A pergunta geralmente vem de alguém fazendo avaliação de risco, e não de um advogado, e é formulada como se a resposta fosse binária. Não é, mas também não é tão nebulosa quanto a internet faz parecer. Rotear tráfego por um intermediário é uma prática técnica comum, com longa história e nenhuma proibição geral em nenhum lugar que importe comercialmente. O risco reside em dois pontos: o que você faz através do proxy, e de onde o provedor do proxy obteve seus endereços.
Vale dizer com clareza antes de qualquer coisa: isto é informação geral, e não aconselhamento jurídico, e se você está tomando uma decisão com exposição real envolvida, a resposta depende da sua jurisdição, do seu setor e dos seus fatos, então consulte um advogado.
A versão resumida
Usar um proxy residencial é legal na maioria das jurisdições. Empresas usam intermediários rotineiramente, e proxies especificamente para verificação de anúncios, proteção de marca, pesquisa de preços e de mercado, testes de localização, pesquisa de segurança e garantia de qualidade, nenhum dos quais é exótico ou legalmente suspeito.
Três coisas mudam a análise, e nenhuma delas tem a ver, na verdade, com o proxy:
- O que você acessa e como. Dados públicos se comportam diferente de dados atrás de autenticação.
- A quais acordos você está vinculado. Termos de serviço são contratos, e um proxy não te libera de um que você aceitou.
- Como a rede foi construída. Se os domicílios que carregam seu tráfego concordaram com isso.
A ferramenta é neutra. A atividade e a cadeia de suprimentos são onde a responsabilidade se fixa.
As distinções que realmente decidem isso
Público versus autenticado. Coletar informação que um site mostra a qualquer visitante é tratado de forma muito diferente do que acessar algo atrás de um login ou paywall. Contornar um controle de acesso é onde as leis de uso indevido de computadores começam a se tornar relevantes, e isso é uma categoria de risco diferente de ler rapidamente uma página pública. Os frameworks são abordados em mais profundidade em is web scraping legal.
Contrato versus lei. Os termos de um site podem proibir acesso automatizado. Violá-los é uma questão contratual, não criminal, na maioria dos contextos, mas “apenas uma violação de contrato” ainda é uma exposição real: pode encerrar uma conta, convidar uma reclamação, ou fundamentar uma medida judicial. Se você aceitou os termos, por exemplo ao se registrar, você está mais claramente vinculado do que um visitante que nunca o fez, e um proxy não muda nada disso.
Restrição geográfica versus variação geográfica. Solicitar uma página a partir de um exit alemão para ver a versão alemã de uma página pública é observar algo que o publicador oferece ao público na Alemanha. Usar um exit para burlar uma restrição genuinamente destinada a se aplicar a você, como controles de licenciamento ou sanções, é um ato diferente. A distinção é de intenção e efeito, e é a linha traçada em bypassing geolocation restrictions legally.
Dados pessoais versus todo o resto. Se o que você coleta inclui dados pessoais, a lei de proteção de dados se aplica a você como controlador, independentemente do seu método de coleta, e o proxy não anonimiza nada. Essa análise é separada e está detalhada em residential proxies and GDPR compliance.
Onde o próprio proxy cria exposição
Esta é a parte que é genuinamente específica de redes residenciais, e é a parte que a maioria das avaliações de risco deixa passar.
Os endereços em um pool residencial pertencem a domicílios reais. Se esses domicílios foram cadastrados por meio de divulgação clara, com um benefício real e um opt-out funcional, a cadeia de suprimentos é sólida. Se foram cadastrados por meio de consentimento escondido, instaladores empacotados, ou dispositivos comprometidos, então seu tráfego está passando por conexões cujos proprietários nunca concordaram, e isso é um problema de cadeia de suprimentos que recai sobre você como cliente, não apenas sobre o provedor.
Isso importa por três razões práticas: processos de diligência de fornecedores são projetados exatamente para detectar isso, obrigações de proteção de dados não terminam na fronteira do seu fornecedor, e este setor já produziu incidentes públicos em que redes foram encontradas construídas sobre software que os usuários não entendiam estar executando. Ser identificado como cliente em um desses casos é um evento reputacional, independentemente da sua própria conduta.
Portanto, é uma pergunta que vale a pena fazer diretamente e documentar a resposta, e os detalhes de como uma boa obtenção de fontes se parece estão em how providers ethically source their IPs.
Usos comerciais comuns
Para contexto, as aplicações predominantes são pouco notáveis:
Verificação de anúncios, confirmando que campanhas são exibidas corretamente e não estão sendo servidas de forma fraudulenta em cada mercado. Proteção de marca, encontrando contrafações e vendedores não autorizados. Pesquisa de preços e de mercado sobre preços publicamente listados. Testes de localização e QA, verificando seu próprio produto como usuários em outras regiões o experimentam. Pesquisa de segurança e inteligência de ameaças dentro de um escopo autorizado. Monitoramento de SEO e SERP a partir dos mercados em que você compete.
O que eles compartilham é dado público, um propósito comercial legítimo, e nenhuma burla de controles de acesso. Essa combinação é o caso comum, e é a maior parte do mercado.
Usos que não são defensáveis
Igualmente vale ser direto sobre isso, já que a mesma ferramenta serve a ambos.
Acessar contas que você não possui ou não está autorizado a usar. Burlar controles de acesso, paywalls, ou restrições de licenciamento destinadas a vincular você. Fraude, incluindo criar contas para abusar de promoções, fraude de clique, ou credential stuffing. Coletar dados pessoais sem uma base legal. Volumes que degradam o serviço do qual você está coletando, o que pode escorregar de incômodo para interferência com um sistema de computador. E ignorar uma instrução explícita para parar, como uma notificação de cessação, sob a teoria de que um endereço rotativo torna você difícil de identificar.
Um proxy não torna nenhuma dessas coisas legal. Ele torna a atribuição mais lenta, o que não é a mesma coisa, e em uma disputa uma inferência de evasão deliberada não é útil para você.
Reduzindo risco na prática
Seis coisas que melhoram materialmente sua posição, a maioria das quais é boa prática comum.
Colete dados públicos. Mantenha a autenticação fora da sua coleta sempre que o caso de negócio permitir.
Leia os termos dos sites de que você depende, e registre o que você concluiu. Uma decisão documentada é um artefato muito melhor do que uma suposição.
Respeite diretivas de robots e mantenha um ritmo educado. Além de ser boa educação, isso vai diretamente à questão de se sua atividade poderia ser caracterizada como interferência em um serviço, e mantém as taxas de sucesso altas de qualquer forma, conforme rate limiting and throttling.
Trate dados pessoais deliberadamente, com uma base legal, minimização, e limites de retenção, caso algum esteja envolvido.
Faça diligência sobre a obtenção de fontes do seu provedor e mantenha a resposta arquivada.
Pare quando for solicitado. Se um site enviar uma exigência legal, escale internamente em vez de contornar.
O que documentar
Para uma empresa avaliando risco, o resultado útil é um registro breve: o que você coleta e de quais fontes, se algo disso é dado pessoal e sob qual base legal, o que os termos dessas fontes dizem e como você chegou à sua conclusão, qual é a sua política de ritmo e de robots, quem é o seu provedor e como ele obtém os endereços, e quem é responsável pela decisão internamente. Isso leva uma tarde e é o que torna uma pergunta futura respondível.
Conclusão
Proxies residenciais são legais de usar na maioria das jurisdições, e a ferramenta em si não é o que cria exposição. O risco se fixa na atividade, então as perguntas que importam são se o dado é público, se você está vinculado a termos que aceitou, se você está burlando um controle de acesso ou apenas observando variação regional, e se dados pessoais estão envolvidos. Depois há a questão exclusiva deste produto: se os domicílios que carregam seu tráfego consentiram, o que é uma questão de cadeia de suprimentos que alcança você como cliente. Colete dados públicos, respeite termos e robots, mantenha um ritmo educado, faça diligência sobre a obtenção de fontes do seu provedor, documente as decisões, e pare se solicitado. Essa combinação cobre a grande maioria do uso comercial, e nada disso é legalmente exótico.
Nada do exposto acima é aconselhamento jurídico, e os detalhes dependem da sua jurisdição e dos seus fatos. Para o lado da coleta na análise, veja is web scraping legal; para proteção de dados, residential proxies and GDPR; e para a dimensão de segurança, are residential proxies safe. O produto em si é residential proxies, com per-GB pricing.