Proxies residenciales y RGPD: una visión general de cumplimiento

Esto no es asesoramiento legal. Es una visión general práctica para ayudar a los equipos de cumplimiento y legales a hacer mejores preguntas sobre el uso de proxies bajo el RGPD. Las respuestas correctas dependen de tus datos, finalidades, y jurisdicción, así que trata esto como el punto de partida de una conversación con asesoría cualificada y tu DPO, no como un sustituto de ella.

Cuando un proyecto de recolección de datos llega a revisión legal, la capa de proxy suele llegar con dos ideas equivocadas adheridas. Ingeniería a veces asume que los proxies son un detalle de fontanería neutral que cumplimiento no necesita ver. Cumplimiento a veces asume que los proxies son una herramienta de evasión que debe ser una bandera roja. Ambas están mal, y la verdad es más útil que cualquiera de las dos.

Un proxy es una tecnología de enrutamiento lícita. Cambia desde qué dirección IP se origina una petición, y nada más. No anonimiza los datos que recolectas, no reduce tus obligaciones como responsable del tratamiento, y no hace lícito un tratamiento que de otro modo sería ilícito. Lo que sí hace es introducir un puñado de preguntas específicas que le importan al RGPD: si las direcciones IP en juego son datos personales, quién es responsable y quién encargado, si los datos cruzan fronteras, y cómo tu proveedor obtiene las IPs por las que te enruta.

Este texto recorre esas preguntas en el orden en que una revisión de cumplimiento suele necesitarlas. Para el panorama legal más amplio más allá de la protección de datos, ¿es legal el web scraping? cubre los otros marcos (contrato, copyright, derechos sobre bases de datos, uso indebido de sistemas informáticos).

Primero: la idea equivocada que vale la pena matar pronto

Usar un proxy no reduce tu exposición al RGPD.

Si tu recolección reúne datos personales, tus obligaciones son idénticas tanto si la petición salió desde la IP de tu oficina como desde una salida residencial en Frankfurt. El RGPD se adhiere a tu tratamiento de datos personales, no a la ruta de red que tomó la petición. Un proxy no es una medida de seudonimización, no es una técnica de anonimización, y no es un control mitigador para una evaluación de impacto en protección de datos.

Dejar esto claro pronto evita los dos modos de fallo: equipos que tratan los proxies como un atajo de cumplimiento (no lo son), y equipos que los prohíben por reflejo cuando el riesgo real está en lo que se recolecta (que el proxy ni crea ni cura).

Pregunta 1: ¿Es una dirección IP un dato personal?

A menudo, sí. En Breyer (C-582/14), el TJUE sostuvo que una dirección IP dinámica puede constituir un dato personal en manos de quien disponga de medios legales que puedan ser razonablemente utilizados para identificar a la persona detrás de ella. Los reguladores han tratado en general las direcciones IP como datos personales en la mayoría de contextos prácticos desde entonces.

Por qué importa esto para el uso de proxies, en dos direcciones:

• Las IPs que recolectas. Si tu scraping captura direcciones IP (en logs, en el contenido de páginas, en respuestas de API), eso es probablemente un dato personal dentro del ámbito.
• Las IPs por las que enrutas. Una IP residencial de salida pertenece a la conexión doméstica de una persona real. Esa IP, y la asociación del tráfico con ella, son datos sobre una persona identificable, que es precisamente por lo que el origen del proveedor (Pregunta 5) es una pregunta genuina de cumplimiento y no solo de ética.

Pregunta 2: ¿Cuáles son los roles, y necesitas un DPA?

Esta es la pregunta que los equipos de cumplimiento más necesitan responder, y la que más a menudo se salta.

Bajo el RGPD, un responsable del tratamiento determina las finalidades y los medios del tratamiento; un encargado trata datos personales por cuenta del responsable. En una configuración típica de recolección, tú eres el responsable de los datos personales que decides recolectar y por qué.

El rol del proveedor es más dependiente de los hechos de lo que el marketing de los proveedores suele admitir. Según el acuerdo y según qué datos personales trate el proveedor por tu cuenta, un proveedor de proxies puede actuar como encargado, o como responsable independiente para sus propios datos operativos (sus logs de red, sus relaciones con los peers, su facturación). No lo asumas, determínalo y ponlo por escrito:

• Mapea qué datos personales trata realmente el proveedor por tu cuenta, si es que trata alguno, y cuáles trata para sus propias finalidades.
• Establece los roles por escrito. Si el proveedor es encargado para alguna parte, el Artículo 28 exige un contrato escrito con términos especificados, un DPA.
• Pide la documentación del proveedor. Un proveedor serio debería poder decirte su rol, proporcionar o discutir un DPA cuando aplique, y describir sus subencargados.

Si un proveedor no puede responder con claridad a las preguntas sobre roles, eso en sí mismo es un hallazgo para tu revisión.

Pregunta 3: ¿Entran en juego las transferencias internacionales?

El Capítulo V restringe las transferencias de datos personales fuera del EEE sin un mecanismo apropiado (decisión de adecuación, cláusulas contractuales tipo, etcétera).

Las arquitecturas de proxy hacen que esto valga la pena comprobarlo en lugar de asumirlo, porque el tráfico sale deliberadamente por países elegidos y la propia infraestructura y funciones de soporte del proveedor pueden estar en otro sitio. Dos flujos distintos que evaluar:

1. Datos personales que envías o recibes a través de salidas en varias jurisdicciones.
2. Datos personales que el proveedor trata sobre tu cuenta y tu tráfico, y dónde está establecido y almacena ese proveedor (y sus subencargados).

Si un flujo dado es una “transferencia” que requiere un mecanismo es una determinación legal para tu asesoría, no técnica. Lo que tu equipo puede hacer es producir un mapa de flujo de datos preciso para que la asesoría pueda evaluarlo. Nota la asimetría práctica: elegir una salida en la UE no mantiene por sí mismo el tratamiento dentro del EEE si el proveedor o sus subencargados están fuera.

Pregunta 4: Base jurídica, transparencia, y la difícil

Si tu recolección toca datos personales, las obligaciones centrales aplican en su totalidad.

Base jurídica (Art. 6). Necesitas una. Para la recolección de web pública, el interés legítimo (Art. 6(1)(f)) es el candidato habitual, lo que requiere una prueba de ponderación documentada que sopese tu interés frente a los derechos y expectativas razonables de las personas. “Estaba públicamente disponible” no es una base jurídica, y es la idea equivocada más común en esta área.

La transparencia (Art. 14) es la difícil. Cuando recolectas datos personales indirectamente, no de la persona, el Artículo 14 generalmente exige informarla, típicamente en el plazo de un mes. Hay una excepción cuando hacerlo supondría un esfuerzo desproporcionado (Art. 14(5)(b)), que se invoca con frecuencia para recolección a gran escala, y que los reguladores han escrutado con dureza. Las acciones de aplicación en esta área han girado repetidamente sobre exactamente este punto, así que si tu plan se apoya en esa excepción, haz que se evalúe adecuadamente y documenta el razonamiento.

Los principios del Artículo 5. Limitación de la finalidad (recolectar para finalidades especificadas), minimización de datos (solo lo que necesitas, lo que normalmente significa no recolectar campos personales para los que no tienes uso), limitación del plazo de conservación (calendario de retención), y exactitud.

Derechos de los interesados (Arts. 15 a 22). Si tienes datos personales, las personas pueden solicitar acceso, supresión, oposición, y más, y necesitas un proceso viable para atenderlos, incluso para datos que scrapeaste.

Las categorías especiales (Art. 9) llevan un listón materialmente más alto, y las EIPD (Art. 35) pueden ser necesarias para tratamientos a gran escala o sistemáticos. Ambas son preguntas para asesoría.

Pregunta 5: ¿Cómo obtiene tu proveedor sus IPs?

Esta es la pregunta de diligencia debida específica de los proxies, y merece peso real en una revisión de cumplimiento.

Las IPs residenciales pertenecen a personas reales. Esas personas son interesados, y cómo llegaron a formar parte de una red de proxies importa: si fueron informadas con claridad, dieron un consentimiento genuino e informado, entendieron qué tráfico se enrutaría por su conexión, y pueden retirarlo. Una red construida sobre un consentimiento poco claro o enterrado es un riesgo de cumplimiento que fluye hacia ti como cliente, tanto en términos de diligencia debida como reputacionales.

Qué preguntar a cualquier proveedor, incluidos nosotros:

• ¿Cómo se reclutan los peers, y qué se les dice exactamente? ¿Es el consentimiento explícito, informado, y revocable?
• ¿Cuál es la propia documentación de privacidad del proveedor? Para Shifter, es nuestra política de privacidad y nuestros términos y condiciones.
• ¿Qué rol adopta el proveedor, y puede suministrar un DPA cuando actúa como encargado?
• ¿Quiénes son los subencargados, y dónde están ubicados?
• ¿Qué prohíbe la política de uso aceptable, y cómo se hace cumplir? Un proveedor que permite cualquier cosa es un proveedor cuya red se usa para cualquier cosa.

Preferimos que hagas estas preguntas y obtengas respuestas documentadas, de nosotros y de cualquier otro que evalúes, a que tomes una afirmación de marketing al pie de la letra. La ética del origen de los proxies residenciales cubre el mismo terreno desde el lado del origen.

Una lista de revisión práctica

Para un equipo de cumplimiento que evalúa un proyecto de recolección respaldado por proxies:

• ¿La recolección toca datos personales siquiera? Muchos proyectos (precios, niveles de stock, especificaciones públicas de producto) pueden acotarse para evitarlos, que es de lejos la posición más limpia.
• Base jurídica documentada, con una evaluación de interés legítimo si te apoyas en el Art. 6(1)(f).
• Posición sobre el Artículo 14 evaluada y documentada, incluida cualquier invocación de la excepción de esfuerzo desproporcionado.
• Mapa de flujo de datos: qué datos personales, recolectados dónde, enrutados por qué jurisdicciones, almacenados dónde.
• Evaluación de transferencias para cualquier cosa que salga del EEE, con un mecanismo cuando se requiera.
• Roles establecidos por escrito con el proveedor; DPA en vigor cuando actúe como encargado.
• Diligencia debida sobre el proveedor en cuanto al origen y consentimiento de las IPs, subencargados, y aplicación de la AUP.
• Minimización aplicada: campos personales excluidos de la recolección salvo que sean genuinamente necesarios.
• Calendario de retención y supresión realmente implementados, no solo escritos.
• Proceso de derechos que pueda alcanzar los datos scrapeados.
• EIPD cuando el tratamiento sea a gran escala, sistemático, o de alto riesgo.

El mejor resultado en esta lista suele ser la primera línea: acotar el proyecto para que no recolecte datos personales en primer lugar. La mayor parte de la recolección comercial, precios, disponibilidad, datos de catálogo, monitorización competitiva, no los necesita, y descartar los campos personales elimina la mayor parte de la superficie de riesgo en lugar de gestionarla.

Dónde ayudan de verdad los proxies, y dónde no

No ayudan con: tu base jurídica, tus obligaciones de transparencia, tus deberes de conservación, o tu condición de responsable. Nada de eso cambia según el enrutamiento de red.

Sí ayudan con: la exactitud, que tiene una dimensión de cumplimiento infravalorada. El Artículo 5(1)(d) exige que los datos personales sean exactos. Los sitios geo-personalizados sirven contenido distinto a distintas ubicaciones, así que recolectar los datos de un mercado desde el país equivocado produce registros que sencillamente son erróneos. Si tu dataset impulsa decisiones sobre personas o mercados, recolectar desde el punto de observación correcto es una obligación de calidad del dato tanto como una preferencia técnica. Ese es el argumento honesto a favor de los proxies residenciales en un contexto de cumplimiento: corrección, no ocultamiento.

Preguntas frecuentes

¿Usar un proxy residencial hace que mi scraping cumpla el RGPD? No. Un proxy cambia la IP desde la que viene una petición, nada más. Tus obligaciones como responsable, base jurídica, transparencia, minimización, conservación, derechos de los interesados, son idénticas de cualquier modo. El cumplimiento lo determina qué recolectas y por qué, no la ruta de red.

¿Son las direcciones IP datos personales bajo el RGPD? A menudo sí. La decisión Breyer del TJUE sostuvo que las direcciones IP dinámicas pueden ser datos personales cuando quien las posee dispone de medios que puedan ser razonablemente utilizados para identificar a la persona. Trata las IPs como datos personales salvo que tengas una base meditada para concluir lo contrario.

¿Necesito un DPA con mi proveedor de proxies? Si el proveedor trata datos personales por tu cuenta, el Artículo 28 exige un contrato escrito. Si ese es el caso depende del acuerdo, así que establece los roles explícitamente en lugar de asumirlos, y pide al proveedor su documentación.

¿Es “el dato estaba públicamente disponible” una base jurídica? No. La disponibilidad pública no es una de las bases del Artículo 6. Sigues necesitando una base jurídica, normalmente el interés legítimo con una prueba de ponderación documentada, y la disponibilidad pública es un factor en esa evaluación más que un sustituto de ella.

¿Puedo evitar por completo los problemas de RGPD? A menudo, no recolectando datos personales. Los precios, la disponibilidad, y los datos de catálogo suelen servir a la finalidad de negocio sin campos personales. Acotar los datos personales fuera del proyecto es la posición de cumplimiento más limpia disponible.

En resumen

Las preguntas del RGPD que plantean los proxies residenciales son más estrechas de lo que los equipos temen y más específicas de lo que esperan. Un proxy no anonimiza nada ni encoge tus obligaciones, así que el fondo de tu posición de cumplimiento descansa en qué datos personales recolectas, tu base jurídica, y tus prácticas de transparencia, minimización, y conservación. Lo que la capa de proxy añade es una lista corta de puntos concretos: las direcciones IP son probablemente datos personales, los roles con tu proveedor hay que establecerlos por escrito, los flujos transfronterizos hay que mapearlos, y el origen de las IPs del proveedor merece diligencia debida genuina.

Trabaja esa lista, acota los datos personales fuera del proyecto donde la finalidad de negocio lo permita, y documenta el razonamiento. Si nos estás evaluando en estas preguntas, nuestra política de privacidad y nuestros términos y condiciones son el punto de partida, y nuestro equipo puede repasar roles y documentación para tu caso de uso específico. Y como nada de lo anterior es asesoramiento legal: haz que asesoría cualificada revise tus conclusiones antes de apoyarte en ellas.