住宅代理与 GDPR：一份合规概览

本文不构成法律意见。 这是一份实用概览，旨在帮助合规与法务团队就 GDPR 下的代理使用提出更好的问题。正确的答案取决于你的数据、目的和司法辖区，所以请把它当作与合格律师及你的 DPO 展开对话的起点，而不是对话的替代品。

当一个数据采集项目走到法务评审时，代理这一层通常会带着两种误解一起到来。工程侧有时会认为，代理只是一个中立的管道细节，合规无需过问。合规侧有时会认为，代理是一种规避工具，必然是一面红旗。两者都错了，而真相比其中任何一种都更有用。

代理是一项合法的路由技术。它改变一个请求从哪个 IP 地址发出，仅此而已。它不会把你采集到的数据匿名化，不会减轻你作为控制者的义务，也不会把一项本不合法的处理变得合法。它确实会做的，是引出 GDPR 所在意的少数几个具体问题：所涉的 IP 地址是否属于个人数据、谁是控制者谁是处理者、数据是否跨境，以及你的供应商是如何取得它为你路由所用的那些 IP 的。

本文按一次合规评审通常需要的顺序，逐一走过这些问题。至于数据保护之外更广的法律图景，网络抓取合法吗涵盖了其他框架（合同、著作权、数据库权利、计算机滥用）。

首先：一个值得尽早消灭的误解

使用代理并不会减少你在 GDPR 下的暴露。

如果你的采集会收集个人数据，那么无论请求是从你办公室的 IP 发出，还是从法兰克福的一个住宅出口发出，你的义务都完全相同。GDPR 附着的是你对个人数据的处理，而不是请求所走的网络路径。代理不是一种假名化措施、不是一种匿名化技术，也不是数据保护影响评估中的一项缓解控制。

尽早把这一点厘清，可以避免两种失败模式：一种是团队把代理当作合规捷径（它不是），另一种是团队条件反射式地禁用它，而真正的风险其实在于所采集的内容（这既非代理所造成，也非代理所能治愈）。

问题 1：IP 地址算个人数据吗？

通常算。在 Breyer（C-582/14）一案中，欧盟法院认为，对于掌握着合理可能被用来识别其背后个人的法律手段的一方而言，动态 IP 地址可以构成个人数据。此后，监管机构在大多数实务情形下，普遍将 IP 地址视为个人数据。

这对代理使用为何要紧，有两个方向：

• 你所采集到的 IP。 如果你的抓取捕获了 IP 地址（在日志里、在页面内容里、在 API 响应里），那很可能就是落入范围的个人数据。
• 你所路由经过的 IP。 一个住宅出口 IP，属于某个真实的人的家庭连接。那个 IP，以及流量与它的关联，都是关于一个可识别个人的数据，这也正是供应商的 IP 来源（问题 5）是一个真正的合规问题、而不只是伦理问题的原因。

问题 2：角色是什么，你需要 DPA 吗？

这是合规团队最需要得到答案的问题，也是最常被跳过的那个。

在 GDPR 下，控制者决定处理的目的与方式；处理者代表控制者处理个人数据。在一个典型的采集架构里，你就是控制者，对你决定采集什么个人数据以及为什么采集负责。

供应商的角色，比供应商的营销通常所承认的更依赖具体事实。取决于安排本身、以及供应商代表你处理了哪些个人数据，一家代理供应商可能作为处理者，也可能就其自身运营数据（其网络日志、其与 peer 的关系、其账务）作为独立控制者。不要去假定，要去确定，并落成书面：

• 梳理供应商究竟代表你处理了哪些个人数据（如果有的话），以及它为自身目的处理了哪些。
• 把角色落成书面。 如果供应商在其中任一部分上是处理者，第 28 条要求订立一份含特定条款的书面合同，也就是 DPA。
• 索要供应商的文档。 一家严肃的供应商，应当能说明自己的角色、在适用之处提供或讨论 DPA，并说明它的次级处理者。

如果一家供应商无法就角色问题给出清晰回答，那本身就是你评审中的一个发现。

问题 3：会不会涉及国际传输？

第五章限制在没有适当机制（充分性决定、标准合同条款等）的情况下，把个人数据传输至欧洲经济区（EEA）之外。

代理架构使这一点值得去核实、而不是去假定，因为流量是被刻意安排在选定国家出口的，而供应商自身的基础设施和支持职能又可能位于别处。有两条不同的数据流要评估：

1. 你经由各司法辖区的出口所发送或接收的个人数据。
2. 供应商就你的账户和流量所处理的个人数据，以及该供应商（及其次级处理者）设立于何处、存储于何处。

某条具体的数据流是否构成需要机制的”传输”，是留给你律师的法律判断，而不是技术判断。你的团队能做的，是产出一份准确的数据流图，好让律师去评估。请注意其中实务上的不对称：如果供应商或其次级处理者在 EEA 之外，那么仅仅选择一个欧盟出口，本身并不能把处理留在 EEA 之内。

问题 4：合法性基础、透明度，以及那个难题

如果你的采集触及个人数据，各项核心义务将完整适用。

合法性基础（第 6 条）。 你需要一个。对公开网络的采集而言，正当利益（第 6(1)(f) 条）是通常的候选，而它要求一份有记录的权衡测试，把你的利益与个人的权利和合理期待放在一起衡量。“它本来就是公开可得的”并不是一个合法性基础，而这正是本领域最常见的误解。

透明度（第 14 条）才是那个难题。 当你间接地、而非从本人处采集个人数据时，第 14 条通常要求告知本人，一般在一个月内。存在一项例外：当这样做需要付出不成比例的努力时（第 14(5)(b) 条），大规模采集常常援引它，而监管机构对它审视得很严。本领域的执法行动一再正是围绕这一点展开，所以如果你的方案依赖那项例外，请让它得到妥当评估，并把理由记录下来。

第 5 条各项原则。 目的限制（为特定目的采集）、数据最小化（只取你需要的，这通常意味着不要去采集你根本用不上的个人字段）、存储期限限制（保留期表），以及准确性。

数据主体权利（第 15 至 22 条）。 如果你持有个人数据，个人可以要求访问、删除、反对等等，而你需要一套可行的流程去落实，也包括对你抓取来的数据。

**特殊类别（第 9 条）门槛显著更高，而DPIA（第 35 条）**在大规模或系统性处理时可能是必需的。两者都属于律师问题。

问题 5：你的供应商是怎么取得它的 IP 的？

这是代理特有的尽职调查问题，值得在合规评审中占据真正的分量。

住宅 IP 属于真实的人。那些人是数据主体，而他们是如何成为一个代理网络一部分的，很要紧：他们是否被清楚地告知、是否给出了真实且知情的同意、是否理解会有什么样的流量经由他们的连接，以及他们能否撤回。一个建立在含糊或被埋没的同意之上的网络，是一种会作为客户流向你的合规风险，无论在尽职调查层面还是在声誉层面。

应当向任何供应商（包括我们）提出的问题：

• peer 是如何招募的，他们究竟被告知了什么？ 同意是否明示、知情、且可撤回？
• 供应商自身的隐私文档是什么？ 对 Shifter 而言，就是我们的隐私政策和条款与条件。
• 供应商采取何种角色，在其作为处理者之处能否提供 DPA？
• 次级处理者都有谁，位于何处？
• 可接受使用政策禁止什么，又是如何执行的？ 一个什么都允许的供应商，就是一个其网络被用来做任何事的供应商。

比起让你把一句营销说辞照单全收，我们更希望你把这些问题问出来，并从我们、以及你所评估的任何一家那里，拿到有据可查的回答。住宅代理来源的伦理从来源侧覆盖了同一片领域。

一份实用的评审清单

给正在评估一个由代理支撑的采集项目的合规团队：

• 这项采集究竟会不会触及个人数据？ 很多项目（价格、库存水平、公开的产品规格）都可以被划定范围以避开它，而那是远为干净的立场。
• 有记录的合法性基础，若依赖第 6(1)(f) 条，则附一份正当利益评估。
• 第 14 条立场已评估并记录，包括任何对”不成比例努力”例外的援引。
• 数据流图：哪些个人数据、在哪里采集、经由哪些司法辖区路由、存储在哪里。
• 传输评估，针对任何离开 EEA 的数据，并在需要处配备机制。
• 与供应商以书面确立角色；在其作为处理者之处订有 DPA。
• 对供应商的尽职调查，涵盖 IP 来源与同意、次级处理者，以及 AUP 的执行。
• 落实最小化：除非确有必要，个人字段应排除在采集之外。
• 保留期表与删除已真正落地，而不只是写在纸上。
• 数据主体权利流程，能够触及抓取来的数据。
• DPIA，在处理属于大规模、系统性或高风险之处。

这份清单上最好的结果，通常是第一行：把项目范围划定到一开始就不采集个人数据。大多数商业采集，价格、可得性、目录数据、竞争监测，都不需要它；而去掉个人字段，是移除了大部分风险面，而不是去管理它。

代理真正帮得上忙的地方，以及帮不上的地方

它们帮不上： 你的合法性基础、你的透明度义务、你的保留义务，或你作为控制者的身份。这些没有一样会因网络路由而改变。

它们帮得上： 准确性，而这有一个被低估的合规维度。第 5(1)(d) 条要求个人数据是准确的。做地理个性化的站点会向不同位置投递不同内容，所以从错误的国家去采集某个市场的数据，产出的记录就是错的。如果你的数据集要驱动关于人或市场的决策，那么从正确的观察点去采集，就既是一项数据质量义务，也是一种技术偏好。这才是在合规语境下支持住宅代理的诚实理由：为了正确，而不是为了隐藏。

常见问题

用了住宅代理，我的抓取就符合 GDPR 了吗？ 不。代理改变的是请求从哪个 IP 发出，仅此而已。你作为控制者的义务，合法性基础、透明度、最小化、保留、数据主体权利，两种情况下完全相同。合规与否，取决于你采集什么、为什么采集，而不是网络路径。

在 GDPR 下，IP 地址算个人数据吗？ 通常算。欧盟法院的 Breyer 判决认为，当持有者拥有合理可能被用于识别个人的手段时，动态 IP 地址可以是个人数据。除非你有经过考量的依据得出相反结论，否则请把 IP 当作个人数据对待。

我需要和代理供应商签 DPA 吗？ 如果供应商代表你处理个人数据，第 28 条要求订立书面合同。是否属于这种情况取决于具体安排，所以要明确地去确立角色而不是假定，并向供应商索要其文档。

“这数据本来就是公开的”算一个合法性基础吗？ 不算。公开可得并不是第 6 条所列基础之一。你仍然需要一个合法性基础，通常是配有记录在案的权衡测试的正当利益；而公开可得，是那项评估中的一个因素，而非它的替代品。

我能完全避开 GDPR 问题吗？ 往往可以，办法是不采集个人数据。价格、可得性和目录数据，通常无需个人字段就能服务于业务目的。把个人数据划出项目范围，是可选项中最干净的合规立场。

底线

住宅代理所引出的 GDPR 问题，比团队所担心的更窄，也比他们所预期的更具体。代理不会匿名化任何东西，也不会缩减你的义务，所以你合规立场的实质，落在你采集了哪些个人数据、你的合法性基础，以及你在透明度、最小化和保留方面的做法上。代理这一层所增加的，是一份简短的具体清单：IP 地址很可能是个人数据、与供应商的角色需要以书面确立、跨境数据流需要被绘制出来，而供应商的 IP 来源值得真正的尽职调查。

把这份清单做一遍，在业务目的允许之处把个人数据划出范围，并把理由记录下来。如果你正在就这些问题评估我们，我们的隐私政策和条款与条件是起点，我们的团队也可以就你的具体用例，把角色与文档过一遍。而既然以上没有一条是法律意见：在你据以行事之前，请让合格的律师复核你的结论。