Скрепирање и повторна употреба на податоци од платформата: правна рамка

Оваа статија поставува општа правна рамка според холандското и европското право. Не претставува совет за која било конкретна ситуација. Исходот од прашањето за стружење секогаш зависи од прецизните факти: употребената техника, природата на податоците, начинот на кој се складираат, наменетата експлоатација и техничката конфигурација на изворот.

Јавно не значи бесплатно за користење

Секој што собира податоци од онлајн платформа и ги прави достапни на друго место работи во област која често се опишува како сива, но која по подетално испитување е подобро дефинирана отколку што се претпоставува. Прашањето се поставува за услугите за споредба на цени, алатките за регрутирање и фирмите за истражување на пазарот, а во последниве години пред сè за страните што собираат податоци за обука за модели на вештачка интелигенција во голем обем.

Ниту еден закон не забранува собирање јавно достапни податоци како такви. Исто така, не важи и обратното: фактот дека податоците се видливи без најавување не значи дека се слободни за повторна употреба. Секој што собира, складира и повторна употреба на податоци работи на пресекот на пет полиња: права на базата на податоци, авторски права, договорно право, кривично право и Општата регулатива за заштита на податоци . Она што го одредува исходот не е дали податоците биле јавни, туку како биле добиени, складирани и повторно достапни.

Три модели на собирање податоци, три профили на ризик

Помага да се разликуваат три начини на работа. Со поврзување и вградување, услугата се однесува само на материјал што самата платформа веќе го објавила. Со независно пребарување и складирање, услугата собира податоци, ги чува на своите сервери и ги опслужува оттаму. Во третиот модел се случува истото, но во процесот се заобиколува ѕид за најавување, барање за токен, CAPTCHA или друго техничко ограничување за пристап.

Првиот модел носи најнизок профил на ризик: нема нова јавност во смисла на авторски права сè додека материјалот веќе бил слободно достапен и не се заобиколува никакво техничко ограничување. Тоа не го прави без ризик: врамувањето, заведувачкото претставување, употребата на трговска марка или преносот на лични податоци како што се IP-адресите преку вградени податоци сè уште може да создадат изложеност. Вториот модел е дискутабилен и во голема мера зависи од обемот и природата на она што се презема. Третиот е убедливо најотворен, бидејќи може да предизвика граѓанска, кривична и одговорност за заштита на податоци одеднаш.

Матрицата подолу дава прва, привремена индикација, а не фиксно владеење на правото.

Права на базата на податоци: значителна инвестиција

За платформата, правото на sui generis база на податоци е вообичаено најперспективната основа. Директивата 96/9/ЕЗ , имплементирана во холандскиот Закон за бази на податоци , го штити создавачот на базата на податоци од екстракција или повторна употреба на значителен дел од нејзината содржина, а исто така и од повторено и систематско екстракција на помали делови каде што ова е во спротивност со нормалната експлоатација.

Создавање наспроти добивање

Во случајот „Бритиш хорски трки“ против „Вилијам Хил“ (C-203/02), Судот на правдата пресуди дека се земаат предвид само инвестициите во добивање, верификација и презентирање на постојните податоци, а не и трошоците за нивно создавање.

Кориснички генерирани содржини

За платформите чија содржина е бесплатно доставена од корисниците, таа разлика е двонасочна и не е автоматски поволна. Од една страна, платформата не ги создава податоците, што отвора врата кон заштита. Од друга страна, нивното добивање не чини ништо: корисниците прикачуваат доброволно и на сопствена иницијатива, така што има малку за инвестирање во таа фаза. Затоа, заштитата не произлегува од големината на збирката податоци, туку само кога платформата може да покаже значителна инвестиција во она што се случува по собирањето: верификација, модерирање и чистење, контрола на квалитетот, индексирање и инфраструктурна презентација на податоците. Дали тие инвестиции заедно го исполнуваат прагот е прашање на факти што треба да се поткрепи по платформа и по збир на податоци, со бројки за персоналот, инфраструктурата и системите, а не со упатување на големината на корисничката база.

Мета пребарувачи и скрепери

Во случајот Innoweb против Wegener (C-202/12), Судот пресуди дека услугата што препраќа пребарувања во реално време до базата на податоци на друга страна и ги прикажува резултатите во свој интерфејс, повторно ја користи таа база на податоци, без оглед на тоа дали податоците се складираат локално на трајна основа. Тоа е суштината на многу „скреперови“ и алтернативни интерфејси, дури и кога тие не задржуваат ништо.

Исклучок за рударење текст и податоци

Членовите 3 и 4 од Директивата за DSM , имплементирани во членовите 15n и 15o од Холандскиот закон за авторски права , предвидуваат исклучок за рударење текст и податоци. За комерцијалните страни, овој исклучок важи само кога носителот на правата изречно не ги резервирал своите права, а резервацијата мора да биде евидентирана во машински читлива форма, на пример преку API метаподатоци, договорни одредби или robots.txt инструкции.

Авторски права и интерфејси на платформата

На платформите што пренесуваат корисничка содржина, авторските права рутински се припишуваат на погрешна страна. Објавите и сликите во принцип им припаѓаат на нивните индивидуални автори, под услов делото да е сопствено интелектуално дело на авторот во смисла на Infopaq (C-5/08). Кратките, фактички објави честопати не го исполнуваат тој праг, па затоа во многу случаи едноставно нема што да се заштити.

Кој може да спроведе

Условите за користење вообичаено ѝ даваат на платформата само неексклузивна лиценца. Тука често се спојуваат три прашања: суштинските авторски права, кои остануваат кај авторот; правото да се забрани повреда, која во принцип му припаѓа само на носителот на правото или на ексклузивен лиценциран корисник; и можноста за поведување постапка, која платформата може да ја има кога има обезбедено изрична дозвола од носителите на права.

Според холандскиот закон, само неексклузивниот лиценциран корисник нема независно право на тужба за повреда. Сепак, платформата може да дејствува врз основа на своите права одделно од содржината: авторски права врз графичкиот кориснички интерфејс, структурата на базата на податоци и иконите и права на трговски марки врз трговските имиња и логоа. Услугата што ги усвојува тие елементи за да изгледа познато ѝ дава на платформата основа што ја немала во однос на основната содржина.

Поврзување и копирање

Тука се применуваат три правна пракса на Судот на правдата. Хиперврската кон извор кој веќе е слободно достапен не е нова комуникација со јавноста (Svensson, C-466/12). Преземањето на дело и неговото поставување на сопствен сервер е, бидејќи делото на тој начин станува достапно за друга јавност (Renckhoff, C-161/17). А заобиколувањето на техничките мерки за заштита допира до јавност за која носителот на правата не мислел, што исто така претставува нова комуникација со јавноста (VG Bild-Kunst, C-392/19).

Договорно право: услови за користење и парадоксот на Рајанер

Практично секоја платформа забранува автоматизиран пристап во своите услови. Сепак, првото прашање е дали воопшто е склучен договор, а тоа значително се разликува помеѓу јавните посетители и регистрираните сметки. Самото прелистување, референца на дното од страницата, ретко го обврзува посетителот според холандскиот закон, освен ако не може да се воспостави активно прифаќање. Со прелистување со кликнување, каде што условите се изрично прифатени при регистрацијата, условите во принцип се обврзувачки, а автоматското креирање сметка брзо станува прекршување само по себе.

Парадоксот на Рајанер

Во случајот „Рајанер против ПР Авиејшн“ (C-30/14), Судот на правдата пресуди дека кога базата на податоци не е заштитена ниту со авторски права ниту со право „суи генерис“, задолжителните кориснички права според Директивата за бази на податоци не се применуваат. Операторот потоа може екстензивно да ја ограничи повторната употреба преку договор. Колку е послаба позицијата на интелектуална сопственост, толку е посилна договорната позиција. По таа прелиминарна пресуда, случајот се врати во холандските судови, а во својата пресуда од 23 јануари 2018 година, Апелациониот суд во Хаг пресуди дека забраната за користење на базата на податоци во условите на „Рајанер“ не е, спротивно на претходниот заклучок, ништовна по природа. Таа пресуда, исто така, покажува колку многу влијае на законот што ги регулира условите: судот го процени прифаќањето со прелистување според законот што „Рајанер“ го избрал во тие услови, а не според холандското право.

Ништовност каде што базата на податоци е заштитена

Кога базата на податоци ужива sui generis заштита, договорната забрана за извлекување на небитни делови е ништовна според член 15 од Директивата за бази на податоци. Таа заштита е достапна само за страна која се квалификува како законски корисник, статус кој пак зависи од тоа како е добиен пристап до базата на податоци.

Практичната слабост на договорното побарување

Тоа ја обврзува само другата страна, а не нејзините крајни корисници, загубата е тешко да се квантифицира кога платформата е бесплатна, а честопати отсуствува и функционална казнена клаузула. Затоа, договорната основа речиси секогаш се комбинира со права на базата на податоци, авторски права или деликт.

Ограничувања на кривичното право: неовластен пристап

Не секое кршење на условите за пристап претставува неовластен пристап, а дебатата премногу брзо се движи кон тој заклучок. Член 138ab од холандскиот Кривичен законик бара намерно и незаконско упаѓање во автоматизиран систем, на пример со кршење на безбедноста, техничка интервенција, употреба на лажен клуч или претпоставка за лажен идентитет.

Испраќањето барања побрзо од предвиденото од страна на давателот на услуги, игнорирањето на robots.txt или регистрирањето сметка под псевдоним или со измислени детали само по себе не претставува упад. Јавниот формулар за регистрација е отворен за сите и ништо не е оштетено. Тоа може да ги прекрши условите за користење, но тоа е граѓанска работа.

Кривичната изложеност се зголемува штом ќе се надминат конкретните технички бариери за пристап: повторна употреба на заробени токени за автентикација или API клучеви или намерно заобиколување на интерактивните анти-ботови и CAPTCHA системи. Правната карактеризација не следи автоматски од името на употребената техника. Дали нешто се квалификува како упад, техничка интервенција или употреба на лажен клуч останува проценка специфична за фактите, која се свртува кон тоа како функционира безбедносниот механизам, намерата на корисникот и природата на она што се заобиколува.

Заштита на податоци при стружење податоци од големи размери

Откако собраните податоци ќе бидат директно или индиректно проследени до физички лица, вклучувајќи кориснички имиња, слики на профили, објави, IP адреси и статистика на профили, стругачот обично се квалификува како контролор: страната што ги одредува целите и средствата за обработка.

Во пракса, често се потпираме на легитимни интереси. Тоа е можна основа, а не автоматска лиценца: тоа бара проценка на ограничувањето на целта, неопходноста и супсидијарноста, како и балансирање во кое се земаат предвид и разумните очекувања на субјектот на податоците. Кога се вклучени чувствителни податоци, мониторинг на големи размери или профилирање, таа рамнотежа може да биде во спротивна насока.

Член 14(5)(б) од GDPR предвидува ослободување од обврската за информирање кога информирањето е невозможно или би вклучувало непропорционален напор, што често е случај со податоци собрани во голем обем. Ова ослободување влијае само на обврската за информирање. Ограничувањето на целта и минимизирањето на податоците, евиденцијата на активностите за обработка, правата на субјектите на податоци, вклучувајќи пристап, приговор и бришење, соодветни безбедносни мерки и кога обработката е во голем обем, проценка на влијанието врз заштитата на податоците, сите продолжуваат да се применуваат во целост.

Самиот факт дека личните податоци се појавуваат јавно на платформа не го лишува субјектот на податоци од неговите права и не претставува лиценца за понатамошна обработка или профилирање. Ова е исто така еден дел од рамката што не ја спроведува платформата, туку надзорниот орган и засегнатите лица, што го прави ризик што постои без оглед на тоа дали изворот презема мерки.

Контролна листа за оние кои собираат лични податоци

• Кои податоци точно се собираат и дали станува збор за обични или лични податоци од посебна категорија?
• Која е конкретната цел на обработката?
• Која е правната основа и дали таа преживува проценка на неопходноста и балансирањето?
• Како се информираат субјектите на податоци и дали се применува ослободување од обврската за информирање?
• Колку долго се чуваат податоците?
• Дали податоците се пренесуваат надвор од Европската економска зона?
• Дали е потребна проценка на влијанието врз заштитата на податоците со оглед на обемот и природата на обработката?
• Дали барањата за пристап, исправка и бришење можат технички да се извршат?

Податоци за обука за вештачка интелигенција: посебна грижа

Обуката на модели на вештачка интелигенција и јазик на извлечени податоци додава дополнителни правни слоеви покрај горенаведените рамки. Собирањето, складирањето и обуката не се иста работа и секое од нив носи свој тест. Собирањето и привременото складирање на податоци за обука може да спаѓа во исклучокот за рударство на текст и податоци; користењето на тие податоци за обука на модел и комерцијалното искористување на неговиот излез е посебен чин кој мора повторно да се оцени во однос на авторските права, правата на базата на податоци и GDPR.

Комерцијалните развивачи на вештачка интелигенција во принцип можат да се потпрат на исклучокот за рударење, но само доколку платформите не имплементирале опција за исклучување од машински читлив пристап. Кога податоците за обука се дел од значителен дел од заштитена база на податоци, правото sui generis останува релевантно без оглед на тоа дали исклучокот го опфаќа елементот на авторски права.

Според GDPR, собирањето лични податоци за цели на обука бара солидна правна основа и, во голем обем, проценка на влијанието. Специфичен ризик од усогласеност е тоа што правото на бришење и правото на исправка е тешко да се применат на параметри што веќе се апсорбирани во обучен модел: отстранувањето од моделот ретко е едноставна техничка операција. Таа тензија помеѓу законската обврска и техничката изводливост е жива грижа за надзорните органи. Логиката на Ryanair важи и овде: платформите со слаба заштита на интелектуалната сопственост сè уште можат значително да ја ограничат повторната употреба за обука за вештачка интелигенција преку нивните услови, под услов да е склучен договор.

Пракса за спроведување и судски постапки

Утврдувањето на однесувањето ретко е тешкиот дел. Логовите на серверот, IP опсезите, отпечатоците од прелистувачот и шемите на барања го поврзуваат сообраќајот со сметките. Платформите, исто така, вградуваат канарински податоци: синтетички, незабележливи точки на податоци кои го докажуваат потеклото кога се појавуваат на друго место. Кај проектите со отворен код, изворниот код е јавен и прецизно документира кои крајни точки се повикуваат.

Потешко е да се најде страна која ќе ја смета за одговорна кога операцијата се наоѓа зад прокси сервери или анонимни домени. Откривање на идентификациски детали потоа може да се побара од посредник како што е давател на услуги за хостирање, според критериумите утврдени од холандскиот Врховен суд во случајот Lycos v Pessers.

Граѓанското спроведување се одвива главно преку привремени постапки, врз основа на деликт или повреда на интелектуална сопственост, каде што е доволен веродостоен случај и се бара итна забрана со казни. Со оглед на трошоците и доказниот товар на целосната постапка, платформите во пракса често комбинираат технички мерки со известувања до давателите на хостинг, CDN услугите, продавниците за апликации и регистраторите на домени. Законот за дигитални услуги обезбедува стандардизирана постапка за известување за таа цел. Самиот по себе не утврдува дали однесувањето е незаконско; тој нуди само побрз пат за негово решавање, а неговата примена зависи од улогата на засегнатата услуга и природата на известувањето.

Најчесто поставувани прашања

Извори

Суд на правдата на ЕУ 9 ноември 2004 година, C-203/02 (Британски одбор за коњски трки против Вилијам Хил)

CJEU 16 јули 2009, C-5/08 (Infopaq)

CJEU 19 декември 2013, C-202/12 (Иновеб против Вегенер)

CJEU 13 февруари 2014 година, C-466/12 (Свенсон)

Суд на правдата на ЕУ 15 јануари 2015 година, C-30/14 (Ryanair против PR Aviation)

СПЕУ 7 август 2018 година, C-161/17 (Ренкхоф)

CJEU 9 март 2021 година, C-392/19 (VG Bild-Kunst)

Апелациски суд во Хаг 23 јануари 2018 година, ECLI:NL:GHDHA:2018:61 (Ryanair против PR Aviation, по упатувањето)

Врховен суд на Холандија, 25 ноември 2005 година, ECLI:NL:HR:2005:AU4019 (Lycos против Pessers)

Директива 96/9/ЕЗ (Директива за бази на податоци), имплементирана во холандскиот Закон за бази на податоци

Директива (ЕУ) 2019/790 (Директива за DSM), чл. 3 и 4; чл. 15н и 15о од Холандскиот закон за авторски права

Холандски закон за авторски права, чл. 1 и 27

Холандски Кривичен законик, чл. 138ab

Регулатива (ЕУ) 2016/679 (GDPR), чл. 4, 5, 6, 14, 15-21, 30, 32 и 35

Регулатива (ЕУ) 2022/2065 (Закон за дигитални услуги)

Холандски граѓански законик, книга 6, чл. 162 и 217; Холандски граѓански законик, чл. 254 и 1019

Law & More советува и компаниите што обработуваат податоци од трети страни и страните што сакаат да ги заштитат своите збирки податоци. Слободно контактирајте не за проценка на одредена ситуација.