Aspects juridiques de l'utilisation des proxys : GDPR, ToS, fair use
Ce qui est légal et ce qui ne l'est pas. Une analyse de la conformité GDPR, des nuances des ToS, des affaires marquantes (LinkedIn v. hiQ Labs) et comment vous protéger dans un contexte B2B.
L'utilisation de proxys est-elle légale dans l'UE
La technologie en elle-même est parfaitement légale. La question est de savoir comment exactement vous l'utilisez.
Incontestablement légal :
- Le scraping de données publiques (sans contourner l'authentification)
- L'analyse marketing
- La vérification publicitaire et la protection de marque
- Tester vos propres produits depuis différentes régions
- La protection de la vie privée et l'usage de type VPN
Zone grise :
- Contourner les geo-blocages sur les services de streaming payants (viole les ToS, rarement poursuivi)
- Scraper des données publiques autorisées d'une manière qui viole le robots.txt
- Le multi-accounting sur des plateformes où il n'est pas explicitement interdit
Illégal :
- Contourner un CAPTCHA sur des ressources fermées
- Accéder à des API privées sans autorisation
- Scraper des données personnelles en dehors des exceptions du GDPR
- La fraude publicitaire (click fraud, install fraud)
- Créer de faux comptes à des fins de manipulation
Le GDPR et le scraping de données publiques
Le GDPR n'interdit pas le scraping de données publiques, mais il comporte des nuances. Le point clé est l'article 6(1)(f) : les « intérêts légitimes ». Si votre finalité n'affecte pas de manière substantielle les intérêts de la personne concernée, le traitement est légal sans consentement explicite.
Concrètement pour le scraping via proxy :
- OK : scraper des profils publics pour la génération de leads B2B, l'agrégation d'actualités, la surveillance des prix
- Pas OK : collecter des données personnelles dans des groupes fermés, le « scraper-et-revendre » d'informations privées
N'oubliez pas le droit à l'effacement — si une personne demande la suppression de ses données de votre base, vous devez vous y conformer dans un délai de 30 jours.
Violations des ToS vs actes illégaux
La plupart des sites interdisent le scraping dans leurs ToS. Cela ne rend pas le scraping illégal — cela signifie que le site peut bloquer votre IP/compte.
Aux États-Unis, l'affaire de référence est hiQ Labs v. LinkedIn (2019) : le tribunal a jugé que la collecte automatisée de données accessibles au public ne viole pas le Computer Fraud and Abuse Act. Le scraping de pages publiques est donc légal aux États-Unis même si les ToS l'interdisent.
Dans l'UE, la jurisprudence est plus rare, mais la même approche prévaut globalement : les ToS constituent un contrat entre le site et vous en tant qu'utilisateur ; les enfreindre donne au site le droit de vous bloquer, mais ne rend pas vos actes criminels.
Affaires marquantes
hiQ v. LinkedIn (2019, USA) : hiQ scrapait des profils publics à des fins d'analyse ; LinkedIn s'y est opposé. Le tribunal a donné raison à hiQ — les données publiques peuvent être scrapées.
Meta v. Bright Data (2024, USA) : Facebook/Instagram accusait Bright Data de collecter et de vendre des données. Le tribunal a rejeté la demande concernant les données publiques et l'a admise concernant les logins et les sessions authentifiées.
Ryanair v. PR Aviation (2014, UE) : la Cour européenne a jugé que les bases de données non originales (sans sélection ou disposition originale) ne sont pas protégées en tant que bases de données. Le scraping des horaires de vols publics est donc légal.
Comment vous protéger dans un contexte B2B
Si vous utilisez des proxys pour votre SaaS ou votre produit de données :
- Tenez une piste d'audit — auprès de qui vous collectez, pourquoi, comment vous stockez
- Indiquez clairement vos sources de données dans la politique de confidentialité
- N'agrégez pas de données personnelles issues de plusieurs sources (cela peut violer le GDPR même si chaque source est légale prise isolément)
- Disposez d'un processus de suppression sur demande
- Évitez de scraper les parties authentifiées des sites — même si vous le pouvez techniquement
- N'utilisez pour l'enterprise que des fournisseurs compliance-ready (Bright Data, Oxylabs)
Ce texte ne constitue pas un conseil juridique. Discutez des questions spécifiques avec un avocat spécialisé en protection des données dans votre juridiction — en particulier pour les projets B2C et l'agrégation de PII.