Web scraping: quando raccogliere dati diventa reato

Il web scraping non è di per sé reato in Italia: raccogliere in modo automatizzato dati pubblicati liberamente è lecito se non si superano misure di sicurezza e si rispettano le regole su dati personali e banche dati. Diventa reato quando aggira login o protezioni (accesso abusivo, art. 615-ter c.p., fino a 3 anni) o estrae archivi di dati personali su larga scala con mezzi fraudolenti (art. 167-ter Codice privacy, da 1 a 4 anni).

Il web scraping è legale in Italia?

Lo scraping è una tecnica, non una condotta tipizzata dal codice penale. La sua liceità dipende da tre variabili: il modo di accesso ai dati (pagine pubbliche o aree protette), la natura dei dati (personali o no, protetti da diritti di proprietà intellettuale o no) e l'uso successivo (ricerca, confronto prezzi, marketing, addestramento di modelli di intelligenza artificiale).

Il Garante per la protezione dei dati personali, nel provvedimento n. 329 del 20 maggio 2024 sullo scraping finalizzato all'addestramento dell'IA generativa, non ha qualificato la tecnica come lecita o illecita in sé: ha ricordato che restano fermi, per chi raccoglie dati personali, tutti gli obblighi del Regolamento (UE) 2016/679, a partire da quello di individuare una idonea base giuridica. Il provvedimento suggerisce ai gestori dei siti misure tecniche di contrasto, senza trasformarle in obblighi.

Quando raccogliere dati da un sito diventa accesso abusivo?

L'art. 615-ter c.p. punisce chi «abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo». Due elementi sono decisivi: la presenza di misure di sicurezza e la volontà contraria del titolare.

Le pagine accessibili a chiunque senza autenticazione, di regola, non sono protette da misure di sicurezza nel senso della norma: raccoglierle automaticamente non integra l'accesso abusivo. La situazione cambia quando il bot entra in aree riservate (con credenziali proprie usate oltre i limiti, con credenziali altrui, aggirando un'autenticazione). Le Sezioni Unite, sentenza n. 4694 del 27 ottobre 2011 (Casani), hanno affermato che commette il reato anche chi è abilitato ma accede o si mantiene nel sistema «violando le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l'accesso».

La pena base è la reclusione fino a 3 anni, con procedibilità a querela; se dall'accesso deriva l'interruzione o il danneggiamento del sistema la pena va da 2 a 10 anni e si procede d'ufficio.

Aggirare un captcha o un login per estrarre dati cosa comporta?

Captcha, sistemi di autenticazione e limiti di accesso sono indizi di una volontà del titolare di escludere l'accesso automatizzato e possono essere qualificati come misure di sicurezza. Aggirarli espone a tre contestazioni:

• accesso abusivo (art. 615-ter c.p.), se il bot entra in un'area protetta o vi permane contro la volontà del titolare;
• acquisizione fraudolenta di dati personali su larga scala (art. 167-ter Codice privacy, da 1 a 4 anni), se l'aggiramento serve a estrarre un archivio o una sua parte sostanziale con fine di profitto o di danno;
• danneggiamento di sistemi (art. 635-quater c.p., da 2 a 6 anni), se il volume di richieste ostacola gravemente il funzionamento del sito; il tema è approfondito nella pagina sull'attacco DDoS.

L'aggiramento delle protezioni è anche l'elemento che, in un giudizio, distingue più nettamente la raccolta tollerata da quella contro la volontà del titolare.

Fare scraping di dati personali da LinkedIn o dai social è reato?

La raccolta di profili pubblici non è, di per sé, reato, ma è quasi sempre un trattamento di dati personali soggetto al Regolamento (UE) 2016/679: richiede una base giuridica, un'informativa e il rispetto dei principi di minimizzazione e limitazione della finalità. La violazione di queste regole comporta, in primo luogo, sanzioni amministrative del Garante.

Il profilo penale emerge in ipotesi specifiche. L'art. 167, comma 1, del Codice privacy punisce con la reclusione da 6 mesi a 1 anno e 6 mesi chi, per profitto o per arrecare danno, viola le regole sulle comunicazioni elettroniche indesiderate (tra cui l'art. 130) arrecando nocumento all'interessato: è il caso tipico di indirizzi email raccolti dai profili e usati per invii commerciali non consentiti. L'art. 167-ter colpisce l'acquisizione fraudolenta di archivi su larga scala. Il quadro completo è nella pagina sul trattamento illecito di dati personali.

Usare un bot per estrarre dati può essere trattamento illecito di dati personali?

La L. 23 settembre 2025, n. 132 sull'intelligenza artificiale ha introdotto l'art. 70-septies della legge sul diritto d'autore: le riproduzioni ed estrazioni da opere contenute in reti o banche dati a cui si ha legittimamente accesso, finalizzate all'estrazione di testo e dati tramite modelli e sistemi di IA, sono consentite nei limiti degli artt. 70-ter e 70-quater. Fuori da quei limiti (ad esempio quando il titolare ha riservato i diritti) scatta la lettera a-ter dell'art. 171. Sull'uso di sistemi di IA come aggravante si veda la pagina sulla nuova aggravante dell'intelligenza artificiale.

Il web scraping di prezzi dei concorrenti può portare a una denuncia?

I prezzi pubblicati su pagine accessibili a tutti non sono dati personali e, singolarmente, non sono opere protette. Il monitoraggio automatizzato dei listini dei concorrenti, se non aggira protezioni e non sovraccarica il sito, di regola non integra reati. Il rischio penale concreto riguarda tre situazioni: l'estrazione sistematica di una parte sostanziale di una banca dati protetta per riutilizzarla a fini di profitto (art. 171-bis, comma 2, L. 633/1941), l'aggiramento di aree riservate ai clienti registrati (art. 615-ter c.p.) e il sovraccarico del server (art. 635-quater c.p.). Sul piano civile il concorrente può agire per concorrenza sleale o per violazione dei termini d'uso.

Che differenza c'è tra violazione dei termini d'uso e reato?

La clausola «è vietato lo scraping» nei termini di servizio non trasforma da sola la raccolta in reato. Può però contribuire a definire le «prescrizioni impartite dal titolare» di cui parlano le Sezioni Unite Casani quando l'accesso avviene in un'area riservata a utenti registrati, che hanno accettato quelle condizioni.

Cosa fare se si riceve una diffida per aver fatto scraping di un sito?

Cancellare i dati dopo la diffida può apparire come un tentativo di disperdere prove: meglio isolarli e documentarne la custodia.

Gli altri reati legati ai dati e alle tecnologie sono raccolti nella sezione crypto, DeFi e reati informatici; sui test di sicurezza non autorizzati si veda la pagina sull'hacking etico e i bug bounty.