Proxies Residenciais e GDPR: Uma Visão Geral de Conformidade

Isto não é aconselhamento jurídico. É uma visão geral prática para ajudar equipes de compliance e jurídico a fazer perguntas melhores sobre o uso de proxies sob o GDPR. As respostas corretas dependem dos seus dados, finalidades e jurisdição, então trate isto como ponto de partida para uma conversa com um advogado qualificado e seu DPO, não como substituto para ela.

Quando um projeto de coleta de dados chega à revisão jurídica, a camada de proxy geralmente vem acompanhada de dois equívocos. A engenharia às vezes presume que proxies são um detalhe de infraestrutura neutro que compliance não precisa ver. Compliance às vezes presume que proxies são uma ferramenta de evasão que deve ser um sinal de alerta. Ambos estão errados, e a verdade é mais útil do que qualquer um dos dois.

Um proxy é uma tecnologia de roteamento lícita. Ele muda de qual endereço IP uma requisição se origina, e nada mais. Ele não anonimiza os dados que você coleta, não reduz suas obrigações como controlador, e não torna lícito um processamento que de outra forma seria ilícito. O que ele faz é introduzir um punhado de perguntas específicas com as quais o GDPR se preocupa: se os endereços IP em jogo são dados pessoais, quem é controlador e quem é operador, se os dados cruzam fronteiras, e como seu provedor obtém os IPs pelos quais roteia seu tráfego.

Este texto percorre essas perguntas na ordem em que uma revisão de compliance geralmente precisa delas. Para o panorama jurídico mais amplo além da proteção de dados, is web scraping legal cobre os outros arcabouços (contrato, direitos autorais, direitos sobre bancos de dados, uso indevido de computadores).

Primeiro: o equívoco que vale a pena eliminar logo de início

Usar um proxy não reduz sua exposição ao GDPR.

Se sua coleta reúne dados pessoais, suas obrigações são idênticas independentemente de a requisição ter saído do IP do seu escritório ou de uma saída residencial em Frankfurt. O GDPR se aplica ao seu processamento de dados pessoais, não ao caminho de rede que a requisição percorreu. Um proxy não é uma medida de pseudonimização, não é uma técnica de anonimização, e não é um controle mitigador para uma avaliação de impacto sobre a proteção de dados.

Deixar isso claro desde cedo evita os dois modos de falha: equipes que tratam proxies como um atalho de compliance (eles não são), e equipes que os proíbem reflexivamente quando o risco real está no que está sendo coletado (o que o proxy nem cria nem cura).

Pergunta 1: um endereço IP é dado pessoal?

Frequentemente, sim. No caso Breyer (C-582/14), o TJUE decidiu que um endereço IP dinâmico pode constituir dado pessoal nas mãos de uma parte que possui meios legais razoavelmente prováveis de serem usados para identificar o indivíduo por trás dele. Os reguladores, em geral, têm tratado endereços IP como dados pessoais na maioria dos contextos práticos desde então.

Por que isso importa para o uso de proxy, em duas direções:

• Os IPs que você coleta. Se sua raspagem captura endereços IP (em logs, em conteúdo de página, em respostas de API), isso provavelmente é dado pessoal dentro do escopo.
• Os IPs pelos quais você roteia. Um IP de saída residencial pertence à conexão doméstica de uma pessoa real. Esse IP, e a associação de tráfego a ele, são dados sobre um indivíduo identificável, o que é precisamente o motivo pelo qual a origem do provedor (Pergunta 5) é uma questão de compliance genuína e não apenas ética.

Pergunta 2: quais são os papéis, e você precisa de um DPA?

Esta é a pergunta que as equipes de compliance mais precisam responder, e a que mais frequentemente é ignorada.

Sob o GDPR, um controlador determina as finalidades e os meios do processamento; um operador processa dados pessoais em nome do controlador. Em uma configuração de coleta típica, você é o controlador dos dados pessoais que decide coletar e por quê.

O papel do provedor é mais específico ao caso do que o marketing dos fornecedores geralmente admite. Dependendo do arranjo e de quais dados pessoais o provedor processa em seu nome, um provedor de proxy pode atuar como operador, ou como controlador independente para seus próprios dados operacionais (seus logs de rede, suas relações de peering, seu faturamento). Não presuma, determine e documente:

• Mapeie quais dados pessoais o provedor de fato processa em seu nome, se houver, e o que ele processa para suas próprias finalidades.
• Estabeleça os papéis por escrito. Se o provedor for operador para qualquer parte disso, o Artigo 28 exige um contrato escrito com termos especificados, um DPA.
• Peça a documentação do provedor. Um provedor sério deve conseguir dizer qual é seu papel, fornecer ou discutir um DPA quando aplicável, e descrever seus suboperadores.

Se um provedor não consegue responder claramente a perguntas sobre papéis, isso já é uma constatação para sua revisão.

Pergunta 3: transferências internacionais entram em jogo?

O Capítulo V restringe transferências de dados pessoais para fora do EEE sem um mecanismo apropriado (decisão de adequação, cláusulas contratuais padrão, e assim por diante).

Arquiteturas de proxy tornam isso algo a ser verificado em vez de presumido, porque o tráfego sai deliberadamente em países escolhidos e a própria infraestrutura e funções de suporte do provedor podem estar em outro lugar. Dois fluxos distintos a avaliar:

1. Dados pessoais que você envia ou recebe através de saídas em várias jurisdições.
2. Dados pessoais que o provedor processa sobre sua conta e tráfego, e onde esse provedor (e seus suboperadores) está estabelecido e os armazena.

Se um determinado fluxo é uma “transferência” que exige um mecanismo é uma determinação jurídica para seu departamento jurídico, não uma questão técnica. O que sua equipe pode fazer é produzir um mapa preciso do fluxo de dados para que o jurídico possa avaliá-lo. Observe a assimetria prática: escolher uma saída na UE não mantém, por si só, o processamento dentro do EEE se o provedor ou seus suboperadores estiverem fora dele.

Pergunta 4: base legal, transparência, e o ponto difícil

Se sua coleta toca em dados pessoais, as obrigações centrais se aplicam integralmente.

Base legal (Art 6). Você precisa de uma. Para coleta na web pública, interesses legítimos (Art 6(1)(f)) é a candidata usual, o que exige um teste de balanceamento documentado, ponderando seu interesse contra os direitos e expectativas razoáveis dos indivíduos. “Estava disponível publicamente” não é uma base legal, e é o equívoco mais comum nessa área.

Transparência (Art 14) é o ponto difícil. Quando você coleta dados pessoais indiretamente, não do próprio indivíduo, o Artigo 14 geralmente exige informá-lo, tipicamente dentro de um mês. Há uma exceção quando isso envolveria esforço desproporcional (Art 14(5)(b)), frequentemente invocada para coleta em grande escala, e que os reguladores têm escrutinado fortemente. Ações de fiscalização nessa área repetidamente giraram exatamente em torno desse ponto, então, se seu plano depende dessa exceção, faça-a avaliar adequadamente e documente o raciocínio.

Os princípios do Artigo 5. Limitação de finalidade (coletar para finalidades especificadas), minimização de dados (apenas o que você precisa, o que geralmente significa não coletar campos pessoais que você não tem uso algum), limitação de armazenamento (cronograma de retenção), e exatidão.

Direitos dos titulares de dados (Arts 15 a 22). Se você detém dados pessoais, os indivíduos podem solicitar acesso, exclusão, oposição, e mais, e você precisa de um processo viável para atender a essas solicitações, inclusive para dados que você raspou.

Categorias especiais (Art 9) carregam uma barra materialmente mais alta, e DPIAs (Art 35) podem ser exigidas para processamento em grande escala ou sistemático. Ambas são questões para o jurídico.

Pergunta 5: como seu provedor obtém seus IPs?

Esta é a pergunta de due diligence específica de proxy, e merece peso real em uma revisão de compliance.

IPs residenciais pertencem a pessoas reais. Esses indivíduos são titulares de dados, e como eles vieram a fazer parte de uma rede de proxy importa: se foram claramente informados, deram consentimento genuíno e informado, entenderam que tráfego passaria por sua conexão, e podem retirá-lo. Uma rede construída sobre consentimento pouco claro ou escondido é um risco de compliance que se estende a você como cliente, tanto em termos de due diligence quanto reputacionalmente.

O que perguntar a qualquer provedor, inclusive a nós:

• Como os peers são recrutados, e o que exatamente lhes é dito? O consentimento é explícito, informado e revogável?
• Qual é a própria documentação de privacidade do provedor? Para a Shifter, são nossa política de privacidade e nossos termos e condições.
• Qual papel o provedor assume, e ele pode fornecer um DPA quando atua como operador?
• Quem são os suboperadores, e onde estão localizados?
• O que a política de uso aceitável proíbe, e como ela é aplicada? Um provedor que permite qualquer coisa é um provedor cuja rede é usada para qualquer coisa.

Preferimos que você faça essas perguntas e obtenha respostas documentadas, de nós e de qualquer outro que você avalie, em vez de aceitar uma alegação de marketing pelo valor de face. O texto ethics of residential proxy sourcing cobre o mesmo terreno pelo lado da origem.

Uma checklist prática de revisão

Para uma equipe de compliance avaliando um projeto de coleta apoiado em proxy:

• A coleta toca em dados pessoais em algum grau? Muitos projetos (preços, níveis de estoque, especificações públicas de produtos) podem ser delimitados para evitar isso, o que é, de longe, a posição mais limpa.
• Base legal documentada, com uma avaliação de interesses legítimos caso se baseie no Art 6(1)(f).
• Posição sobre o Artigo 14 avaliada e documentada, incluindo qualquer dependência da exceção de esforço desproporcional.
• Mapa de fluxo de dados: quais dados pessoais, coletados onde, roteados por quais jurisdições, armazenados onde.
• Avaliação de transferência para tudo que sai do EEE, com um mecanismo quando exigido.
• Papéis estabelecidos por escrito com o provedor; DPA em vigor quando ele atua como operador.
• Due diligence do provedor sobre a origem dos IPs e consentimento, suboperadores, e aplicação da AUP.
• Minimização aplicada: campos pessoais excluídos da coleta a menos que genuinamente necessários.
• Cronograma de retenção e exclusão de fato implementado, não apenas escrito.
• Processo de DSR capaz de alcançar dados raspados.
• DPIA quando o processamento é em grande escala, sistemático, ou de alto risco.

O melhor resultado nessa lista costuma ser a primeira linha: delimitar o projeto para que ele não colete dados pessoais desde o início. A maior parte da coleta comercial, preços, disponibilidade, dados de catálogo, monitoramento competitivo, não precisa disso, e remover campos pessoais elimina a maior parte da superfície de risco em vez de apenas geri-la.

Onde proxies realmente ajudam, e onde não ajudam

Eles não ajudam com: sua base legal, suas obrigações de transparência, seus deveres de retenção, ou seu status como controlador. Nada disso muda com base no roteamento de rede.

Eles ajudam com: exatidão, que tem uma dimensão de compliance subestimada. O Artigo 5(1)(d) exige que os dados pessoais sejam exatos. Sites geopersonalizados servem conteúdo diferente para localizações diferentes, então coletar os dados de um mercado a partir do país errado produz registros simplesmente incorretos. Se seu conjunto de dados orienta decisões sobre pessoas ou mercados, coletar a partir do ponto de vista correto é tanto uma obrigação de qualidade de dados quanto uma preferência técnica. Esse é o argumento honesto a favor de proxies residenciais em um contexto de compliance: correção, não ocultação.

Perguntas frequentes

Usar um proxy residencial torna minha raspagem compatível com o GDPR? Não. Um proxy muda o IP de onde a requisição vem, nada mais. Suas obrigações como controlador, base legal, transparência, minimização, retenção, direitos dos titulares de dados, são idênticas de qualquer forma. A conformidade é determinada pelo que você coleta e por quê, não pelo caminho de rede.

Endereços IP são dados pessoais sob o GDPR? Frequentemente sim. A decisão Breyer do TJUE estabeleceu que endereços IP dinâmicos podem ser dados pessoais quando o detentor possui meios razoavelmente prováveis de serem usados para identificar o indivíduo. Trate IPs como dados pessoais a menos que você tenha uma base ponderada para concluir o contrário.

Preciso de um DPA com meu provedor de proxy? Se o provedor processa dados pessoais em seu nome, o Artigo 28 exige um contrato escrito. Se esse é o caso depende do arranjo, então estabeleça os papéis explicitamente em vez de presumir, e peça ao provedor sua documentação.

“Os dados estavam disponíveis publicamente” é uma base legal? Não. Disponibilidade pública não é uma das bases do Artigo 6. Você ainda precisa de uma base legal, geralmente interesses legítimos com um teste de balanceamento documentado, e a disponibilidade pública é um fator nessa avaliação, não um substituto para ela.

Posso evitar completamente questões de GDPR? Frequentemente, sim, ao não coletar dados pessoais. Preços, disponibilidade e dados de catálogo geralmente atendem ao propósito de negócio sem campos pessoais. Delimitar dados pessoais para fora do escopo do projeto é a posição de compliance mais limpa disponível.

Conclusão

As questões de GDPR levantadas por proxies residenciais são mais restritas do que as equipes temem e mais específicas do que esperam. Um proxy não anonimiza nada nem reduz suas obrigações, então a substância da sua posição de compliance repousa sobre quais dados pessoais você coleta, sua base legal, e suas práticas de transparência, minimização e retenção. O que a camada de proxy acrescenta é uma lista curta de itens concretos: endereços IP provavelmente são dados pessoais, os papéis com seu provedor precisam ser estabelecidos por escrito, fluxos transfronteiriços precisam ser mapeados, e a origem dos IPs do provedor merece due diligence genuína.

Trabalhe essa lista, delimite os dados pessoais para fora sempre que o propósito do negócio permitir, e documente o raciocínio. Se você está nos avaliando sobre essas questões, nossa política de privacidade e nossos termos e condições são o ponto de partida, e nossa equipe pode conversar sobre papéis e documentação para seu caso de uso específico. E como nada do exposto acima é aconselhamento jurídico: submeta suas conclusões a um advogado qualificado antes de se basear nelas.