Scraping dat z platformy v Nizozemsku: co je povoleno?

Scraping veřejně dostupných dat z platformy není podle nizozemského práva zakázán, ale jejich opětovné použití může porušovat práva k databázi platformy, autorská práva, její podmínky používání nebo GDPR. Hlavní výjimka z trestního hlediska: pokud prolomíte přihlašovací bariéru, bezpečnostní opatření nebo použijete falešný klíč k získání dat, může se jednat o počítačový útok podle článku 138ab nizozemského trestního zákoníku (Wetboek van Strafrecht, Sr), za který hrozí trest odnětí svobody až na dva roky.

Zda je scraping legální, závisí na tom, jak jsou data získávána, co je ukládáno a jak jsou znovu zpřístupněna. Níže uvádíme pět právních rámců, riziko pro každou metodu sběru, data pro trénování umělé inteligence a vymáhání práva.

Je možné veřejná data volně používat?

Ne. Data, která jsou viditelná bez přihlášení, mohou být stále chráněna. Každý, kdo shromažďuje, ukládá a znovu používá data platformy, pracuje na průsečíku práv k databázím, autorských práv, smluvního práva, trestního práva a práva na ochranu osobních údajů.

Tato otázka vyvstává u webů pro porovnávání cen, náborových nástrojů, firem zabývajících se průzkumem trhu a stále častěji i u stran shromažďujících data pro školení modelů umělé inteligence. V každém případě výsledek závisí na metodě sběru, povaze dat a zamýšleném použití.

Která metoda sběru s sebou nese jaké riziko?

Lze rozlišit tři modely: propojování a vkládání, nezávislé vyhledávání a ukládání a vyhledávání, které obchází technická omezení. Riziko se s každým krokem zvyšuje.

Tato matice je prvním ukazatelem, nikoli právním pravidlem. Odkazování na volně přístupný materiál neoslovuje novou veřejnost z hlediska autorských práv, ale zarámování, zavádějící prezentace nebo užívání ochranné známky může i tak zakládat odpovědnost.

Kdy právo k databázi chrání platformu?

Právo k databázi chrání tvůrce databáze, pokud získání, ověření nebo zveřejnění jejího obsahu vyžadovalo značnou investici (článek 1 nizozemského zákona o databázích, Databankenwet). Tvůrce pak může zakázat extrakci nebo opětovné použití podstatné části a opakovanou a systematickou extrakci menších částí, pokud je to v rozporu s běžným využíváním (článek 2 Databankenwet).

Toto právo trvá patnáct let od 1. ledna roku následujícího po dokončení databáze (článek 6 Databankenwet). Obcházení účinných technických opatření chránících databázi je samo o sobě protiprávní (článek 5a Databankenwet).

Počítá se investice do tvorby dat?

Ne. V případu British Horseracing Board v. William Hill (Soudní dvůr EU 9. listopadu 2004, C-203/02) Soudní dvůr rozhodl, že se započítávají pouze investice do získávání, ověření a prezentace stávajících údajů, nikoli náklady na jejich vytvoření.

Pro platformy s obsahem generovaným uživateli to platí obousměrně. Uživatelé nahrávají obsah sami, takže jeho získání platformu málo stojí. Ochrana pak závisí na prokázaných investicích do ověřování, moderování, indexování a prezentace, podložených údaji o personálu, infrastruktuře a systémech, nikoli na velikosti uživatelské základny.

Znovu využívá meta vyhledávač databázi?

Může. V případu Innoweb v. Wegener (Soudní dvůr EU 19. prosince 2013, C-202/12) Soud rozhodl, že služba přeposílá vyhledávací dotazy v reálném čase do databáze jiné strany a zobrazuje výsledky ve svém vlastním rozhraní, tuto databázi opakovaně používá, i když v ní nic trvale neukládá. Toto zdůvodnění platí pro mnoho scraperů a alternativních frontendů.

Pomáhá výjimka pro dolování textu a dat?

Částečně. Podle článku 15o nizozemského zákona o autorských právech (Auteurswet) je reprodukce pro účely dolování textu a dat povolena, pokud máte zákonný přístup a držitel práv si výslovně nevyhradil svá práva, a to pro online díla strojově čitelnými prostředky. Článek 15n zákona Auteurswet obsahuje širší výjimku pro výzkumné organizace a instituce kulturního dědictví provádějící vědecký výzkum.

Článek 4a zákona Databankenwet uplatňuje stejné výjimky pro právo na databázi. Strojově čitelný odhlasovací formulář, například v instrukcích robots.txt nebo metadatech API, proto tuto cestu pro komerční těžaře uzavírá.

Kdo je držitelem autorských práv k obsahu platformy?

V zásadě jednotliví uživatelé, kteří jej napsali nebo vytvořili, pokud je obsah jejich vlastním duševním výtvorem (Infopaq, SDEU 16. července 2009, C-5/08). Krátké, věcné příspěvky tuto hranici často nesplňují, takže nemusí být co chránit.

Platformy obvykle ve svých podmínkách užívání získají pouze nevýhradní licenci. Podle nizozemského práva nemůže držitel nevýhradní licence sám žalovat pro porušení práv; potřebuje mandát od držitelů práv. Platforma se však může spoléhat na svá vlastní práva v uživatelském rozhraní, ikonách a ochranných známkách a služba, která tyto prvky kopíruje tak, aby vypadaly povědomě, dává platformě důvod k žalobě.

Kdy je propojení nebo kopírování nové komunikace veřejné?

Tři rozsudky Soudního dvora stanovily hranici. Odkaz na volně přístupné dílo není novým sdělováním veřejnosti (Svensson, 13. února 2014, C-466/12). Kopírování díla na vlastní server a jeho zpřístupnění ano (Renckhoff, 7. srpna 2018, C-161/17). Rámování, které obchází technická ochranná opatření, také oslovuje novou veřejnost (VG Bild-Kunst, 9. března 2021, C-392/19).

Jsou podmínky používání platformy závazné pro scrapery?

Pouze pokud byla uzavřena smlouva. Registrovaný uživatel, který kliknutím souhlasí s podmínkami (click-wrap), je v zásadě vázán; návštěvník, který vidí pouze odkaz na podmínky v dolní části stránky (browse-wrap), často nikoli.

Téměř každá platforma ve svých podmínkách zakazuje automatizovaný přístup a automatické vytváření účtů pro scraping se rychle stává porušením smlouvy. Smluvní nárok má praktická omezení: zavazuje pouze protistranu, u bezplatné platformy je obtížné prokázat ztrátu a často chybí doložka o pokutě. Platformy jej proto obvykle kombinují s právy k databázi, autorským právem nebo občanskoprávním deliktem (článek 6:162 nizozemského občanského zákoníku, BW).

Co je paradox Ryanairu?

V případu Ryanair v. PR Aviation (Soudní dvůr EU 15. ledna 2015, C-30/14) Soudní dvůr rozhodl, že práva uživatelů ve směrnici o databázích se nevztahují na databázi, která není chráněna ani autorským právem, ani právem k databázi. Provozovatel pak může omezit opětovné použití smlouvou. Čím slabší je postavení duševního vlastnictví, tím silnější může být smlouva.

Případ se vrátil k Odvolacímu soudu v Haagu, který posuzoval, zda byly podmínky procházení a překrývání databáze akceptovány podle práva zvoleného v těchto podmínkách, a nikoli podle nizozemského práva (Gerechtshof Den Haag 23. ledna 2018, ECLI:NL:GHDHA:2018:61). Pokud je databáze chráněna, platí opak: výrobce nesmí právoplatnému uživateli bránit v extrakci nepodstatných částí a smlouva se od toho nemůže odchýlit v neprospěch uživatele (článek 3 Databankenwet).

Kdy je škrábání trestným činem?

Pokud se jedná o počítačový útok (computervredebreuk): úmyslný a nezákonný vstup do automatizovaného systému. Podle článku 138ab(1) Sr to platí v každém případě, pokud je přístup získán narušením bezpečnostního opatření, technickým zásahem, falešnými signály nebo falešným klíčem, nebo předstíráním falešné identity; maximální trestní sazba je dva roky, nebo čtyři roky, pokud jsou data následně zkopírována (článek 138ab(2) Sr).

Odesílání požadavků rychleji, než si poskytovatel přeje, ignorování souboru robots.txt nebo registrace účtu prostřednictvím veřejného formuláře samo o sobě nepředstavuje narušení; může jít o porušení podmínek používání, což je občanskoprávní záležitost. Riziko prudce roste, když jsou překonány technické bariéry, jako je opětovné použití zachycených autentizačních tokenů nebo klíčů API nebo úmyslné obcházení systémů CAPTCHA. Zda se to kvalifikuje jako narušení, závisí na tom, jak funguje zabezpečení a co uživatel zamýšlel.

Co GDPR vyžaduje při scrapingu osobních údajů?

Jakmile lze scrapingová data vysledovat k jednotlivcům, jako jsou uživatelská jména, profilové fotografie, příspěvky nebo IP adresy, uplatní se GDPR a scraper je obvykle správcem. Skutečnost, že jsou data veřejná, nezbavuje subjekty údajů práv.

Scrapeři se často spoléhají na oprávněné zájmy jako na právní základ. To vyžaduje zdokumentované posouzení účelu, nezbytnosti a vyvážení zájmů, které zahrnuje rozumná očekávání dotčených osob; u citlivých údajů, rozsáhlého monitorování nebo profilování váha často padá ve prospěch scrapera. GDPR osvobozuje od povinnosti informovat subjekty údajů, pokud je to nemožné nebo nepřiměřené, ale všechny ostatní povinnosti zůstávají: omezení účelu, minimalizace údajů, záznam o zpracování, zabezpečení, právo na přístup, námitku a výmaz a posouzení vlivu na ochranu osobních údajů v případě rozsáhlého zpracování. Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) dohlíží na dodržování předpisů nezávisle na tom, zda platforma jedná.

Můžete použít scrabovaná data k trénování modelu umělé inteligence?

Možná, ale shromažďování, ukládání a učení jsou samostatné úkony, každý s vlastním testem. Shromažďování a dočasné ukládání trénovacích dat může spadat pod výjimku pro text a data mining podle článku 15o Auteurswet, ale pouze pokud si držitel práv nevyhradil svá práva ve strojově čitelné podobě.

Pokud trénovací sada obsahuje podstatnou část chráněné databáze, právo na databázi stále platí. Podle GDPR potřebujete spolehlivý právní základ a obvykle i posouzení dopadů a je technicky obtížné vyhovět žádostem o výmaz nebo opravu, jakmile jsou data absorbována do trénovaného modelu. Platformy se slabým duševním vlastnictvím mohou i nadále omezovat školení AI prostřednictvím svých podmínek, pokud byla uzavřena smlouva. Viz také náš článek o systémech AI podle zákona o AI.

Jak platformy vymáhají ochranu proti scraperům?

Prokázání, že scraping je problémem jen zřídka: serverové protokoly, rozsahy IP adres, vzorce požadavků a data typu „zasazený kanárkový systém“ ukazují, odkud data pocházejí. Identifikace anonymního operátora je obtížnější.

Poskytovatel hostingu může být povinen zveřejnit totožnost provozovatele, pokud je obsah věrohodně nezákonný a škodlivý, žalobce má skutečný zájem, neexistuje méně rušivý způsob, jak získat data, a zájem žalobce převažuje (HR 25. listopadu 2005, ECLI:NL:HR:2005:AU4019, Lycos v. Pessers). Většina případů je podávána v rámci zkráceného řízení (kort geding) o soudní zákaz s pokutou. Platformy také zasílají oznámení poskytovatelům hostingu, službám CDN, obchodům s aplikacemi a registrátorům; zákon EU o digitálních službách stanoví pro tento účel standardní postup pro oznamování a podávání žalob, ale sám nerozhoduje o tom, co je nezákonné.

Co byste měli zkontrolovat, pokud shromažďujete data z platformy?

Než začnete sbírat, zkontrolujte tyto body:

• Ať už shromažďujete podstatnou část databáze, nebo opakovaně extrahujete menší části.
• Zda má platforma rezervaci pro strojově čitelný text a dolování dat.
• Zda jste přijali podmínky použití, které zakazují automatizovaný přístup.
• Zda vaše metoda obchází přihlašovací bariéru, token, CAPTCHA nebo jiné zabezpečení.
• Které osobní údaje shromažďujete, váš právní základ a doba uchovávání.
• Zda skutečně můžete provést požadavky na přístup a výmaz.

Co byste si jako platforma měli ověřit, pokud jde o ochranu dat?

Pro posílení své pozice si zkontrolujte tyto body:

• Že vaše investice do ověřování, moderování, indexování a prezentace je zdokumentována v číslech.
• Aby uživatelé aktivně přijali vaše podmínky při registraci, nejen prostřednictvím odkazu v zápatí.
• Že máte rezervaci pro strojově čitelný text a dolování dat.
• Že vaše technická opatření jsou účinná, takže obcházení je podle článku 5a Databankenwet nezákonné.
• Jaká práva vlastníte, například práva k rozhraní a ochranným známkám.

Co pro vás můžeme udělat se scrapingem a opětovným využitím dat?

Naši IT právníci poskytují poradenství jak společnostem, které shromažďují data třetích stran, tak i platformám, které chrání svá vlastní data. Můžeme:

• Posuďte svou metodu sběru dat z hlediska práv k databázi, autorských práv a článku 138ab Sr.
• Vytvořte nebo zkontrolujte podmínky použití a strojově čitelnou rezervaci těžby.
• Provést nebo přezkoumat test vyváženosti GDPR a posouzení dopadů.
• Zašlete poskytovateli hostingu nebo registrátorovi dopis s výzvou k ukončení činnosti nebo oznámení.
• Zahájit nebo se bránit v zkráceném řízení o soudní zákaz nebo zveřejnění totožnosti.

Shrnutí

• Scraping veřejných dat není jako takový zakázán; o jeho zákonnosti rozhoduje způsob, jakým jsou data získávána, ukládána a znovu používána.
• Právo k databázi chrání po dobu patnácti let značné investice do získávání, ověřování nebo prezentace dat (články 1, 2 a 6 zákona o databázích).
• Komerční textová a datová těžba je povolena pouze bez výhrady strojově čitelné podoby (článek 15o Auteurswet).
• Prolomení zabezpečení nebo použití falešného klíče může být podle článku 138ab Sr. považováno za vniknutí do počítače.
• Veřejné osobní údaje zůstávají chráněny GDPR; scraper je obvykle správcem.

Často kladené otázky