Dit artikel geeft een algemeen juridisch kader naar Nederlands en Europees recht. Het is geen advies over een concrete situatie. De uitkomst van een scrapingvraagstuk hangt altijd af van de precieze feiten: de gebruikte techniek, de aard van de gegevens, de wijze van opslag, de beoogde exploitatie en de technische inrichting van de bron.
Openbaar betekent niet vrij te gebruiken
Wie gegevens van een online platform ophaalt en elders opnieuw aanbiedt, beweegt zich in een gebied dat vaak grijs wordt genoemd, maar dat bij nader inzien scherper is afgebakend dan gedacht. De vraag speelt bij prijsvergelijkers, recruitmenttools en marktonderzoekbureaus, en de laatste jaren vooral bij partijen die op grote schaal trainingsdata voor AI-modellen verzamelen.
Er bestaat geen wet die het ophalen van openbare gegevens categorisch verbiedt. Het omgekeerde geldt evenmin: dat gegevens zonder inloggen zichtbaar zijn, betekent niet dat ze vrij te hergebruiken zijn. Wie gegevens verzamelt, opslaat en hergebruikt, opereert op het snijvlak van vijf rechtsgebieden: het databankenrecht, het auteursrecht, het contractenrecht, het strafrecht en de Algemene Verordening Gegevensbescherming. Wat de uitkomst bepaalt, is niet de vraag of de gegevens openbaar waren, maar de manier waarop ze zijn verkregen, opgeslagen en opnieuw aangeboden.
Drie vormen van dataverzameling, drie risicoprofielen
Het is nuttig om drie manieren van werken te onderscheiden. Bij doorlinken en embedden verwijst de dienst uitsluitend door naar materiaal dat het platform zelf al openbaar heeft gemaakt. Bij zelfstandig ophalen en opslaan haalt de dienst gegevens op, bewaart ze op een eigen server en biedt ze van daaruit opnieuw aan. Bij de derde variant gebeurt hetzelfde, maar wordt daarbij een inlogmuur, een tokenplicht, een CAPTCHA of een andere technische toegangsbeperking gepasseerd.
De eerste variant heeft in beginsel het laagste risicoprofiel: er is geen nieuw publiek in de zin van het auteursrecht zolang het materiaal al vrij toegankelijk was, en er wordt geen technische restrictie omzeild. Risicoloos is zij niet: framing, een misleidende presentatie, merkgebruik of het doorgeven van persoonsgegevens zoals IP-adressen bij embeds kunnen alsnog een probleem opleveren. De tweede variant is discutabel en hangt sterk af van de omvang en de aard van wat wordt overgenomen. De derde is verreweg het risicovolst, omdat zij civielrechtelijke, strafrechtelijke en privacyrechtelijke aansprakelijkheid tegelijk kan activeren.
Onderstaande matrix geeft een eerste, voorlopige indicatie en geen vaste rechtsregel.
| Wijze van dataverzameling | Civiel- en IE-risico | Privacyrisico | Strafrechtelijk risico | Belangrijkste toets |
|---|---|---|---|---|
| Doorlinken en embedden | Laag tot gemiddeld | Beperkt (doorgifte van IP-adres) | Vrijwel nihil | Geen nieuw publiek (Svensson); geen omzeiling van restricties (VG Bild-Kunst) |
| Zelfstandig ophalen en opslaan | Gemiddeld tot hoog | Hoog bij persoonsgegevens | Laag indien de bron openbaar is | Substantieel deel van de databank; substantiële investering; geldige AVG-grondslag |
| Omzeilen van restricties | Zeer hoog | Zeer hoog | Reëel (art. 138ab Sr) | Doorbreken van beveiliging of gebruik van een valse sleutel; contractbreuk; onrechtmatige daad |
Het databankenrecht: de substantiële investering
Voor een platform is het databankenrecht doorgaans de meest kansrijke grondslag. Het sui-generis databankenrecht uit Richtlijn 96/9/EG, geïmplementeerd in de Databankenwet, beschermt de producent van een databank tegen het opvragen of hergebruiken van een substantieel deel van de inhoud, en ook tegen het herhaald en systematisch opvragen van kleinere delen wanneer dat de normale exploitatie schaadt.
Creëren versus verkrijgen
Het Hof van Justitie oordeelde in British Horseracing Board tegen William Hill (C-203/02) dat uitsluitend investeringen in het verkrijgen, controleren en presenteren van bestaande gegevens meetellen, en niet de kosten voor het creëren ervan.
Gebruikersinhoud
Voor platforms waar content gratis door gebruikers wordt geplaatst is dat onderscheid tweesnijdend en niet automatisch gunstig. Enerzijds creëert het platform de gegevens zelf niet, wat de weg vrijmaakt voor bescherming. Anderzijds is juist de verkrijging kosteloos: gebruikers uploaden vrijwillig en uit eigen beweging, zodat er in die fase weinig te investeren valt. Bescherming ontstaat daarom niet uit de omvang van de dataset, maar alleen wanneer het platform aannemelijk maakt dat het substantieel heeft geïnvesteerd in wat er na de verkrijging gebeurt: verificatie, moderatie en opschoning, kwaliteitscontrole, indexering en de infrastructurele presentatie van de data. Of die investeringen samen de drempel halen, is een feitelijke vraag die per platform en per dataset apart moet worden onderbouwd, met cijfers over personeel, infrastructuur en systemen, en niet met een verwijzing naar de omvang van het gebruikersbestand.
Metazoekmachines en scrapers
In Innoweb tegen Wegener (C-202/12) oordeelde het Hof dat een dienst die realtime zoekopdrachten doorstuurt naar de databank van een ander en de resultaten in een eigen interface toont, die databank hergebruikt, ongeacht of de gegevens permanent lokaal worden opgeslagen. Dat raakt de kern van veel scrapers en alternatieve interfaces, ook wanneer zij niets structureel bewaren.
De TDM-uitzondering
De artikelen 3 en 4 van de DSM-richtlijn, geïmplementeerd in de artikelen 15n en 15o van de Auteurswet, bieden een uitzondering voor tekst- en datamining. Voor commerciële partijen geldt die uitzondering alleen wanneer de rechthebbende geen uitdrukkelijk voorbehoud heeft gemaakt, en dat voorbehoud moet in machineleesbare vorm zijn vastgelegd, bijvoorbeeld via API-metadata, contractuele bepalingen of instructies in robots.txt.
Auteursrecht en platforminterfaces
Bij platforms met gebruikersinhoud wordt het auteursrecht vaak aan de verkeerde partij toegeschreven. Berichten en beelden zijn in beginsel van de individuele maker, mits het werk een eigen intellectuele schepping vormt in de zin van Infopaq (C-5/08). Korte, feitelijke berichten halen die drempel vaak niet, zodat er in veel gevallen simpelweg niets te beschermen valt.
Wie mag handhaven
Gebruiksvoorwaarden bevatten doorgaans alleen een niet-exclusieve licentie ten gunste van het platform. Daarbij lopen drie vragen door elkaar: het materiële auteursrecht, dat bij de maker blijft; het recht om een inbreuk te verbieden, dat in beginsel alleen toekomt aan de rechthebbende of een exclusieve licentiehouder; en de bevoegdheid om in rechte op te treden, die het platform kan toekomen wanneer het een uitdrukkelijke procesvolmacht of lastgevingsovereenkomst is aangegaan.
Een louter niet-exclusieve licentiehouder heeft naar Nederlands recht in beginsel geen zelfstandig vorderingsrecht bij inbreuk. Wel kan het platform, los van de content zelf, optreden op basis van eigen rechten: auteursrecht op de grafische gebruikersinterface, de databankstructuur en iconen, en merkrechten op handelsnamen en logo’s. Een dienst die deze elementen overneemt om herkenbaar te ogen, geeft het platform daarmee een grondslag die het op de onderliggende inhoud zelf niet had.
Linken en kopiëren
Drie lijnen uit de rechtspraak van het Hof van Justitie zijn hier leidend. Hyperlinken naar een bron die al vrij toegankelijk is vormt geen nieuwe openbaarmaking (Svensson, C-466/12). Een werk downloaden en op een eigen server plaatsen is dat wel, omdat het werk daarmee beschikbaar komt voor een ander publiek (Renckhoff, C-161/17). En het omzeilen van technische beschermingsmaatregelen bereikt een publiek waarmee de rechthebbende geen rekening hield, en levert eveneens een nieuwe openbaarmaking op (VG Bild-Kunst, C-392/19).
Contractenrecht: gebruiksvoorwaarden en de Ryanair-paradox
Vrijwel elk platform verbiedt geautomatiseerde toegang in zijn voorwaarden. De eerste vraag is echter of er wel een overeenkomst tot stand is gekomen, en dat verschilt wezenlijk tussen openbare bezoekers en geregistreerde accounts. Een loutere browse-wrap, een verwijzing onderaan de pagina, bindt een bezoeker naar Nederlands recht zelden, tenzij actieve aanvaarding aannemelijk is. Bij een click-wrap, waarbij bij accountregistratie expliciet wordt geaccepteerd, liggen de voorwaarden in beginsel wel vast, en is het geautomatiseerd aanmaken van accounts al snel zelfstandig een schending.
De Ryanair-paradox
In Ryanair tegen PR Aviation (C-30/14) oordeelde het Hof van Justitie dat wanneer een databank niet door het auteursrecht of het sui-generis databankenrecht wordt beschermd, de dwingendrechtelijke gebruikersrechten uit de Databankrichtlijn niet van toepassing zijn. De exploitant mag hergebruik dan via contractuele voorwaarden vergaand beperken. Hoe zwakker de intellectuele-eigendomspositie, hoe sterker de contractuele positie kan uitpakken. Na die prejudiciële beslissing verwees de Hoge Raad de zaak terug, waarna het Gerechtshof Den Haag oordeelde dat het databankgebruiksverbod in Ryanairs algemene voorwaarden, anders dan de eerdere feitenrechter had aangenomen, niet zonder meer nietig was.
Nietigheid bij wél beschermde databanken
Geniet een databank wel sui-generis bescherming, dan is een contractueel verbod op het opvragen van niet-substantiële delen nietig op grond van artikel 15 van de Databankrichtlijn. Die bescherming komt echter uitsluitend toe aan wie kwalificeert als rechtmatige gebruiker, een status die zelf weer afhangt van de wijze waarop de toegang tot de databank is verkregen.
De praktische zwakte van een contractuele vordering
Zij bindt alleen de contractspartij en niet diens eindgebruikers, schade bij een gratis platform is moeilijk te begroten en een bruikbaar boetebeding ontbreekt vaak. Daarom wordt een contractuele grondslag in de praktijk vrijwel altijd gecombineerd met databankenrecht, auteursrecht of onrechtmatige daad.
Strafrechtelijke grenzen: computervredebreuk
Niet elke overtreding van toegangsvoorwaarden kwalificeert als computervredebreuk, en in de discussie wordt daar regelmatig te snel naartoe geredeneerd. Artikel 138ab van het Wetboek van Strafrecht vereist opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk, bijvoorbeeld door het doorbreken van een beveiliging, een technische ingreep, het gebruik van een valse sleutel of het aannemen van een valse hoedanigheid.
Sneller verzoeken versturen dan de aanbieder bedoeld heeft, robots.txt negeren, of een account aanmaken onder een pseudoniem of met verzonnen gegevens, levert op zichzelf doorgaans geen binnendringen op. Een openbaar registratieformulier staat immers voor iedereen open. Dat kan wel een schending van de gebruiksvoorwaarden zijn, maar dat is een civielrechtelijke kwestie.
Het strafrechtelijke risico neemt toe zodra concrete technische toegangsbarrières worden gepasseerd: het hergebruiken van buitgemaakte authenticatietokens of API-sleutels, of het doelbewust omzeilen van interactieve antibot- en CAPTCHA-systemen. De juridische kwalificatie volgt daarbij niet automatisch uit de naam van de gebruikte techniek. Of iets als binnendringen, technische ingreep of gebruik van een valse sleutel geldt, blijft een casuïstische beoordeling die afhangt van de werking van het beveiligingsmechanisme, de intentie van de gebruiker en de aard van wat wordt omzeild.
Privacyrecht bij grootschalige scraping
Zodra geschraapte gegevens direct of indirect herleidbaar zijn tot natuurlijke personen, waaronder gebruikersnamen, profielfoto’s, berichten, IP-adressen en profielstatistieken, kwalificeert de scraper in de regel als verwerkingsverantwoordelijke: degene die zelf doel en middelen van de verwerking bepaalt.
In de praktijk wordt vaak teruggevallen op gerechtvaardigd belang. Dat is een mogelijke grondslag en geen automatische vrijbrief: zij vergt een toets van doelgebondenheid, noodzakelijkheid en subsidiariteit, en een belangenafweging waarin ook het redelijke verwachtingspatroon van de betrokkene meeweegt. Bij gevoelige gegevens, grootschalige monitoring of profilering kan die afweging anders uitvallen.
Artikel 14 lid 5 sub b AVG bevat een uitzondering op de informatieplicht wanneer informeren onmogelijk is of een onevenredige inspanning vergt, bij grootschalig verzamelde gegevens vaak het geval. Die uitzondering raakt uitsluitend de informatieplicht. Onverkort blijven gelden: doelbinding en dataminimalisatie, het verwerkingsregister, de rechten van betrokkenen zoals inzage, bezwaar en verwijdering, passende beveiligingsmaatregelen, en bij grootschaligheid een gegevensbeschermingseffectbeoordeling.
Het enkele feit dat persoonsgegevens openbaar op een platform staan, ontneemt de betrokkene diens rechten niet en vormt geen vrijbrief voor verdere verwerking of profilering. Dit is bovendien het enige onderdeel van dit kader waarop niet het platform zelf handhaaft, maar de Autoriteit Persoonsgegevens en de betrokkenen. Het is daarmee een risico dat losstaat van de vraag of de bron actie onderneemt.
Checklist voor wie persoonsgegevens verzamelt
- Welke gegevens worden precies verzameld, en zijn dit gewone of bijzondere persoonsgegevens?
- Wat is het concrete doel van de verwerking?
- Wat is de rechtsgrond, en houdt die een toets aan noodzakelijkheid en belangenafweging stand?
- Hoe worden betrokkenen geïnformeerd, en geldt hier een uitzondering op de informatieplicht?
- Hoe lang worden de gegevens bewaard?
- Worden gegevens doorgegeven buiten de Europese Economische Ruimte?
- Is een gegevensbeschermingseffectbeoordeling vereist gelet op de schaal en aard van de verwerking?
- Kunnen verzoeken tot inzage, rectificatie of verwijdering technisch daadwerkelijk worden uitgevoerd?
AI-trainingsdata: een apart aandachtspunt
Het trainen van AI- en taalmodellen op geschraapte data introduceert aanvullende juridische lagen bovenop de kaders hierboven. Verzamelen, opslaan en trainen zijn niet hetzelfde en kennen elk een eigen toets. Het verzamelen en tijdelijk opslaan van trainingsdata kan onder de TDM-uitzondering vallen; het gebruik van die data om een model te trainen en de resultaten daarvan commercieel te exploiteren is een aparte handeling die opnieuw aan auteursrecht, databankenrecht en de AVG moet worden getoetst.
Commerciële AI-ontwikkelaars kunnen zich in beginsel beroepen op de TDM-exceptie, maar alleen zolang platforms geen machineleesbare opt-out hebben ingesteld. Waar trainingsdata mede bestaat uit een substantieel deel van een beschermde databank, blijft daarnaast het sui-generis databankenrecht relevant, ongeacht of de TDM-exceptie voor het auteursrechtelijke deel opgaat.
Voor de AVG geldt dat verzamelen van persoonsgegevens voor trainingsdoeleinden een deugdelijke rechtsgrond vereist en bij schaal een effectbeoordeling. Een specifiek compliancerisico is dat het recht op vergetelheid en het recht op rectificatie zich moeilijk laten toepassen op parameters die al in een getraind model zijn verwerkt: verwijderen uit het model is technisch zelden een eenvoudige ingreep. Dat spanningsveld tussen juridische verplichting en technische uitvoerbaarheid is een reëel aandachtspunt bij toezichthouders. Ook hier geldt bovendien de Ryanair-logica: platforms die onvoldoende bescherming genieten, kunnen hergebruik voor AI-training via hun gebruiksvoorwaarden alsnog vergaand beperken, mits een overeenkomst tot stand is gekomen.
Handhaving en procespraktijk
Het vaststellen van de inbreuk is zelden het lastigste onderdeel. Serverlogs, IP-reeksen, browserfingerprinting en het patroon van opgevraagde adressen koppelen verkeer aan accounts. Platforms plaatsen daarnaast vaak canary data: synthetische, onopvallende datapunten die bij duplicatie elders de herkomst bewijzen. Bij opensource projecten ligt de broncode bovendien openbaar en documenteert die precies welke endpoints worden aangeroepen.
Lastiger is het vinden van een aanspreekbare partij wanneer achter proxyservers of anonieme domeinen wordt geopereerd. Dan kan via een incidentele vordering tegen een tussenpersoon, zoals een hostingprovider, afgifte van identificerende gegevens worden gevorderd. De criteria daarvoor zijn geformuleerd in Lycos tegen Pessers.
Civiele handhaving verloopt hoofdzakelijk via kort geding, op grond van onrechtmatige daad of inbreuk op intellectuele eigendom, waarbij aannemelijkheid van de inbreuk volstaat en een spoedeisend verbod met dwangsommen wordt gevorderd. Vanwege de kosten en de bewijslast van een bodemprocedure kiezen platforms in de praktijk vaak voor een combinatie van technische maatregelen en meldingen bij hostingproviders, CDN-diensten, app stores en domeinregistrars. De Digital Services Act biedt daarvoor een gestandaardiseerde meldprocedure. Die verordening bepaalt niet zelf of iets onrechtmatig is; zij biedt alleen een snellere route om er iets aan te doen, en haar toepasselijkheid hangt af van de rol van de betrokken dienst en de aard van de melding.
Veelgestelde vragen
Is scrapen van openbare websites verboden in Nederland?
Nee. Er is geen wet die het ophalen van openbare gegevens categorisch verbiedt. Of het is toegestaan hangt af van wat er wordt opgehaald, hoe de toegang is verkregen en wat er vervolgens mee gebeurt. Openbaar toegankelijk betekent niet vrij herbruikbaar.
Mag ik gegevens van een platform gebruiken voor een commerciële dienst?
Dat vergt per geval een beoordeling langs vier lijnen: bevat de dataset een substantieel deel van een beschermde databank, zitten er auteursrechtelijk beschermde werken in, is er een overeenkomst met het platform tot stand gekomen en worden er persoonsgegevens verwerkt. Het enkele feit dat profielen zichtbaar zijn zonder in te loggen beantwoordt geen van die vier vragen.
Is het overtreden van gebruiksvoorwaarden strafbaar?
Op zichzelf niet. Contractbreuk is een civielrechtelijke kwestie. Strafrechtelijke aansprakelijkheid ontstaat pas wanneer sprake is van binnendringen in de zin van artikel 138ab Sr, wat een doorbroken beveiliging, een technische ingreep, een valse sleutel of een valse hoedanigheid veronderstelt.
Is het aanmaken van een account onder een pseudoniem computervredebreuk?
In beginsel niet. Een openbaar registratieformulier staat voor iedereen open en er wordt niets doorbroken. Het kan wel een schending van de gebruiksvoorwaarden opleveren. Anders ligt het wanneer antibot- of CAPTCHA-systemen worden omzeild om die registratie te automatiseren, of wanneer tokens worden gebruikt die niet aan de gebruiker zijn uitgegeven.
Mag ik geschraapte data gebruiken om een AI-model te trainen?
De TDM-uitzondering biedt ruimte, maar voor commerciële partijen alleen zolang de rechthebbende geen machineleesbaar voorbehoud heeft gemaakt. Daarnaast blijven het databankenrecht en de AVG zelfstandig gelden, en zijn verzamelen, opslaan en trainen juridisch drie verschillende handelingen die elk apart moeten worden getoetst.
Wat geldt als een substantieel deel van een databank?
Dat wordt zowel kwantitatief als kwalitatief gemeten en is geen vast percentage. Ook het stelselmatig opvragen van kleine hoeveelheden kan inbreuk opleveren wanneer dat de normale exploitatie schaadt. De beoordeling is feitelijk en verschilt per dataset.
Heb ik een grondslag nodig als de persoonsgegevens al openbaar zijn?
Ja. Openbaarheid ontneemt betrokkenen hun rechten niet. Wie zelf doel en middelen bepaalt is verwerkingsverantwoordelijke en heeft een grondslag nodig, in de praktijk meestal gerechtvaardigd belang, die een toets aan noodzakelijkheid en belangenafweging moet doorstaan.
Wat kan een platform in de praktijk tegen scraping ondernemen?
Meestal geen bodemprocedure. Toegang afsluiten, technische maatregelen treffen en meldingen doen bij hostingproviders, CDN-diensten, app stores en registrars. Wordt er wel geprocedeerd, dan vrijwel altijd in kort geding, waar aannemelijkheid volstaat. Het lastigste onderdeel is het identificeren van een anonieme exploitant.
Hoe versterkt een platform zijn eigen positie?
Door de investering in verificatie, moderatie, indexering en presentatie concreet te documenteren, door acceptatie van de voorwaarden bij registratie vast te leggen in plaats van te vertrouwen op een verwijzing onderaan de pagina, door een machineleesbaar TDM-voorbehoud in te stellen, en door technische maatregelen zo in te richten dat omzeiling daarvan aantoonbaar en juridisch relevant is.
Bronnen
HvJ EG 9 november 2004, C-203/02 (British Horseracing Board / William Hill)
HvJ EG 16 juli 2009, C-5/08 (Infopaq)
HvJ EU 19 december 2013, C-202/12 (Innoweb / Wegener)
HvJ EU 13 februari 2014, C-466/12 (Svensson)
HvJ EU 15 januari 2015, C-30/14 (Ryanair / PR Aviation)
HvJ EU 7 augustus 2018, C-161/17 (Renckhoff)
HvJ EU 9 maart 2021, C-392/19 (VG Bild-Kunst)
Hof Den Haag 3 april 2018, ECLI:NL:GHDHA:2018:61 (Ryanair / PR Aviation na verwijzing)
HR 25 november 2005, ECLI:NL:HR:2005:AU4019 (Lycos / Pessers)
Richtlijn 96/9/EG (Databankrichtlijn), geïmplementeerd in de Databankenwet
Richtlijn (EU) 2019/790 (DSM-richtlijn), art. 3 en 4; Auteurswet art. 15n en 15o
Auteurswet, art. 1 en 27
Wetboek van Strafrecht, art. 138ab
Verordening (EU) 2016/679 (AVG), art. 4, 5, 6, 14, 15-21, 30, 32 en 35
Verordening (EU) 2022/2065 (Digital Services Act)
Burgerlijk Wetboek Boek 6, art. 162 en 217; Wetboek van Burgerlijke Rechtsvordering, art. 254 en 1019
Law & More adviseert zowel ondernemingen die gegevens van derden verwerken als partijen die hun eigen gegevensverzameling willen beschermen. Neem gerust contact op voor een beoordeling van een concrete situatie.
