これは法的助言ではありません。 これはGDPRの下でのプロキシ利用について、コンプライアンスチームや法務チームがより良い質問をできるようにするための実務的な概観です。正しい答えはあなたのデータ、目的、管轄区域によって異なるため、これを資格を持つ弁護士やDPOとの対話の出発点として扱ってください。それに代わるものではありません。
データ収集プロジェクトが法務レビューの段階に至ると、プロキシ層には通常、2つの誤解が付きまといます。エンジニアリング側は、プロキシがコンプライアンスチームが見る必要のない中立的な配管設備の詳細だと思い込むことがあります。コンプライアンス側は、プロキシが回避のためのツールであり、赤信号でなければならないと思い込むことがあります。どちらも誤りであり、真実はそのどちらよりも役に立つものです。
プロキシは合法的なルーティング技術です。リクエストがどのIPアドレスから発信されるかを変えるだけで、それ以外は何も変えません。収集するデータを匿名化するわけではなく、管理者としてのあなたの義務を軽減するわけでもなく、そもそも違法な処理を合法にするわけでもありません。プロキシが実際に行うのは、GDPRが重視するいくつかの具体的な問いを持ち込むことです。関与するIPアドレスが個人データにあたるかどうか、誰が管理者で誰が処理者か、データが国境を越えるかどうか、そしてプロバイダーがルーティングするIPをどのように調達しているか、といった問いです。
この記事は、コンプライアンスレビューが通常必要とする順序でこれらの問いを扱います。データ保護を超えたより広い法的な全体像については、web scraping is legal（他の枠組み、契約、著作権、データベース権、コンピュータ不正使用に関するもの）を参照してください。
まず最初に：早期につぶしておくべき誤解
プロキシを使うことで、GDPRへの露出が減るわけではありません。
あなたの収集が個人データを集めるものであれば、リクエストがオフィスのIPから発信されようと、フランクフルトのレジデンシャルの出口から発信されようと、あなたの義務は同一です。GDPRはあなたによる個人データの処理に紐づくものであり、リクエストが辿ったネットワーク経路には紐づきません。プロキシは仮名化の手段でも、匿名化の技術でも、データ保護影響評価における緩和策でもありません。
これを早い段階ではっきりさせておくことで、2つの失敗パターンを防げます。一つは、チームがプロキシをコンプライアンスの近道だと扱ってしまうこと（そうではありません）。もう一つは、実際のリスクが「何を収集しているか」にあるにもかかわらず（プロキシはそのリスクを生み出しも解消もしません）、反射的にプロキシを禁止してしまうことです。
質問1：IPアドレスは個人データか？
多くの場合、そうです。Breyer事件（C-582/14）において、CJEU（欧州司法裁判所）は、動的IPアドレスは、その背後にいる個人を特定するために合理的に使用される可能性のある法的手段を有する当事者の手にある場合、個人データを構成しうると判示しました。それ以降、規制当局は概ね、ほとんどの実務的な文脈においてIPアドレスを個人データとして扱ってきました。
これがプロキシ利用にとって重要である理由は、2つの方向性から説明できます。
- 収集するIP。 スクレイピングがIPアドレスを取得する場合（ログの中、ページコンテンツの中、APIレスポンスの中）、それはおそらく個人データとして対象範囲に入ります。
- 経由するIP。 レジデンシャルの出口IPは、実在する人物の自宅の接続に属しています。そのIP、およびそれに紐づくトラフィックの関連性は、特定可能な個人に関するデータです。これこそが、プロバイダーの調達（質問5）が単なる倫理の問題ではなく、真のコンプライアンスの問題である理由です。
質問2：役割は何か、そしてDPAは必要か？
これはコンプライアンスチームが最も答えを必要とする質問であり、最も見落とされがちな質問でもあります。
GDPRの下では、**管理者（controller）**が処理の目的と手段を決定し、**処理者（processor）**は管理者に代わって個人データを処理します。典型的な収集の設定では、あなたが管理者です。あなたが収集を決定した個人データについて、そしてその理由について。
プロバイダーの役割は、ベンダーのマーケティングが通常認めるよりも事実に即して判断する必要があります。取り決めの内容と、プロバイダーがあなたに代わってどのような個人データを扱うかによって、プロキシプロバイダーは処理者として振る舞うこともあれば、自らの運用データ（自社のネットワークログ、ピア関係、請求）については独立した管理者として振る舞うこともあります。思い込まず、判断し、文書化してください。
- プロバイダーがあなたに代わって実際にどのような個人データを処理しているか（もしあれば）、そして自らの目的のために何を処理しているかをマッピングする。
- 役割を書面で確立する。 プロバイダーがそのいずれかについて処理者である場合、第28条は、特定の条項を定めた書面による契約、すなわちDPAを要求します。
- プロバイダーの文書を求める。 真剣なプロバイダーであれば、自らの役割を説明でき、該当する場合はDPAを提供または議論でき、副処理者について説明できるはずです。
プロバイダーが役割に関する質問に明確に答えられない場合、それ自体があなたのレビューにおける一つの発見事項です。
質問3：国際的な移転は関係するか？
第5章は、適切な仕組み（十分性認定、標準契約条項など）なしに、EEA域外への個人データの移転を制限しています。
プロキシのアーキテクチャは、これを想定するのではなく確認する価値があります。なぜなら、トラフィックは意図的に選ばれた国から出ていく一方で、プロバイダー自身のインフラやサポート機能は別の場所にある可能性があるからです。評価すべき2つの異なるフローがあります。
- さまざまな管轄区域の出口を通じて送受信する個人データ。
- プロバイダーがあなたのアカウントやトラフィックについて処理する個人データ、そして、そのプロバイダー（およびその副処理者）がどこに設立され、どこに保存しているか。
ある特定のフローが仕組みを必要とする「移転」に該当するかどうかは、技術的な判断ではなく、あなたの弁護士による法的判断です。あなたのチームができるのは、正確なデータフローマップを作成し、弁護士がそれを評価できるようにすることです。実務上の非対称性に注意してください。EU域内の出口を選んだからといって、プロバイダーやその副処理者がEEA域外にある場合、それだけでは処理がEEA域内にとどまるとは限りません。
質問4：適法性の根拠、透明性、そして難しい問題
あなたの収集が個人データに触れる場合、中核的な義務は全面的に適用されます。
適法性の根拠（第6条）。 これが必要です。公開ウェブの収集については、正当な利益（第6条1項(f)）が通常の候補となりますが、これにはあなたの利益と個人の権利・合理的な期待とを比較衡量する、文書化されたバランシングテストが必要です。「公開されていたから」は適法性の根拠ではなく、この分野で最もよくある誤解です。
透明性（第14条）が難しい問題です。 個人データを間接的に、つまり本人以外から収集する場合、第14条は一般に、通常1か月以内に本人へ通知することを求めます。これを行うことが不釣り合いな労力を伴う場合の例外（第14条5項(b)）があり、大規模な収集についてしばしば援用されますが、規制当局はこれを厳しく精査してきました。この分野の執行事例は繰り返しまさにこの点をめぐって展開してきたため、あなたの計画がその例外に依拠するのであれば、適切に評価を受け、根拠を文書化してください。
第5条の原則。 目的の限定（特定された目的のために収集する）、データの最小化（必要なものだけ、これは通常、使い道のない個人項目を収集しないことを意味します）、保存期間の制限（保持スケジュール）、そして正確性です。
データ主体の権利（第15条から第22条）。 あなたが個人データを保有している場合、個人はアクセス、消去、異議申立てなどを請求でき、あなたはそれに応じるための実行可能なプロセスが必要です。スクレイピングしたデータについても同様です。
**特別カテゴリー（第9条）**は実質的により高いハードルを課し、**DPIA（第35条）**は大規模または体系的な処理に対して要求される場合があります。どちらも弁護士に確認すべき事項です。
質問5：プロバイダーはどのようにIPを調達しているか？
これはプロキシ特有のデューデリジェンスの問いであり、コンプライアンスレビューにおいて真剣に重視されるべきものです。
レジデンシャルIPは実在の人々に属しています。その個人はデータ主体であり、彼らがどのようにしてプロキシネットワークの一部になったかが重要です。明確に情報を提供されたか、真正で情報に基づく同意を与えたか、自分の接続を通じてどのようなトラフィックがルーティングされるかを理解していたか、そして撤回できるかどうか、といった点です。不明瞭な、あるいは埋もれた同意の上に築かれたネットワークは、顧客であるあなたにも及ぶコンプライアンス上のリスクであり、デューデリジェンスの観点でも評判の観点でも同様です。
私たちを含め、どのプロバイダーにも尋ねるべきこと：
- ピアはどのように募集され、彼らには正確に何が伝えられているか？ 同意は明示的で、情報に基づき、撤回可能か？
- プロバイダー自身のプライバシー文書は何か？ Shifterの場合、それはプライバシーポリシーと利用規約です。
- プロバイダーはどのような役割を担っており、処理者として振る舞う場合にDPAを提供できるか？
- 副処理者は誰で、どこに所在しているか？
- 許容利用ポリシーは何を禁止しており、どのように執行されているか？ 何でも許すプロバイダーは、そのネットワークが何にでも使われるプロバイダーです。
私たちとしては、マーケティングの主張を額面通りに受け取るのではなく、私たちを含め、あなたが評価する誰に対しても、これらの質問をして、文書化された答えを得ることを望みます。レジデンシャルプロキシの調達の倫理は、調達側からの視点で同じ内容を扱っています。
実務的なレビューチェックリスト
プロキシに支えられた収集プロジェクトを評価するコンプライアンスチームのために：
- その収集はそもそも個人データに触れているか？ 多くのプロジェクト（価格、在庫水準、公開の製品仕様）は、それを避けるようにスコープを設定できます。これがはるかにクリーンな立場です。
- 文書化された適法性の根拠、第6条1項(f)に依拠する場合は正当な利益の評価とともに。
- 第14条の立場の評価と文書化、不釣り合いな労力の例外に依拠する場合はそれも含めて。
- データフローマップ：どのような個人データが、どこで収集され、どの管轄区域を経由してルーティングされ、どこに保存されるか。
- EEAを離れるあらゆるものに対する移転評価、必要な場合は仕組みとともに。
- プロバイダーとの間で書面により確立された役割、処理者として振る舞う場合はDPAの整備。
- IP調達と同意、副処理者、AUP執行に関するプロバイダーのデューデリジェンス。
- 最小化の適用：真に必要でない限り、個人項目を収集から除外する。
- 保持スケジュールと削除が、書面上だけでなく実際に実施されている。
- スクレイピングされたデータに到達できるDSRプロセス。
- 処理が大規模、体系的、または高リスクである場合のDPIA。
このリストにおける最良の結果は、通常、最初の項目です。つまり、そもそも個人データを収集しないようにプロジェクトのスコープを設定することです。ほとんどの商業的な収集、価格、在庫状況、カタログデータ、競合モニタリングは、それを必要とせず、個人項目を除外することは、リスク領域を管理するのではなく、そのほとんどを取り除くことになります。
プロキシが本当に役立つ場面、そうでない場面
役立たないもの： あなたの適法性の根拠、あなたの透明性の義務、あなたの保持義務、あるいはあなたの管理者としての地位です。これらはいずれも、ネットワークのルーティングによって変わることはありません。
役立つもの： 正確性であり、これには過小評価されがちなコンプライアンス上の側面があります。第5条1項(d)は、個人データが正確であることを求めています。地理的にパーソナライズされたサイトは、場所によって異なるコンテンツを配信するため、誤った国からある市場のデータを収集すると、単純に誤ったレコードが生成されます。あなたのデータセットが人々や市場に関する意思決定を左右するのであれば、正しい視点から収集することは、技術的な好みというより、データ品質上の義務です。それが、コンプライアンスの文脈におけるレジデンシャルプロキシの正直なユースケースです。隠蔽ではなく、正確性のためです。
FAQ
レジデンシャルプロキシを使えば、自分のスクレイピングはGDPRに準拠したことになりますか？ いいえ。プロキシはリクエストの発信元IPを変えるだけで、それ以上のものではありません。管理者としてのあなたの義務、適法性の根拠、透明性、最小化、保持、データ主体の権利は、いずれの場合も同一です。コンプライアンスは、あなたが何を、なぜ収集するかによって決まるのであり、ネットワーク経路によって決まるのではありません。
GDPRの下で、IPアドレスは個人データですか？ 多くの場合、そうです。CJEUのBreyer判決は、保有者がその背後にいる個人を特定するために合理的に使用される可能性のある手段を持つ場合、動的IPアドレスは個人データになりうると判示しました。そうでないと結論づける十分な根拠がない限り、IPを個人データとして扱ってください。
プロキシプロバイダーとDPAを結ぶ必要がありますか？ プロバイダーがあなたに代わって個人データを処理する場合、第28条は書面による契約を要求します。それに該当するかどうかは取り決めの内容によるため、思い込むのではなく役割を明確に確立し、プロバイダーに文書を求めてください。
「データは公開されていた」は適法性の根拠になりますか？ いいえ。公開されていたことは、第6条の根拠の一つではありません。それでも適法性の根拠は必要であり、通常は文書化されたバランシングテストを伴う正当な利益であり、公開されていたことはその評価における一要素であって、代替物ではありません。
GDPRの問題を完全に回避することはできますか？ 多くの場合、個人データを収集しないことで可能です。価格、在庫状況、カタログデータは、通常、個人項目なしにビジネス目的を果たします。プロジェクトから個人データをスコープアウトすることが、利用可能な最もクリーンなコンプライアンスの立場です。
結論
レジデンシャルプロキシが提起するGDPRの問いは、チームが恐れるよりも狭く、想定するよりも具体的です。プロキシは何も匿名化せず、あなたの義務を縮小させることもないため、あなたのコンプライアンスの立場の実質は、どのような個人データを収集するか、あなたの適法性の根拠、そしてあなたの透明性、最小化、保持の実務にかかっています。プロキシ層が加えるのは、具体的な短いリストです。IPアドレスはおそらく個人データであること、プロバイダーとの役割を書面で確立する必要があること、国境を越えるフローをマッピングする必要があること、そしてプロバイダーのIP調達には真のデューデリジェンスに値する、ということです。
このリストに取り組み、ビジネス目的が許す限り個人データをスコープアウトし、根拠を文書化してください。これらの問いについて私たちを評価しているのであれば、私たちのプライバシーポリシーと利用規約が出発点であり、私たちのチームはあなたの具体的なユースケースについて役割と文書化を話し合うことができます。そして、上記のいずれも法的助言ではないため、それに依拠する前に、資格を持つ弁護士にあなたの結論を確認してもらってください。