Scrapowanie danych a prawo to w pracy specjalisty SEO pytanie o cztery niezależne warstwy: regulamin serwisu, ochronę baz danych i prawo autorskie, RODO oraz obciążenie cudzej infrastruktury. Techniczna wykonalność nie przesądza o żadnej z nich. Ten tekst porządkuje, co w Polsce w 2026 roku wolno robić z pobranymi danymi, a gdzie zaczyna się realne ryzyko (nie jest poradą prawną, w konkretnej sprawie decyduje prawnik).
W skrócie
- Złamanie regulaminu strony to w Polsce co najwyżej spór cywilny, nie przestępstwo. Wyjątek: obchodzenie zabezpieczeń technicznych, które może podpadać pod art. 267 Kodeksu karnego.
- Pojedyncze fakty (cena, tytuł, meta description, nagłówek H1) nie są utworem. Systematyczne kopiowanie istotnej części cudzej bazy narusza ustawę o ochronie baz danych z 2001 roku.
- Dane osobowe podlegają RODO od momentu pobrania, także gdy są publiczne. Potrzebna jest podstawa prawna z art. 6 i obowiązek informacyjny z art. 14.
- Wyjątek TDM w prawie autorskim (od września 2024) pozwala eksplorować teksty i dane, o ile właściciel nie zastrzegł tego w sposób maszynowo czytelny.
- Scraping SERP narusza regulamin Google, ale amerykański sąd w lipcu 2026 odrzucił próbę zakwalifikowania go jako obejścia zabezpieczeń DMCA.
Co realnie scrapuje branża SEO
Większość zbiorów danych w SEO powstaje z pięciu źródeł: wyników wyszukiwania (pozycje, snippety, elementy SERP), stron konkurencji (tytuły, struktura nagłówków, linkowanie wewnętrzne, ceny), map i wizytówek lokalnych, forów oraz katalogów branżowych.
Problem prawny nie leży w narzędziu. Screaming Frog, własny skrypt w Pythonie i komercyjne API pobierają te same bajty. Różnica dotyczy skali, sposobu pozyskania (czy trzeba było ominąć zabezpieczenie) i tego, co dzieje się z danymi później: analiza to inna sytuacja niż republikacja. Szerszy przegląd scenariuszy zebraliśmy w przewodniku po legalnym scrapowaniu, tutaj skupiamy się na sytuacjach typowych dla SEO.
Regulaminy serwisów i ich moc
Regulamin wiąże tego, kto go zaakceptował. W polskim porządku prawnym zapis „zakaz automatycznego pobierania treści” na stronie publicznej, do której nie trzeba się logować, ma słabą pozycję dowodową: użytkownik nie zawarł umowy, tylko wszedł na stronę. Inaczej wygląda sytuacja po zalogowaniu, gdzie akceptacja warunków jest jawna i udokumentowana. Scrapowanie treści zza logowania (LinkedIn, Allegro po zalogowaniu, panele SaaS) to naruszenie umowy z pełną odpowiedzialnością kontraktową.
Konsekwencje naruszenia regulaminu są w praktyce dwie. Pierwsza to blokada adresu IP, konta lub dostępu do API, i to jest scenariusz dominujący. Druga to roszczenie cywilne, które serwis musi wykazać wraz ze szkodą. W Polsce takie pozwy przeciwko firmom SEO należą do rzadkości; częściej właściciel serwisu sięga po ustawę o zwalczaniu nieuczciwej konkurencji (art. 3, klauzula generalna), gdy scraper jest bezpośrednim konkurentem rynkowym.
Ochrona baz danych i prawo autorskie
Prawo autorskie chroni utwory, nie fakty. Cena produktu, liczba opinii, tytuł strony, data publikacji czy pozycja w rankingu to informacje, których nikt nie może zmonopolizować. Chroniony jest natomiast tekst artykułu, opis produktu napisany przez copywritera, zdjęcie, a także dobór i układ elementów, jeśli ma cechy twórcze.
Osobną warstwą jest ustawa z 27 lipca 2001 r. o ochronie baz danych, wdrażająca dyrektywę 96/9/WE. Producent bazy, który poniósł istotny nakład na jej stworzenie, przez 15 lat może zakazać pobierania i wtórnego wykorzystania istotnej części zawartości. Zakaz obejmuje też powtarzające się, systematyczne pobieranie nieistotnych części, jeśli w sumie prowadzi do odtworzenia bazy. To właśnie ten przepis, a nie prawo autorskie, jest największym ryzykiem przy budowaniu własnej kopii katalogu produktów, bazy firm czy porównywarki cen.
Nowelizacja prawa autorskiego z 2024 roku dodała wyjątek eksploracji tekstów i danych (TDM). Zwielokrotnianie utworów w celu ich analizy jest dozwolone dla dowolnego celu, w tym komercyjnego, chyba że uprawniony zastrzegł to w sposób maszynowo czytelny: w robots.txt, nagłówkach HTTP lub metadanych. Wyjątek dotyczy analizy, nie republikacji. Zbiór 20 000 tytułów i nagłówków konkurencji użyty do analizy luk tematycznych mieści się w TDM; opublikowanie tych opisów na własnej stronie już nie.
| Scenariusz | Prawo autorskie | Ochrona baz danych | Ocena ryzyka |
|---|---|---|---|
| Tytuły, H1, meta 500 stron konkurenta do analizy | Fakty, poza ochroną | Część nieistotna | Niskie |
| Pełne opisy produktów skopiowane do własnego sklepu | Naruszenie | Naruszenie przy dużej skali | Wysokie |
| Codzienny pobór cen całego asortymentu konkurenta | Fakty, poza ochroną | Systematyczne pobieranie, sporne | Średnie |
| Kopia całego katalogu firm z portalu branżowego | Zależy od treści | Naruszenie | Wysokie |
| Crawl własnego serwisu | Brak problemu | Brak problemu | Zerowe |
Dane osobowe w zebranych zbiorach
Najczęstsza pułapka w SEO to zbiory, które „przy okazji” zawierają dane osobowe: autorów wpisów, właścicieli firm z wizytówek Google, adresy e-mail ze stron kontaktowych pobierane do outreachu linkowego. RODO stosuje się od chwili pobrania, niezależnie od tego, że dane były publiczne. Fakt publikacji nie jest zgodą na dalsze przetwarzanie.
Potrzebne są dwa elementy. Podstawa prawna, w praktyce prawnie uzasadniony interes z art. 6 ust. 1 lit. f, co wymaga spisanego testu równowagi interesów. Do tego obowiązek informacyjny z art. 14: gdy dane nie pochodzą od osoby, której dotyczą, trzeba ją poinformować najpóźniej w ciągu miesiąca lub przy pierwszym kontakcie. Masowa wysyłka próśb o linki do adresów zebranych scraperem bez tej informacji to naruszenie, a Prezes UODO nakładał już kary za pozyskiwanie danych z rejestrów publicznych bez realizacji art. 14.
Praktyczna zasada: jeśli zbiór nie potrzebuje kolumny z imieniem, adresem e-mail czy telefonem, nie pobierajcie jej. Anonimizacja na etapie parsowania jest tańsza niż dokumentacja RODO dla całego zbioru.
Obciążenie serwera i dobre praktyki
Skala pobierania ma wymiar prawny, nie tylko techniczny. Crawler, który zapycha serwer i powoduje niedostępność usługi, może odpowiadać za zakłócenie pracy systemu informatycznego (art. 269a Kodeksu karnego, do 5 lat pozbawienia wolności), a cywilnie za szkodę z art. 415 Kodeksu cywilnego.
Plik robots.txt nie jest źródłem prawa, natomiast od nowelizacji z 2024 roku pełni rolę maszynowo czytelnego zastrzeżenia TDM i jest najprostszym dowodem dobrej lub złej wiary. Zasady jego interpretacji opisuje dokumentacja Google Search Central. Do tego dochodzą standardy branżowe: identyfikowalny user-agent z adresem kontaktowym, respektowanie nagłówka Retry-After i kodu 429, pobieranie poza szczytem ruchu, pamięć podręczna zamiast ponownych żądań o te same adresy.
Odrębną kategorią jest omijanie zabezpieczeń: rotacja rezydencjalnych proxy, rozwiązywanie CAPTCHA, podszywanie się pod przeglądarkę wobec systemu, który jawnie odmówił dostępu. Art. 267 Kodeksu karnego penalizuje uzyskanie dostępu do informacji przez przełamanie lub ominięcie zabezpieczenia. Granicę między dopuszczalną konfiguracją klienta a przełamaniem omawiamy w tekście o etycznych technikach wobec systemów anti-bot.
Scrapowanie wyników wyszukiwarek
Warunki korzystania z usług Google zabraniają automatycznego odpytywania wyszukiwarki, a od stycznia 2025 roku strzeże tego mechanizm SearchGuard. Każdy rank tracker, także polskie narzędzia, opiera się na scrapingu SERP lub kupuje dane od dostawcy, który go prowadzi. Konsekwencją w praktyce jest blokada, nie pozew przeciwko agencji.
Istotny sygnał przyszedł z USA. 20 lipca 2026 roku sąd federalny w Kalifornii oddalił skargi Google przeciwko SerpApi, uznając, że surowe wyniki wyszukiwania (adresy, snippety, dane faktograficzne) nie są utworem, a obejście SearchGuard nie jest obchodzeniem zabezpieczeń w rozumieniu DMCA. Szczegóły postanowienia opisaliśmy w relacji sąd oddala skargi Google przeciwko SerpApi. To orzeczenie nie wiąże polskich sądów, ale wzmacnia linię, że dane z SERP są faktami.
W Unii kierunek wyznacza akt o rynkach cyfrowych. Od 17 września 2026 Google rozsyła umowy licencyjne na dane z wyszukiwarki w EOG, choć tylko dla kwalifikowanych wyszukiwarek, nie dla agencji SEO. Legalna droga do danych rankingowych na dużą skalę pozostaje więc dla większości rynku pośrednia: przez dostawców API, którzy biorą ryzyko regulaminowe na siebie.
Jak ograniczyć ryzyko w praktyce
- Zdefiniujcie cel przed pobraniem. Analiza wewnętrzna mieści się w TDM, republikacja nie. Zapiszcie cel w dokumentacji projektu.
- Sprawdźcie robots.txt i nagłówki TDM dla każdej domeny. Jawne zastrzeżenie wyłącza wyjątek z prawa autorskiego.
- Nie scrapujcie zza logowania. To jedyna kategoria, w której odpowiedzialność kontraktowa jest niemal pewna.
- Usuńcie dane osobowe na etapie parsowania. Jeśli są niezbędne, przygotujcie test równowagi interesów i klauzulę z art. 14 RODO.
- Ograniczcie skalę: limit żądań na sekundę, jeden wątek na domenę, przerwy po kodzie 429, praca nocą.
- Nie łamcie zabezpieczeń. CAPTCHA i jawna blokada to sygnał odmowy, po którym kończy się bezpieczna strefa.
- Nie odtwarzajcie cudzej bazy. Pobierajcie próbkę potrzebną do analizy, nie pełny katalog co 24 godziny.
- Kupujcie dane SERP od dostawcy, jeśli skala przekracza kilkaset zapytań dziennie. Przenosi to ryzyko regulaminowe i techniczne poza agencję.
Jak taki zestaw zasad działa w produkcji, pokazuje case monitoringu cen konkurencji: ograniczenie zakresu do próbki 400 produktów i pobór raz na dobę wystarczyły do decyzji cenowych, a jednocześnie trzymały projekt z dala od sporu o systematyczne pobieranie bazy.
FAQ: najczęstsze pytania
Czy scrapowanie publicznej strony bez logowania jest w Polsce legalne?
Co do zasady tak, jeśli pobierane są fakty lub dane do analizy, właściciel nie zastrzegł TDM w robots.txt lub nagłówkach, nie omija się zabezpieczeń, a skala nie zakłóca pracy serwera. Legalność znika, gdy kopiujecie utwory do republikacji, odtwarzacie istotną część cudzej bazy albo zbieracie dane osobowe bez podstawy z RODO.
Czy złamanie regulaminu strony to przestępstwo?
Nie. Naruszenie regulaminu jest kwestią cywilną, a przy stronie publicznej bez logowania trudno w ogóle wykazać zawarcie umowy. Przestępstwem może być dopiero ominięcie zabezpieczenia technicznego (art. 267 kk) lub zakłócenie pracy systemu (art. 269a kk).
Czy mogę zbierać adresy e-mail ze stron do outreachu linkowego?
Tylko z podstawą prawną i obowiązkiem informacyjnym. Adres firmowy imienny to dane osobowe. Potrzebujecie spisanego testu równowagi interesów (art. 6 ust. 1 lit. f RODO) i informacji z art. 14 przekazanej najpóźniej przy pierwszym kontakcie. Adresy ogólne typu biuro@ nie są danymi osobowymi.
Czy scraping wyników Google jest zakazany?
Narusza regulamin Google, więc grozi blokadą. Nie narusza natomiast prawa autorskiego, bo wyniki są zestawieniem faktów, co potwierdził sąd w sprawie SerpApi w lipcu 2026. W praktyce agencje kupują dane SERP od dostawców API, którzy przejmują to ryzyko.
Ile trzeba czekać między żądaniami, żeby nie mieć problemów?
Nie ma ustawowego progu. Bezpieczny standard to 1–2 żądania na sekundę na domenę, jeden wątek, respektowanie kodu 429 i nagłówka Retry-After, pobieranie poza godzinami szczytu. Problem prawny zaczyna się wtedy, gdy ruch zauważalnie degraduje usługę.
Co dalej
Przed uruchomieniem kolejnego projektu warto przejść pełną listę scenariuszy z przewodnika po legalnym scrapowaniu, a przy danych z SERP śledzić, jak licencje z programu DMA dla wyszukiwarek w UE zmienią rynek dostawców danych w 2027 roku.