Principe-clé : une donnée personnelle librement accessible en ligne n'est pas pour autant libre d'usage — le RGPD s'applique intégralement au moissonnage, et le responsable du traitement doit démontrer, traitement par traitement, une base légale valable au titre de l'article 6 et, si des catégories particulières sont aspirées, une exception au titre de l'article 9 § 2.
art. 5 § 1 a, b, c, d — licéité, limitation des finalités, minimisation, exactitudeart. 6 § 1 f — intérêt légitime et test de mise en balanceart. 9 § 1 et art. 9 § 2 — interdiction de principe des catégories particulières et exceptionsart. 13 et art. 14 § 5 b — information des personnes et dérogation pour effort disproportionnéLignes directrices 03/2026 sur le moissonnage dans le contexte de l'IA générative, version 1.0, adoptées le 7 juillet 2026Lignes directrices 02/2026 sur l'anonymisation, version 1.0, adoptées le 7 juillet 2026Avis 28/2024 sur certains aspects de protection des données liés aux modèles d'IAGC e.a. c/ CNIL, C-136/17CEPD c/ CRU, C-413/23 PLe 7 juillet 2026, le Comité européen de la protection des données — présidé par Anu Talus — a adopté deux textes majeurs pour quiconque automatise la collecte de données : les lignes directrices 03/2026 sur le moissonnage dans le contexte de l'IA générative et les lignes directrices 02/2026 sur l'anonymisation. La CNIL les a relayées le 9 juillet 2026. Les deux textes sont ouverts à consultation publique jusqu'au 30 octobre 2026.
Le CEPD y rappelle que le RGPD s'applique dès que le moissonnage emporte collecte, stockage, organisation ou extraction de données personnelles, insiste sur la limitation des finalités et la transparence, recommande de n'extraire que depuis des sources fiables, d'horodater et de valider les données avant tout entraînement, et précise l'usage de l'intérêt légitime dans ce contexte précis.
Sur les catégories particulières, le CEPD note que le raisonnement de l'arrêt C-136/17 peut jouer pour la collecte accessoire ou résiduelle, à condition d'agir dans le cadre de ses « responsabilités, pouvoirs et capacités » et de mettre en place des mesures techniques et organisationnelles empêchant leur collecte et leur diffusion — mais il souligne qu'il n'existe aucune exemption générale à l'article 9.
Le coût du non-respect est déjà documenté : en septembre 2024, l'autorité néerlandaise a infligé à Clearview AI une amende de 30,5 millions d'euros assortie d'astreintes de plus de 5 millions d'euros, pour avoir constitué à partir du web une base de milliards de photos de visages — traitement jugé sans base légale (art. 5 § 1 et 6 § 1) et portant sur des données biométriques (art. 9 § 1). L'entreprise avait déjà été sanctionnée à hauteur de 20 millions d'euros par l'autorité italienne et par l'autorité grecque en 2022, et l'autorité française lui a imposé une astreinte en 2023.
Le scraping n'est plus une zone grise commode : il devient un traitement à documenter comme un autre. Pour un praticien de l'automatisation, cela déplace la charge de la preuve du résultat vers la traçabilité du pipeline — d'où viennent les données, quand ont-elles été collectées, qu'a-t-on filtré, comment a-t-on écarté les catégories particulières, et quelle mise en balance a été écrite avant la collecte.
La consultation ouverte jusqu'au 30 octobre 2026 signifie aussi que le texte n'est pas figé : c'est la fenêtre pendant laquelle les acteurs techniques peuvent faire valoir ce qui est réellement faisable côté crawler, robots.txt, filtrage et journalisation. Enfin, les lignes directrices sur l'anonymisation posent un test opérationnel — individualisation, corrélation, inférence — qui vaut bien au-delà de l'IA : c'est la grille à appliquer à tout jeu de données que l'on prétend « anonymisé ».