Les proxies sont légaux aux États-Unis, au Royaume-Uni et dans l’UE. Il n’y a rien d’illégal à faire transiter son trafic par un serveur intermédiaire, et des entreprises de toutes tailles le font régulièrement pour des tests, du monitoring, de la recherche en sécurité et de la collecte de données.
La question difficile n’est pas de savoir si les proxies sont légaux, mais ce que vous en faites, et c’est là que la réponse devient précise : elle dépend des données, de la juridiction, et du fait qu’une connexion soit impliquée ou non.
Cet article constitue une information générale, pas un conseil juridique. Prenez conseil sur votre propre situation avant de démarrer un projet de quelque envergure que ce soit.
Ce Qui Est Légal à Collecter, et Ce Qui Ne l’Est Pas
La distinction la plus importante n’est pas technique. Elle tient à la question de savoir si les données se trouvent derrière une barrière d’accès.
Généralement défendable :
- Les données publiquement accessibles que n’importe qui peut consulter sans compte : listes de produits, prix, profils publics, articles publiés, résultats de recherche.
- Les données que vous collectez à un rythme qui ne dégrade le service pour personne d’autre.
- Les faits, prix et autres informations qui ne sont pas eux-mêmes protégés par le droit d’auteur.
Nettement plus risqué :
- Tout ce qui se trouve derrière une connexion, en particulier lorsque vous avez accepté des conditions pour obtenir le compte.
- Le contournement d’un contrôle d’accès technique plutôt que la simple demande d’une page publique.
- Les données personnelles concernant des personnes identifiables, qui font entrer en jeu le droit de la protection des données, que la page ait été publique ou non.
- La reproduction massive de contenu protégé par le droit d’auteur, ou l’extraction d’une partie substantielle d’une base de données protégée.
Les conditions d’utilisation sont contractuelles, pas pénales
Les conditions d’un site peuvent interdire l’accès automatisé. Les enfreindre relève généralement d’une question contractuelle : cela peut fonder une action pour rupture de contrat, et c’est un risque juridique réel, mais cela relève d’une catégorie différente de la législation sur les infractions informatiques.
La distinction se resserre lorsque vous avez accepté explicitement les conditions, généralement en créant un compte. Le scraping de pages publiques pour lesquelles vous n’avez jamais accepté de conditions repose sur un terrain bien plus solide que le scraping depuis l’intérieur d’un compte dont vous avez validé les conditions.
Droit d’auteur et droits sur les bases de données
Les faits ne sont pas protégeables par le droit d’auteur. Un prix est un fait. Une liste de produits est en grande partie factuelle. Reproduire du texte d’article, des photographies ou des descriptions mot pour mot est une autre affaire, et les collecter à grande échelle pour les republier est le moyen le plus sûr d’attirer une action en justice.
L’UE ajoute un droit sui generis sur les bases de données, distinct du droit d’auteur, qui protège l’investissement substantiel consacré à la compilation d’une base de données même lorsque les faits individuels ne sont pas protégés. Extraire une partie substantielle d’une telle base de données peut constituer une infraction même si aucun élément isolé n’est protégé.
Les données personnelles changent tout
Si ce que vous collectez identifie une personne vivante, le droit de la protection des données s’applique, que la page ait été publique ou non. En vertu du RGPD, vous avez besoin d’une base légale pour le traitement, et l’intérêt légitime exige un exercice de mise en balance que vous devriez être en mesure de justifier. Les droits des personnes concernées, les limites de conservation et les obligations de transparence s’appliquent ensuite. Un profil LinkedIn public est à la fois une donnée publique et une donnée personnelle.
Comment les Règles Diffèrent Selon les Régions
| Région | Cadre principal | Position sur le scraping public | Le principal piège |
|---|---|---|---|
| États-Unis | Computer Fraud and Abuse Act, droit des États | Les tribunaux ont été réticents à considérer le scraping de pages publiques comme un accès non autorisé | Les actions contractuelles et le droit de la vie privée au niveau des États, comme le CCPA |
| Royaume-Uni | Computer Misuse Act, UK GDPR, droit sur les bases de données | La collecte de données publiques n’est pas intrinsèquement illégale | Le UK GDPR s’applique aux données personnelles ; le droit sur les bases de données protège les ensembles compilés |
| UE | RGPD, Directive sur les bases de données, Directive DSM | Similaire au Royaume-Uni, avec une exemption explicite pour la fouille de textes et de données à des fins de recherche | Le RGPD est strict, et le droit sur les bases de données est plus large que ce que la plupart des gens attendent |
La juridiction est rarement une réponse unique. Trois lieux comptent à la fois : où vous vous trouvez, où se trouvent vos serveurs, et où se trouvent le site cible et ses utilisateurs. Une entreprise américaine qui scrape un site allemand au sujet de résidents de l’UE relève du droit de l’UE, quel que soit l’endroit où fonctionne son scraper.
Approvisionnement Éthique en IP
Les réseaux de proxies résidentiels sont constitués à partir des connexions domestiques de personnes réelles. La manière dont ces personnes en sont venues à participer est la question ouverte la plus importante du secteur, et il vaut la peine de la poser directement avant d’acheter.
Un réseau bien géré recrute des participants qui savent à quoi ils consentent : généralement des utilisateurs d’une application à qui l’on propose quelque chose de valeur, une version sans publicité ou une récompense payante, en échange d’une part de leur bande passante inutilisée. On les informe clairement, ils peuvent partir, et le fournisseur audite les applications qui embarquent son code.
Un réseau mal géré intègre cette capacité dans un logiciel gratuit sous forme d’une ligne de petits caractères que personne ne lit, ou pire, la livre à l’intérieur d’applications que l’utilisateur n’a jamais installées sciemment. Des réseaux construits ainsi ont fait l’objet de mesures d’application de la loi et de recherches les reliant à des appareils compromis.
Cela compte sur le plan commercial, pas seulement sur le plan éthique. Un pool constitué sans consentement est instable, plus susceptible de contenir des machines compromises, et vous expose à un risque de réputation si le fournisseur devient un sujet d’actualité.
Ce qu’il faut demander avant d’acheter
- Comment les participants rejoignent-ils le réseau, et que leur dit-on ?
- Que reçoivent-ils en échange, et peuvent-ils se retirer à tout moment ?
- Auditez-vous les applications qui embarquent votre SDK ?
- Quelles certifications de conformité détenez-vous, et pouvez-vous produire les rapports ?
- Quelle est votre politique lorsqu’un abus est signalé sur une adresse ?
Shifter maintient une conformité SOC 2 Type II, RGPD et HIPAA, et ce sont le genre d’attestations qu’il vaut la peine de demander à tout fournisseur de justifier plutôt que de prendre pour acquis.
Les Proxies Sont-ils Sûrs ?
La sécurité se divise en deux questions.
Le trafic est-il sûr ? Avec un fournisseur payant réputé, oui. Votre connexion au proxy est chiffrée, et le fournisseur a une raison commerciale de la protéger. Avec un proxy public gratuit, non. L’opérateur paie des coûts de bande passante réels et les récupère d’une manière ou d’une autre : en enregistrant ce qui transite, en injectant ou en remplaçant du contenu, ou en revendant votre connexion. Les listes gratuites sont également partagées avec des milliers d’inconnus et déjà bloquées sur la plupart des sites commerciaux.
Êtes-vous anonyme ? Non, et il faut le dire sans détour. Un proxy modifie l’adresse IP qu’un site web voit. Il ne touche pas aux cookies, aux empreintes de navigateur, à l’état de connexion ou à l’historique du compte, et votre fournisseur peut voir votre trafic. Considérez un proxy comme un outil de gestion de la localisation et du rythme des requêtes, pas comme une garantie de confidentialité.
Conseils Pratiques
- Privilégiez les données publiques. La position juridique est bien plus claire en dehors d’une connexion.
- Respectez le fichier robots.txt et les limites de débit. Aucun des deux n’est juridiquement contraignant dans la plupart des juridictions, mais les ignorer rend tout litige plus difficile à défendre et dégrade le service de quelqu’un d’autre.
- Collectez le minimum. Une collecte plus restreinte signifie une exposition moindre au titre du droit de la protection des données comme du droit des bases de données.
- Évitez les données personnelles à moins d’y avoir bien réfléchi. Si vous devez en collecter, documentez votre base légale avant de commencer.
- Conservez des registres. Ce que vous avez collecté, quand, pourquoi et sur quelle base. Si une question se pose un jour, des registres contemporains comptent.
- Prenez conseil juridique pour tout projet d’envergure, dans un secteur réglementé, ou impliquant des données personnelles.
Conclusion
Les proxies sont légaux. Le web scraping est légal dans la grande majorité des cas impliquant des données publiques. Le risque se situe dans les spécificités : connexions, données personnelles, contenu protégé par le droit d’auteur et extraction substantielle de bases de données, et il varie selon la juridiction.
Choisissez un fournisseur capable d’expliquer d’où viennent ses adresses IP, limitez la collecte aux données publiques dans la mesure du possible, et obtenez un conseil avant de vous engager dans quoi que ce soit d’important.
Pour l’aspect technique de la collecte, voir proxies pour le web scraping, et pour la taxonomie plus large, types de proxies.