この質問は通常、弁護士ではなくリスク評価を行う担当者から寄せられ、まるで答えが二択であるかのように尋ねられる。しかし実際にはそうではなく、かといってインターネット上で語られるほど不透明でもない。トラフィックを仲介者経由でルーティングすることは、長い歴史を持つごく普通の技術的手法であり、商業的に意味のある範囲で一般的な禁止事項は存在しない。リスクが存在するのは別の2つの場所だ。プロキシを通じて何をするか、そしてそのプロキシプロバイダーがどこからアドレスを調達したか、である。
まず率直に述べておくべきことがある。これは一般的な情報であり、法的助言ではない。実際にリスクを伴う判断を下す場合、答えは管轄区域、業界、個々の事実関係によって変わるため、弁護士に確認してほしい。
端的に言うと
レジデンシャルプロキシの使用は、ほとんどの管轄区域で合法である。企業は日常的に仲介者を利用しており、プロキシは特に広告検証、ブランド保護、価格・市場調査、ローカライゼーションテスト、セキュリティ調査、品質保証のために使われる。これらはいずれも特異なものでも、法的に疑わしいものでもない。
分析を左右する要素は3つあり、そのいずれもプロキシ自体に関するものではない。
- 何に、どのようにアクセスするか。 公開データは、認証を必要とするデータとは扱いが異なる。
- どのような契約に拘束されているか。 利用規約は契約であり、プロキシを使っても、自分が同意した契約から解放されるわけではない。
- ネットワークがどのように構築されたか。 トラフィックを運ぶ各家庭がそれに同意していたかどうか。
ツール自体は中立である。責任が生じるのは、その活動とサプライチェーンの部分だ。
実際に判断を左右する区別
公開データと認証済みデータ。 サイトが訪問者全員に表示する情報を収集することと、ログインやペイウォールの背後にある情報にアクセスすることは、扱いが大きく異なる。アクセス制御を回避することは、コンピュータ不正使用に関する法律が関わり始める領域であり、公開ページを素早く読み取ることとはリスクの種類が異なる。この枠組みについてはis web scraping legalで詳しく扱っている。
契約と法律。 サイトの利用規約が自動化されたアクセスを禁止している場合がある。それに違反することは、ほとんどの文脈において刑事上の問題ではなく契約上の問題だが、「単なる契約違反」であっても実質的なリスクであることに変わりはない。アカウントの停止、請求、差止命令につながる可能性がある。登録などによって利用規約に同意していた場合、その拘束はより明確であり、一度も同意していない訪問者とは立場が異なる。プロキシを使ってもこの点は何も変わらない。
地理的制限と地理的なバリエーション。 ドイツのエグジットからページをリクエストして、公開ページのドイツ版を閲覧することは、発行者がドイツの一般公衆に対して提供しているものを見ているにすぎない。一方、自分に本来適用されるべき制限、たとえばライセンスや制裁措置に関する管理を回避するためにエグジットを使うことは、まったく別の行為である。この区別は意図と効果の問題であり、bypassing geolocation restrictions legallyで示されている境界線でもある。
個人データとそれ以外。 収集する内容に個人データが含まれる場合、収集方法にかかわらずデータ保護法が管理者としてのあなたに適用され、プロキシは何も匿名化しない。この分析は別枠であり、residential proxies and GDPR complianceにまとめられている。
プロキシ自体がリスクを生む部分
ここが、レジデンシャルネットワークに真に特有の部分であり、多くのリスク評価が見落としがちな部分だ。
レジデンシャルIPプールに含まれるアドレスは、実在する家庭に属している。それらの家庭が明確な開示、実質的な対価、機能する opt-out(オプトアウト)を伴う形で組み込まれているのであれば、サプライチェーンは健全だ。しかし、埋め込まれた同意条項、バンドルされたインストーラー、あるいは侵害されたデバイスを通じて組み込まれていたのであれば、あなたのトラフィックは所有者が一度も同意していない接続を通っていることになる。これはプロバイダーだけでなく、顧客であるあなた自身にも降りかかるサプライチェーン上の問題だ。
これが実務上重要なのは、次の3つの理由による。サプライヤーのデューデリジェンスのプロセスは、まさにこの点を検出するために設計されている。データ保護に関する義務は、ベンダーとの境界線で止まるものではない。そして、この業界では、ユーザーが自分が実行していることを理解していなかったソフトウェアの上にネットワークが構築されていたことが判明した公の事例が実際に起きている。そうした事例で顧客として名前が挙がることは、自らの行動とは関係なくレピュテーション上の事件となる。
したがって、これは直接尋ねるべき質問であり、その回答を記録に残しておく価値がある。適切な調達がどのようなものかの詳細はhow providers ethically source their IPsにある。
一般的なビジネス用途
参考までに、主流の用途はごく平凡なものだ。
広告検証。 キャンペーンが各市場で正しく表示され、不正に配信されていないかを確認する。ブランド保護。 偽造品や無許可の販売者を発見する。価格・市場調査。 公開されている価格情報について行う。ローカライゼーションおよびQAテスト。 自社製品を他地域のユーザーが体験するのと同じ形で確認する。セキュリティ調査と脅威インテリジェンス。 認可された範囲内で行う。SEOおよびSERPモニタリング。 競合する市場から行う。
これらに共通するのは、公開データであること、正当なビジネス目的があること、そしてアクセス制御の回避を伴わないことだ。この組み合わせが一般的なケースであり、市場の大部分を占めている。
正当化できない用途
同じツールが両方の用途に使われうるからこそ、これも率直に述べておく価値がある。
自分が所有していない、あるいは使用を許可されていないアカウントへのアクセス。自分を拘束するはずのアクセス制御、ペイウォール、ライセンス制限の回避。プロモーションを不正利用するためのアカウント作成、クリック詐欺、クレデンシャルスタッフィングを含む詐欺行為。適法な根拠なしに個人データを収集すること。収集対象のサービスを劣化させるほどの大量アクセスは、迷惑行為からコンピュータシステムへの妨害へと滑り込む可能性がある。そして、ローテーティングアドレスによって特定されにくくなるという理屈で、停止を求める明示的な指示、たとえばcease-and-desist(差止請求)を無視すること。
プロキシはこれらのいずれも合法にはしない。プロキシがもたらすのは帰属特定の遅延であり、それは合法性とは別物であり、紛争において意図的な回避があったという推論を招くことは、あなたにとって不利にしかならない。
実務上のリスク低減
あなたの立場を実質的に改善する6つのことがあり、そのほとんどは普通の優良な実務である。
公開データを収集する。 ビジネス上可能な限り、収集対象から認証を排除する。
依存しているサイトの利用規約を読み、結論を記録しておく。記録された判断は、単なる想定よりもはるかに優れた証跡になる。
robotsの指示を尊重し、丁寧なペースで行う。 これは礼儀の問題であるだけでなく、あなたの活動がサービスへの妨害と特徴づけられるかどうかに直接関わり、rate limiting and throttlingにあるように、成功率を高く保つことにもつながる。
個人データを意図的に扱う。 個人データが関わる場合は、適法な根拠、最小化、保持期間の制限を伴わせる。
プロバイダーの調達方法についてデューデリジェンスを行い、その回答を記録として保管する。
指示があれば止める。 サイトから法的な要求が届いた場合は、それを回避するのではなく、社内でエスカレーションする。
記録すべきこと
リスクを評価する企業にとって有用な成果物は、次のような簡潔な記録だ。何をどの情報源から収集しているか、それが個人データかどうかとその適法な根拠、それらの情報源の利用規約が何を述べていてどのように結論に至ったか、ペーシングとrobotsに関する方針、プロバイダーが誰でどのようにアドレスを調達しているか、そして社内で誰がその判断の責任者かということだ。これをまとめるのに午後の時間があれば十分であり、後になって出てくる質問に答えられるようにするものである。
結論
レジデンシャルプロキシの使用は、ほとんどの管轄区域で合法であり、リスクを生むのはツール自体ではない。リスクは活動に付随するため、重要な問いは、そのデータが公開されているか、自分が同意した規約に拘束されているか、アクセス制御を回避しているのか単に地域的なバリエーションを観察しているにすぎないのか、そして個人データが関わっているかどうかである。さらに、この製品特有の問いもある。トラフィックを運ぶ家庭が同意していたかどうかであり、これは顧客であるあなたにも及ぶサプライチェーン上の問題だ。公開データを収集し、規約とrobotsを尊重し、丁寧なペースで行い、プロバイダーの調達についてデューデリジェンスを行い、判断を記録し、指示があれば止める。この組み合わせが商業利用の圧倒的多数をカバーしており、そのいずれも法的に特異なものではない。
以上はいずれも法的助言ではなく、具体的な事情は管轄区域と事実関係によって異なる。収集側の分析についてはis web scraping legalを、データ保護についてはresidential proxies and GDPRを、セキュリティの側面についてはare residential proxies safeを参照してほしい。製品自体はresidential proxiesであり、per-GB pricingも用意されている。