Webスクレイピングは合法？GDPR・TDM・データベース権の注意点

👁 112閲覧数

Webスクレイピングはデータを取得する手法ですが、適法性は具体的な使い方によって異なります。以下ではEUの枠組みを中心に、個人データ、コンテンツやデータベースの権利、アクセス条件を分けて整理します。基準日は2026年10月です。なお、EU法に関する説明は日本の法律についての解説ではありません。

まず処理の内容を整理してから、根拠を確認する

「インターネットをスクレイピングしてよいか」という問いだけでは、範囲が広すぎます。自分のドキュメントを取得する場合、公開料金表を分析する場合、他社のカタログや個人プロフィールを複製する場合では、状況が異なります。情報の出所、アクセス方法、取得するデータの範囲、目的、取得後の利用方法が重要です。使用するライブラリを選ぶだけでは、これらの問題は解決しません。

どのURLを読み込むのか、どの項目を保存するのか、誰が結果を受け取るのか、データをどれくらい保管するのかを、簡潔に書き出すとよいでしょう。こうすることで、技術的な取得、分析、共有、公開を分けて考えられます。各段階で個別の評価が必要になることがあります。文書を読むことができても、それをもとに誰でも利用できるアーカイブを作る権利まで自動的に認められるとは限りません。

AIモデルを使う場合は、素材の利用方法も確認が必要です。回答を生成するための一時的な読み込み、検索インデックスの作成、モデルの学習は、同一の処理ではありません。プロジェクトをRAGやTDMと呼ぶだけで、法的な問題が解消するわけではありません。技術の名称ではなく、実際の処理内容を確認してください。

以下の考え方は、検討の整理に役立ちますが、特定のウェブサイトについて適法性を保証するものではありません。規模が大きいプロジェクトや商用利用では、実際の取得範囲と情報源の条件を確認する必要があります。これらの情報を確認せずに出す一般論を、適法性の確かな確認とみなすことはできません。

GDPR：公開されている個人データも保護対象

氏名、個人を識別できるプロフィール、特定の人に紐づく勤務先メールアドレス、投稿者と結び付いたレビューなどは、個人データに該当する場合があります。インターネット上で見られるからといって、GDPRの適用対象外になるわけではありません。情報の取得と整理も、個人データの処理に含まれます。管理者は、適法な根拠を評価し、目的の特定や必要なデータに範囲を限定することなど、各種原則を守る必要があります。

GDPR第5条は処理の原則を、第6条は適法性の根拠を定めています。「正当な利益」を根拠にする場合も、どのようなスクレイピングにも当てはまる決まり文句として使うべきではありません。実際の利益、処理の必要性、個人の権利を検討する必要があります。すべての処理で同意が唯一の根拠となるわけではありませんが、別の根拠を選ぶ場合は、具体的な用途に照らした説明が必要です。

実務上の出発点として、設計段階からデータを絞り込む方法があります。都市ごとのサービス提供状況を比較することが目的なら、レビュー投稿者の氏名は不要かもしれません。集計分析であれば、個人を特定する情報を使わずに済む場合もあります。データを少なくすると、管理や更新がしやすくなり、不要になった情報の削除もしやすくなります。

取得したデータを外部のAIツールに送ることも、データの流れの一部です。コンテンツがどこへ送られ、何に使われるのかを把握してください。スクレイピングをローカルで実行しても、保存した素材を後からモデルのサービスへ送るなら、処理全体がローカルで完結するわけではありません。インフラは、連携の手軽さだけでなく、目的や処理のルールに合わせて選ぶ必要があります。

データベース権：個々のレコードだけでなく、データセットも確認

データベースの保護は、個々の情報に対する著作権だけに限られません。EU指令96/9/ECは、データベースの内容の取得、検証、提示に対する実質的な投資に関係する、独自の権利を定めています。第7条は、データベースの全体または実質的な部分の抽出・再利用を扱います。これは、個々の事実が著作物にあたるかどうかとは別の問題です。

取得を小さな単位に分ければ常に問題がなくなるわけではありません。実質的でない部分を反復・継続して抽出または再利用する行為も、データベースの通常の利用を妨げたり、製作者の正当な利益を不当に害したりする場合には、規定の対象となります。1回のAPI呼び出しで取得するレコード数だけを見て判断することはできません。

一方で、あらゆる一覧を自動的に保護されたデータベースとみなしたり、個々の事実に必ず独占的な権利者がいると考えたりするのも適切ではありません。保護の有無と範囲は、要件を満たすかどうかによって決まります。プロジェクトでは、取得するデータが情報源の重要な部分を再現するか、データベースの準備にどのような投資があったかを確認する必要があります。

たとえば、選んだ情報だけを比較するシステムと、カタログ全体を定期的にコピーするシステムは、同じコードを使っていても法的な評価が異なる可能性があります。重要なのは処理の結果と反復性です。個々の操作を別々のリクエストと呼んでも、プロジェクト全体の性質が自動的に変わるわけではありません。

TDMとオプトアウト：DSM指令第4条

DSM指令と呼ばれる指令2019/790の第4条は、テキスト・データマイニング（TDM）に関する例外を定めています。出発点となるのは適法なアクセスであり、権利者が適切な方法で権利を留保しているかどうかも関係します。オンラインで一般公開されているコンテンツでは、機械可読な方法による権利留保が重要です。この規定は、情報源に付されたあらゆる条件を無視してよいとするものではありません。

TDMはテキストやデータの分析を対象とします。分析に必要なコピーを作成する権利と、他者の全記事を製品の利用者に提供する権利を同一視しないでください。モデルを使うだけで、プロジェクトのすべての段階が例外に含まれると決まるわけでもありません。取得、保存、分析、結果の提示をそれぞれ別に評価する必要があります。

実務では、情報源で確認できた権利留保の内容と、確認した日時を記録してください。画面上で目立つ表示がないからといって、ページのデータ内にも権利留保がないとは限りません。一方、技術的な制限がすべて同じ法的効果を持つとも限りません。留保の方法と例外の適用範囲は、具体的な情報源に照らして確認する必要があります。

robots.txtと利用規約：それぞれ役割が異なる

RFC 9309はrobots.txtプロトコルを説明し、アクセス許可の仕組みとは区別しています。このファイルは、リソースを訪問する際のルールをクローラーに伝えるものですが、ライセンスを付与する制度ではありません。特定のパスへのアクセスが許可されていても、そのコンテンツをあらゆる方法で利用してよいことにはなりません。robots.txtが存在しない場合も、著作権や個人データに関する義務がなくなるわけではありません。

逆に、クローラーへの拒否を確認しただけで、ほかの事情を調べずに法的な問題すべてへの答えとみなすべきでもありません。TDMでは、権利がどのように留保されているかを評価する必要があります。アクセスについては、サービスの条件や実際の制限が関係することがあります。技術的なシグナルと法的な評価は関係していますが、相互に置き換えられるものではありません。

利用規約も無関係ではありません。C-30/14 Ryanair対PR Aviation事件で、裁判所はデータベース指令が定める権利で保護されていないデータベースに対する契約上の制限を扱いました。この判決は、そのような保護がない場合でも契約条件の問題が自動的になくなるわけではなく、国内法が関係し得ることを示しています。ただし、あらゆる利用規約の条項が常に有効だと判示したものではありません。

導入前に、情報源の最新の利用条件、アクセス方法、利用計画をまとめて確認してください。サイトがリクエストに正常に応答したという事実だけで、その後のあらゆる行為が認められるわけではありません。技術的な成功が示すのはデータを取得できたことまでであり、その後の利用権まで確認されたことではありません。

AI Act：モデル提供者の義務はデータ利用のライセンスではない

EUのAI Officeが公表する資料では、汎用AIモデルの提供者に関する義務が説明されています。AI Act第53条は、EUの著作権法を順守する方針や、学習に使ったコンテンツの公開要約などを含みます。こうした義務はAIの提供過程における特定の役割に関係するものであり、スクレイピングをする人や既存モデルを使う人すべてに自動的に適用されるわけではありません。

AI Actは、GDPR、著作権、データベース保護のルールに取って代わるものではなく、データ取得の一般的なライセンスを作るものでもありません。プロジェクトでは、まず自分の役割と素材の利用方法を確認してください。既存モデルで情報源を読み取るのか、それとも自らモデルを開発して提供するのかによって、検討すべき範囲が変わります。

スクレイピング開始前のチェックリスト

• 目的を一文で記し、データを取得するドメインの一覧を作る。
• robots.txt、利用規約、機械可読形式のTDM権利留保を確認し、確認日を記録する。
• 本当に必要な項目を洗い出す。氏名、メールアドレス、個人プロフィールを取得する場合は、GDPR第6条に基づく根拠を明確にする。
• 取得するデータセットが、他者のデータベースの実質的な部分を再現するか評価する。
• ページのコピーを保管する期間を決める。TDMでは、分析に必要な期間に限って保管する。
• 取得した文章を全文公開しない。分析結果、短い引用、情報源へのリンクを提示する。
• 取得後にコンテンツがどこへ送られるか確認する。外部モデルもデータの受領者となる。
• リクエストの頻度を抑え、特定の情報源から取得したデータを速やかに削除できる方法を用意する。

適切なプロジェクト説明では、情報源、目的、法的根拠、保管期間を関連付けて整理します。また、評価に何が不足しているかも明らかにできます。「スクレイピングは間違いなく合法」と断言するのではなく、具体的な処理に沿って根拠を示すことが重要です。この考え方は、自作スクリプト、既製のActor、MCP経由のエージェントのいずれを使う場合にも役立ちます。

ツールの例はAI向けウェブデータ活用ガイドで、既製のスクレイパーについてはApifyの記事で紹介しています。

よくある質問

公開されているウェブサイトなら、スクレイピングに同意したことになりますか？

公開されていることだけで、あらゆる範囲や目的の利用が自動的に認められるわけではありません。アクセス、コンテンツの権利、データベース保護、契約条件、個人データの有無を分けて評価する必要があります。

オプトアウトはモデルの学習だけに関係しますか？

規定や処理を確認せずに、一般的なTDMの仕組みを学習だけに限定して考えるべきではありません。実際にどのような処理を行うのか、プロジェクトがどの法的根拠に依拠するのかが重要です。

ローカルでスクレイピングすれば、GDPRの問題は解決しますか？

いいえ。ローカルであることは技術的な特徴にすぎません。目的、法的根拠、データの範囲、保管方法は引き続き重要です。また、取得したコンテンツが後から外部サービスに送られる場合もあります。

robots.txtを確認すれば適法性を判断できますか？

いいえ。robots.txtはクローラーにルールを伝える標準であり、権利や利用条件をすべて評価するものではありません。ほかの関連文書と、実際の利用方法も確認してください。

// 続きを読む特別な教育的ニーズにAIを活用する方法：教材の調整と簡易化ガイドCapCutをパソコンにダウンロードする方法 - Windows・Mac対応ガイドCLAUDE.mdの書き方：42個のプロジェクトで使った実例ガイド