La question vient généralement de quelqu’un qui fait une évaluation des risques plutôt que d’un juriste, et elle est posée comme si la réponse était binaire. Elle ne l’est pas, mais elle n’est pas non plus aussi trouble que ce que laisse entendre internet. Faire transiter du trafic par un intermédiaire est une pratique technique ordinaire, avec une longue histoire, et sans interdiction générale nulle part où cela compte commercialement. Le risque se situe plutôt à deux endroits : ce que vous faites via le proxy, et où le fournisseur de proxy a obtenu ses adresses.
Il vaut la peine de le dire clairement avant toute chose : ceci constitue une information générale plutôt qu’un avis juridique, et si vous prenez une décision avec une réelle exposition, la réponse dépend de votre juridiction, de votre secteur et de vos faits, donc consultez un avocat.
La version courte
Utiliser un proxy résidentiel est légal dans la plupart des juridictions. Les entreprises utilisent des intermédiaires de façon routinière, et des proxies spécifiquement pour la vérification publicitaire, la protection de marque, l’étude de prix et de marché, les tests de localisation, la recherche en sécurité, et l’assurance qualité, ce qui n’a rien d’exotique ni de juridiquement suspect.
Trois éléments changent l’analyse, et aucun d’eux ne concerne vraiment le proxy en lui-même :
- Ce à quoi vous accédez et comment. Les données publiques se comportent différemment des données protégées par authentification.
- Les accords auxquels vous êtes lié. Les conditions d’utilisation sont des contrats, et un proxy ne vous libère pas de ceux que vous avez acceptés.
- La manière dont le réseau a été constitué. Le fait que les foyers qui font transiter votre trafic y aient consenti ou non.
L’outil est neutre. C’est l’activité et la chaîne d’approvisionnement qui déterminent la responsabilité.
Les distinctions qui décident réellement de la question
Public contre authentifié. Collecter des informations qu’un site montre à tout visiteur est traité très différemment de l’accès à quelque chose derrière une connexion ou un paywall. Contourner un contrôle d’accès est là où les lois sur l’usage abusif des systèmes informatiques commencent à devenir pertinentes, et c’est une catégorie de risque différente de la lecture rapide d’une page publique. Les cadres juridiques sont traités plus en détail dans is web scraping legal.
Contrat contre loi. Les conditions d’un site peuvent interdire l’accès automatisé. Les enfreindre relève d’une question contractuelle plutôt que pénale dans la plupart des contextes, mais « seulement une violation de contrat » reste une réelle exposition : cela peut entraîner la fermeture d’un compte, provoquer une plainte, ou justifier une injonction. Si vous avez accepté les conditions, par exemple en vous inscrivant, vous êtes plus clairement lié qu’un visiteur qui ne l’a jamais fait, et un proxy ne change rien à cela.
Restriction géographique contre variation géographique. Demander une page depuis un nœud de sortie allemand pour voir la version allemande d’une page publique, c’est regarder quelque chose que l’éditeur diffuse publiquement en Allemagne. Utiliser un nœud de sortie pour déjouer une restriction réellement destinée à s’appliquer à vous, comme des contrôles de licence ou de sanctions, est un acte différent. La distinction relève de l’intention et de l’effet, et c’est la ligne tracée dans bypassing geolocation restrictions legally.
Données personnelles contre tout le reste. Si ce que vous collectez inclut des données personnelles, le droit de la protection des données s’applique à vous en tant que responsable du traitement, quelle que soit votre méthode de collecte, et le proxy n’anonymise rien. Cette analyse est distincte et est exposée dans residential proxies and GDPR compliance.
Là où le proxy lui-même crée une exposition
C’est la partie qui est véritablement spécifique aux réseaux résidentiels, et c’est la partie que la plupart des évaluations de risque manquent.
Les adresses d’un pool résidentiel appartiennent à de vrais foyers. Si ces foyers ont été inscrits par le biais d’une divulgation claire, avec un avantage réel et une possibilité de retrait fonctionnelle, la chaîne d’approvisionnement est saine. S’ils ont été inscrits par un consentement dissimulé, des installateurs groupés, ou des appareils compromis, alors votre trafic transite par des connexions dont les propriétaires n’ont jamais consenti, et cela constitue un problème de chaîne d’approvisionnement qui retombe sur vous en tant que client, pas seulement sur le fournisseur.
Cela compte pour trois raisons pratiques : les processus de diligence raisonnable des fournisseurs sont conçus pour détecter exactement cela, les obligations de protection des données ne s’arrêtent pas à la frontière de votre fournisseur, et ce secteur a connu des incidents publics où des réseaux se sont révélés construits sur des logiciels que les utilisateurs ne comprenaient pas exécuter. Être cité comme client dans un tel cas constitue un événement réputationnel indépendamment de votre propre conduite.
Il s’agit donc d’une question qu’il vaut la peine de poser directement et de documenter la réponse, et les détails de ce à quoi ressemble un bon approvisionnement se trouvent dans how providers ethically source their IPs.
Usages commerciaux ordinaires
Pour contextualiser, les applications courantes sont banales :
La vérification publicitaire, confirmant que les campagnes s’affichent correctement et ne font pas l’objet de fraude dans chaque marché. La protection de marque, pour repérer les contrefaçons et les vendeurs non autorisés. L’étude de prix et de marché sur des prix affichés publiquement. Les tests de localisation et d’assurance qualité, en vérifiant votre propre produit tel que les utilisateurs d’autres régions l’expérimentent. La recherche en sécurité et le renseignement sur les menaces dans un cadre autorisé. Le suivi SEO et des SERP depuis les marchés où vous êtes en concurrence.
Ce qu’ils ont en commun, c’est des données publiques, un objectif commercial légitime, et aucun contournement de contrôles d’accès. Cette combinaison constitue le cas ordinaire, et représente la majeure partie du marché.
Usages qui ne sont pas défendables
Il vaut également la peine d’être direct à ce sujet, puisque le même outil sert les deux cas.
Accéder à des comptes que vous ne possédez pas ou que vous n’êtes pas autorisé à utiliser. Déjouer des contrôles d’accès, des paywalls, ou des restrictions de licence destinées à vous lier. La fraude, y compris la création de comptes pour abuser de promotions, la fraude au clic, ou le bourrage d’identifiants. Collecter des données personnelles sans base légale. Des volumes qui dégradent le service dont vous collectez les données, ce qui peut glisser d’une nuisance vers une interférence avec un système informatique. Et ignorer une instruction explicite d’arrêter, comme une mise en demeure, sous prétexte qu’une adresse tournante vous rend difficile à identifier.
Un proxy ne rend légal aucun de ces cas. Il rend l’attribution plus lente, ce qui n’est pas la même chose, et dans un litige, une inférence d’évitement délibéré ne vous est pas favorable.
Réduire le risque en pratique
Six éléments qui améliorent sensiblement votre position, la plupart relevant simplement de bonnes pratiques ordinaires.
Collectez des données publiques. Gardez l’authentification hors de votre collecte partout où le cas d’usage commercial le permet.
Lisez les conditions des sites dont vous dépendez, et consignez vos conclusions. Une décision documentée constitue un bien meilleur élément qu’une simple supposition.
Respectez les directives robots et adoptez un rythme raisonnable. Au-delà de la simple politesse, cela touche directement à la question de savoir si votre activité pourrait être qualifiée d’interférence avec un service, et cela maintient de toute façon des taux de succès élevés, selon rate limiting and throttling.
Traitez les données personnelles de manière délibérée, avec une base légale, une minimisation, et des limites de conservation, si cela est concerné.
Faites preuve de diligence raisonnable envers votre fournisseur concernant l’approvisionnement et conservez la réponse dans vos dossiers.
Arrêtez-vous lorsqu’on vous le demande. Si un site envoie une mise en demeure, faites-la remonter en interne plutôt que de la contourner.
Ce qu’il faut documenter
Pour une entreprise qui évalue le risque, le résultat utile est un court dossier : ce que vous collectez et depuis quelles sources, si l’une d’elles constitue des données personnelles et sur quelle base légale, ce que disent les conditions de ces sources et comment vous êtes arrivé à votre conclusion, quelle est votre politique de rythme et de robots, qui est votre fournisseur et comment il source ses adresses, et qui porte la décision en interne. Cela prend un après-midi, et c’est ce qui rend une question ultérieure répondable.
En résumé
Les proxies résidentiels sont légaux à utiliser dans la plupart des juridictions, et l’outil lui-même n’est pas ce qui crée l’exposition. Le risque est attaché à l’activité, donc les questions qui comptent sont de savoir si les données sont publiques, si vous êtes lié par des conditions que vous avez acceptées, si vous contournez un contrôle d’accès ou si vous observez simplement une variation régionale, et si des données personnelles sont concernées. Il y a ensuite la question propre à ce produit : si les foyers qui font transiter votre trafic ont consenti, ce qui est une question de chaîne d’approvisionnement qui vous atteint en tant que client. Collectez des données publiques, respectez les conditions et les robots, adoptez un rythme raisonnable, faites preuve de diligence sur l’approvisionnement de votre fournisseur, documentez les décisions, et arrêtez-vous si on vous le demande. Cette combinaison couvre l’immense majorité de l’usage commercial, et rien de tout cela n’est juridiquement exotique.
Rien de ce qui précède ne constitue un avis juridique, et les détails dépendent de votre juridiction et de vos faits. Pour le volet collecte de l’analyse, voir is web scraping legal ; pour la protection des données, residential proxies and GDPR ; et pour la dimension sécurité, are residential proxies safe. Le produit lui-même est residential proxies, avec une tarification au GB.