Proxys résidentiels et RGPD : un aperçu de conformité

Ceci n’est pas un conseil juridique. C’est un aperçu pratique destiné à aider les équipes conformité et juridiques à poser de meilleures questions sur l’usage de proxys sous le RGPD. Les bonnes réponses dépendent de vos données, de vos finalités et de votre juridiction, alors traitez ceci comme un point de départ pour une conversation avec un conseil qualifié et votre DPO, pas comme un substitut.

Quand un projet de collecte de données arrive en revue juridique, la couche proxy débarque généralement avec deux idées fausses accrochées. L’ingénierie suppose parfois que les proxys sont un détail de plomberie neutre que la conformité n’a pas besoin de voir. La conformité suppose parfois que les proxys sont un outil de contournement qui doit être un drapeau rouge. Les deux ont tort, et la vérité est plus utile que l’une ou l’autre.

Un proxy est une technologie de routage licite. Il change l’adresse IP d’où part une requête, et rien d’autre. Il n’anonymise pas les données que vous collectez, il ne réduit pas vos obligations en tant que responsable de traitement, et il ne rend pas licite un traitement qui ne le serait pas autrement. Ce qu’il fait, c’est introduire une poignée de questions précises auxquelles le RGPD tient : si les adresses IP en jeu sont des données personnelles, qui est responsable et qui est sous-traitant, si les données franchissent des frontières, et comment votre fournisseur obtient les IP par lesquelles il vous route.

Ce texte parcourt ces questions dans l’ordre où une revue de conformité en a généralement besoin. Pour le tableau juridique plus large au-delà de la protection des données, le web scraping est-il légal couvre les autres cadres (contrat, droit d’auteur, droits sur les bases de données, atteinte aux systèmes).

D’abord : l’idée fausse à tuer tôt

Utiliser un proxy ne réduit pas votre exposition au RGPD.

Si votre collecte rassemble des données personnelles, vos obligations sont identiques que la requête soit partie de l’IP de votre bureau ou d’une sortie résidentielle à Francfort. Le RGPD s’attache à votre traitement de données personnelles, pas au chemin réseau qu’a pris la requête. Un proxy n’est pas une mesure de pseudonymisation, pas une technique d’anonymisation, et pas une mesure d’atténuation pour une analyse d’impact.

Clarifier cela tôt évite les deux modes d’échec : les équipes qui traitent les proxys comme un raccourci de conformité (ils ne le sont pas), et les équipes qui les interdisent par réflexe alors que le risque réel est dans ce qui est collecté (ce que le proxy ne crée ni ne soigne).

Question 1 : une adresse IP est-elle une donnée personnelle ?

Souvent, oui. Dans Breyer (C-582/14), la CJUE a jugé qu’une adresse IP dynamique peut constituer une donnée personnelle entre les mains de celui qui dispose de moyens légaux susceptibles d’être raisonnablement mis en œuvre pour identifier la personne derrière elle. Les régulateurs traitent généralement les adresses IP comme des données personnelles dans la plupart des contextes pratiques depuis.

Pourquoi cela compte pour l’usage de proxys, dans deux directions :

• Les IP que vous collectez. Si votre scraping capture des adresses IP (dans des logs, dans le contenu des pages, dans des réponses d’API), ce sont probablement des données personnelles dans le champ d’application.
• Les IP par lesquelles vous routez. Une IP résidentielle de sortie appartient à la connexion domestique d’une personne réelle. Cette IP, et l’association du trafic avec elle, sont des données sur une personne identifiable, ce qui est précisément pourquoi l’approvisionnement du fournisseur (Question 5) est une vraie question de conformité et pas seulement d’éthique.

Question 2 : quels sont les rôles, et vous faut-il un DPA ?

C’est la question à laquelle les équipes conformité ont le plus besoin d’une réponse, et celle qu’on saute le plus souvent.

Sous le RGPD, un responsable de traitement détermine les finalités et les moyens du traitement ; un sous-traitant traite des données personnelles pour le compte du responsable. Dans une configuration de collecte typique, vous êtes le responsable des données personnelles que vous décidez de collecter et pourquoi.

Le rôle du fournisseur dépend davantage des faits que le marketing des fournisseurs ne l’admet généralement. Selon l’arrangement et selon les données personnelles que le fournisseur traite pour votre compte, un fournisseur de proxys peut agir comme sous-traitant, ou comme responsable indépendant pour ses propres données opérationnelles (ses logs réseau, ses relations avec les peers, sa facturation). Ne le supposez pas, déterminez-le et couchez-le par écrit :

• Cartographiez quelles données personnelles le fournisseur traite réellement pour votre compte, s’il en traite, et lesquelles il traite pour ses propres finalités.
• Établissez les rôles par écrit. Si le fournisseur est sous-traitant pour une partie, l’Article 28 exige un contrat écrit avec des clauses déterminées, un DPA.
• Demandez la documentation du fournisseur. Un fournisseur sérieux devrait pouvoir vous indiquer son rôle, fournir ou discuter un DPA le cas échéant, et décrire ses sous-traitants ultérieurs.

Si un fournisseur ne peut pas répondre clairement aux questions de rôle, c’est en soi un constat pour votre revue.

Question 3 : les transferts internationaux entrent-ils en jeu ?

Le Chapitre V restreint les transferts de données personnelles hors de l’EEE sans mécanisme approprié (décision d’adéquation, clauses contractuelles types, etc.).

Les architectures de proxy rendent cela digne d’être vérifié plutôt que supposé, car le trafic sort délibérément dans des pays choisis et l’infrastructure et les fonctions support du fournisseur peuvent se situer ailleurs. Deux flux distincts à évaluer :

1. Les données personnelles que vous envoyez ou recevez via des sorties dans diverses juridictions.
2. Les données personnelles que le fournisseur traite sur votre compte et votre trafic, et où ce fournisseur (et ses sous-traitants ultérieurs) est établi et stocke.

Savoir si un flux donné est un « transfert » exigeant un mécanisme est une détermination juridique pour votre conseil, pas technique. Ce que votre équipe peut faire, c’est produire une cartographie exacte des flux pour que le conseil puisse l’évaluer. Notez l’asymétrie pratique : choisir une sortie UE ne maintient pas à soi seul le traitement dans l’EEE si le fournisseur ou ses sous-traitants sont en dehors.

Question 4 : base légale, transparence, et la difficile

Si votre collecte touche des données personnelles, les obligations centrales s’appliquent pleinement.

Base légale (Art. 6). Il vous en faut une. Pour la collecte sur le web public, l’intérêt légitime (Art. 6(1)(f)) est le candidat habituel, ce qui exige un test de mise en balance documenté pesant votre intérêt face aux droits et attentes raisonnables des personnes. « C’était public » n’est pas une base légale, et c’est l’idée fausse la plus répandue dans ce domaine.

La transparence (Art. 14) est la difficile. Quand vous collectez des données personnelles indirectement, pas auprès de la personne, l’Article 14 exige généralement de l’informer, typiquement sous un mois. Il existe une exception lorsque cela impliquerait des efforts disproportionnés (Art. 14(5)(b)), fréquemment invoquée pour la collecte à grande échelle, et que les régulateurs ont fortement scrutée. Les actions répressives dans ce domaine ont tourné à plusieurs reprises exactement sur ce point, donc si votre plan repose sur cette exception, faites-la évaluer correctement et documentez le raisonnement.

Les principes de l’Article 5. Limitation des finalités (collecter pour des finalités déterminées), minimisation (seulement ce dont vous avez besoin, ce qui signifie généralement ne pas collecter des champs personnels dont vous n’avez aucun usage), limitation de la conservation (calendrier de rétention), et exactitude.

Droits des personnes (Art. 15 à 22). Si vous détenez des données personnelles, les personnes peuvent demander l’accès, l’effacement, l’opposition, et plus, et il vous faut un processus praticable pour y répondre, y compris pour des données que vous avez scrapées.

Les catégories particulières (Art. 9) ont une barre nettement plus haute, et une AIPD (Art. 35) peut être requise pour un traitement à grande échelle ou systématique. Les deux sont des questions pour un conseil.

Question 5 : comment votre fournisseur obtient-il ses IP ?

C’est la question de due diligence propre aux proxys, et elle mérite un vrai poids dans une revue de conformité.

Les IP résidentielles appartiennent à de vraies personnes. Ces personnes sont des personnes concernées, et la façon dont elles sont entrées dans un réseau de proxys compte : ont-elles été clairement informées, ont-elles donné un consentement authentique et éclairé, ont-elles compris quel trafic passerait par leur connexion, et peuvent-elles le retirer. Un réseau bâti sur un consentement flou ou enfoui est un risque de conformité qui remonte jusqu’à vous en tant que client, tant en due diligence qu’en réputation.

Ce qu’il faut demander à tout fournisseur, nous compris :

• Comment les peers sont-ils recrutés, et que leur dit-on exactement ? Le consentement est-il explicite, éclairé et révocable ?
• Quelle est la documentation de confidentialité du fournisseur ? Pour Shifter, ce sont notre politique de confidentialité et nos conditions générales.
• Quel rôle le fournisseur prend-il, et peut-il fournir un DPA là où il agit comme sous-traitant ?
• Qui sont les sous-traitants ultérieurs, et où sont-ils situés ?
• Que prohibe la politique d’usage acceptable, et comment est-elle appliquée ? Un fournisseur qui permet n’importe quoi est un fournisseur dont le réseau sert à n’importe quoi.

Nous préférons que vous posiez ces questions et obteniez des réponses documentées, de nous et de tout autre que vous évaluez, plutôt que de prendre une affirmation marketing pour argent comptant. L’éthique de l’approvisionnement en proxys résidentiels couvre le même terrain côté approvisionnement.

Une liste de revue pratique

Pour une équipe conformité évaluant un projet de collecte adossé à des proxys :

• La collecte touche-t-elle seulement des données personnelles ? Beaucoup de projets (prix, niveaux de stock, spécifications produit publiques) peuvent être cadrés pour l’éviter, ce qui est de loin la position la plus propre.
• Base légale documentée, avec une analyse d’intérêt légitime si vous vous appuyez sur l’Art. 6(1)(f).
• Position Article 14 évaluée et documentée, y compris toute invocation de l’exception d’efforts disproportionnés.
• Cartographie des flux : quelles données personnelles, collectées où, routées via quelles juridictions, stockées où.
• Évaluation des transferts pour tout ce qui quitte l’EEE, avec un mécanisme là où requis.
• Rôles établis par écrit avec le fournisseur ; DPA en place là où il agit comme sous-traitant.
• Due diligence fournisseur sur l’approvisionnement en IP et le consentement, les sous-traitants ultérieurs, et l’application de l’AUP.
• Minimisation appliquée : champs personnels exclus de la collecte sauf nécessité réelle.
• Calendrier de conservation et suppression réellement mis en œuvre, pas seulement écrits.
• Processus de droits capable d’atteindre les données scrapées.
• AIPD là où le traitement est à grande échelle, systématique, ou à haut risque.

Le meilleur résultat sur cette liste est généralement la première ligne : cadrer le projet pour qu’il ne collecte pas de données personnelles du tout. L’essentiel de la collecte commerciale, prix, disponibilité, données catalogue, veille concurrentielle, n’en a pas besoin, et retirer les champs personnels supprime l’essentiel de la surface de risque au lieu de la gérer.

Où les proxys aident vraiment, et où non

Ils n’aident pas pour : votre base légale, vos obligations de transparence, vos devoirs de conservation, ou votre statut de responsable. Rien de tout cela ne change selon le routage réseau.

Ils aident pour : l’exactitude, qui a une dimension de conformité sous-estimée. L’Art. 5(1)(d) exige que les données personnelles soient exactes. Les sites géo-personnalisés servent des contenus différents selon les localisations, donc collecter les données d’un marché depuis le mauvais pays produit des enregistrements simplement faux. Si votre jeu de données pilote des décisions sur des personnes ou des marchés, collecter depuis le bon point d’observation est une obligation de qualité des données autant qu’une préférence technique. C’est l’argument honnête en faveur des proxys résidentiels dans un contexte de conformité : l’exactitude, pas la dissimulation.

FAQ

Utiliser un proxy résidentiel rend-il mon scraping conforme au RGPD ? Non. Un proxy change l’IP d’où part une requête, rien de plus. Vos obligations de responsable, base légale, transparence, minimisation, conservation, droits des personnes, sont identiques dans les deux cas. La conformité est déterminée par ce que vous collectez et pourquoi, pas par le chemin réseau.

Les adresses IP sont-elles des données personnelles sous le RGPD ? Souvent oui. La décision Breyer de la CJUE a jugé que des adresses IP dynamiques peuvent être des données personnelles là où le détenteur dispose de moyens raisonnablement susceptibles d’être mis en œuvre pour identifier la personne. Traitez les IP comme des données personnelles sauf base réfléchie pour conclure autrement.

Ai-je besoin d’un DPA avec mon fournisseur de proxys ? Si le fournisseur traite des données personnelles pour votre compte, l’Article 28 exige un contrat écrit. Que ce soit le cas dépend de l’arrangement, alors établissez les rôles explicitement plutôt que de les supposer, et demandez au fournisseur sa documentation.

« La donnée était publiquement disponible » est-elle une base légale ? Non. La disponibilité publique n’est pas l’une des bases de l’Article 6. Il vous faut toujours une base légale, généralement l’intérêt légitime avec un test de mise en balance documenté, et la disponibilité publique est un facteur de cette analyse plutôt qu’un substitut.

Puis-je éviter entièrement les problèmes RGPD ? Souvent, en ne collectant pas de données personnelles. Les prix, la disponibilité et les données catalogue servent généralement la finalité métier sans champs personnels. Retirer les données personnelles du projet est la position de conformité la plus propre disponible.

En résumé

Les questions RGPD soulevées par les proxys résidentiels sont plus étroites que les équipes ne le craignent et plus précises qu’elles ne s’y attendent. Un proxy n’anonymise rien et ne réduit pas vos obligations, donc le fond de votre position de conformité repose sur les données personnelles que vous collectez, votre base légale, et vos pratiques de transparence, minimisation et conservation. Ce que la couche proxy ajoute, c’est une courte liste de points concrets : les adresses IP sont probablement des données personnelles, les rôles avec votre fournisseur doivent être établis par écrit, les flux transfrontaliers doivent être cartographiés, et l’approvisionnement en IP du fournisseur mérite une vraie due diligence.

Traitez cette liste, retirez les données personnelles du périmètre là où la finalité métier le permet, et documentez le raisonnement. Si vous nous évaluez sur ces questions, notre politique de confidentialité et nos conditions générales sont le point de départ, et notre équipe peut passer en revue les rôles et la documentation pour votre cas d’usage précis. Et puisque rien de ce qui précède n’est un conseil juridique : faites valider vos conclusions par un conseil qualifié avant de vous y fier.