Scraping danych w Polsce - co jest legalne, a co nie

Scraping, czyli automatyczne pobieranie danych ze stron, sam w sobie nie jest w Polsce ani legalny, ani nielegalny. O tym decydują cztery rzeczy: czyje to dane, czy są wśród nich dane osobowe, co mówi regulamin strony i co potem z tymi danymi zrobisz. Większość problemów bierze się nie z samego pobierania, tylko z ostatniego punktu.

Piszę o tym z praktyki: budowałem system zbierający firmy z publicznych rejestrów branżowych na trzy rynki zagraniczne i monitor ogłoszeń przeszukujący ponad dziesięć portali. Poniżej przepisy i orzeczenia, które mają znaczenie, w stanie na wrzesień 2026 r. To nie jest porada prawna. Przy projekcie, od którego zależy biznes, sprawdź go z prawnikiem, zanim zbudujesz pierwszy skrypt.

Baza danych na stronie jest chroniona, nawet gdy dane są publiczne

Ustawa o ochronie baz danych daje producentowi bazy, który poniósł istotny nakład na jej sporządzenie, wyłączne prawo do pobierania danych i ich wtórnego wykorzystania w całości lub w istotnej części. Katalog produktów, cennik z tysiącami pozycji czy baza ogłoszeń zwykle spełniają ten warunek.

Dwie rzeczy, o których warto pamiętać:

• Małe porcje nie zawsze ratują. Ustawa zakazuje także powtarzającego się i systematycznego pobierania nieistotnych części bazy, jeśli jest to sprzeczne z normalnym korzystaniem z niej. Codzienne pobieranie „tylko kilku stron” całego katalogu konkurencji może się pod to podpadać.
• Eksploracja tekstów i danych jest dozwolona, ale z zastrzeżeniem. Nowelizacja z 26 lipca 2024 r. dodała do ustawy art. 8a: wolno zwielokrotniać rozpowszechnione bazy danych w celu eksploracji tekstów i danych, chyba że uprawniony to zastrzegł. Przy bazach publicznie dostępnych zastrzeżenie ma mieć format przeznaczony do odczytu maszynowego. Ten wyjątek pozwala analizować dane, a nie publikować ich kopii u siebie.

Regulamin strony też się liczy

15 stycznia 2015 r. Trybunał Sprawiedliwości UE orzekł w sprawie C-30/14 Ryanair przeciwko PR Aviation, że gdy baza nie jest chroniona ani prawem autorskim, ani prawem sui generis, dyrektywa o bazach danych nie przeszkadza jej twórcy w umownym ograniczeniu korzystania z niej. Sprawa dotyczyła porównywarki, która pobierała dane o lotach ze strony Ryanaira, a regulamin tej strony zakazywał takiego korzystania.

W praktyce oznacza to, że nawet jeśli dane nie są chronione jako baza, zakaz automatycznego pobierania w regulaminie ma znaczenie. Zanim zbudujesz scraper, przeczytaj regulamin źródła. Jeśli jest w nim zakaz, a strona ma własne API albo płatny dostęp do danych, zwykle taniej i bezpieczniej jest z niego skorzystać.

Dane osobowe: publiczne nie znaczy wolne

Tu jest najwięcej nieporozumień. Dane jednoosobowej działalności gospodarczej, imię i nazwisko właściciela, jego telefon i mail, to dane osobowe, nawet jeśli wiszą w CEIDG. Samo to, że są publiczne, nie zwalnia z RODO.

Najlepszy polski przykład to sprawa Bisnode. UODO nałożył na spółkę karę w wysokości nieco ponad 943 tys. zł za to, że pozyskiwała dane z ogólnodostępnych rejestrów (KRS, CEIDG, REGON) i nie poinformowała tych osób o przetwarzaniu, czego wymaga art. 14 RODO. Naczelny Sąd Administracyjny 19 września 2023 r. oddalił skargę kasacyjną spółki (sygn. III OSK 2538/21) i podkreślił, że wyjątki od obowiązku informacyjnego trzeba interpretować zawężająco.

Wniosek dla każdego, kto zbiera dane firm:

• Spółki to nie osoby. Nazwa spółki, jej NIP i adres siedziby to nie dane osobowe. Dane jej pracowników i członków zarządu już tak.
• Jednoosobowa działalność to osoba. Baza właścicieli JDG to baza danych osobowych ze wszystkimi obowiązkami: podstawą prawną, obowiązkiem informacyjnym i prawem do sprzeciwu.
• Zbieraj tylko to, czego potrzebujesz. Jeśli do analizy rynku wystarczy branża i województwo, nie pobieraj nazwisk.

Najwięcej ryzyka jest w tym, co zrobisz z danymi

Zebranie adresów mailowych firm to jedno, a wysłanie na nie oferty to drugie. Art. 398 Prawa komunikacji elektronicznej zakazuje wysyłania informacji handlowej bez uprzedniej zgody odbiorcy, także gdy odbiorcą jest firma. Naruszenie jest czynem nieuczciwej konkurencji, a Prezes UKE może nałożyć karę do 3% przychodu.

Dlatego sensowne zastosowania scrapingu w firmie wyglądają inaczej niż „baza maili do mailingu”:

• Monitoring cen i dostępności u dostawców i konkurencji, do własnych decyzji cenowych.
• Monitoring ogłoszeń i przetargów, żeby nie przegapić okazji zakupowej albo zapytania w swojej branży.
• Analiza rynku: ile firm z danej branży działa w regionie, jak się prezentują, czego im brakuje.
• Lista firm do kontaktu kanałem, który nie wymaga zgody na informację handlową przez e-mail, na przykład list tradycyjny, po sprawdzeniu, czy dany kanał w konkretnym przypadku jest dozwolony.

Technika też ma znaczenie

Nawet przy danych, które wolno pobierać, sposób pobierania może stworzyć problem.

• Obciążenie serwera. Setki zapytań na sekundę mogą utrudnić działanie cudzej strony. Rozsądne tempo, pobieranie poza godzinami szczytu i pamięć podręczna po swojej stronie to podstawa.
• Logowanie i zabezpieczenia. Pobieranie danych zza logowania, na cudzym koncie albo z obchodzeniem blokad to zupełnie inna kategoria niż czytanie stron publicznych. Omijanie zabezpieczeń może wejść w obszar przepisów karnych o nieuprawnionym dostępie do informacji.
• robots.txt. To nie jest ustawa, ale jasny sygnał woli właściciela strony. Przy eksploracji danych może też być traktowany jako zastrzeżenie w formacie do odczytu maszynowego, więc bezpieczniej go respektować.
• Przedstawianie się. Scraper, który podpisuje się nazwą i adresem kontaktowym, jest łatwiejszy do obrony niż taki, który udaje przeglądarkę.

Scraping a trenowanie modeli AI

Ta sama nowelizacja z 2024 r. dopuściła w prawie autorskim eksplorację tekstów i danych także w celach komercyjnych, chyba że uprawniony to zastrzegł. Z tego wyjątku korzystają między innymi firmy trenujące modele językowe, a zastrzeżenie w formie do odczytu maszynowego jest sposobem, żeby powiedzieć „na moich treściach nie”.

Po drugiej stronie akt o sztucznej inteligencji zobowiązuje dostawców modeli ogólnego przeznaczenia do prowadzenia polityki zgodności z prawem autorskim, w tym do respektowania takich zastrzeżeń. Dla firmy, która ma własną stronę, oznacza to realny wybór: może zastrzec, że nie zgadza się na trenowanie na swoich treściach, na przykład blokując wybrane roboty w robots.txt.

Warto jednak rozróżnić roboty trenujące od wyszukujących. Blokada robota wyszukiwania ChatGPT albo Perplexity wyłącza stronę z odpowiedzi tych asystentów, a więc z jednego z nowych źródeł klientów. Szerzej o tym, jak asystenci wybierają firmy, piszę w tekście czy ChatGPT poleci Twoją firmę.

Przykład: monitoring cen dostawców zrobiony porządnie

Firma kupuje materiały od kilku hurtowni i chce wiedzieć, kiedy ceny się zmieniają. Tak wyglądałby ten projekt, gdyby robić go z głową:

1. Najpierw pytanie o API albo cennik w pliku. Część hurtowni udostępnia stałym klientom cennik do pobrania albo dostęp przez API. To zawsze lepsze niż scraping.
2. Regulamin każdego źródła. Gdzie jest zakaz automatycznego pobierania, tam zostaje ręczne sprawdzenie albo prośba do opiekuna handlowego.
3. Tylko potrzebne pola. Indeks, nazwa, cena, dostępność. Bez danych osobowych, bez opisów i zdjęć.
4. Rozsądne tempo. Raz dziennie, w nocy, z przerwami między zapytaniami. Cena materiału nie zmienia się co minutę.
5. Raport zmian, a nie kopia bazy. Rano na skrzynce jedno zestawienie: co zdrożało, co potaniało, czego zabrakło. Dane służą decyzjom zakupowym i nigdzie nie są publikowane.

Lista kontrolna przed zbudowaniem scrapera

1. Czy źródło ma API albo płatny dostęp do danych? Jeśli tak, zacznij od niego.
2. Co mówi regulamin strony o automatycznym pobieraniu?
3. Czy w danych są osoby fizyczne, w tym właściciele JDG? Jeśli tak, jak spełnisz obowiązek informacyjny z art. 14 RODO?
4. Czy pobierasz istotną część cudzej bazy albo robisz to systematycznie?
5. Czy źródło zastrzegło eksplorację danych w robots.txt albo w regulaminie?
6. Do czego posłużą dane i czy to wykorzystanie wymaga zgody odbiorców?
7. Czy tempo pobierania nie obciąża cudzego serwera?

Jeśli na któreś pytanie odpowiedź brzmi „nie wiem”, to jest miejsce na rozmowę z prawnikiem, a nie na kolejną funkcję scrapera. Techniczną stronę, czyli jak ustawić monitoring, żeby raport przychodził sam, opisuję w tekście o tym, jak wybrać sposób automatyzacji.

FAQ - czy scraping jest legalny

Czy scraping jest legalny w Polsce?

Nie ma jednej odpowiedzi, bo scraping nie jest osobno uregulowany. Legalność zależy od tego, czy naruszasz prawo producenta bazy danych, regulamin strony, przepisy RODO i przepisy o informacji handlowej. Pobieranie publicznych danych o cenach do własnej analizy to co innego niż kopiowanie całego katalogu konkurencji czy budowanie bazy maili do mailingu.

Czy dane z CEIDG i KRS można swobodnie wykorzystywać?

Dane spółek tak, dane osób fizycznych nie. Właściciel jednoosobowej działalności to osoba fizyczna, a jego dane są danymi osobowymi. W sprawie Bisnode UODO nałożył ponad 943 tys. zł kary za niepoinformowanie takich osób, a NSA w 2023 r. tę decyzję utrzymał.

Czy mogę wysłać ofertę na maile zebrane ze stron firm?

Bez uprzedniej zgody nie. Art. 398 Prawa komunikacji elektronicznej zakazuje wysyłania informacji handlowej bez zgody, także do firm, a naruszenie jest czynem nieuczciwej konkurencji.

Czy robots.txt jest wiążący?

Sam w sobie nie jest przepisem, ale jest jasnym sygnałem woli właściciela strony. Przy eksploracji tekstów i danych przepisy pozwalają uprawnionemu zastrzec, że się na nią nie zgadza, w formacie do odczytu maszynowego, a robots.txt może być tak traktowany. Bezpieczniej go respektować.

Czym różni się scraping od korzystania z API?

API to wejście, które właściciel danych udostępnia świadomie, na swoich warunkach. Scraping pobiera dane z tego, co widzi przeglądarka. Jeśli źródło ma API, korzystanie z niego jest zwykle stabilniejsze technicznie i bezpieczniejsze prawnie.

Czy mogę monitorować ceny konkurencji?

Pobieranie publicznie widocznych cen do własnej analizy jest powszechną praktyką, ale warto sprawdzić regulamin strony, ograniczyć tempo zapytań i nie kopiować całej bazy produktów z opisami. Publikowanie cudzych danych u siebie to już zupełnie inna sytuacja.

Podsumowanie

Scraping nie jest ani zakazany, ani wolny od reguł. Na każdy projekt działają cztery zestawy przepisów: prawo producenta bazy danych, regulamin źródła, RODO i przepisy o informacji handlowej.

Najczęstszy błąd to przekonanie, że dane publiczne są wolne. Sprawa Bisnode pokazała, że dane właścicieli firm z CEIDG to dane osobowe z pełnymi obowiązkami, a art. 398 PKE zamyka drogę do mailingu na zebrane adresy.

Sensowny scraping w firmie służy decyzjom: monitoringowi cen, ogłoszeń i rynku. Tam daje realną przewagę i nie wymaga przekraczania żadnej z tych granic.