Zbieranie i ponowne wykorzystywanie danych z platformy: ramy prawne

Niniejszy artykuł przedstawia ogólne ramy prawne prawa holenderskiego i europejskiego. Nie stanowi on porady dotyczącej konkretnej sytuacji. Wynik pytania dotyczącego scrapowania zawsze zależy od konkretnych faktów: zastosowanej techniki, charakteru danych, sposobu ich przechowywania, zamierzonego wykorzystania oraz konfiguracji technicznej źródła.

Publiczne nie oznacza bezpłatnego użytkowania

Każdy, kto gromadzi dane z platformy internetowej i udostępnia je gdzie indziej, działa w obszarze często określanym jako szary, który jednak po bliższym przyjrzeniu się okazuje się lepiej zdefiniowany, niż się wydaje. Pytanie to pojawia się w przypadku porównywarek cen, narzędzi rekrutacyjnych i firm zajmujących się badaniami rynku, a w ostatnich latach przede wszystkim podmiotów gromadzących dane szkoleniowe dla modeli sztucznej inteligencji na dużą skalę.

Żaden przepis nie zabrania gromadzenia danych publicznie dostępnych jako takich. Analogicznie, nie obowiązuje zasada odwrotna: fakt, że dane są widoczne bez logowania, nie oznacza, że ​​można je swobodnie wykorzystywać. Każdy, kto gromadzi, przechowuje i wykorzystuje dane, działa na styku pięciu dziedzin: prawa do baz danych, prawa autorskiego, prawa umów, prawa karnego i ogólnego rozporządzenia o ochronie danych (RODO ). O wyniku decyduje nie to, czy dane były publiczne, ale sposób ich uzyskania, przechowywania i ponownego udostępnienia.

Trzy modele zbierania danych, trzy profile ryzyka

Warto rozróżnić trzy sposoby działania. W przypadku linkowania i osadzania usługa odnosi się wyłącznie do materiałów, które platforma już upubliczniła. W przypadku niezależnego pobierania i przechowywania, usługa gromadzi dane, przechowuje je na własnych serwerach i stamtąd je udostępnia. W trzecim modelu dzieje się to samo, ale w procesie pomija się barierę logowania, wymóg podania tokena, CAPTCHA lub inne techniczne ograniczenia dostępu.

Pierwszy model wiąże się z najniższym ryzykiem: nie ma nowej publiczności w rozumieniu praw autorskich, o ile materiał był już swobodnie dostępny, i nie obejdzie się żadnych ograniczeń technicznych. Nie oznacza to jednak, że jest on wolny od ryzyka: ramkowanie, wprowadzające w błąd prezentacje, używanie znaków towarowych lub przesyłanie danych osobowych, takich jak adresy IP, poprzez osadzenia mogą nadal prowadzić do ujawnienia. Drugi model jest dyskusyjny i w dużej mierze zależy od skali i charakteru treści, które są pobierane. Trzeci jest zdecydowanie najbardziej narażony, ponieważ może skutkować jednocześnie odpowiedzialnością cywilną, karną i ochroną danych.

Poniższa matryca przedstawia pierwsze, tymczasowe wskazówki, a nie ustaloną regułę prawa.

Prawa do baz danych: znaczna inwestycja

W przypadku platformy prawo sui generis do bazy danych jest zazwyczaj najbardziej obiecującą podstawą. Dyrektywa 96/9/WE , wdrożona w holenderskiej ustawie o bazach danych , chroni twórcę bazy danych przed ekstrakcją lub wtórnym wykorzystaniem znacznej części jej zawartości, a także przed wielokrotnym i systematycznym ekstrakcją mniejszych części, jeżeli jest to sprzeczne z normalnym użytkowaniem.

Tworzenie kontra uzyskiwanie

W sprawie British Horseracing Board przeciwko William Hill (C-203/02) Trybunał Sprawiedliwości orzekł, że liczy się jedynie inwestycja w uzyskanie, weryfikację i przedstawienie istniejących danych, a nie koszt ich utworzenia.

Treści generowane przez użytkowników

W przypadku platform, których treści są udostępniane bezpłatnie przez użytkowników, to rozróżnienie działa w obie strony i nie jest automatycznie korzystne. Z jednej strony platforma nie tworzy danych, co otwiera drogę do ochrony. Z drugiej strony, ich uzyskanie nic nie kosztuje: użytkownicy przesyłają dane dobrowolnie i z własnej inicjatywy, więc na tym etapie nie ma potrzeby inwestowania. Ochrona nie wynika zatem z rozmiaru zbioru danych, ale tylko wtedy, gdy platforma może wykazać się znaczącymi nakładami na to, co dzieje się po jego zebraniu: weryfikację, moderację i oczyszczanie, kontrolę jakości, indeksowanie oraz infrastrukturalną prezentację danych. To, czy te inwestycje łącznie spełniają próg, jest kwestią faktu, którą należy uzasadnić dla każdej platformy i każdego zbioru danych, przy czym dane liczbowe dotyczą personelu, infrastruktury i systemów, a nie odnoszą się do wielkości bazy użytkowników.

Meta wyszukiwarki i scrapery

W sprawie Innoweb przeciwko Wegener (C-202/12) Sąd orzekł, że usługa, która przekazuje zapytania wyszukiwania w czasie rzeczywistym do bazy danych innej strony i wyświetla wyniki we własnym interfejsie, ponownie wykorzystuje tę bazę danych, niezależnie od tego, czy dane są trwale przechowywane lokalnie. To leży u podstaw wielu scraperów i alternatywnych interfejsów, nawet jeśli niczego nie przechowują.

Wyjątek dotyczący eksploracji tekstu i danych

Artykuły 3 i 4 dyrektywy DSM , wdrożone w artykułach 15n i 15o holenderskiej ustawy o prawie autorskim , przewidują wyjątek dla eksploracji tekstu i danych. W przypadku podmiotów komercyjnych wyjątek ten ma zastosowanie tylko wtedy, gdy podmiot praw autorskich nie zastrzegł wyraźnie swoich praw, a zastrzeżenie musi zostać zapisane w formie nadającej się do odczytu maszynowego, na przykład za pomocą metadanych API, postanowień umownych lub instrukcji w pliku robots.txt.

Prawa autorskie i interfejsy platformowe

Na platformach udostępniających treści użytkowników, prawa autorskie są rutynowo przypisywane niewłaściwej osobie. Posty i obrazy należą co do zasady do ich indywidualnych autorów, pod warunkiem, że dzieło jest ich własną twórczością intelektualną w rozumieniu orzeczenia Infopaq (C-5/08). Krótkie, rzeczowe posty często nie spełniają tego progu, więc w wielu przypadkach po prostu nie ma czego chronić.

Kto może egzekwować

Warunki użytkowania zazwyczaj przyznają platformie jedynie niewyłączną licencję. Często miesza się tu trzy kwestie: materialne prawa autorskie, które przysługują autorowi; prawo do zakazania naruszenia, które co do zasady przysługuje wyłącznie posiadaczowi praw lub wyłącznemu licencjobiorcy; oraz zdolność do wszczęcia postępowania, którą platforma może posiadać, jeśli uzyskała wyraźne upoważnienie od posiadaczy praw.

Zgodnie z prawem holenderskim licencjobiorca posiadający jedynie niewyłączną licencję nie ma samodzielnego prawa dochodzenia roszczeń z tytułu naruszenia. Platforma może jednak działać w oparciu o własne prawa, niezależnie od treści: prawa autorskie do graficznego interfejsu użytkownika, struktury bazy danych i ikon oraz prawa do znaków towarowych w postaci nazw handlowych i logo. Usługa, która wykorzystuje te elementy, aby sprawiać wrażenie znanej, daje platformie podstawę, której nie miała w odniesieniu do treści źródłowej.

Łączenie i kopiowanie

W tym przypadku obowiązują trzy linie orzecznictwa Trybunału Sprawiedliwości. Hiperlinkowanie do źródła, które jest już ogólnodostępne, nie stanowi nowego udostępnienia publicznego (Svensson, C-466/12). Pobranie utworu i umieszczenie go na własnym serwerze jest nowym udostępnieniem, ponieważ utwór staje się w ten sposób dostępny dla innej publiczności (Renckhoff, C-161/17). Z kolei obejście technicznych środków ochrony obejmuje publiczność, której podmiot praw autorskich nie miał na myśli, co również stanowi nowe udostępnienie publiczne (VG Bild-Kunst, C-392/19).

Prawo umów: warunki korzystania i paradoks Ryanair

Praktycznie każda platforma zabrania automatycznego dostępu w swoich regulaminach. Pierwsze pytanie brzmi jednak, czy umowa w ogóle została zawarta, a to różni się zasadniczo w przypadku użytkowników publicznych i zarejestrowanych kont. Samo kliknięcie linku, czyli odnośnik na dole strony, rzadko wiąże użytkownika zgodnie z prawem holenderskim, chyba że zostanie stwierdzona aktywna akceptacja. W przypadku kliknięcia linku, gdzie warunki są wyraźnie akceptowane podczas rejestracji, są one zasadniczo wiążące, a automatyczne tworzenie konta szybko staje się naruszeniem samego w sobie.

Paradoks Ryanaira

W sprawie Ryanair przeciwko PR Aviation (C-30/14) Trybunał Sprawiedliwości orzekł, że w przypadku gdy baza danych nie jest chroniona ani prawem autorskim, ani prawem sui generis, obowiązkowe prawa użytkownika wynikające z dyrektywy w sprawie baz danych nie mają zastosowania. Operator może wówczas w szerokim zakresie ograniczyć ponowne wykorzystanie na mocy umowy. Im słabsza pozycja własności intelektualnej, tym silniejsza może okazać się pozycja umowna. Po wydaniu orzeczenia w trybie prejudycjalnym sprawa powróciła do sądów holenderskich, a w wyroku z 23 stycznia 2018 r. Sąd Apelacyjny w Hadze orzekł, że zakaz korzystania z bazy danych zawarty w warunkach umowy Ryanair nie był, wbrew wcześniejszemu ustaleniu, nieważny z mocy prawa. Wyrok ten pokazuje również, jak wiele zależy od prawa regulującego warunki: sąd ocenił akceptację poprzez zawinięcie zgodnie z prawem wybranym przez Ryanair w tych warunkach, a nie zgodnie z prawem holenderskim.

Nullity, gdy baza danych jest chroniona

W przypadku gdy baza danych korzysta z ochrony sui generis, umowny zakaz pobierania nieistotnych jej części jest nieważny na mocy artykułu 15 Dyrektywy o Bazach Danych. Ochrona ta przysługuje wyłącznie stronie kwalifikującej się jako legalny użytkownik, którego status z kolei zależy od sposobu uzyskania dostępu do bazy danych.

Praktyczna słabość roszczenia umownego

Wiąże ona tylko kontrahenta, a nie jego użytkowników końcowych. Straty są trudne do oszacowania, gdy platforma jest bezpłatna, a klauzula karna często nie jest realistyczna. Podstawa umowna jest zatem prawie zawsze powiązana z prawami do baz danych, prawami autorskimi lub czynami niedozwolonymi.

Granice prawa karnego: nieuprawniony dostęp

Nie każde naruszenie warunków dostępu jest równoznaczne z nieautoryzowanym dostępem, a debata zbyt łatwo zmierza do tego wniosku. Artykuł 138ab holenderskiego kodeksu karnego wymaga umyślnego i bezprawnego włamania do systemu zautomatyzowanego, na przykład poprzez złamanie zabezpieczeń, interwencję techniczną, użycie fałszywego klucza lub przywłaszczenie sobie fałszywej tożsamości.

Wysyłanie żądań szybciej niż zamierzył dostawca, ignorowanie pliku robots.txt lub rejestrowanie konta pod pseudonimem lub z fikcyjnymi danymi nie jest samo w sobie równoznaczne z wtargnięciem. Publiczny formularz rejestracyjny jest dostępny dla wszystkich i nic nie jest w nim zepsute. Może to naruszać warunki korzystania, ale jest to sprawa cywilna.

Ryzyko przestępczości wzrasta, gdy tylko zostaną pokonane konkretne techniczne bariery dostępu: ponowne wykorzystanie przechwyconych tokenów uwierzytelniających lub kluczy API, albo celowe obejście interaktywnych systemów antybotowych i CAPTCHA. Charakter prawny nie wynika automatycznie z nazwy zastosowanej techniki. To, czy coś kwalifikuje się jako włamanie, interwencja techniczna, czy użycie fałszywego klucza, pozostaje oceną opartą na konkretnych faktach, uwzględniającą sposób działania mechanizmu bezpieczeństwa, intencje użytkownika i charakter omijanego elementu.

Ochrona danych w przypadku scrapowania na dużą skalę

Gdy zebrane dane są bezpośrednio lub pośrednio powiązane z osobami fizycznymi (w tym nazwy użytkowników, zdjęcia profilowe, posty, adresy IP i statystyki profilu), podmiot zbierający dane zazwyczaj kwalifikuje się jako administrator, czyli strona ustalająca cele i sposoby przetwarzania.

W praktyce często powołuje się na uzasadnione interesy. Jest to możliwa podstawa, a nie automatyczna licencja: wymaga oceny ograniczenia celu, konieczności i subsydiarności oraz przeprowadzenia analizy równowagi, w której brane są pod uwagę również uzasadnione oczekiwania osoby, której dane dotyczą. W przypadku danych wrażliwych, monitorowania na dużą skalę lub profilowania, równowaga ta może być zachwiana.

Artykuł 14(5)(b) RODO przewiduje zwolnienie z obowiązku informacyjnego w przypadku, gdy udzielenie informacji jest niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, co często ma miejsce w przypadku danych gromadzonych na dużą skalę. To zwolnienie dotyczy wyłącznie obowiązku informacyjnego. Ograniczenie celu i minimalizacja danych, rejestr działań przetwarzania, prawa osób, których dane dotyczą, w tym dostęp, sprzeciw i usunięcie, odpowiednie środki bezpieczeństwa, a w przypadku przetwarzania na dużą skalę – ocena skutków dla ochrony danych – wszystkie te zasady nadal obowiązują w pełni.

Sam fakt, że dane osobowe pojawiają się publicznie na platformie, nie pozbawia osoby, której dane dotyczą, jej praw i nie stanowi licencji na dalsze przetwarzanie lub profilowanie. Jest to również jedyny element ram prawnych egzekwowanych nie przez platformę, a przez organ nadzorczy i osoby, których dane dotyczą, co sprawia, że ​​ryzyko istnieje niezależnie od tego, czy źródło podejmie działania.

Lista kontrolna dla osób zbierających dane osobowe

• Jakie dokładnie dane są gromadzone i czy są to zwykłe dane osobowe, czy szczególnej kategorii dane osobowe?
• Jaki jest konkretny cel przetwarzania?
• Jaka jest podstawa prawna i czy przetrwa ona ocenę konieczności i równowagi?
• W jaki sposób informowane są osoby, których dane dotyczą, i czy istnieje zwolnienie z obowiązku informacyjnego?
• Jak długo przechowywane są dane?
• Czy dane są przekazywane poza Europejski Obszar Gospodarczy?
• Czy ocena skutków dla ochrony danych jest konieczna, biorąc pod uwagę skalę i charakter przetwarzania?
• Czy żądania dostępu, sprostowania i usunięcia danych mogą być faktycznie technicznie realizowane?

Dane szkoleniowe AI: wyraźny problem

Szkolenie sztucznej inteligencji i modeli językowych na podstawie zebranych danych dodaje kolejne warstwy prawne do powyższych ram. Gromadzenie, przechowywanie i trenowanie to nie to samo i każde z nich podlega osobnym testom. Gromadzenie i tymczasowe przechowywanie danych treningowych może podlegać wyjątkowi dotyczącemu eksploracji tekstu i danych; wykorzystanie tych danych do trenowania modelu i komercyjne wykorzystanie jego wyników to osobna czynność, którą należy ponownie ocenić w kontekście praw autorskich, praw do baz danych i RODO.

Twórcy komercyjnych rozwiązań AI mogą zasadniczo powoływać się na wyjątek dotyczący wydobycia danych, ale tylko tak długo, jak platformy nie wdrożą czytelnego dla maszyn mechanizmu rezygnacji. W przypadku gdy dane treningowe stanowią część istotnej części chronionej bazy danych, prawo sui generis pozostaje istotne niezależnie od tego, czy wyjątek obejmuje element chroniony prawem autorskim.

Zgodnie z RODO, gromadzenie danych osobowych do celów szkoleniowych wymaga solidnej podstawy prawnej, a w odpowiedniej skali – oceny skutków. Szczególnym ryzykiem braku zgodności jest to, że prawo do usunięcia i prawo do sprostowania są trudne do zastosowania w odniesieniu do parametrów już wdrożonych w wytrenowanym modelu: usunięcie danych z modelu rzadko jest prostą operacją techniczną. To napięcie między obowiązkiem prawnym a wykonalnością techniczną jest istotnym problemem dla organów nadzorczych. Logika Ryanair ma tu zastosowanie również w tym przypadku: platformy o słabej ochronie własności intelektualnej mogą nadal w swoich warunkach umowy szeroko ograniczać ponowne wykorzystanie danych do celów szkoleniowych AI.

Praktyka egzekwowania prawa i postępowania sądowego

Ustalenie zachowania rzadko stanowi trudną część. Logi serwerów, zakresy adresów IP, odciski palców przeglądarki i wzorce żądań łączą ruch z kontami. Platformy osadzają również dane kanarkowe: syntetyczne, niepozorne punkty danych, które udowadniają pochodzenie, gdy pojawiają się gdzie indziej. W przypadku projektów open source kod źródłowy jest publiczny i precyzyjnie dokumentuje, które punkty końcowe są wywoływane.

Trudniej jest znaleźć stronę, która mogłaby zostać pociągnięta do odpowiedzialności, gdy operacja odbywa się za pośrednictwem serwerów proxy lub anonimowych domen. Ujawnienia danych identyfikacyjnych można wówczas żądać od pośrednika, takiego jak dostawca hostingu, zgodnie z kryteriami określonymi przez holenderski Sąd Najwyższy w sprawie Lycos przeciwko Pessers.

Egzekwowanie prawa cywilnego odbywa się głównie w drodze postępowania zabezpieczającego, opartego na czynach niedozwolonych lub naruszeniach praw własności intelektualnej, gdy wystarczają wiarygodne dowody i wnosi się o pilny nakaz sądowy wraz z karami pieniężnymi. Z uwagi na koszty i ciężar dowodowy pełnego postępowania, platformy w praktyce często łączą środki techniczne z powiadomieniami dostawców hostingu, usług CDN, sklepów z aplikacjami i rejestratorów domen. Ustawa o usługach cyfrowych (Digital Services Act) przewiduje w tym celu ujednoliconą procedurę powiadamiania. Sama ustawa nie rozstrzyga, czy dane działanie jest niezgodne z prawem; oferuje jedynie szybszą drogę do jego rozwiązania, a jej zastosowanie zależy od roli danej usługi i charakteru powiadomienia.

PYTANIA I ODPOWIEDZI

Źródła

TSUE 9 listopada 2004 r., C-203/02 (British Horseracing Board przeciwko William Hill)

TSUE 16 lipca 2009 r., C-5/08 (Infopaq)

TSUE 19 grudnia 2013 r., C-202/12 (Innoweb przeciwko Wegener)

TSUE 13 lutego 2014 r., C-466/12 (Svensson)

TSUE 15 stycznia 2015 r., C-30/14 (Ryanair przeciwko PR Aviation)

TSUE 7 sierpnia 2018 r., C-161/17 (Renckhoff)

TSUE 9 marca 2021 r., C-392/19 (VG Bild-Kunst)

Sąd Apelacyjny w Hadze, 23 stycznia 2018 r., ECLI:NL:GHDHA:2018:61 (Ryanair przeciwko PR Aviation, po przekazaniu sprawy)

Sąd Najwyższy Holandii, 25 listopada 2005 r., ECLI:NL:HR:2005:AU4019 (Lycos przeciwko Pessers)

Dyrektywa 96/9/WE (dyrektywa w sprawie baz danych), wdrożona w holenderskiej ustawie o bazach danych

Dyrektywa (UE) 2019/790 (dyrektywa DSM), art. 3 i 4; holenderska ustawa o prawie autorskim, art. 15n i 15o

Ustawa o prawie autorskim w Holandii, art. 1 i 27

Holenderski kodeks karny, art. 138ab

Rozporządzenie (UE) 2016/679 (RODO), art. 4, 5, 6, 14, 15-21, 30, 32 i 35

Rozporządzenie (UE) 2022/2065 (Ustawa o usługach cyfrowych)

Księga 6 holenderskiego kodeksu cywilnego, art. 162 i 217; Holenderski kodeks postępowania cywilnego, art. 254 i 1019

Law & More Doradza zarówno firmom przetwarzającym dane osób trzecich, jak i podmiotom, które chcą chronić swoje własne zbiory danych. Zachęcamy do kontaktu. skontaktuj się z nami w celu oceny konkretnej sytuacji.