Platformos duomenų išgavimas ir pakartotinis naudojimas: teisinė sistema

Šiame straipsnyje išdėstoma bendra teisinė sistema pagal Nyderlandų ir Europos teisę. Tai nėra patarimas dėl konkrečios situacijos. Duomenų išgavimo klausimo rezultatas visada priklauso nuo konkrečių faktų: naudojamos technikos, duomenų pobūdžio, jų saugojimo būdo, numatyto panaudojimo ir šaltinio techninės konfigūracijos.

Viešas nereiškia laisvai naudojamo

Kiekvienas, kas renka duomenis iš internetinės platformos ir pateikia juos kitur, veikia srityje, kuri dažnai apibūdinama kaip pilkoji, tačiau atidžiau panagrinėjus, ji yra geriau apibrėžta nei manoma. Šis klausimas kyla dėl kainų palyginimo paslaugų, įdarbinimo įrankių ir rinkos tyrimų įmonių, o pastaraisiais metais ypač dėl šalių, kurios dideliu mastu renka mokymo duomenis dirbtinio intelekto modeliams.

Joks įstatymas nedraudžia rinkti viešai prieinamų duomenų. Lygiai taip pat negalioja ir atvirkštinis teiginys: tai, kad duomenys matomi neprisijungus, nereiškia, kad juos galima laisvai pakartotinai naudoti. Kiekvienas, renkantis, saugantis ir pakartotinai naudojantis duomenis, veikia penkių sričių sankirtoje: duomenų bazių teisių, autorių teisių, sutarčių teisės, baudžiamosios teisės ir Bendrojo duomenų apsaugos reglamento . Rezultatą lemia ne tai, ar duomenys buvo vieši, o tai, kaip jie buvo gauti, saugomi ir vėl pateikti.

Trys duomenų rinkimo modeliai, trys rizikos profiliai

Tai padeda atskirti tris veikimo būdus. Susiejimo ir įterpimo atveju paslauga nurodo tik tą medžiagą, kurią pati platforma jau paskelbė viešai. Nepriklausomos paieškos ir saugojimo atveju paslauga renka duomenis, saugo juos savo serveriuose ir teikia iš ten. Trečiajame modelyje vyksta tas pats, tačiau proceso metu apeinama prisijungimo siena, žetono reikalavimas, CAPTCHA ar kiti techniniai prieigos apribojimai.

Pirmasis modelis pasižymi mažiausia rizika: nėra naujos visuomenės autorių teisių prasme, jei medžiaga jau buvo laisvai prieinama ir neapeinami jokie techniniai apribojimai. Tai nereiškia, kad ji yra nerizikinga: kadravimas, klaidinantis pateikimas, prekių ženklų naudojimas ar asmens duomenų, pvz., IP adresų, perdavimas įterpiant duomenis vis tiek gali sukelti pavojų. Antrasis modelis yra ginčytinas ir labai priklauso nuo pavogtų duomenų masto ir pobūdžio. Trečiasis modelis yra labiausiai pažeidžiamas, nes gali iš karto sukelti civilinę, baudžiamąją ir duomenų apsaugos atsakomybę.

Žemiau pateiktoje matricoje pateikiamas pirmas, laikinas nurodymas, o ne fiksuota teisinė taisyklė.

Duomenų bazių teisės: didelė investicija

Platformai perspektyviausias pagrindas paprastai yra sui generis duomenų bazės teisė. Direktyva 96/9/EB , įgyvendinta Nyderlandų duomenų bazių įstatyme , apsaugo duomenų bazės kūrėją nuo esminės jos turinio dalies išgavimo ar pakartotinio naudojimo, taip pat nuo pakartotinio ir sistemingo mažesnių dalių išgavimo, kai tai prieštarauja įprastam naudojimui.

Kūrimas ar gavimas

Byloje „British Horseracing Board prieš William Hill“ (C-203/02) Teisingumo Teismas nusprendė, kad svarbios tik investicijos į esamų duomenų gavimą, tikrinimą ir pateikimą, o ne jų sukūrimo išlaidos.

Vartotojo sugeneruotas turinys

Platformoms, kurių turinį nemokamai teikia vartotojai, šis skirtumas yra abipusis ir nėra automatiškai palankus. Viena vertus, platforma duomenų nekuria, o tai atveria duris į apsaugą. Kita vertus, jų gavimas nieko nekainuoja: vartotojai duomenis įkelia savanoriškai ir savo iniciatyva, todėl šiame etape investuoti nereikia daug. Todėl apsauga kyla ne iš duomenų rinkinio dydžio, o tik tada, kai platforma gali parodyti dideles investicijas į tai, kas vyksta po surinkimo: tikrinimą, moderavimą ir valymą, kokybės kontrolę, indeksavimą ir duomenų pateikimą infrastruktūroje. Ar šios investicijos kartu atitinka ribą, yra fakto klausimas, kurį reikia pagrįsti kiekvienai platformai ir kiekvienam duomenų rinkiniui, pateikiant darbuotojų, infrastruktūros ir sistemų skaičius, o ne remiantis vartotojų bazės dydžiu.

Meta paieškos sistemos ir skreperiai

Byloje „Innoweb prieš Wegener“ (C-202/12) Teismas nusprendė, kad paslauga, kuri realiuoju laiku persiunčia paieškos užklausas į kitos šalies duomenų bazę ir rodo rezultatus savo sąsajoje, pakartotinai naudoja tą duomenų bazę, neatsižvelgiant į tai, ar duomenys yra nuolat saugomi vietoje. Tai yra daugelio duomenų skreperių ir alternatyvių sąsajų esmė, net jei jie nieko neišsaugo.

Teksto ir duomenų gavybos išimtis

DSM direktyvos 3 ir 4 straipsniuose , įgyvendintuose Nyderlandų autorių teisių įstatymo 15n ir 15o straipsniuose , numatyta teksto ir duomenų gavybai taikoma išimtis. Komercinėms šalims ši išimtis taikoma tik tais atvejais, kai teisių turėtojas nėra aiškiai pasilikęs savo teisių, o rezervacija turi būti užfiksuota kompiuterio skaitoma forma, pavyzdžiui, naudojant API metaduomenis, sutarties nuostatas arba robots.txt instrukcijas.

Autorių teisės ir platformų sąsajos

Platformose, kuriose rodomas naudotojų turinys, autorių teisės paprastai priskiriamos netinkamai šaliai. Įrašai ir vaizdai iš principo priklauso jų autoriams, jei kūrinys yra autoriaus intelektinis kūrinys, kaip apibrėžta byloje „Infopaq“ (C-5/08). Trumpi, faktiniai įrašai dažnai neatitinka šios ribos, todėl daugeliu atvejų tiesiog nėra ko apsaugoti.

Kas gali vykdyti

Naudojimo sąlygos platformai paprastai suteikia tik neišimtinę licenciją. Čia dažnai painiojami trys klausimai: materialinės autorių teisės, kurios lieka autoriui; teisė uždrausti pažeidimą, kuri iš principo priklauso tik teisių turėtojui arba išimtinės licencijos turėtojui; ir teisė pareikšti ieškinį, kurią platforma gali turėti, kai yra gavusi aiškų teisių turėtojų įgaliojimą.

Pagal Nyderlandų įstatymus neišimtinės licencijos turėtojas neturi savarankiškos teisės pareikšti ieškinį dėl pažeidimo. Tačiau platforma gali veikti remdamasi savo teisėmis, atskirai nuo turinio: autorių teisėmis į grafinę vartotojo sąsają, duomenų bazės struktūrą ir piktogramas bei prekių ženklų teisėmis į prekių pavadinimus ir logotipus. Paslauga, kuri perima šiuos elementus, kad atrodytų pažįstama platformos naudotojams, turi pagrindą, kurio neturėjo pagrindinio turinio atžvilgiu.

Susiejimas ir kopijavimas

Šiuo atveju taikomos trys Teisingumo Teismo praktikos kryptys. Hipersaitas į šaltinį, kuris jau yra laisvai prieinamas, nėra naujas viešas paskelbimas (Svensson, C-466/12). Kūrinio atsisiuntimas ir įkėlimas į savo serverį yra naujas, nes kūrinys tokiu būdu tampa prieinamas kitai visuomenei (Renckhoff, C-161/17). O apeinant technines apsaugos priemones pasiekiama visuomenė, kurios teisių turėtojas nenumatė, o tai taip pat yra naujas viešas paskelbimas (VG Bild-Kunst, C-392/19).

Sutarčių teisė: naudojimo sąlygos ir „Ryanair“ paradoksas

Beveik kiekviena platforma savo sąlygose draudžia automatinę prieigą. Tačiau pirmas klausimas yra tai, ar apskritai buvo sudaryta sutartis, ir tai iš esmės skiriasi tarp viešųjų lankytojų ir registruotų paskyrų. Paprastas naršymo perėjimas, nuoroda puslapio apačioje, retai įpareigoja lankytoją pagal Nyderlandų įstatymus, nebent galima nustatyti aktyvų sutikimą. Naudojant paspaudimo perėjimą, kai sąlygos aiškiai priimamos registracijos metu, sąlygos iš principo yra privalomos, o automatinis paskyros sukūrimas greitai tampa atskiru pažeidimu.

Ryanair paradoksas

Byloje „Ryanair prieš PR Aviation“ (C-30/14) Teisingumo Teismas nusprendė, kad tais atvejais, kai duomenų bazė nėra apsaugota nei autorių teisių, nei sui generis teisės, privalomos naudotojo teisės pagal Duomenų bazių direktyvą netaikomos. Tokiu atveju operatorius gali sutartimi labai apriboti pakartotinį naudojimą. Kuo silpnesnė intelektinės nuosavybės padėtis, tuo stipresnė gali būti sutartinė padėtis. Po šio preliminaraus sprendimo byla grąžinta Nyderlandų teismams, o 2018 m. sausio 23 d. sprendime Hagos apeliacinis teismas nusprendė, kad „Ryanair“ sąlygose numatytas draudimas naudoti duomenų bazę, priešingai nei buvo nuspręsta anksčiau, nėra savaime negaliojantis. Šis sprendimas taip pat rodo, kiek daug įtakos turi sąlygas reglamentuojanti teisė: teismas vertino sutikimą naršymo būdu pagal teisę, kurią „Ryanair“ pasirinko pagal tas sąlygas, o ne pagal Nyderlandų teisę.

Negaliojimas, kai duomenų bazė yra apsaugota

Kai duomenų bazei taikoma sui generis apsauga, sutartinis draudimas išgauti neesmines dalis pagal Duomenų bazių direktyvos 15 straipsnį yra negaliojantis. Ši apsauga prieinama tik šaliai, kuri atitinka teisėto naudotojo kriterijus, o šis statusas savo ruožtu priklauso nuo to, kaip buvo gauta prieiga prie duomenų bazės.

Praktinis sutartinio ieškinio trūkumas

Tai saisto tik sandorio šalį, o ne jos galutinius vartotojus, nuostolius sunku įvertinti, kai platforma yra nemokama, o veiksminga baudos sąlyga dažnai nėra taikoma. Todėl sutartinis pagrindas beveik visada derinamas su duomenų bazių teisėmis, autorių teisėmis ar deliktu.

Baudžiamosios teisės apribojimai: neteisėta prieiga

Ne kiekvienas prieigos sąlygų pažeidimas prilygsta neteisėtai prieigai, ir diskusijos pernelyg lengvai pasiekia šią išvadą. Nyderlandų baudžiamojo kodekso 138ab straipsnis reikalauja tyčinio ir neteisėto įsibrovimo į automatizuotą sistemą, pavyzdžiui, pažeidžiant apsaugos sistemas, atliekant techninę intervenciją, naudojant netikrą raktą arba prisegant netikrą tapatybę.

Užklausų siuntimas greičiau nei teikėjas numatė, robots.txt ignoravimas arba paskyros registravimas pseudonimu ar naudojant išgalvotus duomenis savaime nėra įsibrovimas. Vieša registracijos forma yra prieinama visiems ir joje nėra jokių pažeidimų. Tai gali pažeisti naudojimo sąlygas, tačiau tai yra civilinis reikalas.

Nusikalstamų veiksmų tikimybė padidėja, kai tik įveikiamos konkrečios techninės prieigos kliūtys: pakartotinai panaudojant užfiksuotus autentifikavimo žetonus ar API raktus arba sąmoningai apeinant interaktyvias apsaugos nuo robotų ir CAPTCHA sistemas. Teisinis kvalifikavimas automatiškai neišplaukia iš naudojamos technikos pavadinimo. Ar kažkas kvalifikuojama kaip įsilaužimas, techninė intervencija ar netikro rakto naudojimas, priklauso nuo fakto vertinimo, kuris priklauso nuo to, kaip veikia saugumo mechanizmas, naudotojo ketinimų ir to, kas apeinama, pobūdžio.

Duomenų apsauga didelio masto duomenų išgavimo metu

Kai iškarpyti duomenys, įskaitant vartotojo vardus, profilio nuotraukas, įrašus, IP adresus ir profilio statistiką, yra tiesiogiai arba netiesiogiai atsekami iki fizinių asmenų, iškarpų kūrėjas paprastai laikomas duomenų valdytoju: šalimi, kuri nustato tvarkymo tikslus ir priemones.

Praktiškai dažnai remiamasi teisėtais interesais. Tai yra galimas pagrindas, o ne automatinė licencija: tam reikia įvertinti tikslo apribojimą, būtinybę ir subsidiarumą, taip pat atlikti pusiausvyros tyrimą, kuriame būtų atsižvelgiama ir į pagrįstus duomenų subjekto lūkesčius. Kai kalbama apie jautrius duomenis, didelio masto stebėseną ar profiliavimą, ši pusiausvyra gali būti priešinga.

BDAR 14(5)(b) straipsnyje numatyta išimtis iš informavimo pareigos, kai informuoti neįmanoma arba tam reikėtų neproporcingų pastangų, o tai dažnai nutinka, kai duomenys renkami dideliu mastu. Ši išimtis taikoma tik informavimo pareigai. Tikslo apribojimas ir duomenų kiekio mažinimas, tvarkymo veiklos registravimas, duomenų subjektų teisės, įskaitant prieigą prie duomenų, nesutikimą ir ištrynimą, tinkamos saugumo priemonės ir, kai tvarkymas yra didelio masto, duomenų apsaugos poveikio vertinimas – visa tai ir toliau taikomi visapusiškai.

Vien tai, kad asmens duomenys platformoje rodomi viešai, neatima iš duomenų subjekto jo teisių ir nesuteikia leidimo toliau tvarkyti duomenis ar profiliuoti. Tai taip pat yra ta sistemos dalis, kurią vykdo ne platforma, o priežiūros institucija ir atitinkami asmenys, todėl tai kelia riziką, kuri egzistuoja nepriklausomai nuo to, ar šaltinis imasi veiksmų.

Kontrolinis sąrašas tiems, kurie renka asmens duomenis

• Kokie duomenys tiksliai renkami ir ar tai įprasti, ar specialios kategorijos asmens duomenys?
• Koks konkretus tvarkymo tikslas?
• Koks yra teisinis pagrindas ir ar jis galioja atlikus būtinumo ir pusiausvyros vertinimą?
• Kaip duomenų subjektai informuojami ir ar taikoma išimtis nuo informavimo pareigos?
• Kiek laiko saugomi duomenys?
• Ar duomenys perduodami už Europos ekonominės erdvės ribų?
• Ar, atsižvelgiant į tvarkymo mastą ir pobūdį, reikalingas duomenų apsaugos poveikio vertinimas?
• Ar prašymai susipažinti su duomenimis, juos ištaisyti ir ištrinti iš tikrųjų gali būti techniškai įvykdyti?

Dirbtinio intelekto mokymo duomenys: didelis rūpestis

Dirbtinio intelekto ir kalbos modelių mokymas naudojant iškarpytus duomenis papildo aukščiau pateiktas teisines sistemas. Rinkimas, saugojimas ir mokymas nėra tas pats ir kiekvienas iš jų turi atitikti savo reikalavimus. Mokymo duomenų rinkimas ir laikinas saugojimas gali patekti į teksto ir duomenų gavybos išimties taikymo sritį; šių duomenų naudojimas modeliui mokyti ir jo rezultatų komercinis panaudojimas yra atskiras veiksmas, kurį reikia iš naujo įvertinti atsižvelgiant į autorių teises, duomenų bazių teises ir BDAR.

Komercinių dirbtinio intelekto kūrėjai iš principo gali remtis duomenų kasybos išimtimi, tačiau tik tol, kol platformos nėra įdiegusios mašininio skaitymo atsisakymo funkcijos. Kai mokymo duomenys sudaro esminę saugomos duomenų bazės dalį, sui generis teisė išlieka aktuali, neatsižvelgiant į tai, ar išimtis apima autorių teisių elementą.

Pagal BDAR, asmens duomenų rinkimas mokymo tikslais reikalauja tvirto teisinio pagrindo ir, dideliu mastu, poveikio vertinimo. Konkreti atitikties rizika yra ta, kad teisę ištrinti duomenis ir teisę ištaisyti duomenis sunku taikyti parametrams, kurie jau yra integruoti į apmokytą modelį: pašalinimas iš modelio retai kada yra paprasta techninė operacija. Ši įtampa tarp teisinės prievolės ir techninio įgyvendinamumo yra rimtas rūpestis priežiūros institucijoms. „Ryanair“ logika tinka ir čia: platformos, turinčios silpną intelektinės nuosavybės apsaugą, vis tiek gali savo sąlygomis labai apriboti pakartotinį duomenų naudojimą dirbtinio intelekto mokymui, jei yra sudaryta sutartis.

Vykdymo ir bylinėjimosi praktika

Nustatyti elgesį retai kada būna sunkiausia dalis. Serverių žurnalai, IP adresų diapazonai, naršyklių pirštų atspaudai ir užklausų modeliai susieja srautą su paskyromis. Platformos taip pat įterpia „kanarinius duomenis“: sintetinius, nepastebimus duomenų taškus, kurie įrodo kilmę, kai pasirodo kitur. Atvirojo kodo projektuose šaltinio kodas yra viešas ir tiksliai dokumentuoja, kurie galiniai taškai yra iškviečiami.

Sunkiau rasti atsakingą šalį, kai operacija vykdoma naudojantis tarpiniais serveriais arba anoniminiais domenais. Tuomet, remiantis Nyderlandų Aukščiausiojo Teismo byloje „Lycos prieš Pessers“ nustatytais kriterijais, galima prašyti tarpininko, pavyzdžiui, prieglobos paslaugų teikėjo, atskleisti identifikuojančią informaciją.

Civilinis vykdymo užtikrinimas daugiausia vykdomas laikinųjų apsaugos priemonių taikymo tvarka, remiantis deliktu ar intelektinės nuosavybės pažeidimu, kai pakanka įtikinamo atvejo ir siekiama skubaus teismo įsakymo su baudomis. Atsižvelgiant į viso proceso išlaidas ir įrodinėjimo naštą, platformos praktikoje dažnai derina technines priemones su pranešimais prieglobos paslaugų teikėjams, CDN paslaugoms, programėlių parduotuvėms ir domenų registratoriams. Skaitmeninių paslaugų įstatyme šiam tikslui numatyta standartizuota pranešimų procedūra. Pats įstatymas nenustato, ar elgesys yra neteisėtas; jame siūlomas tik greitesnis būdas jį išspręsti, o jo taikymas priklauso nuo atitinkamos paslaugos vaidmens ir pranešimo pobūdžio.

Dažnai užduodami klausimai

Šaltiniai

2004 m. lapkričio 9 d. ESTT sprendimas byloje C-203/02 (Britų žirgų lenktynių taryba prieš William Hill)

ESTT 2009 m. liepos 16 d., C-5/08 (Infopaq)

ESTT 2013 m. gruodžio 19 d., C-202/12 (Innoveb prieš Wegenerį)

ESTT 2014 m. vasario 13 d., C-466/12 (Svensson)

ESTT 2015 m. sausio 15 d., C-30/14 (Ryanair prieš PR Aviation)

ESTT 2018 m. rugpjūčio 7 d., C-161/17 (Renckhoff)

ESTT 2021 m. kovo 9 d., C-392/19 (VG Bild-Kunst)

2018 m. sausio 23 d. Hagos apeliacinis teismas, ECLI:NL:GHDHA:2018:61 (Ryanair prieš PR Aviation, po perdavimo)

2005 m. lapkričio 25 d. Nyderlandų Aukščiausiasis Teismas, ECLI:NL:HR:2005:AU4019 (Lycos prieš Pessers)

Direktyva 96/9/EB (Duomenų bazių direktyva), įgyvendinta Nyderlandų duomenų bazių įstatyme

Direktyva (ES) 2019/790 (DSM direktyva), 3 ir 4 straipsniai; Nyderlandų autorių teisių įstatymo 15n ir 15o straipsniai

Nyderlandų autorių teisių įstatymas, 1 ir 27 straipsniai

Nyderlandų baudžiamasis kodeksas, 138ab straipsnis

Reglamentas (ES) 2016/679 (BDAR), 4, 5, 6, 14, 15–21, 30, 32 ir 35 straipsniai

Reglamentas (ES) 2022/2065 (Skaitmeninių paslaugų aktas)

Nyderlandų civilinio kodekso 6 knyga, 162 ir 217 straipsniai; Nyderlandų civilinio proceso kodekso 254 ir 1019 straipsniai

Law & More konsultuoja tiek įmones, tvarkančias trečiųjų šalių duomenis, tiek šalis, siekiančias apsaugoti savo duomenų rinkinius. Nedvejodami kreipkitės susisiekite su mumis konkrečios situacijos įvertinimui.