Trả lời nhanh
GDPR yêu cầu gì khi tôi thu thập dữ liệu công khai qua proxy?
Khi dữ liệu bao gồm dữ liệu cá nhân, hãy ghi rõ cơ sở pháp lý, thường là lợi ích chính đáng theo Điều 6(1)(f) GDPR, và chỉ thu thập những trường bạn cần. Loại trừ các trang phản đối việc thu thập dữ liệu và tôn trọng các tuyên bố bảo lưu về khai thác văn bản và dữ liệu. EuroCity Proxies đã viết danh sách kiểm tra này dựa trên hướng dẫn của EDPB, CNIL, Garante và AP Hà Lan đọc vào tháng 10 năm 2026. Đây không phải là tư vấn pháp lý.
GDPR có áp dụng cho dữ liệu mà bất kỳ ai cũng có thể đọc trực tuyến không?
Có, ngay khi dữ liệu liên quan đến một người có thể nhận dạng được. GDPR định nghĩa dữ liệu cá nhân trong Điều 4(1), và việc dữ liệu công khai không loại bỏ nó khỏi phạm vi. Cơ quan Hà Lan (AP) viết rằng thu thập dữ liệu (scraping) hầu như luôn thu thập dữ liệu cá nhân.
Một số dữ liệu thường không phải là dữ liệu cá nhân: bảng giá của siêu thị, phí giao hàng, giờ mở cửa của chuỗi cửa hàng. Dữ liệu khác trên cùng trang đó thì có: tên người đánh giá, người bán tư nhân trong quảng cáo rao vặt, số điện thoại của đại lý, khuôn mặt trong ảnh. Hãy lập bản đồ từng trường trước khi thu thập.
Những bước nào thuộc danh sách kiểm tra?
Lập bản đồ các trường
Liệt kê mọi trường bạn dự định thu thập và đánh dấu những trường có thể nhận dạng một người. Loại bỏ những trường bạn không cần.
Ghi lại cơ sở pháp lý
Đối với lợi ích chính đáng, EDPB nêu ba điều kiện tích lũy. Đó là lợi ích chính đáng, sự cần thiết của việc xử lý và kiểm tra cân bằng để đảm bảo lợi ích của những người liên quan không vượt trội. Hãy viết đánh giá trước khi bắt đầu.
Giảm thiểu và lọc
Điều 5(1)(c) yêu cầu dữ liệu được giới hạn ở mức cần thiết. CNIL yêu cầu tiêu chí thu thập chính xác được xác định trước và xóa ngay dữ liệu thu thập ngoài tiêu chí đó.
Loại trừ các trang phản đối
Bỏ qua các trang từ chối thu thập dữ liệu thông qua robots.txt, CAPTCHA hoặc điều khoản của họ. CNIL và EDPB đều đưa ra điều này như một biện pháp bảo vệ.
Tránh dữ liệu nhạy cảm
Sức khỏe, tôn giáo, quan điểm chính trị và các loại dữ liệu khác theo Điều 9 cần một ngoại lệ riêng. Hãy lọc chúng ra và xóa ngay nếu vô tình thu thập.
Thông báo và cho phép phản đối
Điều 14 đề cập đến dữ liệu không thu được từ người đó, và Điều 21 trao quyền phản đối. CNIL đề xuất công bố danh sách nguồn và duy trì danh sách từ chối (opt-out).
Chạy DPIA khi rủi ro cao
Điều 35 yêu cầu đánh giá tác động bảo vệ dữ liệu đối với xử lý rủi ro cao; hướng dẫn của AP về thu thập dữ liệu bao gồm điều này.
Kiểm tra bảo lưu quyền tác giả
Khai thác văn bản và dữ liệu theo Điều 4 của Chỉ thị DSM dừng lại khi chủ sở hữu quyền đã bảo lưu, bằng phương tiện máy đọc được đối với nội dung trực tuyến.
Các cơ quan bảo vệ dữ liệu EU đã nói gì về thu thập dữ liệu web?
| Cơ quan | Tài liệu | Ngày | Điểm cho người dùng proxy |
|---|---|---|---|
| EDPB | Hướng dẫn 1/2024 về xử lý dựa trên Điều 6(1)(f), phiên bản 1.0 để tham vấn | Thông qua ngày 8 tháng 10 năm 2024 | Ba điều kiện tích lũy, được đánh giá và ghi lại trước khi xử lý |
| EDPB | Báo cáo công việc của Lực lượng đặc nhiệm ChatGPT | Công bố ngày 24 tháng 5 năm 2024 | Coi thu thập dữ liệu web là giai đoạn thu thập với các rủi ro riêng, được đánh giá theo Điều 6(1)(f) |
| EDPB | Ý kiến 28/2024 về mô hình AI | Thông qua ngày 18 tháng 12 năm 2024 | Ví dụ về biện pháp bảo vệ bao gồm loại trừ các trang phản đối, chẳng hạn bằng cách tôn trọng robots.txt hoặc ai.txt |
| CNIL (Pháp) | Fiche focus: lợi ích chính đáng và thu thập bằng thu thập dữ liệu web | 19 tháng 6 năm 2025 | Tiêu chí thu thập được đặt trước, loại trừ các trang từ chối thu thập dữ liệu, xóa dữ liệu không liên quan, danh sách từ chối |
| Garante (Ý) | Ghi chú thông tin về thu thập dữ liệu web để đào tạo AI tạo sinh (sổ đăng ký quyết định số 329) | 20 tháng 5 năm 2024 (Gazzetta Ufficiale số 132, ngày 7 tháng 6 năm 2024) | Các biện pháp đối phó khả thi cho chủ sở hữu trang web, được trình bày như các lựa chọn thay vì nghĩa vụ theo GDPR |
| AP (Hà Lan) | Handreiking scraping door particulieren en private organisaties | Tháng 4 năm 2025 | Thu thập dữ liệu (scraping) gần như luôn liên quan đến dữ liệu cá nhân; việc tuân thủ robots.txt được liệt kê trong các biện pháp bảo vệ bổ sung |
Luật bản quyền EU quy định gì về khai thác văn bản và dữ liệu?
Điều 4 của Chỉ thị (EU) 2019/790 cho phép khai thác văn bản và dữ liệu đối với nội dung được truy cập hợp pháp. Điều này chỉ áp dụng nếu chủ sở hữu quyền không bảo lưu việc sử dụng đó, đối với nội dung trực tuyến bằng phương tiện máy đọc được như các quy tắc trong robots.txt. Điều 3 bổ sung một ngoại lệ rộng hơn cho các tổ chức nghiên cứu và tổ chức di sản văn hóa.
Vào tháng 12 năm 2025, Tòa án Khu vực Cấp cao Hamburg đã phán quyết rằng LAION, một hiệp hội nghiên cứu phi thương mại, có thể dựa vào ngoại lệ TDM cho nghiên cứu khoa học. Tòa cũng phán quyết rằng một bảo lưu bằng ngôn ngữ thông thường không phải là máy đọc được với công nghệ sẵn có vào năm 2021. Tòa cho biết điều này có thể thay đổi, và một kháng cáo tiếp theo lên Tòa án Liên bang Tối cao đã được cho phép. Đối với việc thu thập dữ liệu thương mại, hãy coi các bảo lưu bằng ngôn ngữ thông thường trong điều khoản sử dụng là có hiệu lực ràng buộc hiện nay. Đây không phải là tư vấn pháp lý.
Việc sử dụng proxy có thay đổi nghĩa vụ nào trong số này không?
Không. Bạn vẫn là bên kiểm soát dữ liệu mà bạn thu thập, bất kể IP đầu ra bạn sử dụng. Một IP dân cư ở Munich hay Milan cho bạn phiên bản cục bộ của một trang; điều đó không làm cho việc thu thập dữ liệu trở nên hợp pháp.
Về phía chúng tôi, Chính sách sử dụng chấp nhận được áp dụng cho mọi tài khoản. Bị chặn: Các trang ngân hàng, chính phủ và cổng thanh toán, cùng các cổng SMTP (gửi email) 25, 465 và 587. Chúng tôi không ghi log nội dung request, URL đầy đủ hay dữ liệu trang của bạn. Để xử lý báo cáo lạm dụng và tranh chấp thanh toán, chúng tôi lưu metadata kết nối (thời gian, tài khoản, IP thoát, hostname đích, số byte) tối đa 30 ngày, rồi xóa. Chúng tôi lưu số tài khoản, đơn hàng, hồ sơ nạp tiền và tổng lưu lượng khi tài khoản của bạn còn mở, và sau đó chỉ trong thời gian quy định kế toán yêu cầu. Chúng tôi chỉ tiết lộ hồ sơ cho cơ quan chức năng khi pháp luật yêu cầu. Nhà cung cấp mạng thượng nguồn của chúng tôi có thể lưu log riêng theo chính sách của họ. Chính sách quyền riêng tư cung cấp chi tiết.
Thiết lập hợp lý cho việc kiểm tra giá và tính cục bộ là gì?
Thu thập dữ liệu công ty, không phải dữ liệu cá nhân: giá cả, phí, tồn kho và khung giờ giao hàng. Loại bỏ tên người đánh giá, hồ sơ người bán và thông tin liên hệ khỏi trình phân tích cú pháp của bạn, hoặc xóa chúng trước khi lưu trữ.
Giữ tốc độ vừa phải, với một phiên cho mỗi thành phố và mỗi lần chạy, như được mô tả trong phiên dính theo thành phố. Đọc robots.txt và điều khoản của từng trang web trước lần chạy đầu tiên. Khi một trang web từ chối truy cập tự động, hãy kiểm tra thủ công hoặc sử dụng API chính thức của trang.
GDPR và proxy: các câu hỏi
Thu thập dữ liệu công khai có hợp pháp ở EU không?
Điều đó phụ thuộc vào dữ liệu, mục đích và điều khoản của trang web. Dữ liệu cá nhân công khai vẫn thuộc phạm vi GDPR, và các bảo lưu bản quyền có thể giới hạn việc khai thác văn bản và dữ liệu. Trang này liệt kê các quy tắc và hướng dẫn; nó không quyết định trường hợp của bạn. Đây không phải là tư vấn pháp lý.
Lợi ích chính đáng có thể bao trùm một dự án thương mại không?
Có thể, nếu ba điều kiện được đáp ứng và ghi lại: lợi ích chính đáng, sự cần thiết và kiểm tra cân bằng. Hướng dẫn 1/2024 của EDPB giải thích từng điều kiện. Các cơ quan đánh giá theo từng trường hợp, với các biện pháp bảo vệ như giảm thiểu dữ liệu và loại trừ các trang web phản đối.
Tôi có cần tuân thủ robots.txt theo GDPR không?
GDPR không nêu tên robots.txt. CNIL cho rằng việc thu thập không thể đáp ứng kỳ vọng hợp lý của mọi người nếu không loại trừ các trang web rõ ràng từ chối scraping. EDPB và AP liệt kê việc tuân thủ robots.txt trong các biện pháp bảo vệ. Theo Chỉ thị DSM, một bảo lưu máy đọc được cũng giới hạn việc khai thác văn bản và dữ liệu.
Cơ quan nào là của tôi?
Thường là cơ quan của quốc gia nơi đặt trụ sở chính của bạn tại EU. Mỗi quốc gia EU có một hoặc nhiều cơ quan, được liệt kê là thành viên của EDPB. Ví dụ là CNIL ở Pháp, Garante ở Ý và Autoriteit Persoonsgegevens ở Hà Lan.
Giá cả và phí giao hàng có phải là dữ liệu cá nhân không?
Thường không, khi chúng thuộc về một công ty. Chúng có thể trở thành dữ liệu cá nhân khi gắn với một người, chẳng hạn như tên của một hộ kinh doanh cá thể hoặc tin đăng của một người bán tư nhân. Hãy kiểm tra từng trường.
EuroCity Proxies lưu giữ những gì về các yêu cầu của tôi?
Chúng tôi không ghi log nội dung request, URL đầy đủ hay dữ liệu trang của bạn. Để xử lý báo cáo lạm dụng và tranh chấp thanh toán, chúng tôi lưu metadata kết nối (thời gian, tài khoản, IP thoát, hostname đích, số byte) tối đa 30 ngày, rồi xóa. Chúng tôi lưu số tài khoản, đơn hàng, hồ sơ nạp tiền và tổng lưu lượng khi tài khoản của bạn còn mở, và sau đó chỉ trong thời gian quy định kế toán yêu cầu. Chúng tôi chỉ tiết lộ hồ sơ cho cơ quan chức năng khi pháp luật yêu cầu. Nhà cung cấp mạng thượng nguồn của chúng tôi có thể lưu log riêng theo chính sách của họ.
Nguồn (11)
- Quy định (EU) 2016/679 (GDPR), Điều 4, 5, 6, 9, 14, 21 và 35 — EUR-Lex (checked 2026-10-18)
- Chỉ thị (EU) 2019/790 về bản quyền trong Thị trường Kỹ thuật số Đơn lẻ, Điều 3 và 4 — EUR-Lex (checked 2026-10-18)
- Hướng dẫn 1/2024 về xử lý dữ liệu cá nhân dựa trên Điều 6(1)(f) GDPR — European Data Protection Board (adopted 2024-10-08, checked 2026-10-18)
- Báo cáo công việc của Lực lượng đặc nhiệm ChatGPT — European Data Protection Board (2024-05-24, checked 2026-10-18)
- Ý kiến 28/2024 về một số khía cạnh bảo vệ dữ liệu liên quan đến việc xử lý dữ liệu cá nhân trong bối cảnh các mô hình AI — European Data Protection Board (2024-12-18, checked 2026-10-18)
- La base légale de l'intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) — CNIL (2025-06-19, checked 2026-10-18)
- Provvedimento del 20 maggio 2024 [10020316]: Nota informativa in materia di web scraping per finalità di addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto — Garante per la protezione dei dati personali (2024-05-20, checked 2026-10-18)
- Handreiking scraping door particulieren en private organisaties — Autoriteit Persoonsgegevens (2025-04-02, checked 2026-10-18)
- Tòa án Khu vực Cấp cao Hamburg xác nhận việc huấn luyện AI được phép (Kneschke v. LAION) — Bird & Bird (2025-12-17, checked 2026-10-18)
- Các thành viên EDPB (cơ quan giám sát quốc gia) — European Data Protection Board (checked 2026-10-18)
- RFC 9309: Giao thức Loại trừ Robot (Robots Exclusion Protocol) — IETF (September 2022)