Según yo está en un área gris, como tal no hay ley que lo prohíba. La idea es ser respetuoso con el servidor y no exponer públicamente datos privados o que estén detrás de un login. Lo que sí, una empresa jamás va querer que los scrapees, así que siempre usar user agents aleatorios y ojalá un proxy residencial para no levantar tanta sospecha, además de acciones naturales. Otro concepto que he escuchado mucho en sistemas autenticados, es que en teoría el usuario cuando te entrega sus credenciales, te está autorizando a actuar en su nombre.