גירוד ושימוש חוזר של נתוני פלטפורמה: המסגרת המשפטית

מאמר זה מתווה מסגרת משפטית כללית במסגרת החוק ההולנדי והאירופי. אין בו ייעוץ בנוגע למצב מסוים. התוצאה של שאלת גירוד תלויה תמיד בעובדות המדויקות: הטכניקה שבה נעשה שימוש, אופי הנתונים, אופן אחסונם, הניצול המיועד והתצורה הטכנית של המקור.

ציבורי לא אומר שימוש חופשי

כל מי שאוסף נתונים מפלטפורמה מקוונת והופך אותם לזמינים במקום אחר פועל בתחום שלעתים קרובות מתואר כאפור, אך במבט מקרוב מוגדר טוב יותר מההנחה. השאלה עולה עבור שירותי השוואת מחירים, כלי גיוס וחברות מחקרי שוק, ובשנים האחרונות מעל לכל עבור גורמים האוספים נתוני הדרכה עבור מודלים של בינה מלאכותית בקנה מידה גדול.

שום חוק אינו אוסר איסוף נתונים זמינים לציבור ככאלה. באופן דומה, ההפך אינו נכון: העובדה שנתונים גלויים ללא צורך בכניסה אינה אומרת שניתן לעשות בהם שימוש חוזר באופן חופשי. כל מי שאוסף, מאחסן ומשתמש בנתונים באופן חוזר פועל בצומת של חמישה תחומים: זכויות מאגרי מידע, זכויות יוצרים, דיני חוזים, משפט פלילי ותקנת הגנת המידע הכללית . מה שקובע את התוצאה אינו האם הנתונים היו ציבוריים, אלא כיצד הם הושגו, אוחסנו והועמדו לזמינים שוב.

שלושה מודלים של איסוף נתונים, שלושה פרופילי סיכון

זה עוזר להבחין בין שלוש דרכים לפעולה. עם קישור והטמעה, השירות מתייחס רק לחומר שהפלטפורמה עצמה כבר פרסמה לציבור. עם אחזור ואחסון עצמאיים, השירות אוסף נתונים, שומר אותם בשרתים שלו ומגיש אותם משם. במודל השלישי אותו הדבר קורה, אך חומת כניסה, דרישת אסימון, CAPTCHA או הגבלת גישה טכנית אחרת עוקפים בתהליך.

המודל הראשון נושא את פרופיל הסיכון הנמוך ביותר: אין קהל חדש במובן של זכויות יוצרים כל עוד החומר כבר היה נגיש באופן חופשי, ולא נעקפה שום הגבלה טכנית. זה לא הופך אותו לחף מסיכונים: מסגור, הצגה מטעה, שימוש בסימן מסחרי או העברת נתונים אישיים כגון כתובות IP באמצעות הטמעות עדיין עלולים ליצור חשיפה. המודל השני ניתן לוויכוח ותלוי במידה רבה בהיקף ובאופי של מה שנלקח. השלישי הוא ללא ספק החשוף ביותר, משום שהוא יכול להפעיל אחריות אזרחית, פלילית וחבות הגנת מידע בו זמנית.

המטריצה ​​שלהלן נותנת אינדיקציה ראשונה, זמנית, ולא כלל חוק קבוע.

שיטת האיסוף	סיכון אזרחי וקניין רוחני	סיכון הגנת נתונים	סיכון פלילי	מבחן מפתח
קישור והטמעה	נמוך עד בינוני	מוגבל (העברת כתובת IP)	זניח	אין קהל חדש (סוונסון); אין עקיפת מגבלות (VG Bild-Kunst)
אחזור ואחסון עצמאיים	בינוני עד גבוה	גבוה כאשר מעורבים נתונים אישיים	נמוך כאשר המקור ציבורי	חלק משמעותי ממסד הנתונים; השקעה משמעותית; בסיס GDPR תקף
עקיפת הגבלות	גבוה מאוד	גבוה מאוד	נדל"ן (סעיף 138ab לחוק הפלילי ההולנדי)	הפרת אבטחה או שימוש במפתח מזויף; הפרת חוזה; עוולה

זכויות מסד נתונים: ההשקעה המשמעותית

עבור פלטפורמה, זכות מסד הנתונים sui generis היא בדרך כלל הבסיס המבטיח ביותר. הנחיית 96/9/EC , המיושמת בחוק מאגרי המידע ההולנדי , מגינה על יוצר מסד נתונים מפני חילוץ או שימוש חוזר של חלק מהותי מתוכנו, וגם מפני חילוץ חוזר ושיטתי של חלקים קטנים יותר כאשר הדבר מתנגש עם ניצול רגיל.

יצירה לעומת השגה

בפסק הדין הבריטי למרוצי סוסים נגד ויליאם היל (C-203/02) קבע בית המשפט לצדק כי רק השקעה בהשגה, אימות והצגה של נתונים קיימים נחשבת, ולא עלות יצירתם.

תוכן שנוצר על ידי משתמש

עבור פלטפורמות שתכניהן נתרם ללא תשלום על ידי משתמשים, הבחנה זו חותכת לשני הכיוונים ואינה באופן אוטומטי לטובתך. מצד אחד, הפלטפורמה אינה יוצרת את הנתונים, מה שפותח את הדלת להגנה. מצד שני, השגת הנתונים אינה עולה דבר: משתמשים מעלים מרצונם וביוזמתם, כך שאין הרבה מה להשקיע בשלב זה. לכן, ההגנה אינה נובעת מגודל מערך הנתונים, אלא רק כאשר הפלטפורמה יכולה להראות השקעה משמעותית במה שקורה לאחר האיסוף: אימות, פיקוח וניקוי, בקרת איכות, אינדוקס והצגת תשתית של הנתונים. האם השקעות אלו יחד עומדות בסף היא שאלה עובדתית שיש לאמת לכל פלטפורמה ולכל מערך נתונים, עם נתונים על צוות, תשתיות ומערכות ולא התייחסות לגודל בסיס המשתמשים.

מנועי חיפוש מטא ומגרדים

בפסק הדין Innoweb נגד Wegener (C-202/12) קבע בית המשפט כי שירות המעביר שאילתות חיפוש בזמן אמת למסד נתונים של צד אחר ומציג את התוצאות בממשק שלו עושה שימוש חוזר במסד נתונים זה, בין אם הנתונים מאוחסנים באופן מקומי באופן קבוע ובין אם לאו. זה נוגע ללב ליבם של סקרייפרים וממשקים חלופיים רבים, גם כאשר הם אינם שומרים דבר.

החריג של כריית טקסט ונתונים

סעיפים 3 ו-4 של הנחיית DSM , המיושמים בסעיפים 15n ו-15o של חוק זכויות היוצרים ההולנדי , קובעים חריג לכריית טקסט ונתונים. עבור צדדים מסחריים, חריג זה חל רק כאשר בעל הזכויות לא שמר לעצמו במפורש את זכויותיו, וההזמנות חייבות להירשם בצורה קריאה למכונה, למשל באמצעות מטא-נתונים של API, הוראות חוזיות או הוראות robots.txt.

זכויות יוצרים וממשקי פלטפורמה

בפלטפורמות המציגות תוכן משתמשים, זכויות יוצרים מיוחסות באופן שגרתי לצד הלא נכון. פוסטים ותמונות שייכים באופן עקרוני ליוצריהם, בתנאי שהיצירה היא יצירה אינטלקטואלית של היוצר כמשמעותה ב-Infopaq (C-5/08). פוסטים קצרים ועובדתיים לעיתים קרובות אינם עומדים בסף זה, כך שבמקרים רבים פשוט אין מה להגן.

מי רשאי לאכוף

תנאי השימוש בדרך כלל מעניקים לפלטפורמה רק רישיון לא בלעדי. שלוש שאלות עולות כאן לעתים קרובות יחד: זכויות היוצרים המהותיות, שנותרות בידי היוצר; הזכות לאסור הפרה, אשר באופן עקרוני שייכת רק לבעל הזכויות או לבעל רישיון בלעדי; והיכולת להגיש הליכים משפטיים, אשר הפלטפורמה רשאית להחזיק בה כאשר קיבלה מנדט מפורש מבעלי הזכויות.

על פי החוק ההולנדי, לבעל רישיון שאינו בלעדי בלבד אין זכות תביעה עצמאית בגין הפרה. עם זאת, הפלטפורמה יכולה לפעול על סמך זכויותיה שלה בנפרד מהתוכן: זכויות יוצרים בממשק המשתמש הגרפי, מבנה מסד הנתונים והסמלים, וזכויות סימן מסחרי בשמות מסחריים ולוגואים. שירות המאמץ אלמנטים אלה כדי להיראות מוכר בידי הפלטפורמה, עילה שלא הייתה לו ביחס לתוכן הבסיסי.

קישור והעתקה

שלושה קווי פסיקה של בית המשפט לצדק שולטים כאן. קישור למקור שכבר נגיש בחינם אינו מהווה העברה חדשה לציבור (סוונסון, C-466/12). הורדת יצירה והצבתה בשרת של אדם עצמו מהווה העברה חדשה לציבור, משום שהיצירה הופכת לזמינה לציבור אחר (רנקהוף, C-161/17). ועקיפת אמצעי הגנה טכניים מגיעה לציבור שבעל הזכויות לא התכוון אליו, מה שגם מהווה העברה חדשה לציבור (VG Bild-Kunst, C-392/19).

דיני חוזים: תנאי שימוש ופרדוקס ריינאייר

כמעט כל פלטפורמה אוסרת על גישה אוטומטית בתנאיה. השאלה הראשונה, עם זאת, היא האם בכלל נוצר חוזה, וזה שונה באופן מהותי בין מבקרים ציבוריים לחשבונות רשומים. גלישה גרידא, הפניה בתחתית העמוד, מחייבת לעיתים רחוקות מבקר על פי החוק ההולנדי אלא אם כן ניתן לקבוע קבלה פעילה. בגלישה גרידא, שבה התנאים מתקבלים במפורש בעת ההרשמה, התנאים מחייבים באופן עקרוני, ויצירת חשבון אוטומטית הופכת במהרה להפרה בפני עצמה.

הפרדוקס של ריינאייר

בפסק הדין ריינאייר נגד PR Aviation (C-30/14), קבע בית המשפט לצדק כי כאשר מסד נתונים אינו מוגן על ידי זכויות יוצרים וגם לא על ידי זכות sui generis, זכויות המשתמש המחייבות במסגרת הוראת מסד הנתונים אינן חלות. המפעיל רשאי אז להגביל שימוש חוזר באופן נרחב באמצעות חוזה. ככל שעמדת הקניין הרוחני חלשה יותר, כך מעמדה החוזי עשוי להתגלות כחזקה יותר. בעקבות פסיקה מקדמית זו, התיק חזר לבתי המשפט ההולנדיים, ובית המשפט לערעורים בהאג קבע כי האיסור על שימוש במסד נתונים בתנאי ריינאייר אינו בטל מטבעו, בניגוד לקביעה הקודמת.

בטלות כאשר מסד הנתונים מוגן

כאשר מאגר נתונים אכן נהנה מהגנה sui generis, איסור חוזי על חילוץ חלקים לא מהותיים בטל לפי סעיף 15 להנחיית מאגרי המידע. הגנה זו זמינה רק לצד המתאים כמשתמש חוקי, מעמד שתלוי בתורו באופן שבו הושגה הגישה למאגר.

החולשה המעשית של תביעה חוזית

זה מחייב רק את הצד הנגדי ולא את משתמשי הקצה שלו, קשה לכמת את ההפסד כאשר הפלטפורמה היא ללא תשלום, ולעיתים קרובות נעדר סעיף קנס מעשי. לכן, בסיס חוזי כמעט תמיד משולב עם זכויות במסד נתונים, זכויות יוצרים או נזיקין.

מגבלות במשפט הפלילי: גישה בלתי מורשית

לא כל הפרה של תנאי גישה מהווה גישה בלתי מורשית, והדיון מגיע למסקנה זו בקלות רבה מדי. סעיף 138ab לחוק הפלילי ההולנדי דורש חדירה מכוונת ובלתי חוקית למערכת אוטומטית, למשל על ידי שבירת אבטחה, התערבות טכנית, שימוש במפתח מזויף או הנחת זהות בדויה.

שליחת בקשות מהר יותר מהצפוי על ידי הספק, התעלמות מקובץ robots.txt, או רישום חשבון תחת שם בדוי או עם פרטים בדיוניים, אינם מהווים כשלעצמם חדירה. טופס הרשמה ציבורי פתוח לכולם ושום דבר אינו מופר. ייתכן שזה מפר את תנאי השימוש, אך זהו עניין אזרחי.

החשיפה הפלילית גוברת ברגע שמחסומי גישה טכניים קונקרטיים מתגברים: שימוש חוזר באסימוני אימות שנלכדו או במפתחות API, או עקיפה מכוונת של מערכות אנטי-בוט ו-CAPTCHA אינטראקטיביות. האפיון המשפטי אינו נובע אוטומטית משם הטכניקה בה נעשה שימוש. האם משהו נחשב לפריצה, התערבות טכנית או שימוש במפתח כוזב נותר הערכה ספציפית לעובדה, התלויה באופן פעולתו של מנגנון האבטחה, כוונת המשתמש ואופי העקיפה.

הגנת נתונים בגירוד בקנה מידה גדול

ברגע שנתונים שנגרדו ניתנים לייחס באופן ישיר או עקיף לאנשים פרטיים, כולל שמות משתמש, תמונות פרופיל, פוסטים, כתובות IP וסטטיסטיקות פרופיל, בדרך כלל הגורם שנגרד נחשב כבעל שליטה: הצד הקובע את מטרות ואמצעי העיבוד.

בפועל, לעתים קרובות מסתמכים על אינטרסים לגיטימיים. זהו בסיס אפשרי ולא רישיון אוטומטי: זה דורש הערכה של הגבלת המטרה, נחיצות וסובסידריות, ותרגיל איזון שבו גם הציפיות הסבירות של נושא המידע שוקלות. כאשר מדובר בנתונים רגישים, ניטור בקנה מידה גדול או יצירת פרופילים, איזון זה עלול ליפול לכיוון ההפוך.

סעיף 14(5)(ב) לתקנת ה-GDPR מספק פטור מחובת המידע במקרים בהם מסירת מידע אינה אפשרית או כרוכה במאמץ לא פרופורציונלי, כפי שקורה לעתים קרובות בנתונים שנאספו בקנה מידה גדול. פטור זה משפיע על חובת המידע בלבד. הגבלת מטרה ומזעור נתונים, רישום פעילויות העיבוד, זכויותיהם של נושאי המידע, לרבות גישה, התנגדות ומחיקה, אמצעי אבטחה מתאימים, וכאשר העיבוד הוא בקנה מידה גדול, הערכת השפעה על הגנת המידע, כולם ממשיכים לחול במלואם.

עצם העובדה שנתונים אישיים מופיעים בפומבי בפלטפורמה אינה שוללת מהנושא את זכויותיו ואינה מהווה רישיון לעיבוד נוסף או יצירת פרופילים. זהו גם החלק היחיד במסגרת שנאכף לא על ידי הפלטפורמה אלא על ידי הרשות המפקחת והאנשים הנוגעים בדבר, מה שהופך אותו לסיכון שקיים ללא קשר לשאלה האם המקור נוקט פעולה.

רשימת בדיקה לאוספי נתונים אישיים

• אילו נתונים בדיוק נאספים, והאם מדובר בנתונים אישיים רגילים או מסוג מיוחד?
• מהי המטרה הספציפית של העיבוד?
• מהו הבסיס המשפטי, והאם הוא שורד בהערכת צורך ואיזון?
• כיצד נושאי המידע מקבלים הודעה, והאם חל פטור מחובת המידע?
• כמה זמן הנתונים נשמרים?
• האם נתונים מועברים אל מחוץ לאזור הכלכלי האירופי?
• האם נדרשת הערכת השפעה על הגנת המידע בהתחשב בהיקף ובאופי העיבוד?
• האם ניתן לבצע בקשות גישה, תיקון ומחיקה באופן טכני?

נתוני אימון בינה מלאכותית: דאגה מובהקת

אימון מודלים של בינה מלאכותית ושפה על נתונים שנאספו מוסיף שכבות משפטיות נוספות על גבי המסגרות הנ"ל. איסוף, אחסון ואימון אינם אותו דבר ולכל אחד מהם מבחן משלו. איסוף ואחסון זמני של נתוני אימון עשויים להיכלל במסגרת החריג של כריית טקסט ונתונים; שימוש בנתונים אלה לאימון מודל וניצול מסחרי של התפוקה שלו הוא פעולה נפרדת שיש לבחון מחדש מול זכויות יוצרים, זכויות מסד נתונים ותקנת ה-GDPR.

מפתחי בינה מלאכותית מסחריים רשאים באופן עקרוני להסתמך על חריג הכרייה, אך רק כל עוד הפלטפורמות לא יישמו אפשרות לביטול קריאת מכונה. כאשר נתוני אימון מהווים חלק מהותי ממסד נתונים מוגן, הזכות sui generis נותרת רלוונטית ללא קשר לשאלה האם החריג מכסה את אלמנט זכויות היוצרים.

על פי ה-GDPR, איסוף נתונים אישיים למטרות הדרכה דורש בסיס משפטי איתן, ובקנה מידה גדול, הערכת השפעה. סיכון ספציפי לתאימות הוא שקשה להחיל את הזכות למחיקה ואת הזכות לתיקון על פרמטרים שכבר נטמעו במודל שאומן: הסרה מהמודל היא לעיתים רחוקות פעולה טכנית פשוטה. המתח בין חובה חוקית לבין היתכנות טכנית הוא דאגה חיה עבור רשויות הפיקוח. ההיגיון של ריינאייר חל גם כאן: פלטפורמות עם הגנה חלשה על קניין רוחני עדיין יכולות להגביל שימוש חוזר להדרכת בינה מלאכותית באופן נרחב באמצעות תנאיהן, בתנאי שנוצר חוזה.

אכיפה ומשפט משפטי

קביעת ההתנהגות היא לעיתים רחוקות החלק הקשה. יומני שרת, טווחי IP, טביעות אצבע של דפדפן ודפוסי בקשות מקשרים תעבורה לחשבונות. פלטפורמות מטמיעות גם נתונים קנריים: נקודות נתונים סינתטיות ובלתי בולטות המוכיחות את מקורן כאשר הן צפות במקום אחר. בפרויקטים של קוד פתוח, קוד המקור הוא ציבורי ומתעד במדויק אילו נקודות קצה נקראות.

קשה יותר למצוא צד להטיל עליו אחריות כאשר הפעילות ממוקמת מאחורי שרתי פרוקסי או דומיינים אנונימיים. לאחר מכן ניתן לבקש גילוי פרטים מזהים מגורם מתווך כגון ספק אירוח, על פי הקריטריונים שנקבעו על ידי בית המשפט העליון של הולנד בפסקת Lycos נגד Pessers.

אכיפה אזרחית מתבצעת בעיקר באמצעות הליכים ביניים, על בסיס נזיקין או הפרת קניין רוחני, כאשר די במקרה סביר ומבוקש צו מניעה דחוף עם תשלומי קנס. בהתחשב בעלות ובנטל הראיות של הליכים מלאים, פלטפורמות בפועל משלבות לעתים קרובות אמצעים טכניים עם הודעות לספקי אירוח, שירותי CDN, חנויות אפליקציות ורשמי דומיינים. חוק השירותים הדיגיטליים מספק הליך הודעה סטנדרטי למטרה זו. הוא עצמו אינו קובע האם התנהגות אינה חוקית; הוא מציע רק דרך מהירה יותר לטפל בה, ויישומו תלוי בתפקיד השירות הרלוונטי ובאופי ההודעה.

שאלות נפוצות

מקורות

בית הדין האירופי לערעורים 9 בנובמבר 2004, C-203/02 (מועצת מרוצי הסוסים הבריטית נגד ויליאם היל)

CJEU 16 ביולי 2009, C-5/08 (Infopaq)

CJEU 19 בדצמבר 2013, C-202/12 (Innoweb v Wegener)

CJEU 13 בפברואר 2014, C-466/12 (Svensson)

בית המשפט העליון של האיחוד האירופי 15 בינואר 2015, C-30/14 (ריינאייר נגד PR Aviation)

בית הדין לערעורים של האיחוד האירופי 7 באוגוסט 2018, C-161/17 (רנקהוף)

CJEU 9 במרץ 2021, C-392/19 (VG Bild-Kunst)

בית המשפט לערעורים בהאג, 3 באפריל 2018, ECLI:NL:GHDHA:2018:61 (ריינאייר נגד PR Aviation, בהפניה)

בית המשפט העליון של הולנד 25 בנובמבר 2005, ECLI:NL:HR:2005:AU4019 (Lycos נגד Pessers)

הנחיית 96/9/EC (הנחיית מאגרי מידע), המיושמת בחוק מאגרי המידע ההולנדי

הנחיית (EU) 2019/790 (הנחיית DSM), סעיפים 3 ו-4; חוק זכויות היוצרים ההולנדי סעיפים 15n ו-15o

חוק זכויות היוצרים ההולנדי, סעיפים 1 ו-27

סעיף 138ab לחוק הפלילי ההולנדי

תקנה (EU) 2016/679 (GDPR), סעיפים 4, 5, 6, 14, 15-21, 30, 32 ו-35

תקנה (EU) 2022/2065 (חוק השירותים הדיגיטליים)

ספר 6 של החוק האזרחי ההולנדי, סעיפים 162 ו-217; סעיפים 254 ו-1019 של החוק האזרחי ההולנדי

Law & More מייעץ הן לחברות המעבדות נתונים של צד שלישי והן לגורמים המבקשים להגן על אוספי הנתונים שלהם. אל תהססו צור קשר לצורך הערכה של מצב ספציפי.