gente que programa, no por abogados. La normativa cambia según el país y el caso concreto; si el proyecto es comercial o toca datos de personas, consulta con alguien que ejerza.

1. ¿El dato es realmente público?

«Público» no significa «accesible si me esfuerzo». Significa que cualquiera puede verlo sin identificarse.

• Público: una ficha de producto, un artículo, un listado que sale sin iniciar sesión.
• No público: cualquier cosa detrás de un inicio de sesión, de un muro de pago o de un formulario que exige aceptar condiciones.

Esa frontera importa mucho más de lo que parece. Acceder con credenciales que no son tuyas, o esquivar un control puesto ahí a propósito para impedir el acceso automatizado, deja de ser «leer una página» en la mayoría de ordenamientos y entra en el terreno del acceso no autorizado a un sistema informático. Es la línea que conviene no cruzar nunca, ni con buena intención.

Con tu propia cuenta y para sacar tus propios datos, el caso es muy distinto y normalmente no hay problema.

2. ¿Qué dicen los términos de servicio?

Casi todos los términos de servicio prohíben el acceso automatizado. La pregunta interesante no es si lo prohíben —lo hacen—, sino qué peso tiene eso.

Simplificando mucho: los términos de servicio son un contrato, y un contrato obliga a quien lo acepta. Si has creado una cuenta y has marcado la casilla, los has aceptado. Si nunca has iniciado sesión y simplemente pediste una URL pública, el argumento de que estás vinculado por ellos es bastante más débil, y así lo han visto varios tribunales.

Lo que sí es seguro en todos los casos: incumplirlos te puede costar el bloqueo y, si hay relación comercial, la cuenta. Que sea difícil de perseguir no lo convierte en buena idea.

Y el robots.txt: no es un contrato ni una barrera técnica, es una petición. Saltárselo rara vez es ilegal por sí solo, pero es la primera prueba que alguien va a enseñar para argumentar que actuabas de mala fe. Respetarlo es barato. Cómo se escribe, en sitemap.xml y robots.txt.

3. ¿Hay datos personales?

Aquí es donde el asunto se pone serio de verdad, y donde más gente se mete en un lío sin darse cuenta.

Que un dato personal sea público no lo saca del reglamento. Un nombre, un correo, un perfil o una reseña firmada siguen siendo datos personales aunque estén a la vista de todos, y en Europa el RGPD se aplica igual. Recopilarlos de forma masiva exige una base legal, informar a las personas y respetar sus derechos —incluido el de borrado—. En Latinoamérica hay normas equivalentes: en Colombia, la Ley 1581.

Tres reglas prácticas que reducen mucho el riesgo:

• No recolectes datos personales si no los necesitas. La mayoría de los proyectos no los necesita: quieren precios, disponibilidad o texto.
• Si te cuelan datos personales sin querer, descártalos al procesar, no «ya los limpiaré».
• Recopilar correos para enviar publicidad no es una zona gris. Es directamente lo que la normativa persigue.

4. ¿De quién es el contenido?

Un artículo, una foto o una descripción de producto son obra de alguien. Extraerlos para analizarlos internamente es una cosa; republicarlos es otra muy distinta.

La diferencia práctica:

Uso	Riesgo
Analizar, contar, comparar internamente	Bajo
Guardar una copia para reprocesar	Bajo
Mostrar un extracto corto citando la fuente	Moderado
Republicar el texto entero	Alto
Republicarlo compitiendo con el original	Muy alto

También cuenta el daño al servicio: un scraper que satura un servidor pequeño puede considerarse un abuso con independencia de lo que extraiga. Las buenas maneras técnicas —limitar el ritmo, cachear, identificarte— no son solo educación, son parte del argumento de que actuabas razonablemente. Están en web scraping: por dónde empezar.

Lo que no conviene hacer nunca

Cuatro cosas que convierten un proyecto discutible en uno indefendible:

1. Saltarse CAPTCHAs o sistemas antibot. Es un «no» explícito. Esquivarlo elimina cualquier defensa de buena fe.
2. Usar credenciales que no son tuyas, aunque te las hayan prestado.
3. Recopilar datos personales en masa sin base legal ni forma de que nadie ejerza sus derechos.
4. Tumbar el sitio de origen. Aunque el dato sea público, el ancho de banda lo paga otro.

Cómo dejarlo por escrito

Si el scraping alimenta algo que va a durar, escribe un párrafo en el repositorio con: qué sitio, qué datos, para qué, con qué frecuencia y a quién escribir si alguien se queja. Cuesta cinco minutos y es lo que convierte una conversación incómoda en un correo de dos líneas.

Y pon un contacto en el User-Agent. Un administrador que puede escribirte te limita el ritmo; uno que no puede, te bloquea.

Preguntas frecuentes

¿Es ilegal hacer web scraping? No, no existe una prohibición general del scraping. Lo que puede ser ilegal es algo concreto que hagas con él: acceder a lo que está protegido, tratar datos personales sin base legal, republicar obra ajena o dañar el servicio. Por eso la pregunta útil no es «¿es legal el scraping?» sino «¿qué estoy extrayendo, de dónde y para qué?».

¿Basta con respetar el robots.txt para estar tranquilo? No. El robots.txt no dice nada sobre datos personales ni sobre derechos de autor, que son los dos frentes serios. Respetarlo ayuda a demostrar buena fe, pero no cubre las otras tres preguntas de este artículo.

¿Puedo scrapear un sitio para entrenar un modelo? Es el terreno menos asentado de todos ahora mismo, con litigios abiertos y criterios que varían por país. Para uso interno y experimental el riesgo es distinto que para un producto comercial. Si es lo segundo, este es exactamente el caso en el que conviene consultar antes de construir.

¿Y si el sitio me bloquea? Es su derecho, y la respuesta útil casi nunca es más disfraz. Baja el ritmo, identifícate y, si el proyecto lo justifica, escribe a quien lo mantiene: muchas veces acaba en un acceso acordado o directamente en una API que no sabías que existía.

¿Los datos públicos de un organismo se pueden usar libremente? Suelen tener una licencia de datos abiertos que lo permite, a veces exigiendo citar la fuente. Léela: «público» y «reutilizable sin condiciones» no son lo mismo, y muchos portales ofrecen además una descarga directa que te ahorra scrapear.