Aviso legal: Este artigo é apenas para fins informativos e não constitui aconselhamento jurídico. Recomendamos fortemente que todos os clientes consultem um advogado qualificado.
A coleta automatizada de dados da web, também conhecida como scraping de dados, refere-se ao processo de extração de dados de sites usando software em vez de navegação manual. Ela desempenha um papel fundamental em diversos casos de uso, desde IA generativa, inteligência de mercado e modelagem financeira, até pesquisa acadêmica e SEO. No entanto, existem diferentes formas de realizar o scraping de dados e é importante executá-lo de maneira responsável e em conformidade com as normas aplicáveis.
Para avaliar a posição legal associada ao scraping de dados, você deve considerar quatro fatores principais:
- o tipo de dados sendo coletados
- a localização geográfica do site
- como os dados são coletados, e
- como os dados serão utilizados
Este artigo abordará essas considerações e o panorama jurídico em torno do scraping de dados para ajudá-lo a compreender melhor o cenário legal que envolve a prática cada vez mais comum de coleta automatizada de dados.
Vitórias Jurídicas da Bright Data
A Bright Data tem estado na vanguarda do debate jurídico em torno da coleta automatizada de dados da web, vencendo dois casos importantes contra a Meta e o X. O papel da Bright Data nesses desafios legais foi fundamental para definir limites claros e garantir o direito de acesso a dados públicos em benefício de todo o setor. Em ambos os casos, a Meta e o X argumentaram que seus termos de serviço funcionavam como um contrato vinculante e que qualquer pessoa que visitasse suas plataformas estaria automaticamente sujeita a esses termos.
Em Meta v. Bright Data, a Meta acusou a Bright Data de violar seus Termos de Serviço ao coletar dados de suas plataformas. O tribunal concluiu que, como a Bright Data coletava dados apenas de contas públicas (em oposição àquelas visíveis somente após criar uma conta na Meta), os termos da Meta não se aplicam nem proíbem o scraping automatizado de dados publicamente disponíveis realizado sem estar conectado.
Em X Corp. v. Bright Data, o X alegou que as atividades de coleta de dados da Bright Data violavam seus Termos de Uso, mas o tribunal rejeitou as alegações do X, decidindo que suas reivindicações eram preemptadas pela Lei de Direitos Autorais. O Tribunal também concluiu que, se aplicasse os termos do X ao scraping da Bright Data, estaria protegendo conteúdo que não está sujeito à proteção de direitos autorais.
Que Dados Estou Coletando?
A legislação que regula a coleta de dados é, antes de tudo, específica ao conteúdo. Em outras palavras, se você está realizando scraping de dados públicos, artigos de notícias, informações pessoais ou varreduras faciais, isso impactará materialmente o tipo de lei aplicável à sua coleta.
São dados publicamente disponíveis?
A Bright Data coleta apenas dados publicamente disponíveis. Decisões jurídicas recentes indicam que a coleta de dados públicos da web sem login é legalmente distinta do acesso a dados privados ou autenticados. Decisões como hiQ Labs v. LinkedIn e Meta v. Bright Data estabeleceram que o acesso a dados publicamente disponíveis sem login não constitui acesso não autorizado nos termos da Lei de Fraude e Abuso de Computadores (CFAA) nem violação de contrato para aqueles que não concordaram afirmativamente com termos baseados em conta.
Embora os marcos de privacidade imponham responsabilidades legais sobre o tratamento de dados pessoais (sem, contudo, proibi-los), muitas leis de privacidade, incluindo a CCPA, excluem expressamente as “informações publicamente disponíveis” de seu escopo. Essa exclusão geralmente abrange dados legalmente disponibilizados por registros governamentais ou aqueles sobre os quais uma empresa tem base razoável para acreditar que foram legalmente disponibilizados ao público em geral pelo consumidor ou por meios de comunicação amplamente distribuídos.
Os dados são protegidos por direitos autorais?
Fatos puros, como preços, nomes de produtos, dados meteorológicos ou níveis de estoque, geralmente são exceções à proteção de direitos autorais. Na maioria dos países, os direitos autorais protegem apenas expressões originais e criativas, e não fatos, ideias e processos.
Exemplos geralmente fora da proteção de direitos autorais:
- Preços de produtos
- Disponibilidade em estoque
- Nomes de empresas
- Listagens factuais breves
- Informações de contato básicas
Por exemplo, uma opinião recente de julho de 2026 em Google v. SerpApi esclareceu que os resultados de pesquisa do Google não são protegidos por direitos autorais.
É uso legítimo (fair use)?
A lei de direitos autorais protege obras originais de criação, como textos, imagens, músicas e até software, conferindo aos criadores direitos exclusivos de usar, reproduzir e distribuir suas obras.
Nos Estados Unidos, a doutrina do uso legítimo (fair use) fornece uma estrutura para avaliar se um determinado uso de conteúdo é lícito, mesmo que protegido por direitos autorais. Decidir se algo constitui uso legítimo é altamente sensível aos fatos, mas considera, em última análise, os seguintes quatro fatores:
- Finalidade e caráter do uso, incluindo se é “transformativo” e comercial;
- Natureza da obra protegida por direitos autorais;
- Quantidade e substancialidade do material copiado;
- Efeito sobre o mercado para o original ou derivados licenciados.
Doutrinas semelhantes, porém distintas, existem em outras jurisdições.
São dados pessoais?
As leis de privacidade de dados regulam como os dados pessoais (também chamados de informações pessoais) são coletados, usados, compartilhados e vendidos. Dados pessoais são frequentemente definidos como quaisquer dados relacionados a um indivíduo identificável. Em muitas jurisdições, a lei de privacidade exige uma base legal para o tratamento de dados pessoais e, em geral, impõe requisitos de conformidade tanto à parte que coleta os dados quanto à que os recebe. Qualquer coleta de dados pessoais deve ser realizada em conformidade com as leis e regulamentos de privacidade de dados aplicáveis.
São dados pessoais sensíveis?
As leis de privacidade incluem proteções reforçadas para dados pessoais considerados “sensíveis”. A definição de dados pessoais sensíveis varia conforme a jurisdição, mas inclui atributos como estado de saúde, crenças religiosas e filiações políticas. Esses dados geralmente exigem consentimento explícito do titular antes do tratamento. Na maioria dos casos, os dados publicamente disponíveis não contêm dados sensíveis, e a Bright Data coleta apenas dados publicamente disponíveis!
São dados de crianças?
Dados relacionados a menores são estritamente regulamentados por leis como a COPPA nos EUA e códigos de design adequados à idade em todo o mundo. Plataformas de scraping que inadvertida ou sistematicamente coletam informações de crianças enfrentam penalidades severas e ordens obrigatórias de exclusão. O foco regulatório recente enfatiza que as empresas devem implementar mecanismos de “verificação de idade” ou filtragem de dados ao realizar scraping em plataformas frequentadas por públicos mais jovens. A Bright Data proíbe a coleta de dados relacionados a crianças e emprega medidas técnicas para identificar e remover tais dados.
São dados biométricos?
O scraping de imagens para reconhecimento facial ou identificação biométrica é considerado de alto risco. Mesmo que as imagens sejam públicas, a extração de modelos biométricos sem consentimento pode violar estatutos especializados como a BIPA de Illinois. Os padrões jurídicos contemporâneos tratam cada vez mais a extração automatizada desses pontos de dados como uma “coleta” que desencadeia requisitos imediatos de aviso e consentimento, independentemente da disponibilidade pública da fonte.
Onde os Dados Estão Localizados?
Embora a internet possa parecer sem fronteiras, a autoridade legal é tipicamente determinada por fatores como a residência dos titulares dos dados ou a localização específica das atividades de tratamento. Atualmente, não existe um estatuto abrangente que proíba a coleta automatizada de dados da web publicamente acessíveis como tal. Em vez disso, cada país possui um conjunto fragmentado de leis que regulam tipos específicos de dados e atividades específicas utilizadas para obtê-los. Existem nuances importantes entre os tipos de lei descritos acima (direitos autorais, lei de privacidade, etc.), por isso é importante consultar um advogado.
Os dados incluem dados pessoais de cidadãos europeus?
A UE sinalizou que o scraping de dados pessoais para fins de treinamento de IA generativa está sujeito ao GDPR e, como tal, exige estrita adesão a princípios como limitação de finalidade, transparência e minimização de dados. A Bright Data está totalmente comprometida com a Conformidade com GDPR e implementou um robusto programa de conformidade para respeitar os direitos dos titulares de dados da UE.
Como os Dados São Coletados?
O método que você utiliza para acessar e coletar dados online tem um impacto significativo no risco e na legalidade do caso de uso. Leis de crimes cibernéticos, como a Lei de Fraude e Abuso de Computadores (CFAA) nos EUA, geralmente proíbem o acesso não autorizado a “sistemas de computador”, embora os tribunais tenham distinguido cada vez mais entre dados públicos e privados. Princípios semelhantes existem internacionalmente, como a Lei de Uso Indevido de Computadores do Reino Unido, que também regula o acesso não autorizado e pode se sobrepor a marcos de privacidade quando dados pessoais estão envolvidos. Consequentemente, o risco legal varia conforme os dados são publicamente disponíveis ou restritos por barreiras técnicas como logins ou paywalls. Para garantir a conformidade com tais leis, a Bright Data coleta apenas dados acessíveis ao público.
Os dados só são acessíveis por meio de uma conta?
Dados públicos da web sem login, livremente acessíveis a qualquer pessoa com um navegador de internet, são geralmente legalmente permitidos, sujeitos à conformidade com a lei aplicável e princípios éticos, como respeitar limites de taxa e evitar dados sensíveis.
Por outro lado, o scraping com login ou baseado em conta apresenta maior risco. Quando uma plataforma exige registro de conta, os usuários geralmente assumem obrigações de clickwrap que proíbem expressamente o scraping. Exceder essas permissões contratuais, usar táticas enganosas como contas falsas ou compradas, ou acessar dados não disponíveis ao público em geral pode aumentar o risco legal.
E quanto ao robots.txt?
Um arquivo robots.txt é um conjunto de instruções de um site para rastreadores da web, indicando quais partes do site podem ser acessadas ou indexadas. O robots.txt não é juridicamente executável por si só e nunca foi concebido como um marco legal. Por exemplo, em um caso recente, um tribunal federal nos Estados Unidos concluiu que o robots.txt não constitui uma medida de proteção tecnológica nos termos da Lei de Direitos Autorais do Milênio Digital (DMCA) porque não controla efetivamente o acesso ao conteúdo, da mesma forma que uma placa de “não pise na grama” não impede os visitantes de pisarem no gramado (Ziff Davis, Inc. v. OpenAI, Inc.).
Posso usar uma rede de proxies para obter os dados?
O uso de redes de proxies para coleta de dados da web é uma prática padrão para reunir informações públicas. Em X Corp. v. Bright Data, o tribunal concluiu que o uso de Proxy não é inerentemente enganoso e que os usuários da internet geralmente não têm obrigação afirmativa de se identificar com um endereço IP específico. No entanto, as redes de proxies devem ser obtidas de forma ética, o que significa garantir que os provedores de proxy mantenham altos padrões de conformidade, incluindo protocolos adequados de “Verificação KYC” (KYC).
Como os Dados São Utilizados?
O risco legal associado ao scraping de dados frequentemente depende de como os dados são utilizados após a coleta. Em setores altamente regulamentados, utilizar dados pessoais obtidos por scraping para tomada de decisões em emprego, habitação ou crédito pode acionar leis setoriais específicas como a Lei de Relatórios de Crédito Justo (FCRA) ou as regras de tomada de decisão automatizada do GDPR. A Bright Data utiliza uma combinação de medidas contratuais e técnicas para promover o uso ético dos dados que coleta.
Lista de Verificação de Melhores Práticas
Na Bright Data, aderimos aos mais altos padrões de coleta de dados. Incentivamos todos os usuários a seguirem nosso exemplo, adotando estas melhores práticas líderes do setor para garantir uma coleta de dados ética e sustentável.
- Colete dados públicos sem login.
- Não realize scraping por trás de logins, paywalls ou controles técnicos de acesso sem aprovação legal.
- Não crie contas falsas, faça uso indevido de credenciais ou acesso enganoso.
- Sempre utilize limites de taxa razoáveis.
- Nunca cause sobrecarga ou degradação de servidor.
- Colete apenas a quantidade mínima de dados necessária.
- Realize revisões de privacidade para dados pessoais.
- Não colete dados pessoais sensíveis sem consentimento.
- Respeite solicitações válidas de exclusão, cancelamento e remoção.
- Use os proxies eticamente obtidos da Bright Data.
- Reavalie o risco legal para treinamento de IA e casos de uso regulamentados.
- Realize due diligence de fornecedores.
- Mantenha registros de revisão legal.
