Scraping é legal? GDPR, TDM e direitos sobre bancos de dados

👁 112 leituras

Scraping é uma técnica para coletar dados, e sua legalidade depende de como ela é usada. A seguir, veja os principais pontos aplicáveis na União Europeia, com distinções entre dados pessoais, direitos sobre conteúdo, bancos de dados e condições de acesso. Informações atualizadas até outubro de 2026.

Descreva o processo antes de buscar uma base legal

A pergunta “é permitido fazer scraping na internet?” é ampla demais. Coletar a própria documentação é diferente de analisar preços públicos e também é diferente de criar uma cópia do catálogo ou de um conjunto de perfis de outra pessoa. A fonte, a forma de acesso, o tipo e a quantidade de dados, a finalidade e o destino dos resultados fazem diferença. A biblioteca escolhida, por si só, não resolve nenhuma dessas questões.

Comece descrevendo o processo em termos simples: quais endereços serão acessados, quais campos serão mantidos, quem receberá os resultados e por quanto tempo eles serão armazenados. Isso ajuda a separar a coleta técnica da análise, do compartilhamento e da publicação. Cada etapa pode exigir uma avaliação própria. Ter permissão para ler um documento não significa automaticamente ter o direito de criar um arquivo público com ele.

Quando há modelos de IA envolvidos, também é importante considerar como o material será usado. Uma leitura pontual para responder a uma pergunta, a criação de um índice de busca e o treinamento de um modelo são processos diferentes. Não presuma que chamar o projeto de RAG ou TDM resolve, por si só, a questão jurídica. O que importa são as características reais da operação, não apenas o nome da tecnologia.

As orientações a seguir ajudam a organizar a análise, mas não garantem uma resposta para um site específico. Em projetos de grande escala ou com relevância comercial, vale submeter a avaliação o escopo real e as condições das fontes. Sem essas informações, uma resposta geral não confirma que o projeto é legal.

GDPR: dados pessoais públicos continuam protegidos

Um nome, um perfil que permita identificar alguém, um endereço profissional associado a uma pessoa ou uma avaliação ligada a seu autor podem ser dados pessoais. O fato de estarem visíveis na internet não os exclui do GDPR. Coletar e organizar essas informações faz parte do tratamento de dados. O controlador precisa avaliar a base legal e cumprir os princípios aplicáveis, incluindo definir a finalidade e limitar a coleta ao que for necessário.

O artigo 5 do GDPR estabelece princípios para o tratamento de dados, e o artigo 6 apresenta as bases legais. O interesse legítimo não deve ser uma justificativa automática acrescentada a qualquer scraper. É preciso avaliar o interesse real, a necessidade do tratamento e os direitos das pessoas. O consentimento também não é a única base legal possível em todos os casos, mas a escolha de outra base deve ser justificada para a situação concreta.

Um bom ponto de partida é limitar a coleta desde o planejamento. Se a finalidade é comparar a disponibilidade de serviços em diferentes cidades, talvez não seja necessário coletar os nomes de quem escreveu avaliações. Se a análise é agregada, identificar as pessoas pode ser dispensável. Um conjunto menor facilita o controle, a atualização e a exclusão de informações que o projeto já não precisa.

Enviar os resultados a uma ferramenta externa de IA é mais uma etapa do fluxo de dados. É preciso saber para onde o conteúdo será enviado e para que será usado. Um scraper local não torna local todo o processo se o material coletado for enviado depois a um serviço de modelos. A infraestrutura escolhida deve ser compatível com a finalidade e com as regras de tratamento de dados, não apenas com a conveniência da integração.

Direitos sobre bancos de dados: o conjunto também importa

A proteção de bancos de dados não se limita aos direitos autorais sobre uma informação isolada. A Diretiva 96/9/CE prevê um direito sui generis relacionado a investimentos substanciais na obtenção, verificação ou apresentação do conteúdo. O artigo 7 trata da extração ou reutilização da totalidade ou de uma parte substancial de um banco de dados protegido. Essa é uma questão diferente de saber se um fato isolado é uma obra protegida.

Nem sempre basta dividir a coleta em pequenos lotes. A regra também abrange certas extrações ou reutilizações repetidas e sistemáticas de partes não substanciais, quando prejudicam a exploração normal do banco de dados ou causam prejuízo injustificado aos interesses legítimos de seu produtor. Por isso, a análise não pode se limitar ao número de registros obtidos em uma única chamada de API.

Por outro lado, não se deve presumir que toda compilação é automaticamente um banco de dados protegido nem que cada fato tem um proprietário exclusivo. A existência e o alcance da proteção dependem do cumprimento de determinados requisitos. Para um projeto, isso significa avaliar se o conjunto planejado reproduz uma parte significativa da fonte e qual foi o papel do investimento na sua criação.

Por exemplo, um sistema que compara informações selecionadas e outro que copia regularmente um catálogo inteiro podem usar códigos parecidos, mas ter escopos jurídicos diferentes. O resultado do processo e sua repetição importam. Chamar cada operação de uma consulta separada não muda automaticamente a natureza do projeto como um todo.

TDM e opt-out: artigo 4 da Diretiva DSM

O artigo 4 da Diretiva 2019/790, conhecida como Diretiva DSM, prevê uma exceção para a mineração de textos e dados. O ponto de partida é o acesso legal ao conteúdo, e o titular dos direitos pode reservar esses direitos de maneira apropriada. Para conteúdos disponíveis publicamente na internet, é relevante que a reserva possa ser lida por máquinas. Essa regra não permite ignorar todas as condições da fonte.

A exceção TDM permite reproduzir obras divulgadas para fins de mineração de textos e dados, desde que o titular dos direitos não tenha reservado esses direitos. A reserva deve ser expressa e adequada. Para conteúdos disponibilizados online, a diretiva aponta o uso de um formato legível por máquina, acompanhado de metadados. As cópias só podem ser armazenadas pelo tempo necessário para essa finalidade.

TDM diz respeito à análise de textos e dados. A autorização para fazer cópias necessárias à análise não deve ser confundida com o direito de disponibilizar artigos completos de terceiros aos usuários de um produto. Da mesma forma, o simples uso de um modelo não determina que todas as etapas do projeto estejam cobertas pela exceção. É preciso avaliar separadamente a coleta, o armazenamento, a análise e a apresentação posterior dos resultados.

Na prática, registre quais reservas de direitos estavam disponíveis na fonte e quando foram verificadas. Não presuma que a falta de um aviso fácil de encontrar na página significa que não há uma reserva nos dados do site. Ao mesmo tempo, nem toda restrição técnica produz automaticamente o mesmo efeito jurídico. A avaliação da forma da reserva e do alcance da exceção depende da fonte concreta.

robots.txt e termos de uso: documentos com funções diferentes

A RFC 9309 descreve o protocolo robots.txt e deixa claro que ele não é um mecanismo de autorização de acesso. O arquivo permite indicar regras de visitação para robôs, mas não concede licenças. Permitir o acesso a um caminho não significa autorizar qualquer forma de uso do conteúdo. A ausência do arquivo também não elimina os direitos autorais nem as obrigações relacionadas a dados pessoais.

Por outro lado, uma instrução para impedir o acesso de robôs não deve ser interpretada, sem verificar as demais circunstâncias, como resposta completa a todas as questões jurídicas. No contexto de TDM, é preciso avaliar se houve reserva de direitos e de que forma. Para o acesso, os termos do serviço e as restrições aplicadas também podem ser relevantes. O sinal técnico e a análise jurídica estão relacionados, mas não são intercambiáveis.

Os termos de uso também importam. No processo C-30/14, Ryanair contra PR Aviation, o Tribunal de Justiça da União Europeia analisou restrições contratuais relacionadas a um banco de dados não protegido pelos direitos previstos na diretiva sobre bancos de dados. A decisão mostra que a ausência dessa proteção não encerra automaticamente a discussão sobre as condições contratuais; o direito nacional é relevante. Ela não significa, porém, que toda cláusula de qualquer termo de uso seja sempre válida.

Antes de implementar um projeto, reúna os termos atuais da fonte, a descrição do acesso e o plano de uso. Não substitua essa análise pelo simples fato de o site ter respondido corretamente a uma solicitação. O sucesso técnico confirma que os dados foram obtidos, não que todas as etapas posteriores são autorizadas.

AI Act: as obrigações dos fornecedores de modelos não são uma licença para usar dados

Os materiais do AI Office da União Europeia explicam as obrigações dos fornecedores de modelos de IA de uso geral. O artigo 53 do AI Act inclui, entre outras coisas, uma política para cumprir a legislação europeia de direitos autorais e um resumo público do conteúdo usado no treinamento. Essas obrigações se aplicam a determinados papéis na cadeia de fornecimento de IA, não automaticamente a todas as pessoas que usam um scraper ou um modelo pronto.

O AI Act não substitui o GDPR, os direitos autorais nem as regras de proteção de bancos de dados. Ele não cria uma licença geral para coletar dados. Em cada projeto, é preciso primeiro definir qual é o papel de quem o desenvolve e o que será feito com o material. A pessoa está usando um modelo pronto para ler fontes ou desenvolvendo e disponibilizando um modelo próprio? A resposta influencia o escopo da análise.

Checklist antes de iniciar um scraper

• Escreva a finalidade em uma frase e liste os domínios dos quais os dados serão coletados.
• Verifique o robots.txt, os termos de uso e qualquer reserva de TDM em formato legível por máquina; anote a data da verificação.
• Liste os campos realmente necessários. Colete nomes, e-mails e perfis de pessoas somente quando houver uma base legal definida conforme o artigo 6 do GDPR.
• Avalie se o conjunto reproduz uma parte substancial de um banco de dados de terceiros.
• Defina por quanto tempo as cópias das páginas serão mantidas. Para TDM, mantenha-as apenas pelo período necessário à análise.
• Não publique textos coletados na íntegra; apresente os resultados da análise, citações curtas e links para as fontes.
• Verifique para onde o conteúdo será enviado depois da coleta; um modelo externo é mais um destinatário dos dados.
• Limite a frequência das solicitações e tenha um procedimento para excluir rapidamente os dados de uma fonte.

Uma descrição cuidadosa do projeto conecta fontes, finalidades, bases legais e períodos de armazenamento. Também ajuda a identificar o que ainda falta avaliar. Em vez de declarar que “scraping é sempre legal”, é necessário justificar a abordagem considerando o processo concreto. Isso é útil tanto para um script próprio quanto para um Actor pronto ou um agente conectado por MCP.

O guia sobre dados da web para IA apresenta exemplos de ferramentas, e o artigo sobre o Apify aborda opções de scrapers prontos.

Perguntas frequentes

Uma página pública significa que o scraping está autorizado?

Não. A disponibilidade pública não autoriza automaticamente qualquer finalidade ou escopo. É preciso avaliar separadamente o acesso, os direitos sobre o material, a proteção do banco de dados, as condições contratuais e a possível presença de dados pessoais.

O opt-out se aplica apenas ao treinamento de modelos?

Não se deve restringir esse mecanismo geral de TDM sem analisar a regra e o processo. Importa saber quais operações são realizadas e em qual base legal o projeto pretende se apoiar.

Um scraper local resolve a questão do GDPR?

Não. Ser local é uma característica técnica. A finalidade, a base legal, o escopo e o armazenamento dos dados continuam importando. Além disso, o conteúdo pode ser enviado posteriormente a um serviço externo.

O robots.txt é suficiente para verificar a legalidade?

Não. É um padrão para comunicar regras a robôs, não uma avaliação completa de direitos e condições. Também é necessário verificar outros documentos relevantes e a forma como os dados serão usados.

// continue lendoDados da web para IA: scraping, busca e navegadoresRevistaSegurança infantil e IA: deepfakes, bots e dadosGeralAgentes de IA barrados: por que Amazon e bancos fecham as portasGeral