Moissonnage de données web : le CEPD précise les règles

Le Comité européen de la protection des données (CEPD) a adopté en juillet un projet de lignes directrices sur le moissonnage de données web (web scraping) pour entraîner des IA génératives. Elles ne visent pas directement l'OSINT, mais leur raisonnement concerne tous ceux qui collectent des données en ligne. La consultation publique se termine le 30 octobre 2026.

Ce qui a été publié

• Le texte : les Guidelines 03/2026 on web scraping in the context of generative AI, adoptées lors de la séance plénière du 7 juillet 2026 et publiées le lendemain sur le site du CEPD, en anglais.
• Son statut : un projet, soumis à consultation publique jusqu'au 30 octobre 2026. Ce n'est pas une loi : ce sont des recommandations, non contraignantes, sur la manière d'appliquer le RGPD existant. Le texte peut encore évoluer.
• Son champ : la collecte automatisée de données sur le web par des organismes privés pour développer et entraîner des systèmes d'IA générative.
• En parallèle : lors de la même séance, le CEPD a aussi soumis à consultation des lignes directrices sur l'anonymisation.

Les idées principales

Une donnée publique reste une donnée personnelle. Extraire, nettoyer, structurer et stocker des données personnelles trouvées en ligne sont des traitements soumis au RGPD, même quand ces données sont librement accessibles. C'est exactement ce que rappelle notre page RGPD et données personnelles.

Le consentement n'est en général pas une base légale réaliste à grande échelle. C'est l'intérêt légitime qui est le plus souvent envisagé, à condition d'en faire une analyse documentée et de mettre en place des garanties.

Collecte ciblée ou non ciblée. Le texte distingue la collecte ciblée, fondée sur des critères précis (un domaine, un thème), de l'exploration non ciblée qui suit les liens de page en page. Plus la collecte est large, plus il est difficile de la justifier.

Minimisation et données sensibles. Les principes de finalité et de minimisation s'appliquent dès la collecte, avec une vigilance particulière pour les données sensibles (santé, opinions, religion…).

Transparence. Le texte reconnaît qu'informer individuellement des millions de personnes est souvent impossible. Il encourage d'autres mesures, comme des mécanismes d'opposition utilisables avant même la collecte.

Ce que cela signifie pour l'enquêteur OSINT

Ces lignes directrices ne portent pas sur les enquêtes OSINT, mais elles confirment les règles que nous appliquons sur ce site :

1. « Public » ne veut pas dire « libre » : toute collecte de données personnelles doit avoir une finalité légitime et une base légale.
2. Cibler plutôt qu'aspirer : une question précise justifie une collecte limitée. C'est le principe du cycle du renseignement.
3. Écarter les données sensibles, sauf nécessité absolue et analyse juridique préalable.
4. Documenter : votre journal d'enquête sert aussi à démontrer votre conformité.

Pour la collecte automatisée en général, relisez notre page Plateformes, CGU et collecte. En France, la CNIL avait déjà publié en 2025 une fiche pratique sur les mesures à prendre en cas de moissonnage fondé sur l'intérêt légitime, dans le contexte de l'IA.

Participer à la consultation

Les contributions se déposent jusqu'au 30 octobre 2026 via le formulaire en ligne du CEPD, accessible depuis la page du texte. Sauf demande contraire, elles sont publiées avec le nom, le secteur et le pays de leur auteur.

À suivre

La version définitive n'est pas attendue avant la fin de 2026. Nous mettrons à jour cet article et la page Plateformes, CGU et collecte lors de sa publication.

Sources : CEPD, page des lignes directrices 03/2026 (consultée le 26 octobre 2026) ; analyses publiées par plusieurs cabinets d'avocats spécialisés en juillet 2026.