¿Es legal el web scraping en México? Lo que dice la ley

Respuesta corta: depende de qué datos extraes y cómo

El web scraping —usar un programa para leer páginas web y guardar su información de forma ordenada— no está prohibido como técnica en México. Lo que la ley regula son los datos que obtienes, la forma en que accedes a ellos y lo que haces después. Por eso la misma herramienta puede ser perfectamente legítima para comparar precios públicos y problemática para armar una base de datos de personas.

Aviso importante: este artículo es una guía general escrita por un desarrollador que construye extractores de datos, no asesoría legal. Si tu proyecto involucra datos personales, venta de bases de datos o una plataforma que te haya pedido dejar de extraer información, consulta a un abogado especializado.

¿Qué leyes aplican al web scraping en México?

No hay una ley específica de scraping. En la práctica, las normas que más pesan son tres, además de los términos de uso de cada sitio:

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP): aplica cuando lo que extraes identifica o puede identificar a una persona.
• Ley Federal del Derecho de Autor (LFDA): aplica cuando copias textos, fotos, diseños o bases de datos que son creaciones protegidas.
• Código Penal Federal, artículo 211 bis 1: aplica cuando accedes o copias información de sistemas protegidos por algún mecanismo de seguridad sin autorización.
• Términos y condiciones del sitio: son un contrato con el usuario; incumplirlos puede generar reclamaciones civiles o el bloqueo de tu acceso.

¿Puedo extraer datos personales que están publicados en internet?

Es la pregunta más importante y la respuesta suele sorprender: que un dato esté visible en internet no significa que puedas recopilarlo y usarlo libremente. La LFPDPPP vigente se publicó como nueva ley en el Diario Oficial de la Federación el 20 de marzo de 2025 y define dato personal como cualquier información concerniente a una persona identificada o identificable (artículo 2, fracción V). Nombres, correos, teléfonos, fotos de perfil o historiales de publicaciones entran en esa definición.

La ley sí exime del consentimiento cuando los datos figuran en fuentes de acceso público (artículo 9, fracción II), pero define esas fuentes de forma estrecha: bases de datos, sistemas o archivos que por disposición de ley pueden consultarse públicamente (artículo 2, fracción X). Una red social o un directorio comercial no se vuelve fuente de acceso público solo por estar abierto. Además, aun cuando no se requiera consentimiento, siguen aplicando los principios de licitud, finalidad, lealtad, calidad, proporcionalidad, información y responsabilidad (artículo 5), y la obligación de no obtener datos por medios engañosos o fraudulentos (artículo 6).

Si los datos no se obtuvieron directamente de la persona, el artículo 17 también obliga al responsable a darle a conocer el aviso de privacidad, con excepciones para fines históricos, estadísticos o científicos. En un proyecto de scraping de personas esto es muy difícil de cumplir, y los datos sensibles —salud, origen étnico, creencias, preferencia sexual— requieren consentimiento expreso y por escrito (artículo 8). La autoridad que vigila esta ley es ahora la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV), tras la desaparición del INAI.

¿Qué pasa con los derechos de autor y las bases de datos?

Los datos en sí mismos —un precio, una fecha, una superficie en metros cuadrados— no son obras protegidas. Pero la forma en que se presentan sí puede serlo: descripciones redactadas, fotografías, reseñas y diseños tienen autor. Copiar textos o imágenes completos para republicarlos en tu sitio es un riesgo de derechos de autor, aunque los hayas obtenido de forma automática.

La LFDA protege además las bases de datos. Las que por la selección o disposición de su contenido son creaciones intelectuales se protegen como compilaciones, aunque esa protección no se extiende a los datos en sí (artículo 107). Las que no son originales quedan protegidas en su uso exclusivo por quien las elaboró durante cinco años (artículo 108). Y el artículo 109 exige autorización previa de las personas para publicar o transmitir información privada contenida en bases de datos. En la práctica: extraer datos para analizarlos internamente es muy distinto de copiar la base completa de otro para ofrecerla como propia.

¿Saltar un inicio de sesión o un captcha es delito?

Aquí el riesgo deja de ser civil. El artículo 211 bis 1 del Código Penal Federal sanciona con tres meses a un año de prisión y multa a quien, sin autorización, conozca o copie información contenida en sistemas o equipos de informática protegidos por algún mecanismo de seguridad, y con penas mayores a quien la modifique o destruya. Un inicio de sesión, un muro de pago o un sistema anti-bots son mecanismos de seguridad.

Por eso la regla que sigo es simple: solo extraigo lo que cualquier visitante puede ver sin iniciar sesión, sin usar cuentas ajenas y sin evadir bloqueos. Si un sitio protege su información, la respuesta correcta es buscar una API oficial o un acuerdo con el dueño de los datos, no una forma de saltarse la protección.

¿Es obligatorio respetar el archivo robots.txt?

El archivo robots.txt es la forma estándar en que un sitio indica qué partes no quiere que recorran los programas automáticos. El estándar que lo describe (RFC 9309) aclara que estas reglas no son una forma de autorización de acceso: no son una ley ni un candado. Sin embargo, ignorarlas es una mala señal de buena fe, y si el caso llegara a disputa, haber respetado robots.txt y los términos del sitio pesa a tu favor.

En los proyectos que hago, robots.txt y los términos de uso se revisan antes de escribir una línea de código. Si el sitio prohíbe expresamente la extracción automática, se descarta esa fuente o se busca una alternativa.

Casos de bajo y alto riesgo

Para aterrizarlo, esta es una clasificación práctica de proyectos típicos. No sustituye una revisión legal, pero ayuda a saber cuándo hace falta una.

Buenas prácticas para hacer scraping con menos riesgo

Estas son las reglas que aplico al desarrollar extractores de datos. No eliminan todo riesgo, pero lo reducen mucho y dejan constancia de buena fe.

• Usa una API oficial si existe; es más estable y deja claro que tienes permiso.
• Revisa términos de uso y robots.txt de cada fuente antes de empezar, y guarda la fecha de revisión.
• Extrae solo los campos que necesitas (proporcionalidad); si un listado trae nombre o teléfono, descártalos al leer.
• No inicies sesión con cuentas ajenas ni evadas captchas, bloqueos o límites.
• Limita la velocidad: pocas solicitudes por segundo y en horarios de baja carga, para no afectar al sitio.
• Identifica tu programa con un agente de usuario honesto y un medio de contacto.
• Usa los datos para análisis; no republiques textos ni fotografías de terceros.
• Si el dueño del sitio te pide que te detengas, detente y revisa el caso con un abogado.

Cómo trabajo los proyectos de extracción de datos

En mi proyecto NLP Pipeline construí un flujo de extracción y traducción de contenido web, y ARE Engine parte de información pública de negocios. En ambos la parte técnica fue la sencilla; lo que más tiempo requiere es decidir qué fuentes son aceptables y qué campos no deben guardarse. Si estás evaluando un proyecto de scraping, empiezo siempre por esa revisión de viabilidad antes de cotizar el desarrollo.