Αυτό το άρθρο καθορίζει ένα γενικό νομικό πλαίσιο βάσει του ολλανδικού και του ευρωπαϊκού δικαίου. Δεν αποτελεί συμβουλή για κάποια συγκεκριμένη περίπτωση. Το αποτέλεσμα μιας ερώτησης συλλογής δεδομένων εξαρτάται πάντα από τα ακριβή γεγονότα: την τεχνική που χρησιμοποιείται, τη φύση των δεδομένων, τον τρόπο αποθήκευσής τους, την προβλεπόμενη εκμετάλλευση και την τεχνική διαμόρφωση της πηγής.
Δημόσιο δεν σημαίνει δωρεάν χρήση
Όποιος συλλέγει δεδομένα από μια διαδικτυακή πλατφόρμα και τα διαθέτει αλλού, δραστηριοποιείται σε έναν τομέα που συχνά περιγράφεται ως γκρίζος, αλλά ο οποίος, με πιο προσεκτική εξέταση, ορίζεται καλύτερα από ό,τι υποτίθεται. Το ερώτημα προκύπτει για τις υπηρεσίες σύγκρισης τιμών, τα εργαλεία προσλήψεων και τις εταιρείες έρευνας αγοράς, και τα τελευταία χρόνια, κυρίως για τα μέρη που συλλέγουν δεδομένα εκπαίδευσης για μοντέλα τεχνητής νοημοσύνης σε κλίμακα.
Κανένας νόμος δεν απαγορεύει τη συλλογή δημόσια διαθέσιμων δεδομένων ως τέτοια. Ομοίως, δεν ισχύει το αντίστροφο: το γεγονός ότι τα δεδομένα είναι ορατά χωρίς σύνδεση δεν σημαίνει ότι είναι ελεύθερα για επαναχρησιμοποίηση. Όποιος συλλέγει, αποθηκεύει και επαναχρησιμοποιεί δεδομένα λειτουργεί στη διασταύρωση πέντε πεδίων: δικαιώματα βάσεων δεδομένων, πνευματικά δικαιώματα, δίκαιο των συμβάσεων, ποινικό δίκαιο και Γενικός Κανονισμός για την Προστασία Δεδομένων . Αυτό που καθορίζει το αποτέλεσμα δεν είναι το αν τα δεδομένα ήταν δημόσια, αλλά ο τρόπος με τον οποίο αποκτήθηκαν, αποθηκεύτηκαν και διατέθηκαν εκ νέου.
Τρία μοντέλα συλλογής δεδομένων, τρία προφίλ κινδύνου
Βοηθά να διακρίνουμε τρεις τρόπους λειτουργίας. Με τη σύνδεση και την ενσωμάτωση, η υπηρεσία αναφέρεται μόνο σε υλικό που η ίδια η πλατφόρμα έχει ήδη δημοσιοποιήσει. Με την ανεξάρτητη ανάκτηση και αποθήκευση, η υπηρεσία συλλέγει δεδομένα, τα διατηρεί στους δικούς της διακομιστές και τα εξυπηρετεί από εκεί. Στο τρίτο μοντέλο συμβαίνει το ίδιο, αλλά κατά τη διαδικασία παρακάμπτεται ένας τοίχος σύνδεσης, μια απαίτηση διακριτικού, ένα CAPTCHA ή άλλος τεχνικός περιορισμός πρόσβασης.
Το πρώτο μοντέλο φέρει το χαμηλότερο προφίλ κινδύνου: δεν υπάρχει νέο κοινό με την έννοια των πνευματικών δικαιωμάτων, εφόσον το υλικό ήταν ήδη ελεύθερα προσβάσιμο και δεν παρακάμπτεται κανένας τεχνικός περιορισμός. Αυτό δεν το καθιστά απαλλαγμένο από κινδύνους: η διαμόρφωση πλαισίου, η παραπλανητική παρουσίαση, η χρήση εμπορικού σήματος ή η μεταφορά προσωπικών δεδομένων, όπως διευθύνσεις IP μέσω ενσωματώσεων, ενδέχεται να δημιουργήσουν έκθεση. Το δεύτερο μοντέλο είναι αμφισβητήσιμο και εξαρτάται σε μεγάλο βαθμό από την κλίμακα και τη φύση αυτού που καταγράφεται. Το τρίτο είναι μακράν το πιο εκτεθειμένο, επειδή μπορεί να προκαλέσει ταυτόχρονα αστική, ποινική και ευθύνη για την προστασία δεδομένων.
Ο παρακάτω πίνακας παρέχει μια πρώτη, προσωρινή ένδειξη και όχι έναν πάγιο κανόνα δικαίου.
| Μέθοδος συλλογής | Αστικός κίνδυνος και κίνδυνος πνευματικής ιδιοκτησίας | Κίνδυνος προστασίας δεδομένων | Ποινικός κίνδυνος | Κλειδί δοκιμή |
|---|---|---|---|---|
| Σύνδεση και ενσωμάτωση | Χαμηλή έως μέτρια | Περιορισμένη (μεταφορά διεύθυνσης IP) | Αμελητέος | Δεν επιτρέπεται η είσοδος σε νέο κοινό (Svensson)· δεν επιτρέπεται η παράκαμψη των περιορισμών (VG Bild-Kunst) |
| Ανεξάρτητη ανάκτηση και αποθήκευση | Μέτρια έως υψηλή | Υψηλό επίπεδο όπου εμπλέκονται προσωπικά δεδομένα | Χαμηλό όπου η πηγή είναι δημόσια | Σημαντικό μέρος της βάσης δεδομένων· σημαντική επένδυση· έγκυρη βάση GDPR |
| Παράκαμψη περιορισμών | Πολύ ψηλά | Πολύ ψηλά | Πραγματικό (άρθρο 138ab του Ολλανδικού Ποινικού Κώδικα) | Παραβίαση ασφάλειας ή χρήση πλαστού κλειδιού· παραβίαση σύμβασης· αδικοπραξία |
Δικαιώματα βάσεων δεδομένων: η σημαντική επένδυση
Για μια πλατφόρμα, το δικαίωμα sui generis σε βάση δεδομένων είναι συνήθως η πιο πολλά υποσχόμενη βάση. Η οδηγία 96/9/ΕΚ , η οποία ενσωματώθηκε στον ολλανδικό νόμο περί βάσεων δεδομένων , προστατεύει τον κατασκευαστή μιας βάσης δεδομένων από την εξαγωγή ή την επαναχρησιμοποίηση σημαντικού μέρους του περιεχομένου της, καθώς και από την επαναλαμβανόμενη και συστηματική εξαγωγή μικρότερων τμημάτων, όταν αυτό αντίκειται στην κανονική εκμετάλλευση.
Δημιουργία έναντι απόκτησης
Στην υπόθεση British Horseracing Board κατά William Hill (C-203/02), το Δικαστήριο έκρινε ότι μόνο η επένδυση στη συλλογή, επαλήθευση και παρουσίαση υφιστάμενων δεδομένων μετράει και όχι το κόστος δημιουργίας τους.
Περιεχόμενο που δημιουργείται από τον χρήστη
Για τις πλατφόρμες των οποίων το περιεχόμενο παρέχεται δωρεάν από τους χρήστες, η διάκριση αυτή είναι αμφίδρομη και δεν είναι αυτόματα ευνοϊκή. Αφενός, η πλατφόρμα δεν δημιουργεί τα δεδομένα, γεγονός που ανοίγει την πόρτα στην προστασία. Αφετέρου, η απόκτησή τους δεν κοστίζει τίποτα: οι χρήστες ανεβάζουν δεδομένα οικειοθελώς και με δική τους πρωτοβουλία, επομένως δεν υπάρχουν πολλά προς επένδυση σε αυτό το στάδιο. Συνεπώς, η προστασία δεν προκύπτει από το μέγεθος του συνόλου δεδομένων, αλλά μόνο όταν η πλατφόρμα μπορεί να επιδείξει ουσιαστική επένδυση σε ό,τι συμβαίνει μετά τη συλλογή: επαλήθευση, εποπτεία και καθαρισμός, έλεγχος ποιότητας, ευρετηρίαση και παρουσίαση υποδομών των δεδομένων. Το κατά πόσον αυτές οι επενδύσεις πληρούν το όριο είναι ζήτημα πραγματικών περιστατικών που πρέπει να τεκμηριωθεί ανά πλατφόρμα και ανά σύνολο δεδομένων, με στοιχεία για το προσωπικό, την υποδομή και τα συστήματα και όχι με αναφορά στο μέγεθος της βάσης χρηστών.
Μετα-μηχανές αναζήτησης και scrapers
Στην υπόθεση Innoweb κατά Wegener (C-202/12), το Δικαστήριο έκρινε ότι μια υπηρεσία που προωθεί ερωτήματα αναζήτησης σε πραγματικό χρόνο στη βάση δεδομένων άλλου μέρους και εμφανίζει τα αποτελέσματα στη δική της διεπαφή επαναχρησιμοποιεί αυτήν τη βάση δεδομένων, ανεξάρτητα από το αν τα δεδομένα αποθηκεύονται τοπικά σε μόνιμη βάση. Αυτό αγγίζει την ουσία πολλών scraper και εναλλακτικών διεπαφών, ακόμη και όταν δεν διατηρούν τίποτα.
Η εξαίρεση της εξόρυξης κειμένου και δεδομένων
Τα άρθρα 3 και 4 της οδηγίας DSM , που εφαρμόζονται στα άρθρα 15n και 15o του ολλανδικού νόμου περί πνευματικής ιδιοκτησίας , προβλέπουν εξαίρεση για την εξόρυξη κειμένου και δεδομένων. Για τα εμπορικά μέρη, η εξαίρεση αυτή ισχύει μόνο όταν ο κάτοχος των δικαιωμάτων δεν έχει ρητά επιφυλάξεις για τα δικαιώματά του και η επιφύλαξη πρέπει να καταγράφεται σε μορφή αναγνώσιμη από μηχανήματα, για παράδειγμα μέσω μεταδεδομένων API, συμβατικών διατάξεων ή οδηγιών robots.txt.
Πνευματικά δικαιώματα και διεπαφές πλατφόρμας
Σε πλατφόρμες που μεταφέρουν περιεχόμενο χρήστη, τα πνευματικά δικαιώματα αποδίδονται συνήθως σε λάθος μέρος. Οι αναρτήσεις και οι εικόνες ανήκουν κατ' αρχήν στους δημιουργούς τους, υπό την προϋπόθεση ότι το έργο αποτελεί πνευματική δημιουργία του δημιουργού κατά την έννοια του Infopaq (C-5/08). Σύντομες, τεκμηριωμένες αναρτήσεις συχνά δεν πληρούν αυτό το όριο, επομένως σε πολλές περιπτώσεις απλώς δεν υπάρχει τίποτα προς προστασία.
Ποιος μπορεί να επιβάλει
Οι όροι χρήσης συνήθως χορηγούν στην πλατφόρμα μόνο μια μη αποκλειστική άδεια. Τρία ζητήματα συγχέονται συχνά εδώ: το ουσιαστικό δικαίωμα πνευματικής ιδιοκτησίας, το οποίο παραμένει στον δημιουργό· το δικαίωμα απαγόρευσης μιας παραβίασης, το οποίο καταρχήν ανήκει μόνο στον κάτοχο του δικαιώματος ή σε έναν αποκλειστικό δικαιοδόχο· και η ικανότητα άσκησης αγωγής, την οποία μπορεί να έχει η πλατφόρμα όταν έχει εξασφαλίσει ρητή εντολή από τους κατόχους δικαιωμάτων.
Σύμφωνα με την ολλανδική νομοθεσία, ένας απλώς μη αποκλειστικός κάτοχος άδειας δεν έχει ανεξάρτητο δικαίωμα αγωγής για παραβίαση. Η πλατφόρμα μπορεί, ωστόσο, να ενεργήσει βάσει των δικών της δικαιωμάτων ξεχωριστά από το περιεχόμενο: πνευματικά δικαιώματα στη γραφική διεπαφή χρήστη, τη δομή και τα εικονίδια της βάσης δεδομένων, και δικαιώματα εμπορικών σημάτων σε εμπορικές επωνυμίες και λογότυπα. Μια υπηρεσία που υιοθετεί αυτά τα στοιχεία για να φαίνεται οικεία παρέχει στην πλατφόρμα ένα έδαφος που δεν είχε σε σχέση με το υποκείμενο περιεχόμενο.
Σύνδεση και αντιγραφή
Τρεις γραμμές νομολογίας του Δικαστηρίου διέπουν εδώ. Η υπερσύνδεση με μια πηγή που είναι ήδη ελεύθερα προσβάσιμη δεν αποτελεί νέα παρουσίαση στο κοινό (Svensson, C-466/12). Η λήψη ενός έργου και η τοποθέτησή του στον δικό σας διακομιστή αποτελεί νέα παρουσίαση στο κοινό, επειδή το έργο καθίσταται έτσι διαθέσιμο σε διαφορετικό κοινό (Renckhoff, C-161/17). Και η παράκαμψη των τεχνικών μέτρων προστασίας φτάνει σε ένα κοινό που ο κάτοχος των δικαιωμάτων δεν είχε κατά νου, κάτι που επίσης συνιστά νέα παρουσίαση στο κοινό (VG Bild-Kunst, C-392/19).
Συμβατικό δίκαιο: όροι χρήσης και το παράδοξο της Ryanair
Σχεδόν κάθε πλατφόρμα απαγορεύει την αυτοματοποιημένη πρόσβαση στους όρους της. Το πρώτο ερώτημα, ωστόσο, είναι εάν υπήρξε καν σύμβαση, και αυτό διαφέρει ουσιωδώς μεταξύ των δημόσιων επισκεπτών και των εγγεγραμμένων λογαριασμών. Ένα απλό browse-wrap, μια αναφορά στο κάτω μέρος της σελίδας, σπάνια δεσμεύει έναν επισκέπτη βάσει του ολλανδικού δικαίου, εκτός εάν μπορεί να αποδειχθεί η ενεργή αποδοχή. Με ένα click-wrap, όπου οι όροι γίνονται ρητά αποδεκτοί κατά την εγγραφή, οι όροι είναι κατ' αρχήν δεσμευτικοί και η αυτοματοποιημένη δημιουργία λογαριασμού γρήγορα καθίσταται παραβίαση από μόνη της.
Το παράδοξο της Ryanair
Στην υπόθεση Ryanair κατά PR Aviation (C-30/14), το Δικαστήριο έκρινε ότι όταν μια βάση δεδομένων δεν προστατεύεται ούτε από πνευματικά δικαιώματα ούτε από το δικαίωμα ειδικής φύσεως, τα υποχρεωτικά δικαιώματα χρήστη βάσει της οδηγίας για τις βάσεις δεδομένων δεν ισχύουν. Ο φορέας εκμετάλλευσης μπορεί στη συνέχεια να περιορίσει εκτενώς την επαναχρησιμοποίηση μέσω σύμβασης. Όσο ασθενέστερη είναι η θέση της πνευματικής ιδιοκτησίας, τόσο ισχυρότερη μπορεί να αποδειχθεί η συμβατική. Μετά την εν λόγω προδικαστική απόφαση, η υπόθεση επέστρεψε στα ολλανδικά δικαστήρια και, στην απόφασή του της 23ης Ιανουαρίου 2018, το Εφετείο της Χάγης έκρινε ότι η απαγόρευση χρήσης βάσης δεδομένων σύμφωνα με τους όρους της Ryanair δεν ήταν, σε αντίθεση με την προηγούμενη διαπίστωση, άκυρη εξ ορισμού. Η απόφαση αυτή δείχνει επίσης πόσο επηρεάζει το δίκαιο που διέπει τους όρους: το δικαστήριο αξιολόγησε την αποδοχή με περιστροφή βάσει του δικαίου που είχε επιλέξει η Ryanair σε αυτούς τους όρους, όχι βάσει του ολλανδικού δικαίου.
Ακυρότητα όπου η βάση δεδομένων προστατεύεται
Όταν μια βάση δεδομένων απολαμβάνει προστασίας sui generis, η συμβατική απαγόρευση εξαγωγής επουσιωδών μερών είναι άκυρη βάσει του άρθρου 15 της οδηγίας για τις βάσεις δεδομένων. Η προστασία αυτή είναι διαθέσιμη μόνο σε ένα μέρος που πληροί τις προϋποθέσεις ως νόμιμος χρήστης, μια ιδιότητα που με τη σειρά της εξαρτάται από τον τρόπο με τον οποίο αποκτήθηκε η πρόσβαση στη βάση δεδομένων.
Η πρακτική αδυναμία μιας συμβατικής αξίωσης
Δεσμεύει μόνο τον αντισυμβαλλόμενο και όχι τους τελικούς χρήστες του, η ζημία είναι δύσκολο να ποσοτικοποιηθεί όταν η πλατφόρμα είναι δωρεάν και συχνά απουσιάζει μια εφαρμόσιμη ποινική ρήτρα. Συνεπώς, μια συμβατική βάση συνδυάζεται σχεδόν πάντα με δικαιώματα βάσης δεδομένων, πνευματικά δικαιώματα ή αδικοπραξία.
Όρια ποινικού δικαίου: μη εξουσιοδοτημένη πρόσβαση
Δεν συνιστά κάθε παραβίαση των όρων πρόσβασης μη εξουσιοδοτημένη πρόσβαση και η συζήτηση καταλήγει σε αυτό το συμπέρασμα υπερβολικά εύκολα. Το άρθρο 138ab του ολλανδικού Ποινικού Κώδικα απαιτεί εκούσια και παράνομη εισβολή σε ένα αυτοματοποιημένο σύστημα, για παράδειγμα με παραβίαση της ασφάλειας, τεχνική παρέμβαση, χρήση πλαστού κλειδιού ή υπόθεση πλαστής ταυτότητας.
Η αποστολή αιτημάτων ταχύτερα από ό,τι προόριζε ο πάροχος, η αγνόηση του robots.txt ή η εγγραφή λογαριασμού με ψευδώνυμο ή με πλασματικά στοιχεία δεν συνιστά από μόνη της εισβολή. Μια δημόσια φόρμα εγγραφής είναι ανοιχτή σε όλους και τίποτα δεν παραβιάζεται. Αυτό μπορεί κάλλιστα να παραβιάζει τους όρους χρήσης, αλλά πρόκειται για αστικό ζήτημα.
Η εγκληματική έκθεση αυξάνεται μόλις ξεπεραστούν συγκεκριμένα τεχνικά εμπόδια πρόσβασης: η επαναχρησιμοποίηση των συλληφθέντων διακριτικών ελέγχου ταυτότητας ή κλειδιών API ή η σκόπιμη παράκαμψη διαδραστικών συστημάτων anti-bot και CAPTCHA. Ο νομικός χαρακτηρισμός δεν προκύπτει αυτόματα από το όνομα της χρησιμοποιούμενης τεχνικής. Το αν κάτι χαρακτηρίζεται ως εισβολή, τεχνική παρέμβαση ή χρήση ψευδούς κλειδιού παραμένει μια αξιολόγηση που βασίζεται σε συγκεκριμένα γεγονότα και εξαρτάται από τον τρόπο λειτουργίας του μηχανισμού ασφαλείας, την πρόθεση του χρήστη και τη φύση αυτού που παρακάμπτεται.
Προστασία δεδομένων σε μεγάλης κλίμακας scraping
Μόλις τα δεδομένα που συλλέγονται μπορούν να ιχνηλατηθούν άμεσα ή έμμεσα σε φυσικά πρόσωπα, συμπεριλαμβανομένων των ονομάτων χρήστη, των εικόνων προφίλ, των αναρτήσεων, των διευθύνσεων IP και των στατιστικών στοιχείων προφίλ, ο συλλέκτης δεδομένων συνήθως χαρακτηρίζεται ως υπεύθυνος επεξεργασίας: το μέρος που καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας.
Στην πράξη, συχνά γίνεται επίκληση σε έννομα συμφέροντα. Αυτή είναι μια πιθανή βάση και όχι μια αυτόματη άδεια: απαιτεί αξιολόγηση του περιορισμού του σκοπού, της αναγκαιότητας και της επικουρικότητας, καθώς και μια άσκηση εξισορρόπησης στην οποία λαμβάνονται επίσης υπόψη οι εύλογες προσδοκίες του υποκειμένου των δεδομένων. Όταν εμπλέκονται ευαίσθητα δεδομένα, παρακολούθηση μεγάλης κλίμακας ή κατάρτιση προφίλ, η ισορροπία αυτή μπορεί να είναι αντίστροφη.
Το άρθρο 14(5)(β) του ΓΚΠΔ παρέχει εξαίρεση από την υποχρέωση ενημέρωσης όταν η ενημέρωση είναι αδύνατη ή συνεπάγεται δυσανάλογη προσπάθεια, κάτι που συμβαίνει συχνά με δεδομένα που συλλέγονται σε μεγάλη κλίμακα. Η εξαίρεση αυτή επηρεάζει μόνο την υποχρέωση ενημέρωσης. Ο περιορισμός του σκοπού και η ελαχιστοποίηση των δεδομένων, το αρχείο των δραστηριοτήτων επεξεργασίας, τα δικαιώματα των υποκειμένων των δεδομένων, συμπεριλαμβανομένης της πρόσβασης, της αντίρρησης και της διαγραφής, τα κατάλληλα μέτρα ασφαλείας και, όταν η επεξεργασία είναι μεγάλης κλίμακας, η εκτίμηση των επιπτώσεων στην προστασία δεδομένων, εξακολουθούν να ισχύουν πλήρως.
Το γεγονός και μόνο ότι τα προσωπικά δεδομένα εμφανίζονται δημόσια σε μια πλατφόρμα δεν στερεί από το υποκείμενο των δεδομένων τα δικαιώματά του και δεν αποτελεί άδεια για περαιτέρω επεξεργασία ή κατάρτιση προφίλ. Αυτό είναι επίσης το ένα μέρος του πλαισίου που δεν επιβάλλεται από την πλατφόρμα αλλά από την εποπτική αρχή και τα εμπλεκόμενα άτομα, γεγονός που το καθιστά έναν κίνδυνο που υπάρχει ανεξάρτητα από το αν η πηγή αναλάβει δράση.
Λίστα ελέγχου για όσους συλλέγουν προσωπικά δεδομένα
- Ποια ακριβώς δεδομένα συλλέγονται και πρόκειται για συνηθισμένα ή ειδικής κατηγορίας προσωπικά δεδομένα;
- Ποιος είναι ο συγκεκριμένος σκοπός της επεξεργασίας;
- Ποια είναι η νομική βάση και αντέχει σε μια αξιολόγηση αναγκαιότητας και εξισορρόπησης;
- Πώς ενημερώνονται τα υποκείμενα των δεδομένων και ισχύει εξαίρεση από την υποχρέωση ενημέρωσης;
- Για πόσο χρονικό διάστημα διατηρούνται τα δεδομένα;
- Μεταφέρονται δεδομένα εκτός του Ευρωπαϊκού Οικονομικού Χώρου;
- Απαιτείται εκτίμηση επιπτώσεων στην προστασία δεδομένων, δεδομένης της κλίμακας και της φύσης της επεξεργασίας;
- Μπορούν τα αιτήματα πρόσβασης, διόρθωσης και διαγραφής να εκτελεστούν τεχνικά;
Δεδομένα εκπαίδευσης τεχνητής νοημοσύνης: μια ξεχωριστή ανησυχία
Η εκπαίδευση μοντέλων τεχνητής νοημοσύνης και γλώσσας σε δεδομένα που έχουν συλλεχθεί προσθέτει περαιτέρω νομικά επίπεδα πέραν των παραπάνω πλαισίων. Η συλλογή, η αποθήκευση και η εκπαίδευση δεν είναι το ίδιο πράγμα και η καθεμία φέρει τη δική της δοκιμή. Η συλλογή και η προσωρινή αποθήκευση δεδομένων εκπαίδευσης ενδέχεται να εμπίπτει στην εξαίρεση της εξόρυξης κειμένου και δεδομένων. Η χρήση αυτών των δεδομένων για την εκπαίδευση ενός μοντέλου και η εμπορική εκμετάλλευση του αποτελέσματός του αποτελεί ξεχωριστή πράξη που πρέπει να αξιολογηθεί εκ νέου με βάση τα πνευματικά δικαιώματα, τα δικαιώματα βάσεων δεδομένων και τον ΓΚΠΔ.
Οι εμπορικοί προγραμματιστές τεχνητής νοημοσύνης μπορούν κατ' αρχήν να βασίζονται στην εξαίρεση εξόρυξης, αλλά μόνο για όσο διάστημα οι πλατφόρμες δεν έχουν εφαρμόσει μηχανικά αναγνώσιμη εξαίρεση. Όταν τα δεδομένα εκπαίδευσης αποτελούν μέρος ενός ουσιώδους μέρους μιας προστατευόμενης βάσης δεδομένων, το δικαίωμα ειδικής φύσεως παραμένει σχετικό ανεξάρτητα από το εάν η εξαίρεση καλύπτει το στοιχείο των πνευματικών δικαιωμάτων.
Σύμφωνα με τον ΓΚΠΔ, η συλλογή προσωπικών δεδομένων για σκοπούς εκπαίδευσης απαιτεί μια ισχυρή νομική βάση και, σε μεγάλη κλίμακα, μια εκτίμηση επιπτώσεων. Ένας συγκεκριμένος κίνδυνος συμμόρφωσης είναι ότι το δικαίωμα διαγραφής και το δικαίωμα διόρθωσης είναι δύσκολο να εφαρμοστούν σε παραμέτρους που έχουν ήδη απορροφηθεί σε ένα εκπαιδευμένο μοντέλο: η αφαίρεση από το μοντέλο σπάνια είναι μια απλή τεχνική λειτουργία. Αυτή η ένταση μεταξύ νομικής υποχρέωσης και τεχνικής σκοπιμότητας αποτελεί ζωτική ανησυχία για τις εποπτικές αρχές. Η λογική της Ryanair ισχύει και εδώ: πλατφόρμες με ασθενή προστασία πνευματικής ιδιοκτησίας μπορούν να περιορίσουν εκτενώς την επαναχρησιμοποίηση για εκπαίδευση στην Τεχνητή Νοημοσύνη μέσω των όρων τους, υπό την προϋπόθεση ότι έχει συναφθεί σύμβαση.
Πρακτική εκτέλεσης και δικαστικής διαμάχης
Η διαπίστωση της συμπεριφοράς σπάνια είναι το δύσκολο κομμάτι. Τα αρχεία καταγραφής διακομιστών, τα εύρη IP, τα δακτυλικά αποτυπώματα του προγράμματος περιήγησης και τα μοτίβα αιτημάτων συνδέουν την επισκεψιμότητα με λογαριασμούς. Οι πλατφόρμες ενσωματώνουν επίσης δεδομένα τύπου canary: συνθετικά, δυσδιάκριτα σημεία δεδομένων που αποδεικνύουν την προέλευση όταν εμφανίζονται αλλού. Με τα έργα ανοιχτού κώδικα, ο πηγαίος κώδικας είναι δημόσιος και καταγράφει με ακρίβεια ποια τελικά σημεία καλούνται.
Δυσκολότερο είναι να βρεθεί ένα μέρος που θα θεωρηθεί υπεύθυνο όταν η λειτουργία βρίσκεται πίσω από διακομιστές proxy ή ανώνυμους τομείς. Η αποκάλυψη στοιχείων ταυτοποίησης μπορεί στη συνέχεια να ζητηθεί από έναν ενδιάμεσο, όπως έναν πάροχο φιλοξενίας, σύμφωνα με τα κριτήρια που ορίζει το Ανώτατο Δικαστήριο των Κάτω Χωρών στην υπόθεση Lycos κατά Pessers.
Η αστική επιβολή προχωρά κυρίως μέσω προσωρινών διαδικασιών, βάσει αδικοπραξίας ή παραβίασης πνευματικής ιδιοκτησίας, όπου αρκεί μια εύλογη υπόθεση και ζητείται επείγουσα ασφαλιστική αγωγή με χρηματικές ποινές. Δεδομένου του κόστους και του βάρους απόδειξης μιας πλήρους διαδικασίας, οι πλατφόρμες στην πράξη συχνά συνδυάζουν τεχνικά μέτρα με ειδοποιήσεις προς παρόχους φιλοξενίας, υπηρεσίες CDN, καταστήματα εφαρμογών και καταχωρητές ονομάτων τομέα. Ο Νόμος περί Ψηφιακών Υπηρεσιών παρέχει μια τυποποιημένη διαδικασία ειδοποίησης για τον σκοπό αυτό. Δεν καθορίζει ο ίδιος εάν η συμπεριφορά είναι παράνομη. προσφέρει μόνο μια ταχύτερη οδό για την αντιμετώπισή της και η εφαρμογή του εξαρτάται από τον ρόλο της εν λόγω υπηρεσίας και τη φύση της ειδοποίησης.
Συχνές ερωτήσεις
Απαγορεύεται η συλλογή δεδομένων από δημόσιους ιστότοπους στην Ολλανδία;
Όχι. Κανένας νόμος δεν απαγορεύει κατηγορηματικά τη συλλογή δεδομένων που είναι διαθέσιμα στο κοινό. Το αν επιτρέπεται εξαρτάται από το τι συλλέγεται, τον τρόπο με τον οποίο αποκτήθηκε η πρόσβαση και τι γίνεται στη συνέχεια με αυτά. Δημόσια προσβάσιμο δεν σημαίνει ελεύθερα επαναχρησιμοποιήσιμο.
Μπορώ να χρησιμοποιήσω δεδομένα πλατφόρμας για μια εμπορική υπηρεσία;
Αυτό απαιτεί αξιολόγηση σε τέσσερις κατευθύνσεις σε κάθε περίπτωση: περιέχει το σύνολο δεδομένων ένα ουσιώδες μέρος μιας προστατευόμενης βάσης δεδομένων, περιλαμβάνει έργα που προστατεύονται από πνευματικά δικαιώματα, έχει συναφθεί σύμβαση με την πλατφόρμα και υφίστανται επεξεργασία προσωπικά δεδομένα. Το απλό γεγονός ότι τα προφίλ είναι ορατά χωρίς σύνδεση δεν απαντά σε κανένα από αυτά τα τέσσερα ερωτήματα.
Η παραβίαση των όρων χρήσης αποτελεί ποινικό αδίκημα;
Όχι αυτή καθαυτή. Η παραβίαση σύμβασης αποτελεί αστικό ζήτημα. Ποινική ευθύνη προκύπτει μόνο όταν υπάρχει παρέμβαση κατά την έννοια του άρθρου 138ab του Ολλανδικού Ποινικού Κώδικα, το οποίο προϋποθέτει παραβίαση της ασφάλειας, τεχνική παρέμβαση, πλαστό κλειδί ή πλαστή ταυτότητα.
Είναι η δημιουργία λογαριασμού με ψευδώνυμο μη εξουσιοδοτημένη πρόσβαση;
Καταρχήν όχι. Μια δημόσια φόρμα εγγραφής είναι ανοιχτή σε όλους και τίποτα δεν είναι παραβιασμένο. Μπορεί κάλλιστα να παραβιάζει τους όρους χρήσης. Η κατάσταση διαφέρει όταν τα συστήματα anti-bot ή CAPTCHA παρακάμπτονται για την αυτοματοποίηση αυτής της εγγραφής ή όταν χρησιμοποιούνται διακριτικά που δεν εκδόθηκαν στον χρήστη.
Μπορώ να χρησιμοποιήσω δεδομένα που έχουν συλλεχθεί για να εκπαιδεύσω ένα μοντέλο τεχνητής νοημοσύνης;
Η εξαίρεση για την εξόρυξη κειμένου και δεδομένων αφήνει περιθώρια, αλλά μόνο για εμπορικά μέρη, για όσο διάστημα ο κάτοχος των δικαιωμάτων δεν έχει κάνει κράτηση αναγνώσιμη από μηχανήματα. Τα δικαιώματα βάσης δεδομένων και ο ΓΚΠΔ εξακολουθούν να ισχύουν ανεξάρτητα, και η συλλογή, η αποθήκευση και η εκπαίδευση είναι τρεις νομικά διακριτές πράξεις, καθεμία από τις οποίες πρέπει να αξιολογείται ξεχωριστά.
Τι θεωρείται ουσιαστικό μέρος μιας βάσης δεδομένων;
Αυτό μετριέται τόσο ποσοτικά όσο και ποιοτικά και δεν αποτελεί σταθερό ποσοστό. Η συστηματική εξαγωγή μικρών ποσοτήτων μπορεί επίσης να παραβιάζει την αρχή σε περιπτώσεις που έρχεται σε αντίθεση με την κανονική εκμετάλλευση. Η αξιολόγηση είναι τεκμηριωμένη και διαφέρει ανά σύνολο δεδομένων.
Χρειάζομαι νομική βάση εάν τα προσωπικά δεδομένα είναι ήδη δημόσια;
Ναι. Η δημοσιότητα δεν στερεί τα υποκείμενα των δεδομένων από τα δικαιώματά τους. Ένα μέρος που καθορίζει τους σκοπούς και τα μέσα είναι ο υπεύθυνος επεξεργασίας και χρειάζεται μια νομική βάση, στην πράξη συνήθως έννομα συμφέροντα, η οποία πρέπει να ανταποκρίνεται σε μια αξιολόγηση αναγκαιότητας και εξισορρόπησης.
Τι μπορεί να κάνει μια πλατφόρμα σχετικά με το scraping στην πράξη;
Συνήθως δεν πρόκειται για πλήρεις διαδικασίες. Διακοπή της πρόσβασης, εφαρμογή τεχνικών μέτρων και υποβολή ειδοποιήσεων σε παρόχους φιλοξενίας, υπηρεσίες CDN, καταστήματα εφαρμογών και καταχωρητές. Όταν κινούνται διαδικασίες, πρόκειται σχεδόν πάντα για ενδιάμεσες διαδικασίες, στις οποίες αρκεί μια εύλογη υπόθεση. Το πιο δύσκολο κομμάτι είναι ο εντοπισμός ενός ανώνυμου φορέα εκμετάλλευσης.
Πώς ενισχύει μια πλατφόρμα τη θέση της;
Τεκμηριώνοντας την επένδυσή του στην επαλήθευση, τον έλεγχο, την ευρετηρίαση και την παρουσίαση με συγκεκριμένους όρους, καταγράφοντας την αποδοχή των όρων του κατά την εγγραφή αντί να βασίζεται σε μια παραπομπή στο κάτω μέρος της σελίδας, εφαρμόζοντας μια μηχανικά αναγνώσιμη κράτηση εξόρυξης και διαμορφώνοντας τεχνικά μέτρα έτσι ώστε η παράκαμψή τους να είναι τόσο αποδεδειγμένη όσο και νομικά ουσιαστική.
Πηγές
ΔΕΕ 9 Νοεμβρίου 2004, C-203/02 (Βρετανικό Συμβούλιο Ιπποδρομιών κατά William Hill)
ΔΕΕ, 16 Ιουλίου 2009, C-5/08 (Infopaq)
ΔΕΕ 19 Δεκεμβρίου 2013, C-202/12 (Innoweb κατά Wegener)
ΔΕΕ 13 Φεβρουαρίου 2014, C-466/12 (Svensson)
ΔΕΕ 15 Ιανουαρίου 2015, C-30/14 (Ryanair κατά PR Aviation)
ΔΕΕ 7 Αυγούστου 2018, C-161/17 (Renckhoff)
ΔΕΕ, 9 Μαρτίου 2021, C-392/19 (VG Bild-Kunst)
Εφετείο Χάγης 23 Ιανουαρίου 2018, ECLI:NL:GHDHA:2018:61 (Ryanair κατά PR Aviation, μετά από παραπομπή)
Ανώτατο Δικαστήριο Ολλανδίας 25 Νοεμβρίου 2005, ECLI:NL:HR:2005:AU4019 (Lycos κατά Pessers)
Οδηγία 96/9/ΕΚ (Οδηγία για τις βάσεις δεδομένων), που ενσωματώθηκε στον ολλανδικό νόμο για τις βάσεις δεδομένων
Οδηγία (ΕΕ) 2019/790 (Οδηγία DSM), άρθρα 3 και 4· Ολλανδικός Νόμος περί Πνευματικής Ιδιοκτησίας άρθρα 15n και 15o
Ολλανδικός Νόμος περί Πνευματικής Ιδιοκτησίας, άρθρα 1 και 27
Ολλανδικός Ποινικός Κώδικας, άρθρο 138ab
Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), άρθρα 4, 5, 6, 14, 15-21, 30, 32 και 35
Κανονισμός (ΕΕ) 2022/2065 (Νόμος περί Ψηφιακών Υπηρεσιών)
Ολλανδικός Αστικός Κώδικας Βιβλίο 6, άρθρα 162 και 217· Ολλανδικός Κώδικας Πολιτικής Δικονομίας, άρθρα 254 και 1019
Law & More συμβουλεύει τόσο τις εταιρείες που επεξεργάζονται δεδομένα τρίτων όσο και τα μέρη που επιδιώκουν να προστατεύσουν τις δικές τους συλλογές δεδομένων. Μη διστάσετε να επικοινωνήστε μαζί μας για την αξιολόγηση μιας συγκεκριμένης κατάστασης.
