Points clés
- Le scraping de données publiques est autorisé sous conditions ; c'est l'usage qui en est fait (prospection sans base légale, absence d'information) qui expose à une sanction.
- La CNIL a déjà sanctionné Kaspr (240 000 EUR, 2024) et Nestor (20 000 EUR, 2021) pour avoir scrapé LinkedIn sans base légale valable.
- En B2B, un simple opt-out suffit sous conditions (art. L.34-5 CPCE) ; en B2C, l'opt-in reste la règle.
- Les amendes RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (art. 83 du RGPD).
Le scraping de leads n'est pas interdit par le RGPD, mais il est strictement encadré : en 2025, la CNIL a prononcé pour 486 839 500 EUR de sanctions, près de neuf fois le montant de 2024. Ce guide vous aide à situer la limite entre un scraping conforme et une pratique déjà sanctionnée, avant d'automatiser votre prospection.
Il s'appuie sur les décisions déjà rendues par la CNIL et sur ce qu'Agentrix cadre avec ses clients lors du déploiement d'un agent de qualification de leads, pas sur une lecture théorique du texte.
Le scraping de leads est-il légal en France ?
Oui, sous conditions : la CNIL considère que le scraping de données publiquement accessibles n'est pas interdit en principe, mais exige une analyse au cas par cas et des garanties précises. Ce qui est sanctionné, ce n'est pas la collecte en elle-même, mais l'absence de base légale, d'information des personnes, ou le non-respect des mécanismes d'opposition.
La CNIL l'a rappelé en publiant en juin 2025 une fiche pratique dédiée à la collecte de données par moissonnage (web scraping), qui pose des garanties attendues plutôt qu'une interdiction générale.
Quelle base légale utiliser pour scraper des données publiques ?
L'intérêt légitime (article 6.1.f du RGPD) peut servir de base légale à une collecte automatisée de données publiquement accessibles, à condition de respecter trois garanties cumulatives fixées par la CNIL : minimiser les données collectées au strict nécessaire, respecter les mécanismes techniques d'opposition d'un site (robots.txt, CAPTCHA), et informer les personnes concernées dès le premier contact.
Une personne qui publie une annonce sur un site professionnel ne s'attend pas nécessairement à être démarchée : c'est pour cette raison que la CNIL exige une information claire, pas seulement une base légale sur le papier.
Prospection B2B ou B2C : opt-in ou opt-out ?
La règle change selon que vous démarchez un particulier ou un professionnel sur son adresse professionnelle. Pour un particulier, le consentement préalable (opt-in) reste la règle par défaut. Pour un professionnel contacté sur une adresse liée à sa fonction, l'article L.34-5 du Code des postes et des communications électroniques admet un régime d'opt-out : la personne est informée dès le premier message, et un moyen simple de s'opposer lui est proposé à chaque envoi.
Cette exception ne s'applique que si le message concerne l'activité professionnelle du destinataire. Une adresse nominative comme prenom.nom@entreprise.fr reste une donnée personnelle soumise au RGPD, même si le régime de prospection qui s'y applique est allégé.
Ce que la CNIL a déjà sanctionné
Trois décisions donnent une idée concrète de ce qui bascule dans l'illégal. La société Kaspr a été sanctionnée à 240 000 EUR en décembre 2024 pour avoir aspiré des profils LinkedIn afin de constituer une base d'environ 160 millions de contacts revendue à des fins de prospection, sans base légale valable pour cette collecte. En 2021, la société Nestor avait déjà été condamnée à 20 000 EUR pour un scraping LinkedIn similaire, ayant permis de solliciter plus de 600 000 prospects sans consentement.
Le cas le plus lourd reste Clearview AI, sanctionnée à 20 millions d'euros par la CNIL en 2022 pour avoir collecté plus de 20 milliards d'images dans le monde sans en informer les personnes concernées, un motif structurellement proche du scraping de leads : absence de base légale et d'information au moment de la collecte.
Automatiser sa prospection en conformité, étape par étape
Une fois la base légale choisie, la conformité se joue surtout dans la configuration du workflow, pas dans un document séparé. Cinq points à cadrer avant de lancer votre agent de scraping :
- Limitez la collecte aux données librement accessibles, visibles sans création de compte ni contournement d'un mécanisme technique (login, CAPTCHA).
- Respectez le fichier robots.txt et les mentions d'opposition du site scrapé : les ignorer est un facteur aggravant identifié par la CNIL dans plusieurs sanctions.
- Informez chaque prospect dès le premier contact : origine des données, finalité, moyen de s'opposer. C'est ce point qui a manqué dans les dossiers Kaspr et Nestor.
- Distinguez B2B et B2C dans votre scénario d'agent : opt-out encadré pour un professionnel contacté sur son activité, opt-in pour un particulier.
- Prévoyez un mécanisme de suppression rapide des données d'une personne qui exerce son droit d'opposition, y compris dans les workflows automatisés.
Erreurs fréquentes à éviter
Scraper sans distinguer B2B et B2C. Un même scénario d'agent appliqué indifféremment aux deux publics expose au risque le plus élevé : c'est souvent l'erreur de fond derrière les sanctions CNIL citées plus haut.
Ignorer les mécanismes techniques d'opposition d'un site. Un robots.txt ou un CAPTCHA contourné retire l'un des trois piliers de garantie que la CNIL attend pour valider l'intérêt légitime.
Ne pas prévoir de trace de l'information donnée aux prospects. En cas de contrôle, l'absence de preuve que chaque personne a été informée dès le premier contact pèse autant que l'absence d'information elle-même.
Un agent IA de qualification de leads doit-il respecter les mêmes règles ?
Oui, sans exception. Un agent IA qui scrape, enrichit ou qualifie des prospects reste soumis aux mêmes obligations qu'une collecte manuelle : base légale, information, respect des mécanismes d'opposition.
Chez les clients Agentrix, la conformité se cadre dès la conception du workflow, pas en correction après coup : c'est le moment le moins coûteux pour fixer ces règles dans un agent.
Questions fréquentes
Le scraping de leads est-il légal en France ?
Oui, sous conditions : la collecte de données publiquement accessibles n'est pas interdite en soi, mais elle exige une base légale valable (souvent l'intérêt légitime), l'information des personnes et le respect des mécanismes techniques d'opposition du site source.
Peut-on scraper des profils LinkedIn pour prospecter ?
La CNIL a déjà sanctionné deux entreprises (Kaspr, Nestor) pour ce type de pratique, faute de base légale et d'information suffisante. Ce n'est pas le scraping de LinkedIn en tant que tel qui pose problème, mais l'absence de garanties autour de la collecte et de l'usage commercial qui en est fait.
Faut-il un consentement pour prospecter une entreprise par e-mail ?
Non, pas systématiquement : l'article L.34-5 du Code des postes et des communications électroniques autorise un régime d'opt-out pour un professionnel contacté sur une adresse liée à sa fonction, à condition de l'informer et de lui offrir un moyen simple de s'opposer à chaque message.
Quelle amende risque une entreprise qui scrape sans base légale ?
Le RGPD plafonne les amendes à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. En pratique, les sanctions CNIL liées au scraping de leads vont de 20 000 EUR (Nestor, 2021) à 240 000 EUR (Kaspr, 2024), selon l'ampleur du manquement.
Un agent IA de qualification de leads doit-il respecter les mêmes règles qu'un humain ?
Oui : la base légale, l'information des personnes et le respect des mécanismes d'opposition s'appliquent quel que soit l'outil utilisé pour collecter ou traiter les données, humain ou agent automatisé.
Que faire si un prospect demande la suppression de ses données ?
Le workflow doit permettre de supprimer rapidement les données d'une personne qui exerce son droit d'opposition ou d'effacement, y compris dans une base alimentée automatiquement par un agent de scraping.
L'essentiel à retenir
Le scraping de leads reste une option légale en France, à condition de traiter la base légale, l'information des personnes et le respect des mécanismes d'opposition comme des étapes du workflow, pas comme une formalité annexe. Les sanctions déjà prononcées par la CNIL (Kaspr, Nestor, Clearview AI) dessinent une frontière claire : c'est l'absence de ces garanties, plus que la collecte elle-même, qui expose une entreprise au risque.
Avant d'automatiser votre prospection, la question à trancher n'est pas " scraper ou non ", mais quelle base légale et quel mécanisme d'opposition vous allez intégrer dans le scénario de votre agent.
Prochainement sur le blog
Sources
- CNIL, Sanctions et mesures correctrices : la CNIL présente le bilan 2025, 2026.
- CNIL, Rapport annuel 2025, 2026.
- CNIL, Aspiration de données : sanction de 240 000 euros à l'encontre de la société Kaspr, 2024.
- DataGuidance, France: CNIL issues EUR20,000 fine to Nestor for sales prospecting, 2021.
- EDPB, The French SA fines Clearview AI EUR 20 million, 2022.
- Règlement (UE) 2016/679 du Parlement européen et du Conseil (RGPD), article 83.
- CNIL, La base légale de l'intérêt légitime : fiche focus sur la collecte par moissonnage (web scraping), 2025.
- Légifrance, article L.34-5 du Code des postes et des communications électroniques.
Besoin de cadrer un agent de qualification de leads conforme ?
Un diagnostic gratuit de 30 minutes suffit pour cadrer la base légale et le scénario de votre agent avant de l'automatiser.
Réserver mon diagnostic gratuit ->