Platformadatok lekérdezése és újrafelhasználása: a jogi keretrendszer

Ez a cikk a holland és az európai jog általános jogi keretrendszerét határozza meg. Nem tartalmaz tanácsot egyetlen konkrét helyzetre sem. Az adatgyűjtéssel kapcsolatos kérdés kimenetele mindig a pontos tényektől függ: az alkalmazott technikától, az adatok jellegétől, tárolásuk módjától, a tervezett felhasználástól és a forrás technikai konfigurációjától.

A nyilvános nem azt jelenti, hogy szabadon használható

Aki online platformról gyűjt adatokat, és azokat máshol elérhetővé teszi, egy gyakran szürkeként emlegetett területen működik, amely közelebbről megvizsgálva jobban körülhatárolható, mint feltételezzük. A kérdés felmerül az ár-összehasonlító szolgáltatások, a toborzási eszközök és a piackutató cégek esetében, és az utóbbi években mindenekelőtt azoknál a feleknél, akik nagy mennyiségben gyűjtenek betanítási adatokat mesterséges intelligencia modellekhez.

Egyetlen törvény sem tiltja a nyilvánosan elérhető adatok gyűjtését mint olyat. Fordítva sem igaz ez: az a tény, hogy az adatok bejelentkezés nélkül láthatók, nem jelenti azt, hogy szabadon újra felhasználhatók. Aki adatokat gyűjt, tárol és újra felhasznál, öt terület metszéspontjában működik: adatbázis-jogok, szerzői jog, szerződési jog, büntetőjog és az általános adatvédelmi rendelet . Az eredményt nem az határozza meg, hogy az adatok nyilvánosak voltak-e, hanem az, hogy hogyan szerezték meg, tárolták és tették újra elérhetővé azokat.

Három adatgyűjtési modell, három kockázati profil

Három működési módot érdemes megkülönböztetni. A linkelés és beágyazás esetén a szolgáltatás csak olyan anyagokra hivatkozik, amelyeket maga a platform már nyilvánossá tett. A független lekérés és tárolás során a szolgáltatás adatokat gyűjt, azokat a saját szerverein tárolja, és onnan szolgálja ki. A harmadik modellben ugyanez történik, de a folyamat során megkerülik a bejelentkezési falat, a tokenkövet, a CAPTCHA-t vagy más technikai hozzáférési korlátozást.

Az első modell a legalacsonyabb kockázati profillal rendelkezik: nincs új közönség szerzői jogi értelemben, amíg az anyag már szabadon hozzáférhető volt, és semmilyen technikai korlátozást nem kerül meg. Ez nem teszi kockázatmentessé: a keretezés, a félrevezető megjelenítés, a védjegyhasználat vagy a személyes adatok, például az IP-címek beágyazásokon keresztüli továbbítása továbbra is kockázatot jelenthet. A második modell vitatható, és nagymértékben függ az ellopott tartalom mértékétől és jellegétől. A harmadik messze a leginkább kitett, mivel egyszerre válthat ki polgári, büntetőjogi és adatvédelmi felelősséget.

Az alábbi mátrix inkább egy első, ideiglenes jelzést ad, mintsem egy rögzített jogszabályt.

Adatbázis-jogok: a jelentős befektetés

Egy platform esetében a sui generis adatbázis-jog általában a legígéretesebb alap. A holland adatbázistörvényben végrehajtott 96/9/EK irányelv védi az adatbázis létrehozóját a tartalmának jelentős részének kinyerése vagy újrafelhasználása, valamint kisebb részek ismételt és szisztematikus kinyerése ellen, amennyiben ez ütközik a rendes felhasználással.

Létrehozás kontra megszerzés

A British Horseracing Board kontra William Hill (C-203/02) ügyben a Bíróság kimondta, hogy csak a meglévő adatok megszerzésébe, ellenőrzésébe és bemutatásába fektetett összeg számít, az azok létrehozásának költsége nem.

Felhasználó által generált tartalom

Azon platformok esetében, amelyek tartalmát a felhasználók ingyenesen biztosítják, ez a megkülönböztetés kétirányú, és nem automatikusan előnyös. Egyrészt a platform nem hozza létre az adatokat, ami megnyitja az utat a védelem előtt. Másrészt az adatok megszerzése nem kerül semmibe: a felhasználók önkéntesen és saját kezdeményezésükre töltik fel az adatokat, így ebben a szakaszban kevés befektetésre van szükség. A védelem tehát nem az adatkészlet méretéből következik, hanem csak abból, ha a platform jelentős beruházást tud mutatni a gyűjtés utáni teendőkbe: ellenőrzés, moderálás és tisztítás, minőségellenőrzés, indexelés és az adatok infrastrukturális megjelenítése. Az, hogy ezek a beruházások együttesen elérik-e a küszöbértéket, ténykérdés, amelyet platformonként és adatkészletenként kell alátámasztani, a személyzetre, az infrastruktúrára és a rendszerekre vonatkozó adatokkal, nem pedig a felhasználói bázis méretére való hivatkozással.

Meta keresőmotorok és scraperek

Az Innoweb kontra Wegener (C-202/12) ügyben a Bíróság kimondta, hogy egy olyan szolgáltatás, amely valós idejű keresési lekérdezéseket továbbít egy másik fél adatbázisába, és az eredményeket a saját felületén jeleníti meg, újrahasznosítja ezt az adatbázist, függetlenül attól, hogy az adatokat helyben, állandó jelleggel tárolják-e. Ez sok adatgyűjtő és alternatív felület lényegi pontja, még akkor is, ha semmit sem tárolnak.

A szöveg- és adatbányászati ​​kivétel

A DSM-irányelv 3. és 4. cikke, amelyet a holland szerzői jogi törvény 15n. és 15o. cikke ültetett át , kivételt biztosít a szöveg- és adatbányászatra. Kereskedelmi felek esetében ez a kivétel csak akkor érvényes, ha a jogtulajdonos nem tartotta fenn kifejezetten a jogait, és a fenntartást géppel olvasható formában kell rögzíteni, például API-metaadatokon, szerződéses rendelkezéseken vagy robots.txt utasításokon keresztül.

Szerzői jog és platforminterfészek

A felhasználói tartalmakat megosztó platformokon a szerzői jogokat rutinszerűen a rossz félre ruházzák át. A bejegyzések és képek elvileg az egyes szerzőkhöz tartoznak, feltéve, hogy a mű a szerző saját szellemi alkotása az Infopaq (C-5/08) ügy értelmében. A rövid, tényszerű bejegyzések gyakran nem érik el ezt a küszöböt, így sok esetben egyszerűen nincs mit védeni.

Ki érvényesítheti

A felhasználási feltételek általában csak nem kizárólagos licencet biztosítanak a platformnak. Három kérdés keveredik itt gyakran: az anyagi szerzői jog, amely a szerzőnél marad; a jogsértés megtiltásának joga, amely elvileg csak a jogosultat vagy egy kizárólagos licenctulajdonost illeti meg; és a perindítási jog, amellyel a platform rendelkezhet, ha a jogosultaktól kifejezett megbízást kapott.

A holland jog szerint a pusztán nem kizárólagos licenctulajdonosnak nincs önálló keresetindítási joga jogsértés esetén. A platform azonban a tartalomtól függetlenül is felléphet saját jogai alapján: a grafikus felhasználói felület, az adatbázis-struktúra és az ikonok szerzői jogai, valamint a kereskedelmi nevek és logók védjegyjogai. Egy olyan szolgáltatás, amely ezeket az elemeket azért veszi át, hogy ismerősnek tűnjön a platformon, olyan jogalappal rendelkezik, amelyre az alapul szolgáló tartalom tekintetében nem volt jogosult.

Hivatkozás és másolás

A Bíróság három ítélkezési gyakorlata irányadó itt. A már szabadon hozzáférhető forrásra mutató hiperhivatkozás nem minősül új nyilvánossághoz közvetítésnek (Svensson, C-466/12). Egy mű letöltése és saját szerverre helyezése azért az, mert a mű ezáltal egy másik közönség számára válik elérhetővé (Renckhoff, C-161/17). A technikai védelmi intézkedések megkerülése pedig olyan közönséget ér el, amelyre a jogosult nem gondolt, ami szintén új nyilvánossághoz közvetítésnek minősül (VG Bild-Kunst, C-392/19).

Szerződési jog: felhasználási feltételek és a Ryanair-paradoxon

Gyakorlatilag minden platform feltételei tiltják az automatizált hozzáférést. Az első kérdés azonban az, hogy létrejött-e egyáltalán szerződés, és ez lényegesen eltér a nyilvános látogatók és a regisztrált fiókok között. Egy egyszerű böngészési útmutató, azaz az oldal alján található hivatkozás ritkán köti a látogatót a holland jog szerint, kivéve, ha aktív elfogadás történik. Egy kattintásos útmutató esetén, ahol a feltételeket a regisztrációkor kifejezetten elfogadják, a feltételek elvileg kötelező érvényűek, és az automatizált fióklétrehozás gyorsan önálló jogsértéssé válik.

A Ryanair-paradoxon

A Ryanair kontra PR Aviation (C-30/14) ügyben a Bíróság kimondta, hogy amennyiben egy adatbázist sem szerzői jogi, sem sui generis jog nem véd, az Adatbázis-irányelv szerinti kötelező felhasználói jogok nem alkalmazhatók. Az üzemeltető ilyenkor szerződéssel jelentősen korlátozhatja az újrafelhasználást. Minél gyengébb a szellemi tulajdonjogi helyzet, annál erősebbnek bizonyulhat a szerződéses helyzet. Az előzetes döntést követően az ügy visszakerült a holland bíróságok elé, és 2018. január 23-i ítéletében a Hágai ​​Fellebbviteli Bíróság kimondta, hogy a Ryanair feltételeiben foglalt adatbázis-felhasználási tilalom – a korábbi megállapítással ellentétben – nem érvénytelen eleve. Ez az ítélet azt is mutatja, hogy mennyire függ a feltételekre irányadó jog: a bíróság a browse-wrap általi elfogadást a Ryanair által az adott feltételekben választott jog alapján értékelte, nem pedig a holland jog alapján.

Semmisség, ha az adatbázis védett

Amennyiben egy adatbázis sui generis védelmet élvez, a jelentéktelen részek kinyerésére vonatkozó szerződéses tilalom az Adatbázis-irányelv 15. cikke értelmében semmis. Ez a védelem csak azokra a felekre vonatkozik, akik jogszerű felhasználónak minősülnek, ez a státusz pedig attól függ, hogy hogyan jutottak hozzá az adatbázishoz.

A szerződéses igény gyakorlati gyengesége

Csak a szerződő felet köti, a végfelhasználókat nem, a veszteséget nehéz számszerűsíteni, ha a platform ingyenes, és gyakran hiányzik egy működőképes kötbérzáradék. Ezért a szerződéses alapot szinte mindig adatbázis-jogokkal, szerzői jogokkal vagy károkozással kombinálják.

Büntetőjogi korlátok: jogosulatlan hozzáférés

Nem minden hozzáférési feltételek megsértése minősül jogosulatlan hozzáférésnek, és a vita túl könnyen eljut ebbe a következtetésbe. A holland büntető törvénykönyv 138ab. cikke előírja az automatizált rendszerbe való szándékos és jogellenes behatolást, például a biztonsági rendszer feltörésével, technikai beavatkozással, hamis kulcs használatával vagy hamis személyazonosság feltételezésével.

A kérések gyorsabb küldése, mint amit a szolgáltató szándékolt, a robots.txt figyelmen kívül hagyása, vagy álnéven vagy fiktív adatokkal történő fiókregisztráció önmagában nem minősül behatolásnak. A nyilvános regisztrációs űrlap mindenki számára nyitott, és semmi sem sérült. Ez akár sértheti is a felhasználási feltételeket, de ez polgári ügy.

A bűnözői kitettség mértéke azonnal megnő, amint a konkrét technikai hozzáférési akadályokat leküzdik: például a rögzített hitelesítési tokenek vagy API-kulcsok újrafelhasználásával, vagy az interaktív anti-bot és CAPTCHA rendszerek szándékos megkerülésével. A jogi minősítés nem következik automatikusan az alkalmazott technika megnevezéséből. Az, hogy valami behatolásnak, technikai beavatkozásnak vagy hamis kulcs használatának minősül-e, továbbra is tényfüggő értékelés, amely a biztonsági mechanizmus működésén, a felhasználó szándékán és a megkerült eszköz jellegén múlik.

Adatvédelem nagymértékű adatgyűjtés során

Amint a kinyert adatok – beleértve a felhasználóneveket, profilképeket, bejegyzéseket, IP-címeket és profilstatisztikákat – közvetlenül vagy közvetve természetes személyekhez köthetők, az adatgyűjtő általában adatkezelőnek minősül: az a fél, aki meghatározza a feldolgozás céljait és eszközeit.

A gyakorlatban gyakran a jogos érdekekre hivatkoznak. Ez egy lehetséges alap, és nem automatikus engedély: a célhoz kötöttség, a szükségesség és a szubszidiaritás értékelését, valamint egy olyan mérlegelést igényel, amelyben az érintett ésszerű elvárásai is mérlegelésre kerülnek. Amennyiben érzékeny adatokról, nagymértékű megfigyelésről vagy profilalkotásról van szó, ez az egyensúly az ellenkező irányba billenhet.

Az általános adatvédelmi rendelet 14. cikke (5) bekezdésének b) pontja mentességet biztosít a tájékoztatási kötelezettség alól, ha a tájékoztatás lehetetlen vagy aránytalanul nagy erőfeszítést igényelne, ami gyakran előfordul nagy mennyiségben gyűjtött adatok esetében. Ez a mentesség kizárólag a tájékoztatási kötelezettséget érinti. A célhoz kötöttség és az adatminimalizálás, az adatkezelési tevékenységek nyilvántartása, az érintettek jogai, beleértve a hozzáférést, a tiltakozást és a törlést, a megfelelő biztonsági intézkedések, valamint nagymértékű adatkezelés esetén az adatvédelmi hatásvizsgálat továbbra is teljes mértékben alkalmazandó.

Az a tény, hogy a személyes adatok nyilvánosan megjelennek egy platformon, önmagában nem fosztja meg az érintettet jogaitól, és nem jogosít fel további adatkezelésre vagy profilalkotásra. Ez a keretrendszernek az a része is, amelyet nem a platform, hanem a felügyeleti hatóság és az érintett személyek érvényesítenek, így olyan kockázatot jelent, amely függetlenül attól fennáll, hogy a forrás intézkedik-e.

Ellenőrzőlista személyes adatokat gyűjtők számára

• Pontosan milyen adatokat gyűjtenek, és általános vagy különleges kategóriájú személyes adatokról van szó?
• Mi a konkrét célja az adatkezelésnek?
• Mi a jogalap, és az fennmarad-e egy szükségességi és mérlegelési értékelést követően?
• Hogyan tájékoztatják az érintetteket, és mentesülnek-e a tájékoztatási kötelezettség alól?
• Mennyi ideig tárolják az adatokat?
• Átviszik-e az adatokat az Európai Gazdasági Térségen kívülre?
• Szükséges-e adatvédelmi hatásvizsgálat az adatkezelés mértéke és jellege miatt?
• Technikailag végrehajthatók-e a hozzáférési, helyesbítési és törlési kérelmek?

MI-képzési adatok: külön aggodalomra ad okot

A mesterséges intelligencia és a nyelvi modellek lekaparott adatokon történő betanítása további jogi rétegeket ad hozzá a fenti keretrendszerekhez. A gyűjtés, tárolás és betanítás nem ugyanaz, és mindegyiknek megvannak a saját tesztjei. A betanítási adatok gyűjtése és ideiglenes tárolása a szöveg- és adatbányászati ​​kivétel alá tartozhat; ezen adatok felhasználása egy modell betanításához és az eredmény kereskedelmi hasznosítása különálló cselekmény, amelyet újra kell értékelni a szerzői jogok, az adatbázis-jogok és a GDPR szempontjából.

A kereskedelmi célú MI-fejlesztők elvileg hivatkozhatnak a bányászattal kapcsolatos kivételre, de csak addig, amíg a platformok nem implementáltak géppel olvasható kijelentkezési lehetőséget. Amennyiben a betanítási adatok egy védett adatbázis jelentős részét képezik, a sui generis jog továbbra is releváns marad, függetlenül attól, hogy a kivétel kiterjed-e a szerzői jogi elemre.

A GDPR értelmében a személyes adatok képzési célú gyűjtése szilárd jogalapot és – nagy léptékben – hatásvizsgálatot igényel. Egy konkrét megfelelési kockázat, hogy a törléshez és a helyesbítéshez való jog nehezen alkalmazható a betanított modellbe már beépített paraméterekre: a modellből való eltávolítás ritkán egyszerű technikai művelet. A jogi kötelezettség és a technikai megvalósíthatóság közötti feszültség élő aggodalomra ad okot a felügyeleti hatóságok számára. A Ryanair logikája itt is érvényes: a gyenge szellemi tulajdonvédelemmel rendelkező platformok továbbra is nagymértékben korlátozhatják az MI-képzésre való újrafelhasználást a feltételeik révén, feltéve, hogy szerződés jött létre.

Végrehajtási és peres gyakorlat

A viselkedés megállapítása ritkán a nehéz rész. A szervernaplók, az IP-tartományok, a böngésző ujjlenyomat-vizsgálata és a kérésminták összekapcsolják a forgalmat a fiókokkal. A platformok kanári adatokat is beágyaznak: szintetikus, nem feltűnő adatpontokat, amelyek eredetét bizonyítják, amikor máshol kerülnek elő. A nyílt forráskódú projektek esetében a forráskód nyilvános, és pontosan dokumentálja, hogy mely végpontokat hívják meg.

Nehezebb felelősségre vonni valakit, ha a művelet proxy szerverek vagy anonim domainek mögött történik. Az azonosító adatok közlését ilyenkor egy közvetítőtől, például egy tárhelyszolgáltatótól lehet kérni, a holland Legfelsőbb Bíróság által a Lycos kontra Pessers ügyben meghatározott kritériumok alapján.

A polgári jogi végrehajtás főként ideiglenes eljárások útján, szerződésen kívüli károkozás vagy szellemi tulajdonjogok megsértése alapján történik, ahol elegendő egy valószínűsíthető eset, és sürgősségi intézkedést kérnek kényszerítő bírsággal. Tekintettel a teljes körű eljárás költségeire és bizonyítási terhére, a platformok a gyakorlatban gyakran kombinálják a technikai intézkedéseket a tárhelyszolgáltatóknak, CDN-szolgáltatásoknak, alkalmazásboltoknak és domainregisztrátoroknak küldött értesítésekkel. A digitális szolgáltatásokról szóló törvény erre a célra szabványosított értesítési eljárást biztosít. Maga nem határozza meg, hogy a magatartás jogellenes-e; csak egy gyorsabb utat kínál annak kezelésére, és alkalmazása az érintett szolgáltatás szerepétől és az értesítés jellegétől függ.

Gyakran Ismételt Kérdések

Források

EUB 2004. november 9., C-203/02 (British Horseracing Board kontra William Hill)

EUB, 2009. július 16., C-5/08 (Infopaq)

EB 2013. december 19., C-202/12 (Innoweb kontra Wegener)

EB, 2014. február 13., C-466/12 (Svensson)

EUB 2015. január 15., C-30/14 (Ryanair kontra PR Aviation)

EUB 2018. augusztus 7., C-161/17 (Renckhoff)

EUB, 2021. március 9., C-392/19 (VG Bild-Kunst)

Hágai ​​Fellebbviteli Bíróság 2018. január 23., ECLI:NL:GHDHA:2018:61 (Ryanair kontra PR Aviation, áttétel után)

Holland Legfelsőbb Bíróság 2005. november 25., ECLI:NL:HR:2005:AU4019 (Lycos kontra Pessers)

A 96/9/EK irányelv (adatbázis-irányelv), amelyet a holland adatbázisokról szóló törvény hajtott végre

(EU) 2019/790 irányelv (DSM irányelv), 3. és 4. cikk; a holland szerzői jogi törvény 15n. és 15o. cikke

Holland szerzői jogi törvény, 1. és 27. cikk

Holland Büntető Törvénykönyv, 138ab. cikk

Az (EU) 2016/679 rendelet (GDPR) 4., 5., 6., 14., 15–21., 30., 32. és 35. cikke

(EU) 2022/2065 rendelet (digitális szolgáltatásokról szóló törvény)

Holland Polgári Törvénykönyv 6. könyv, 162. és 217. cikk; Holland Polgári Eljárásjogi Törvénykönyv, 254. és 1019. cikk

Law & More mind a harmadik fél adatait feldolgozó vállalatokat, mind a saját adatgyűjteményeiket védeni kívánó feleket tanácsolja. Kérjük, forduljon hozzánk bizalommal. kapcsolat egy adott helyzet felmérésére.