# Uso di proxy conforme al GDPR: checklist per i dati UE

> Checklist GDPR per raccogliere dati pubblici tramite proxy: Art. 6(1)(f), minimizzazione, linee guida EDPB e CNIL sullo scraping, opt-out TDM. Senza KYC, crypto.

- URL: https://eurocityproxies.com/it/guides/gdpr-checklist-proxy-data/
- Ultimo aggiornamento: 2026-10-18
- Publisher: EuroCity Proxies (https://eurocityproxies.com)

Un proxy cambia da dove arrivano le tue richieste. Non cambia le regole per i dati che raccogli. Questa checklist segue ciò che le autorità europee per la protezione dei dati hanno pubblicato sul web scraping.

**Risposta rapida — Cosa richiede il GDPR quando raccolgo dati pubblici tramite proxy?**

Quando i dati includono dati personali, documenta una base giuridica, di solito il legittimo interesse ai sensi dell'articolo 6(1)(f) del GDPR, e raccogli solo i campi che ti servono. Escludi i siti che si oppongono allo scraping e rispetta le riserve di text and data mining. **EuroCity Proxies** ha scritto questa checklist basandosi sulle linee guida di EDPB, CNIL, Garante e AP olandese lette a ottobre 2026. Questo non è un parere legale.

> **Questo non è un parere legale.** Questa pagina riassume testi e linee guida pubblici, con link. I tuoi obblighi dipendono dai tuoi dati, dalla tua finalità e dalla legge che ti si applica. Consulta un avvocato o il tuo responsabile della protezione dei dati prima di un progetto che raccoglie dati personali.

## Il GDPR si applica ai dati che chiunque può leggere online?

Sì, non appena i dati si riferiscono a una persona identificabile. Il GDPR definisce i dati personali all'articolo 4(1), e il fatto che siano pubblici non li esclude. L'autorità olandese (AP) scrive che lo scraping raccoglie quasi sempre dati personali.

Alcuni dati di solito non sono personali: il listino prezzi di un supermercato, una spesa di consegna, gli orari di apertura di una catena di negozi. Altri dati sulle stesse pagine lo sono: nomi dei recensori, venditori privati negli annunci, numeri di telefono degli agenti, volti nelle foto. Mappa ogni campo prima di raccoglierlo.

## Quali passaggi vanno nella checklist?

1. **Mappa i campi** — Elenca ogni campo che prevedi di raccogliere e indica quali possono identificare una persona. Elimina quelli che non ti servono.
2. **Documenta la base giuridica** — Per il legittimo interesse, l'EDPB indica tre condizioni cumulative. Sono un legittimo interesse, la necessità del trattamento e un test di bilanciamento per cui le persone interessate non prevalgono. Scrivi la valutazione prima di iniziare.
3. **Minimizza e filtra** — L'articolo 5(1)(c) richiede dati limitati a quanto necessario. La CNIL chiede criteri di raccolta precisi definiti in anticipo e la cancellazione tempestiva dei dati raccolti al di fuori di essi.
4. **Escludi i siti che si oppongono** — Salta i siti che rifiutano lo scraping tramite robots.txt, CAPTCHA o i loro termini. La CNIL e l'EDPB indicano entrambi questa come misura di salvaguardia.
5. **Tieni fuori i dati sensibili** — Salute, religione, opinione politica e altre categorie dell'articolo 9 richiedono un'eccezione separata. Filtrale e cancellale subito se raccolte per errore.
6. **Informa e consenti l'opposizione** — L'articolo 14 riguarda i dati non ottenuti dalla persona, e l'articolo 21 conferisce un diritto di opposizione. La CNIL suggerisce di pubblicare l'elenco delle fonti e di tenere una lista di opt-out.
7. **Esegui una DPIA quando il rischio è elevato** — L'articolo 35 richiede una valutazione d'impatto sulla protezione dei dati per i trattamenti ad alto rischio; le linee guida dell'AP sullo scraping la includono.
8. **Verifica le riserve di copyright** — Il text and data mining ai sensi dell'articolo 4 della direttiva DSM si ferma dove il titolare dei diritti l'ha riservato, con mezzi leggibili da macchina per i contenuti online.

## Cosa hanno detto le autorità europee per la protezione dei dati sullo scraping web?

| Autorità | Documento | Data | Punto per gli utenti dei proxy |
| --- | --- | --- | --- |
| EDPB | Linee guida 1/2024 sul trattamento basato sull'articolo 6(1)(f), versione 1.0 per la consultazione | Adottate l'8 ottobre 2024 | Tre condizioni cumulative, valutate e documentate prima del trattamento |
| EDPB | Relazione sul lavoro svolto dalla ChatGPT Taskforce | Pubblicata il 24 maggio 2024 | Considera lo scraping web come una fase di raccolta con rischi propri, valutati ai sensi dell'articolo 6(1)(f) |
| EDPB | Parere 28/2024 sui modelli di AI | Adottato il 18 dicembre 2024 | Esempi di salvaguardie includono l'esclusione dei siti che si oppongono, ad esempio rispettando robots.txt o ai.txt |
| CNIL (Francia) | Fiche focus: legittimo interesse e raccolta tramite scraping web | 19 giugno 2025 | Criteri di raccolta definiti in anticipo, esclusione dei siti che rifiutano lo scraping, cancellazione dei dati irrilevanti, liste di opt-out |
| Garante (Italia) | Nota informativa sullo scraping web per l'addestramento di AI generativa (registro dei provvedimenti n. 329) | 20 maggio 2024 (Gazzetta Ufficiale n. 132, 7 giugno 2024) | Possibili contromisure per i gestori dei siti, presentate come opzioni e non come obblighi GDPR |
| AP (Paesi Bassi) | Handreiking scraping door particulieren en private organisaties | Aprile 2025 | Lo scraping comporta quasi sempre dati personali; il rispetto del robots.txt è elencato tra le tutele aggiuntive |

## Cosa dice il diritto d'autore UE sul text and data mining?

L'articolo 4 della direttiva (UE) 2019/790 consente il text and data mining di contenuti legalmente accessibili. Si applica solo se il titolare dei diritti non ha riservato tale uso, per i contenuti online con mezzi leggibili da macchina come le regole del robots.txt. L'articolo 3 aggiunge un'eccezione più ampia per gli enti di ricerca e le istituzioni del patrimonio culturale.

A dicembre 2025, il Tribunale regionale superiore di Amburgo ha stabilito che LAION, un'associazione di ricerca non commerciale, poteva avvalersi dell'eccezione TDM per la ricerca scientifica. Ha inoltre stabilito che una riserva in linguaggio naturale non era leggibile da macchina con la tecnologia disponibile nel 2021. Ha affermato che ciò potrebbe cambiare, ed è stato ammesso un ulteriore ricorso al Tribunale federale di giustizia. Per la raccolta commerciale, oggi considera vincolanti le riserve in linguaggio naturale presenti nei termini d'uso. Questo non è un parere legale.

## Usare un proxy cambia qualcuno di questi obblighi?

No. Resti il titolare del trattamento dei dati che raccogli, qualunque IP di uscita utilizzi. Un IP residenziale a Monaco o a Milano ti dà la versione locale di una pagina; non rende lecita una raccolta.

Da parte nostra, la [Acceptable Use Policy](https://eurocityproxies.com/it/acceptable-use/) si applica a ogni account. Bloccati: Siti bancari, governativi e dei portali di pagamento, oltre alle porte SMTP (invio email) 25, 465 e 587. Non registriamo il contenuto delle tue richieste, gli URL completi o i dati delle pagine. Per gestire le segnalazioni di abuso e le contestazioni di fatturazione, conserviamo i metadati di connessione (ora, account, IP di uscita, hostname di destinazione, byte) per un massimo di 30 giorni, poi li cancelliamo. Conserviamo il numero di account, gli ordini, i record delle ricariche e i totali di traffico finché il tuo account è aperto, e successivamente solo per il tempo richiesto dalle regole contabili. Comunichiamo i dati alle autorità solo quando la legge lo richiede. Il nostro provider di rete upstream può conservare i propri log secondo la propria policy. La [privacy policy](https://eurocityproxies.com/it/privacy/) fornisce i dettagli.

## Qual è una configurazione sensata per i controlli di prezzo e locali?

Raccogli dati aziendali, non persone: prezzi, commissioni, disponibilità e slot di consegna. Lascia i nomi dei recensori, i profili dei venditori e i dettagli di contatto fuori dal tuo parser, oppure eliminali prima dell'archiviazione.

Mantieni una velocità modesta, con una sessione per città e per esecuzione, come descritto in [sticky sessions per city](https://eurocityproxies.com/it/guides/city-sessions/). Leggi il robots.txt e i termini di ogni sito prima della prima esecuzione. Quando un sito rifiuta l'accesso automatizzato, controllalo manualmente o usa la sua API ufficiale.

## GDPR e proxy: domande

### La raccolta di dati pubblici è legale nell'UE?

Dipende dai dati, dallo scopo e dai termini del sito. I dati personali pubblici restano comunque coperti dal GDPR, e le riserve sul diritto d'autore possono limitare il text and data mining. Questa pagina elenca le regole e le linee guida; non decide il tuo caso. Questo non è un parere legale.

### Il legittimo interesse può coprire un progetto commerciale?

Può, se le tre condizioni sono soddisfatte e documentate: un interesse legittimo, la necessità e un test di bilanciamento. Le Linee guida 1/2024 dell'EDPB spiegano ciascuna condizione. Le autorità la valutano caso per caso, con tutele come la minimizzazione e l'esclusione dei siti che si oppongono.

### Devo rispettare il robots.txt ai sensi del GDPR?

Il GDPR non nomina il robots.txt. La CNIL afferma che la raccolta non può soddisfare le aspettative ragionevoli delle persone se i siti che rifiutano chiaramente lo scraping non vengono esclusi. L'EDPB e l'AP elencano il rispetto del robots.txt tra le tutele. Ai sensi della direttiva DSM, una riserva leggibile da macchina limita anche il text and data mining.

### Qual è la mia autorità?

Di solito l'autorità del paese della tua sede principale nell'UE. Ogni paese dell'UE ne ha una o più, elencate come membri dell'EDPB. Esempi sono la CNIL in Francia, il Garante in Italia e l'Autoriteit Persoonsgegevens nei Paesi Bassi.

### I prezzi e le spese di consegna sono dati personali?

Di solito no, quando appartengono a un'azienda. Possono diventare dati personali quando sono legati a una persona, come il nome di un imprenditore individuale o l'annuncio di un venditore privato. Controlla ogni campo.

### Cosa conserva EuroCity Proxies sulle mie richieste?

Non registriamo il contenuto delle tue richieste, gli URL completi o i dati delle pagine. Per gestire le segnalazioni di abuso e le contestazioni di fatturazione, conserviamo i metadati di connessione (ora, account, IP di uscita, hostname di destinazione, byte) per un massimo di 30 giorni, poi li cancelliamo. Conserviamo il numero di account, gli ordini, i record delle ricariche e i totali di traffico finché il tuo account è aperto, e successivamente solo per il tempo richiesto dalle regole contabili. Comunichiamo i dati alle autorità solo quando la legge lo richiede. Il nostro provider di rete upstream può conservare i propri log secondo la propria policy.

## Fonti

1. [Regolamento (UE) 2016/679 (GDPR), articoli 4, 5, 6, 9, 14, 21 e 35](https://eur-lex.europa.eu/eli/reg/2016/679/oj) — EUR-Lex (checked 2026-10-18)
2. [Direttiva (UE) 2019/790 sul diritto d'autore nel mercato unico digitale, articoli 3 e 4](https://eur-lex.europa.eu/eli/dir/2019/790/oj) — EUR-Lex (checked 2026-10-18)
3. [Linee guida 1/2024 sul trattamento dei dati personali basato sull'articolo 6, paragrafo 1, lettera f), del GDPR](https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2024/guidelines-12024-processing-personal-data-based_en) — European Data Protection Board (adopted 2024-10-08, checked 2026-10-18)
4. [Relazione sul lavoro svolto dalla ChatGPT Taskforce](https://www.edpb.europa.eu/our-work-tools/our-documents/other/report-work-undertaken-chatgpt-taskforce_en) — European Data Protection Board (2024-05-24, checked 2026-10-18)
5. [Parere 28/2024 su taluni aspetti della protezione dei dati relativi al trattamento dei dati personali nel contesto dei modelli di IA](https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en) — European Data Protection Board (2024-12-18, checked 2026-10-18)
6. [La base légale de l'intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping)](https://www.cnil.fr/fr/focus-interet-legitime-collecte-par-moissonnage) — CNIL (2025-06-19, checked 2026-10-18)
7. [Provvedimento del 20 maggio 2024 [10020316]: Nota informativa in materia di web scraping per finalità di addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10020316) — Garante per la protezione dei dati personali (2024-05-20, checked 2026-10-18)
8. [Handreiking scraping door particulieren en private organisaties](https://www.autoriteitpersoonsgegevens.nl/documenten/handreiking-scraping-door-particulieren-en-private-organisaties) — Autoriteit Persoonsgegevens (2025-04-02, checked 2026-10-18)
9. [Il Tribunale regionale superiore di Amburgo conferma che l'addestramento dell'IA era consentito (Kneschke c. LAION)](https://www.twobirds.com/en/insights/2025/germany/higher-regional-court-hamburg-confirms-ai-training-was-permitted-%28kneschke-v,-d-,-laion%29) — Bird & Bird (2025-12-17, checked 2026-10-18)
10. [Membri dell'EDPB (autorità di controllo nazionali)](https://www.edpb.europa.eu/about-edpb/about-edpb/members_en) — European Data Protection Board (checked 2026-10-18)
11. [RFC 9309: Robots Exclusion Protocol](https://www.rfc-editor.org/rfc/rfc9309) — IETF (September 2022)

---

EuroCity Proxies: EuroCity Proxies è un provider di proxy residenziali con targeting a livello città in tutta Europa, pagabili in cripto senza caricare documenti d'identità: IP su banda larga domestica fatturati per GB, con una pagina di dati locali per ciascuna delle 103 città in 35 paesi.