Strganje in ponovna uporaba podatkov platforme: pravni okvir

Ta članek predstavlja splošni pravni okvir v skladu z nizozemsko in evropsko zakonodajo. Ne gre za nasvet o nobeni posebni situaciji. Izid vprašanja o strganju podatkov je vedno odvisen od natančnih dejstev: uporabljene tehnike, narave podatkov, načina njihovega shranjevanja, predvidene uporabe in tehnične konfiguracije vira.

Javno ne pomeni prosto za uporabo

Vsakdo, ki zbira podatke s spletne platforme in jih daje na voljo drugje, deluje na območju, ki ga pogosto opisujejo kot sivo, vendar je ob natančnejšem pregledu bolje opredeljeno, kot se domneva. Vprašanje se postavlja za storitve primerjave cen, orodja za zaposlovanje in podjetja za tržne raziskave, v zadnjih letih pa predvsem za stranke, ki zbirajo podatke za usposabljanje modelov umetne inteligence v velikem obsegu.

Noben zakon ne prepoveduje zbiranja javno dostopnih podatkov kot takih. Prav tako ne velja obratno: dejstvo, da so podatki vidni brez prijave, ne pomeni, da jih je mogoče prosto ponovno uporabiti. Vsak, ki zbira, shranjuje in ponovno uporablja podatke, deluje na presečišču petih področij: pravic do podatkovnih baz, avtorskih pravic, pogodbenega prava, kazenskega prava in Splošne uredbe o varstvu podatkov . Izid ne določa, ali so bili podatki javni, temveč kako so bili pridobljeni, shranjeni in ponovno dani na voljo.

Trije modeli zbiranja podatkov, trije profili tveganja

Pomaga razlikovati med tremi načini delovanja. Pri povezovanju in vdelavi se storitev nanaša le na gradivo, ki ga je platforma sama že objavila. Pri neodvisnem pridobivanju in shranjevanju storitev zbira podatke, jih hrani na svojih strežnikih in jih od tam streže. V tretjem modelu se zgodi enako, vendar se pri tem zaobide prijavni zid, zahteva po žetonu, CAPTCHA ali druga tehnična omejitev dostopa.

Prvi model ima najnižji profil tveganja: v smislu avtorskih pravic ni nove javnosti, če je gradivo že prosto dostopno in če se ne zaobidejo nobene tehnične omejitve. To pa ne pomeni, da je brez tveganja: uokvirjanje, zavajajoča predstavitev, uporaba blagovne znamke ali prenos osebnih podatkov, kot so naslovi IP, prek vdelanih elementov lahko še vedno povzročijo izpostavljenost. Drugi model je sporen in je močno odvisen od obsega in narave tega, kar je ukradeno. Tretji je daleč najbolj izpostavljen, saj lahko hkrati sproži civilno in kazensko odgovornost ter odgovornost za varstvo podatkov.

Spodnja matrika daje prvi, začasni pokazatelj in ne fiksnega pravnega pravila.

Pravice do podatkovnih baz: znatna naložba

Za platformo je pravica sui generis do baze podatkov običajno najbolj obetavna podlaga. Direktiva 96/9/ES , ki je bila prenesena v nizozemski zakon o bazah podatkov , ščiti izdelovalca baze podatkov pred izvlečenjem ali ponovno uporabo bistvenega dela njene vsebine ter tudi pred ponavljajočim se in sistematičnim izvlečenjem manjših delov, kadar je to v nasprotju z običajno uporabo.

Ustvarjanje v primerjavi s pridobivanjem

V zadevi British Horseracing Board proti William Hill (C-203/02) je Sodišče razsodilo, da šteje le naložba v pridobivanje, preverjanje in predstavitev obstoječih podatkov, ne pa stroški njihovega ustvarjanja.

Vsebina, ki jo ustvarijo uporabniki

Za platforme, katerih vsebino brezplačno prispevajo uporabniki, je ta razlika obojestranska in ni samodejno ugodna. Po eni strani platforma ne ustvarja podatkov, kar odpira vrata zaščiti. Po drugi strani pa pridobitev le-teh ne stane nič: uporabniki jih nalagajo prostovoljno in na lastno pobudo, zato je na tej stopnji malo za vlaganje. Zaščita torej ne izhaja iz velikosti nabora podatkov, temveč le, če lahko platforma dokaže znatno naložbo v to, kar se zgodi po zbiranju: preverjanje, moderiranje in čiščenje, nadzor kakovosti, indeksiranje in infrastrukturna predstavitev podatkov. Ali te naložbe skupaj dosegajo prag, je dejansko vprašanje, ki ga je treba utemeljiti za vsako platformo in nabor podatkov s podatki o osebju, infrastrukturi in sistemih, ne pa s sklicevanjem na velikost uporabniške baze.

Meta iskalniki in strgala

V zadevi Innoweb proti Wegenerju (C-202/12) je Sodišče razsodilo, da storitev, ki posreduje iskalne poizvedbe v realnem času v podatkovno zbirko druge stranke in prikazuje rezultate v svojem vmesniku, ponovno uporablja to podatkovno zbirko, ne glede na to, ali so podatki trajno shranjeni lokalno. To je bistvo mnogih strgalnikov in alternativnih vmesnikov, tudi če ne hranijo ničesar.

Izjema za besedilno in podatkovno rudarjenje

Člena 3 in 4 direktive DSM , ki sta implementirana v členih 15n in 15o nizozemskega zakona o avtorskih pravicah , določata izjemo za besedilno in podatkovno rudarjenje. Za komercialne stranke ta izjema velja le, če imetnik pravic ni izrecno pridržal svojih pravic, pridržek pa mora biti zabeležen v strojno berljivi obliki, na primer prek metapodatkov API, pogodbenih določb ali navodil robots.txt.

Avtorske pravice in vmesniki platforme

Na platformah, ki ponujajo uporabniške vsebine, se avtorske pravice rutinsko pripisujejo napačni stranki. Objave in slike načeloma pripadajo njihovim posameznim avtorjem, če je delo avtorjeva lastna intelektualna stvaritev v smislu zadeve Infopaq (C-5/08). Kratke, dejanske objave pogosto ne dosegajo tega praga, zato v mnogih primerih preprosto ni ničesar, kar bi bilo treba zaščititi.

Kdo lahko uveljavlja

Pogoji uporabe običajno platformi podeljujejo le neizključno licenco. Tu se pogosto zamenjujejo tri vprašanja: materialne avtorske pravice, ki ostanejo avtorju; pravica do prepovedi kršitve, ki načeloma pripada le imetniku pravic ali imetniku izključne licence; in sposobnost vložitve tožbe, ki jo lahko platforma uveljavlja, če je pridobila izrecno pooblastilo imetnikov pravic.

Po nizozemski zakonodaji imetnik zgolj neizključne licence nima samostojne pravice do tožbe zaradi kršitve. Platforma pa lahko ločeno od vsebine uveljavlja svoje pravice: avtorske pravice v grafičnem uporabniškem vmesniku, strukturi in ikonah baze podatkov ter pravice blagovnih znamk v trgovskih imenih in logotipih. Storitev, ki te elemente sprejme, da bi se zdela znana, platformi daje podlago, ki je ni imela v zvezi z osnovno vsebino.

Povezovanje in kopiranje

Tukaj veljajo tri smeri sodne prakse Sodišča. Hiperpovezava do vira, ki je že prosto dostopen, ni nova priobčitev javnosti (Svensson, C-466/12). Prenos dela in njegova namestitev na lasten strežnik pa je, ker delo s tem postane dostopno drugi javnosti (Renckhoff, C-161/17). Obhod tehničnih varstvenih ukrepov doseže javnost, ki je imetnik pravic ni imel v mislih, kar prav tako predstavlja novo priobčitev javnosti (VG Bild-Kunst, C-392/19).

Pogodbeno pravo: pogoji uporabe in paradoks Ryanaira

Praktično vsaka platforma v svojih pogojih prepoveduje avtomatiziran dostop. Prvo vprašanje pa je, ali je sploh prišlo do sklenitve pogodbe, in to se bistveno razlikuje med javnimi obiskovalci in registriranimi računi. Zgolj brskanje po strani, sklic na dnu strani, le redko zavezuje obiskovalca po nizozemski zakonodaji, razen če je mogoče ugotoviti aktivno sprejetje. Pri kliku po strani, kjer so pogoji izrecno sprejeti ob registraciji, so pogoji načeloma zavezujoči in avtomatizirano ustvarjanje računa hitro postane samo po sebi kršitev.

Paradoks Ryanaira

V zadevi Ryanair proti PR Aviation (C-30/14) je Sodišče razsodilo, da kadar baza podatkov ni zaščitena niti z avtorsko pravico niti s pravico sui generis, obvezne pravice uporabnikov v skladu z Direktivo o bazah podatkov ne veljajo. Upravljavec lahko nato s pogodbo znatno omeji ponovno uporabo. Šibkejši kot je položaj intelektualne lastnine, močnejši se lahko izkaže za pogodbeni. Po tej predhodni odločbi se je zadeva vrnila na nizozemska sodišča, pritožbeno sodišče v Haagu pa je v sodbi z dne 23. januarja 2018 razsodilo, da prepoved uporabe baze podatkov v pogojih družbe Ryanair v nasprotju s prejšnjo ugotovitvijo ni bila nična sama po sebi. Ta sodba kaže tudi, koliko je odvisno od prava, ki ureja pogoje: sodišče je sprejem z brskanjem in prekrivanjem ocenilo v skladu s pravom, ki ga je Ryanair izbral v teh pogojih, ne pa v skladu z nizozemskim pravom.

Ničnost, kadar je baza podatkov zaščitena

Kadar baza podatkov uživa varstvo sui generis, je pogodbena prepoved pridobivanja nebistvenih delov nična v skladu s členom 15 Direktive o bazah podatkov. To varstvo je na voljo le stranki, ki se kvalificira kot zakoniti uporabnik, kar je odvisno od načina pridobitve dostopa do baze podatkov.

Praktična slabost pogodbenega zahtevka

Zavezuje le nasprotno stranko in ne njenih končnih uporabnikov, izgubo je težko količinsko opredeliti, kadar je platforma brezplačna, in izvedljiva kazenska klavzula pogosto ni prisotna. Pogodbena podlaga je zato skoraj vedno kombinirana s pravicami do baze podatkov, avtorskimi pravicami ali odškodninsko odgovornostjo.

Kazenskopravne omejitve: nepooblaščen dostop

Vsaka kršitev pogojev dostopa ne pomeni nepooblaščenega dostopa in razprava preveč hitro napelje do tega zaključka. Člen 138ab nizozemskega kazenskega zakonika zahteva nameren in nezakonit vdor v avtomatiziran sistem, na primer z vdorom varnosti, tehničnim posegom, uporabo lažnega ključa ali prevzemom lažne identitete.

Pošiljanje zahtev hitreje, kot je ponudnik nameraval, ignoriranje datoteke robots.txt ali registracija računa pod psevdonimom ali z izmišljenimi podatki samo po sebi še ne pomeni vdora. Javni obrazec za registracijo je odprt za vse in nič ni kršeno. To lahko krši pogoje uporabe, vendar je to civilna zadeva.

Izpostavljenost kriminalu se poveča takoj, ko so premagane konkretne tehnične ovire za dostop: ponovna uporaba zajetih žetonov za preverjanje pristnosti ali ključev API ali namerno izogibanje interaktivnim sistemom proti robotom in CAPTCHA. Pravna opredelitev ne izhaja samodejno iz imena uporabljene tehnike. Ali se nekaj šteje za vdor, tehnični poseg ali uporabo lažnega ključa, ostaja stvar presoje, specifične za dejstva, ki se osredotoča na delovanje varnostnega mehanizma, namen uporabnika in naravo tega, kar se zaobide.

Varstvo podatkov pri obsežnem strganju podatkov

Ko je mogoče strgane podatke neposredno ali posredno slediti fizičnim osebam, vključno z uporabniškimi imeni, profilnimi slikami, objavami, IP-naslovi in ​​statistiko profila, strgalec običajno šteje za upravljavca: stranko, ki določa namene in sredstva obdelave.

V praksi se pogosto sklicuje na legitimne interese. To je možna podlaga in ne samodejna licenca: zahteva oceno omejitve namena, nujnosti in subsidiarnosti ter tehtanje, pri katerem tehtajo tudi razumna pričakovanja posameznika, na katerega se nanašajo osebni podatki. Kadar gre za občutljive podatke, obsežno spremljanje ali profiliranje, se lahko to tehtanje obrne na drugo stran.

Člen 14(5)(b) GDPR določa izjemo od dolžnosti obveščanja, kadar je obveščanje nemogoče ali bi vključevalo nesorazmeren napor, kar se pogosto zgodi pri podatkih, zbranih v velikem obsegu. Ta izjema vpliva samo na dolžnost obveščanja. Omejitev namena in zmanjšanje podatkov, evidenca dejavnosti obdelave, pravice posameznikov, na katere se nanašajo osebni podatki, vključno z dostopom, ugovorom in izbrisom, ustrezni varnostni ukrepi in v primeru obsežne obdelave ocena učinka na varstvo podatkov, vse to še naprej velja v celoti.

Samo dejstvo, da so osebni podatki javno objavljeni na platformi, posameznika, na katerega se nanašajo osebni podatki, ne prikrajša za njegove pravice in ne daje dovoljenja za nadaljnjo obdelavo ali profiliranje. To je tudi del okvira, ki ga ne izvaja platforma, temveč nadzorni organ in zadevni posamezniki, zaradi česar tveganje obstaja ne glede na to, ali vir ukrepa.

Kontrolni seznam za tiste, ki zbirajo osebne podatke

• Kateri podatki se natančno zbirajo in ali gre za običajne ali posebne osebne podatke?
• Kakšen je poseben namen obdelave?
• Kakšna je pravna podlaga in ali vzdrži oceno nujnosti in tehtanja?
• Kako so posamezniki, na katere se nanašajo osebni podatki, obveščeni in ali velja izjema od dolžnosti obveščanja?
• Kako dolgo se podatki hranijo?
• Ali se podatki prenašajo zunaj Evropskega gospodarskega prostora?
• Ali je glede na obseg in naravo obdelave potrebna ocena učinka na varstvo podatkov?
• Ali je mogoče zahteve za dostop, popravek in izbris dejansko tehnično izvesti?

Podatki o usposabljanju umetne inteligence: poseben pomislek

Usposabljanje modelov umetne inteligence in jezikov na strganih podatkih dodaja dodatne pravne plasti poleg zgornjih okvirov. Zbiranje, shranjevanje in učenje niso ista stvar in vsako ima svoj preizkus. Zbiranje in začasno shranjevanje učnih podatkov lahko spada pod izjemo besedilnega in podatkovnega rudarjenja; uporaba teh podatkov za učenje modela in komercialno izkoriščanje njegovih rezultatov je ločeno dejanje, ki ga je treba ponovno oceniti glede na avtorske pravice, pravice do podatkovnih baz in GDPR.

Razvijalci komercialne umetne inteligence se lahko načeloma zanesejo na izjemo rudarjenja, vendar le, dokler platforme niso uvedle strojno berljive zavrnitve. Kadar podatki za učenje predstavljajo del bistvenega dela zaščitene baze podatkov, pravica sui generis ostaja pomembna ne glede na to, ali izjema zajema element avtorske pravice.

V skladu z GDPR zbiranje osebnih podatkov za namene usposabljanja zahteva trdno pravno podlago in, v velikem obsegu, oceno učinka. Posebno tveganje za skladnost je, da je pravico do izbrisa in pravico do popravka težko uporabiti za parametre, ki so že vključeni v usposobljen model: odstranitev iz modela je le redko preprosta tehnična operacija. Ta napetost med pravno obveznostjo in tehnično izvedljivostjo je živa skrb nadzornih organov. Tudi tukaj velja logika Ryanaira: platforme s šibko zaščito intelektualne lastnine lahko še vedno močno omejijo ponovno uporabo za usposabljanje z umetno inteligenco s svojimi pogoji, če je bila sklenjena pogodba.

Izvrševanje in pravdanje

Ugotavljanje ravnanja le redko predstavlja težaven del. Dnevniki strežnikov, razponi IP-jev, prstni odtisi brskalnika in vzorci zahtev povezujejo promet z računi. Platforme vgrajujejo tudi kanarčkove podatke: sintetične, neopazne podatkovne točke, ki dokazujejo izvor, ko se pojavijo drugje. Pri projektih odprte kode je izvorna koda javna in natančno dokumentira, katere končne točke so poklicane.

Težje je najti stranko, ki jo je treba kaznovati, kadar se operacija izvaja za proxy strežniki ali anonimnimi domenami. Razkritje identifikacijskih podatkov se lahko nato zahteva od posrednika, kot je ponudnik gostovanja, na podlagi meril, ki jih je določilo nizozemsko vrhovno sodišče v zadevi Lycos proti Pessers.

Civilno izvrševanje poteka predvsem z začasnimi postopki na podlagi odškodninske odgovornosti ali kršitve intelektualne lastnine, kjer zadostuje verjeten primer in se zahteva nujna odredba z denarno kaznijo. Glede na stroške in dokazno breme celotnega postopka platforme v praksi pogosto združujejo tehnične ukrepe z obvestili ponudnikom gostovanja, storitvam CDN, trgovinam z aplikacijami in registrarjem domen. Zakon o digitalnih storitvah v ta namen določa standardiziran postopek obveščanja. Sam po sebi ne določa, ali je ravnanje nezakonito; ponuja le hitrejši način za njegovo obravnavo, njegova uporaba pa je odvisna od vloge zadevne storitve in narave obvestila.

Pogosta vprašanja

Viri

Sodišče EU z dne 9. novembra 2004, C-203/02 (Britanska komisija za konjske dirke proti William Hillu)

SEU 16. julij 2009, C-5/08 (Infopaq)

SEU 19. december 2013, C-202/12 (Innoweb proti Wegenerju)

SEU 13. februarja 2014, C-466/12 (Svensson)

Sodišče EU z dne 15. januarja 2015, C-30/14 (Ryanair proti PR Aviation)

Sodišče EU z dne 7. avgusta 2018, C-161/17 (Renckhoff)

SEU 9. marec 2021, C-392/19 (VG Bild-Kunst)

Prizivno sodišče v Haagu, 23. januar 2018, ECLI:NL:GHDHA:2018:61 (Ryanair proti PR Aviation, po predložitvi zadeve)

Nizozemsko vrhovno sodišče, 25. november 2005, ECLI:NL:HR:2005:AU4019 (Lycos proti Pessers)

Direktiva 96/9/ES (direktiva o podatkovnih bazah), implementirana v nizozemskem zakonu o podatkovnih bazah

Direktiva (EU) 2019/790 (direktiva DSM), člena 3 in 4; nizozemski zakon o avtorskih pravicah, člena 15n in 15o

Nizozemski zakon o avtorskih pravicah, 1. in 27. člen

Nizozemski kazenski zakonik, člen 138ab

Uredba (EU) 2016/679 (GDPR), členi 4, 5, 6, 14, 15–21, 30, 32 in 35

Uredba (EU) 2022/2065 (Zakon o digitalnih storitvah)

Nizozemski civilni zakonik, knjiga 6, člena 162 in 217; nizozemski zakonik o civilnem postopku, člena 254 in 1019

Law & More svetuje tako podjetjem, ki obdelujejo podatke tretjih oseb, kot tudi osebam, ki želijo zaščititi svoje lastne zbirke podatkov. Prosimo, da nas kontaktirate. kontaktiraj nas za oceno konkretne situacije.