¿El Web Scraping es Legal? Leyes, Casos y Cumplimiento (Guía 2026) | DataImpulse

¿El web scraping es legal? La respuesta corta: raspar datos públicos y no-personales es ampliamente legal en la mayoría de las jurisdicciones — pero los detalles deciden todo. Qué raspas (precios de productos vs. perfiles personales), cómo lo raspas (páginas públicas vs. detrás de un login), dónde operas (la lógica del CFAA de EE.UU. vs. el GDPR de Europa), y qué haces con los datos (monitoreo de precios vs. entrenamiento de IA) — cada uno te mueve entre “práctica de negocio defendible” y “acción regulatoria”. Este hub recorre los casos emblemáticos, los litigios de la era-IA de 2025-2026, la posición de cada gran regulador, y un marco práctico — apoyándose en las secciones legales que hemos verificado en más de 25 guías de países y plataformas.

Una cosa de entrada: esto es información general, no asesoría legal. Antes de escalar un pipeline comercial de scraping, consulta a un abogado en tu jurisdicción y en la de tus objetivos.

La Respuesta Corta, por Pregunta

Estados Unidos: el CFAA, hiQ, y la Capa de Contrato

La pregunta fundamental de EE.UU. era si raspar páginas públicas es “acceso no autorizado” bajo el Computer Fraud and Abuse Act — el estatuto anti-hacking. El Noveno Circuito respondió en hiQ Labs v. LinkedIn (2022, aplicando la lógica de Van Buren de la Corte Suprema): no. Donde una página está abierta a cualquiera sin credenciales, no hay una puerta de autorización que vulnerar, así que raspar datos públicos no es una violación del CFAA.

Pero la historia completa de hiQ es la verdadera lección. Tras ganar la batalla del CFAA, hiQ perdió la guerra: en noviembre de 2022 el tribunal concluyó que había incumplido el Acuerdo de Usuario de LinkedIn (que había aceptado al crear cuentas), y el caso terminó en una sentencia homologada — hiQ pagó y aceptó una orden judicial permanente. El CFAA te protege de reclamos de hacking en páginas públicas; no te protege de contratos que has aceptado.

Meta v. Bright Data (enero de 2024) afiló aún más la línea: el tribunal se negó a considerar a Bright Data en incumplimiento por raspar páginas públicas y deslogueadas de Facebook e Instagram, razonando que los términos de las plataformas rigen a los titulares de cuenta actuando como tales — no a visitantes deslogueados recopilando contenido público. La regla práctica que emergió: el scraping público deslogueado es defendible; el scraping logueado contra términos aceptados no lo es. Casos más antiguos de trespass-to-chattels (eBay v. Bidder’s Edge, 2000) aún importan en volúmenes extremos — si tu crawl sobrecarga los servidores de un sitio, reabres esa puerta. Y leyes de privacidad a nivel estatal (la CCPA/CPRA de California, la VCDPA de Virginia y otras) añaden obligaciones de datos personales encima.

La Era de la IA: Litigios de 2025-2026 Que Cambiaron el Mapa

El entrenamiento de IA creó una segunda ola de litigios de scraping — menos sobre “¿estaba autorizado el acceso?” y más sobre contratos, licenciamiento y derechos de autor:

• Bartz v. Anthropic (junio de 2025, Juez Alsup): entrenar un LLM con libros obtenidos lícitamente es uso justo “extremadamente transformador” — pero el fallo excluyó explícitamente copias-fuente pirateadas. Cómo obtuviste los datos importa tanto como lo que hiciste con ellos.
• Kadrey v. Meta (junio de 2025, Juez Chhabria): los demandantes perdieron con base en lo que presentaron al expediente, pero la opinión advirtió que esto no era un permiso amplio para el entrenamiento de IA — una victoria estrecha, no una doctrina.
• Reddit v. Anthropic (presentada en junio de 2025): notable porque Reddit demandó bajo teorías de términos de servicio y enriquecimiento sin causa, no de derechos de autor. A fines de marzo de 2026 un juez federal remitió el caso al tribunal estatal de California, sosteniendo que los reclamos de Reddit no están preemptados por la Ley de Derechos de Autor — confirmando que los reclamos de scraping basados en contrato tienen vida propia.
• Reddit v. Perplexity, SerpApi, Oxylabs & AWMProxy (oct. 2025, S.D.N.Y.): el primer caso en nombrar a proveedores de infraestructura de scraping como codemandados junto a la empresa de IA. En la primavera de 2026 está en la fase de motion-to-dismiss. Para compradores de proxy, la lección es sobre cadenas de suministro: quién recopila tus datos, y cómo, ahora forma parte de tu exposición legal.
• NYT v. OpenAI (consolidado, S.D.N.Y.): en enero de 2026 el tribunal ordenó a OpenAI producir una muestra de log de 20 millones de conversaciones en el discovery; el caso prueba si la “regurgitación” de artículos por el modelo socava el uso justo. Aún sin fallo final — pero es el caso con mayor probabilidad de definir los límites del entrenamiento de IA.
• La economía de licenciamiento es la otra cara: Reddit licencia sus datos a Google (~$60M/año) y a OpenAI; Cloudflare y Stack Overflow lanzaron pay-per-crawl; el protocolo RSL (2025) da a los publishers una forma estándar de fijar precio al acceso de máquinas. “Libre para raspar” y “licenciado para entrenar” son vías que divergen.

Europa: GDPR y los Reguladores Más Estrictos

En la UE (y el Reino Unido), la pregunta rara vez es “¿estaba autorizado el acceso?” — es “¿procesaste datos personales sin una base legal?” Bajo el GDPR, raspar cualquier dato que identifica a una persona (nombres, fotos, perfiles, detalles de contacto) es “procesamiento”, y “era público” no es una base legal por sí sola. El historial de aplicación es inequívoco:

• Países Bajos (AP) — la línea más dura de Europa. Su orientación de mayo de 2024 llama al scraping de datos personales “casi siempre una violación del GDPR”, y multó a Clearview AI con €30,5 millones por raspar imágenes faciales, con directores advertidos de responsabilidad personal.
• Italia (Garante) — multó a Clearview con €20 millones y al dueño de un sitio web con €60.000 por raspar datos para construir un directorio telefónico online; su principio declarado: “si es público, puedo tomarlo” es falso.
• Francia (CNIL) — multó a la corredora de datos de contacto KASPR con €240.000 (decisión de dic. 2024) por raspar detalles de contacto de LinkedIn de usuarios que tenían visibilidad limitada. Su orientación de junio de 2025 permite raspar datos personales públicamente accesibles bajo legitimate interest — pero solo con salvaguardas (listas de exclusión, minimización, transparencia).
• Reino Unido (ICO) — multó a Clearview con £7,5 millones; el UK GDPR más el Data (Use and Access) Act 2025 mantienen el marco alineado con el de la UE.
• En toda la UE: la aplicación coordinada de 2026 del EDPB sobre transparencia eleva aún más el escrutinio, y la Directiva de Bases de Datos añade un derecho sui generis separado contra la extracción de partes sustanciales de bases de datos protegidas — un reclamo que existe en Europa pero no en EE.UU.

El matiz crucial: nada de esto apunta a datos no-personales. Precios, listados de productos, disponibilidad, rankings, y reseñas-sin-datos-de-autor están fuera del alcance del GDPR. Los pipelines europeos de inteligencia de precios y SEO funcionan legalmente todos los días — la línea son los datos personales.

El Resto del Mundo, de un Vistazo

Cada guía de país en nuestra biblioteca de blog — de Alemania a Japón — lleva una sección legal local verificada si necesitas profundidad en un mercado específico.

Qué es Defendible vs. Qué es Arriesgado

Generalmente defendible

• Recopilación pública y de solo-lectura de datos no-personales: precios, specs de producto, stock, rankings, resultados de búsqueda, tarifas aéreas, listados inmobiliarios
• Acceso solo deslogueado — nada detrás de autenticación
• Tasas de solicitud a ritmo humano que no sobrecargan la infraestructura del objetivo
• Honrar el robots.txt y las políticas de crawl publicadas
• Inteligencia competitiva, investigación de mercado, monitoreo de SEO, verificación de anuncios, investigación académica sobre agregados

Arriesgado a indefendible

• Raspar datos personales — nombres, fotos, emails, números de teléfono, perfiles — especialmente a escala, especialmente en Europa
• Raspar detrás de un login, contra términos que aceptaste (la lección de contrato de hiQ)
• Sortear barreras técnicas: CAPTCHAs presentados como controles de acceso, bloqueos de IP dirigidos específicamente a ti, paywalls
• Republicar contenido raspado por completo (derechos de autor), o extraer partes sustanciales de bases de datos protegidas (derecho de base de datos de la UE)
• Volumen que degrada el sitio objetivo (exposición a trespass-to-chattels)
• Entrenar IA con contenido que obtuviste de fuentes pirateadas o que violan términos (la exclusión de Bartz)

Una Checklist de Cumplimiento para Equipos de Scraping

1. Define el alcance de los datos. Si un campo puede identificar a una persona, trátalo como regulado: o descártalo, o establece una base legal del GDPR con salvaguardas documentadas (la ficha de legitimate-interest de 2025 de la CNIL es el mejor template).

2. Quédate deslogueado. Solo páginas públicas. En el momento en que autenticas, has aceptado un contrato — y los reclamos de contrato son los que ganan.

3. Respeta las señales del sitio. robots.txt, límites de tasa, crawl-delay. No siempre jurídicamente vinculantes, pero lo primero que mira un tribunal o regulador.

4. Diseña para la contención. Cadencia a ritmo humano, caché para evitar re-buscar, sin martillar. El volumen es lo que convierte una disputa de scraping en un reclamo de trespass.

5. Atiende la cadena de suministro. Reddit v. Perplexity nombró a los proveedores de scraping, no solo al comprador de IA. Conoce cómo recopilan tus proveedores de datos, y prefiere infraestructura con pools de IP obtenidos éticamente y basados en consentimiento — la defendibilidad en auditoría ahora se extiende a tu capa de proxy.

6. Separa la recopilación del uso. La recopilación lícita no licencia todo uso: republicación, extracción de bases de datos, y entrenamiento de IA cargan cada uno su propio análisis.

7. Busca asesoría antes de escalar. Un pipeline que está bien a 1.000 solicitudes/día puede necesitar revisión a 10 millones.

¿Los Proxies Son Legales?

Sí. Los proxies son infraestructura de red estándar — la misma tecnología intermediaria detrás de gateways corporativos, CDNs y herramientas de privacidad. Las empresas usan proxies residenciales para ver precios localizados, verificar que los anuncios de hecho se muestran en mercados objetivo, rastrear rankings de búsqueda por ciudad, y probar sitios desde otros países — todas operaciones rutinarias y lícitas. Lo que la ley evalúa es la actividad: raspar datos personales a través de un proxy es exactamente tan regulado como hacerlo directamente, y recopilar precios públicos a través de un proxy es exactamente tan defendible. La única pregunta del lado del proveedor que importa es el sourcing: una red construida sobre IPs residenciales consentidas y obtenidas éticamente mantiene tu capa de recopilación limpia — lo cual, post-Reddit v. Perplexity, tus abogados eventualmente preguntarán.