这个问题通常来自正在做风险评估的人,而不是律师,而且提问方式往往仿佛答案是非此即彼的。事实并非如此,但也不像网上说得那么模糊不清。通过中间方转发流量是一种历史悠久的普通技术做法,在任何具有商业意义的地方都没有普遍禁止。风险实际存在于两个地方:你通过代理做了什么,以及代理提供商的地址是从哪里获取的。
在进一步展开之前有必要明确说明:这是一般性信息,而非法律建议,如果你正在做的决定涉及实际风险,答案取决于你所在的司法辖区、你的行业和你的具体情况,因此应咨询律师。
简短版本
在大多数司法辖区,使用住宅代理是合法的。企业经常使用中间方,而代理具体用于广告验证、品牌保护、价格和市场调研、本地化测试、安全研究以及质量保证,这些用途都不算特殊或法律上存疑。
有三件事会改变分析结果,而这三者其实都与代理本身无关:
- 你访问什么以及如何访问。 公开数据与需要身份验证的数据在处理方式上截然不同。
- 你受什么协议约束。 服务条款是合同,代理不能让你摆脱你已接受的合同。
- 网络是如何建立的。 承载你流量的家庭是否同意这样做。
工具本身是中立的。行为和供应链才是责任的落脚点。
真正决定问题的区分
公开与需身份验证的区别。 收集网站向任何访问者展示的信息,与访问需要登录或付费墙背后的内容,处理方式大不相同。规避访问控制正是计算机滥用相关法规开始变得相关的地方,这与快速阅读一个公开页面属于不同类别的风险。相关框架在网络爬虫是否合法中有更深入的讨论。
合同与法律的区别。 网站的条款可能禁止自动化访问。在大多数情况下,违反条款是合同问题而非刑事问题,但“仅仅是违约”仍然是真实存在的风险:它可能导致账户被终止、引来诉求,或成为申请禁令的依据。如果你接受了条款,比如通过注册,那么你受约束的程度要明显高于从未这样做过的访问者,而代理对此不会有任何改变。
地理限制与地理差异的区别。 从德国的出口节点请求页面,以查看发布者向德国公众提供的公开页面的德国版本,这只是在查看发布者本就向公众展示的内容。而使用出口节点来规避真正意在限制你的规定,例如许可或制裁管控,则是另一种行为。这是意图和效果上的区分,也是合法绕过地理位置限制中划定的界限。
个人数据与其他数据的区别。 如果你收集的内容包含个人数据,数据保护法就会将你视为控制者来适用,无论你的收集方式如何,而代理不会使任何内容匿名化。这一分析是独立的,详见住宅代理与GDPR合规性。
代理本身带来风险的地方
这部分是真正专属于住宅网络的问题,也是大多数风险评估最容易忽略的部分。
住宅代理池中的地址属于真实的家庭。如果这些家庭是通过明确披露、真实利益和有效退出机制加入的,那么供应链就是健全的。如果他们是通过隐藏的同意条款、捆绑安装程序或被入侵的设备加入的,那么你的流量正在经过其所有者从未同意的连接,这是一个供应链问题,会波及作为客户的你,而不仅仅是提供商。
这一点在三个实际层面上很重要:供应商尽职调查流程正是为了发现这类问题而设计的,数据保护义务不会止步于供应商的边界,而且该行业已经出现过多起公开事件,揭示了一些网络是建立在用户不清楚自己在运行的软件之上的。即使你自身行为没有问题,被指名为其中一家供应商的客户也会造成声誉损害。
因此,这是一个值得直接提出并记录答案的问题,关于良好来源的具体做法详见提供商如何合乎道德地获取IP。
常见的商业用途
作为背景参考,主流应用其实平平无奇:
广告验证,确认广告在每个市场中正确呈现,且没有被欺诈性投放。品牌保护,发现假冒产品和未授权销售商。价格和市场调研,针对公开列出的价格。本地化和QA测试,以其他地区用户的体验方式检查自己的产品。安全研究和威胁情报,在获授权的范围内进行。SEO和SERP监测,针对你所竞争的市场。
这些用途的共同点是公开数据、合法的商业目的,以及不规避访问控制。这种组合是常见情形,也是市场上大部分用途的写照。
无法自证正当的用途
由于同一工具可服务于两种用途,这一点同样值得直言不讳。
访问你不拥有或未获授权使用的账户。规避意在约束你的访问控制、付费墙或许可限制。欺诈行为,包括创建账户以滥用促销活动、点击欺诈或撞库攻击。在无合法依据的情况下收集个人数据。以会损害被采集服务性能的规模进行访问,这可能从滋扰滑向对计算机系统的干扰。以及无视明确的停止指令,例如停止侵权函,并以为轮换地址能让你难以被识别。
代理不会让上述任何行为变得合法。它只会让追溯身份变得更慢,这与合法完全是两件事,而且在纠纷中,对蓄意规避的推断对你没有任何帮助。
在实践中降低风险
以下六件事能实质性改善你的处境,其中大多数都是普通的良好实践。
收集公开数据。 只要业务需求允许,就避免在采集过程中涉及身份验证。
阅读你所依赖网站的条款,并记录你的结论。有记录的决定比一个假设要有力得多。
遵守robots指令并保持礼貌的访问速率。 这不仅是良好礼节,还直接关系到你的行为是否会被认定为干扰服务,而且这样做本身也能保持较高的成功率,详见速率限制和请求节流。
审慎处理个人数据,如果涉及个人数据,需具备合法依据、最小化原则和留存期限。
对提供商的来源进行尽职调查,并保留答案存档。
被要求停止时立即停止。 如果某网站发出法律要求,应在内部升级处理,而不是绕过它继续操作。
需要记录的内容
对于正在评估风险的企业来说,有用的产出是一份简短的记录:你收集了什么、来自哪些来源,其中是否有个人数据以及基于什么合法依据,这些来源的条款说了什么以及你是如何得出结论的,你的访问速率和robots政策是什么,你的提供商是谁以及他们如何获取地址,以及谁在内部负责这项决定。这只需要花一个下午,但正是它能让日后的问题可以得到解答。
结论
在大多数司法辖区,使用住宅代理是合法的,工具本身并不是造成风险的原因。风险附着于行为,因此重要的问题在于:数据是否公开,你是否受你已接受的条款约束,你是在规避访问控制还是仅仅在观察地区差异,以及是否涉及个人数据。此外还有一个专属于这类产品的问题:承载你流量的家庭是否表示同意,这是一个供应链问题,同样会波及作为客户的你。收集公开数据,遵守条款和robots规则,礼貌地控制访问速率,对提供商的来源进行尽职调查,记录决策,并在被要求时停止。这一系列做法覆盖了绝大多数商业用途,其中没有任何一点在法律上是特殊的。
以上均非法律建议,具体情况取决于你所在的司法辖区和你的具体事实。关于采集方面的分析,参见网络爬虫是否合法;关于数据保护,参见住宅代理与GDPR;关于安全维度,参见住宅代理是否安全。该产品本身是住宅代理,配有按GB计费的定价。