Skrabning af offentligt tilgængelige platformdata er ikke som sådan forbudt i henhold til hollandsk lov, men genbrug af dem kan krænke platformens databaserettigheder, ophavsret, dens brugsbetingelser eller GDPR. Den primære undtagelse på den strafferetlige side: Hvis du bryder en loginmur, en sikkerhedsforanstaltning eller bruger en falsk nøgle til at få fat i dataene, kan det være computerindbrud i henhold til artikel 138ab i den hollandske straffelov (Wetboek van Strafrecht, Sr), der kan straffes med op til to års fængsel.
Hvorvidt scraping er lovligt afhænger derfor af, hvordan dataene indhentes, hvad der lagres, og hvordan de gøres tilgængelige igen. Nedenfor beskriver vi de fem juridiske rammer, risikoen pr. indsamlingsmetode, AI-træningsdata og håndhævelse.
Indholdsfortegnelse
Er offentlige data frit tilgængelige til genbrug?
Nej. Data, der er synlige uden login, kan stadig være beskyttet. Enhver, der indsamler, opbevarer og genbruger platformdata, arbejder i krydsfeltet mellem databaserettigheder, ophavsret, kontraktsret, strafferet og databeskyttelseslovgivning.
Spørgsmålet opstår for prissammenligningssider, rekrutteringsværktøjer, markedsundersøgelsesfirmaer og i stigende grad for parter, der indsamler træningsdata til AI-modeller. I hvert tilfælde afhænger resultatet af indsamlingsmetoden, dataenes art og den tilsigtede anvendelse.
Hvilken indsamlingsmetode indebærer hvilken risiko?
Der kan skelnes mellem tre modeller: sammenkædning og indlejring, uafhængig hentning og lagring, og hentning der omgår tekniske begrænsninger. Risikoen stiger med hvert trin.
| Metode | Civil og IP-risiko | Risiko for databeskyttelse | Kriminel risiko |
|---|---|---|---|
| Linkning og indlejring | Lav til moderat | Begrænset, for eksempel IP-adresser videregivet via embeds | ubetydelig |
| Hentning og lagring på egne servere | Moderat til høj | Højt, hvor personoplysninger er involveret | Lav hvis kilden er offentlig |
| Omgåelse af login-mure, tokens eller CAPTCHA'er | Meget høj | Meget høj | Fast ejendom (artikel 138ab Sr) |
Denne matrix er en første indikation, ikke en lovregel. Linkning til frit tilgængeligt materiale når ikke ud til et nyt publikum i ophavsretlig henseende, men framing, vildledende præsentation eller brug af varemærker kan stadig skabe ansvar.
Hvornår beskytter databaserettigheden en platform?
Databaseretten beskytter producenten af en database, hvis det kræver en betydelig investering at indhente, verificere eller præsentere dens indhold (artikel 1 i den hollandske databaselov, Databankenwet). Producenten kan derefter forbyde udtræk eller genbrug af en væsentlig del samt gentagen og systematisk udtræk af mindre dele, hvis dette er i konflikt med normal udnyttelse (artikel 2 i Databankenwet).
Retten varer i femten år fra den 1. januar året efter, at databasen blev færdiggjort (artikel 6 i Databankenwet). Omgåelse af effektive tekniske foranstaltninger, der beskytter en database, er i sig selv ulovligt (artikel 5a i Databankenwet).
Tæller investeringen i at skabe data?
Nej. I sagen British Horseracing Board mod William Hill (EU-Domstolen 9. november 2004, C-203/02) fastslog Domstolen, at kun investering i at indhente, verificere og præsentere eksisterende data tæller med, ikke omkostningerne ved at oprette dem.
For platforme med brugergenereret indhold går dette begge veje. Brugerne uploader selv indhold, så det koster platformen kun lidt at anskaffe det. Beskyttelsen afhænger derefter af dokumenteret investering i verifikation, moderering, indeksering og præsentation, understøttet af tal for personale, infrastruktur og systemer, ikke af brugerbasens størrelse.
Genbruger en metasøgemaskine en database?
Det kan det. I Innoweb mod Wegener (EU-Domstolen 19. december 2013, C-202/12) fastslog Domstolen, at en tjeneste, der videresender søgeforespørgsler i realtid til en anden parts database og viser resultaterne i sin egen grænseflade, genbruger denne database, selvom den ikke lagrer noget permanent. Denne argumentation gælder for mange scrapers og alternative frontends.
Hjælper undtagelsen for tekst- og datamining?
Delvist. I henhold til artikel 15o i den hollandske ophavsretslov (Auteurswet) er reproduktion til tekst- og datamining tilladt, hvis du har lovlig adgang, og rettighedshaveren ikke udtrykkeligt har forbeholdt sig sine rettigheder, for onlineværker ved hjælp af maskinlæsbare midler. Artikel 15n Auteurswet indeholder en bredere undtagelse for forskningsorganisationer og kulturarvsinstitutioner, der udfører videnskabelig forskning.
Artikel 4a i Databankenwet anvender de samme undtagelser for databaseretten. En maskinlæsbar framelding, for eksempel i robots.txt-instruktioner eller API-metadata, lukker derfor denne rute for kommercielle minere.
Hvem har ophavsretten til platformens indhold?
I princippet de individuelle brugere, der har skrevet eller lavet indholdet, hvis indholdet er deres egen intellektuelle frembringelse (Infopaq, EU-Domstolen 16. juli 2009, C-5/08). Korte, faktuelle indlæg opfylder ofte ikke denne tærskel, så der er muligvis intet at beskytte.
Platforme modtager normalt kun en ikke-eksklusiv licens i deres brugsbetingelser. I henhold til hollandsk lov kan en ikke-eksklusiv licenshaver ikke selv sagsøge for krænkelse; vedkommende skal have et mandat fra rettighedshaverne. Platformen kan dog påberåbe sig sine egne rettigheder i sin brugergrænseflade, ikoner og varemærker, og en tjeneste, der kopierer disse elementer for at se bekendte ud, giver platformen et grundlag for handling.
Hvornår er det at linke eller kopiere en ny kommunikation til offentligheden?
Tre domme fra EU-Domstolen sætter grænsen. At linke til et værk, der er frit tilgængeligt, er ikke en ny overføring til almenheden (Svensson, 13. februar 2014, C-466/12). At kopiere et værk til sin egen server og gøre det tilgængeligt er (Renckhoff, 7. august 2018, C-161/17). Framing, der omgår tekniske beskyttelsesforanstaltninger, når også ud til et nyt publikum (VG Bild-Kunst, 9. marts 2021, C-392/19).
Er en platforms brugsbetingelser bindende for scrapers?
Kun hvis der er indgået en kontrakt. En registreret bruger, der klikkede for at acceptere vilkårene (click-wrap), er i princippet bundet; en besøgende, der kun ser et link til vilkårene nederst på siden (browse-wrap), er ofte ikke det.
Næsten alle platforme forbyder automatisk adgang i deres vilkår, og automatisk oprettelse af konti til scraping er hurtigt et kontraktbrud. Et kontraktligt krav har praktiske begrænsninger: det binder kun modparten, tab er svært at bevise for en gratis platform, og en bodsklausul mangler ofte. Platforme kombinerer det derfor normalt med databaserettigheder, ophavsret eller erstatningsret (artikel 6:162 i den hollandske borgerlige lovbog, BW).
Hvad er Ryanair-paradokset?
I sagen Ryanair mod PR Aviation (EU-Domstolen 15. januar 2015, C-30/14) fastslog Domstolen, at brugerrettighederne i databasedirektivet ikke gælder for en database, der hverken er beskyttet af ophavsret eller databaserettigheder. Operatøren kan derefter begrænse genbrug ved kontrakt. Jo svagere den intellektuelle ejendomsretsstilling er, desto stærkere kan kontrakten være.
Sagen gik tilbage til appelretten i Haag, som vurderede, om browse-wrap-vilkårene var blevet accepteret i henhold til den lov, der var valgt i disse vilkår, snarere end i henhold til hollandsk ret (Gerechtshof Den Haag 23. januar 2018, ECLI:NL:GHDHA:2018:61). Hvor en database er beskyttet, gælder det modsatte: producenten må ikke forhindre en lovlig bruger i at udtrække uvæsentlige dele, og en kontrakt kan ikke afvige fra dette til skade for brugeren (artikel 3 i Databankenwet).
Hvornår er skrabning en strafbar handling?
Når det drejer sig om computerindtrængen (computervredebreuk): forsætlig og ulovlig indtrængen i et automatiseret system. I henhold til artikel 138ab(1) i lovforslaget gælder dette under alle omstændigheder, hvis adgang opnås ved at bryde en sikkerhedsforanstaltning, et teknisk indgreb, falske signaler eller en falsk nøgle eller ved at antage falsk identitet; den maksimale straf er to år eller fire år, hvis data derefter kopieres (artikel 138ab(2) i lovforslaget).
At sende anmodninger hurtigere end udbyderen ønsker, ignorere robots.txt eller registrere en konto via en offentlig formular er ikke i sig selv ensbetydende med indtrængen; det kan være en overtrædelse af brugsbetingelserne, hvilket er en civilretlig sag. Risikoen stiger kraftigt, når tekniske barrierer omgås, såsom genbrug af opsnappede autentificeringstokens eller API-nøgler eller bevidst omgåelse af CAPTCHA-systemer. Om det kvalificerer som indtrængen afhænger af, hvordan sikkerheden fungerer, og hvad brugeren havde til hensigt.
Hvad kræver GDPR, når man scraper personoplysninger?
Så snart scrapede data kan spores tilbage til enkeltpersoner, såsom brugernavne, profilbilleder, opslag eller IP-adresser, gælder GDPR, og scraperen er normalt den dataansvarlige. Det faktum, at dataene er offentlige, fratager ikke de registreredes rettigheder.
Scrapere benytter sig ofte af legitime interesser som retsgrundlag. Det kræver en dokumenteret vurdering af formål, nødvendighed og en interesseafvejning, der inkluderer de berørte personers rimelige forventninger; ved følsomme data, overvågning eller profilering i stor skala falder vægten ofte imod scraperen. GDPR undtager pligten til at informere registrerede, hvor dette er umuligt eller uforholdsmæssigt, men alle andre forpligtelser forbliver: formålsbegrænsning, dataminimering, en fortegnelse over behandlinger, sikkerhed, ret til indsigt, indsigelse og sletning samt en konsekvensanalyse af databeskyttelse ved behandling i stor skala. Den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens) fører tilsyn med overholdelsen, uafhængigt af om platformen handler.
Kan man bruge scrapede data til at træne en AI-model?
Muligvis, men indsamling, lagring og træning er separate handlinger, hver med sin egen test. Indsamling og midlertidig lagring af træningsdata kan falde ind under tekst- og datamining-undtagelsen i artikel 15o Auteurswet, men kun så længe rettighedshaveren ikke har forbeholdt sine rettigheder på en maskinlæsbar måde.
Hvis træningssættet omfatter en væsentlig del af en beskyttet database, gælder databaseretten stadig. I henhold til GDPR skal du have et solidt juridisk grundlag og normalt en konsekvensanalyse, og det er teknisk vanskeligt at imødekomme anmodninger om sletning eller berigtigelse, når data er blevet absorberet i en trænet model. Platforme med svag intellektuel ejendomsret kan stadig begrænse AI-træning gennem deres vilkår, hvis der er indgået en kontrakt. Se også vores artikel om AI-systemer i henhold til AI-loven.
Hvordan håndhæver platforme mod scrapers?
Det er sjældent problemet at bevise scraping: serverlogfiler, IP-intervaller, forespørgselsmønstre og plantede canary-data viser, hvor dataene kommer fra. Det er sværere at identificere en anonym operatør.
En hostingudbyder kan være forpligtet til at oplyse operatørens identitet, hvis indholdet sandsynligvis er ulovligt og skadeligt, sagsøgeren har en reel interesse, der ikke findes en mindre indgribende måde at indhente dataene på, og sagsøgerens interesse går forud (HR 25. november 2005, ECLI:NL:HR:2005:AU4019, Lycos v Pessers). De fleste sager anlægges i summarisk retssag (kort geding) med henblik på et påbud med sanktioner. Platforme sender også meddelelser til hostingudbydere, CDN-tjenester, appbutikker og registratorer; EU's lov om digitale tjenester indeholder en standardprocedure for anmeldelse og handling for dette, men afgør ikke selv, hvad der er ulovligt.
Hvad skal du kontrollere, hvis du indsamler platformdata?
Tjek disse punkter, før du begynder at samle:
- Uanset om du indsamler en væsentlig del af en database, eller gentagne gange udtrækker mindre dele.
- Om platformen har en maskinlæsbar tekst- og datamining-reservation.
- Om du har accepteret brugsbetingelser, der forbyder automatisk adgang.
- Om din metode omgår en loginvæg, token, CAPTCHA eller anden sikkerhed.
- Hvilke personoplysninger du indsamler, dit retsgrundlag og din opbevaringsperiode.
- Om du rent faktisk kan udføre anmodninger om adgang og sletning.
Hvad skal man som platform kontrollere, når man beskytter sine data?
Tjek disse punkter for at styrke din position:
- At din investering i verifikation, moderering, indeksering og præsentation er dokumenteret i tal.
- At brugerne aktivt accepterer dine vilkår ved registrering, ikke kun via et sidefodslink.
- At du har en maskinlæsbar tekst- og datamining-reservation.
- At dine tekniske foranstaltninger er effektive, så omgåelse er ulovlig i henhold til artikel 5a i Databankenwet.
- Hvilke rettigheder du selv har, såsom rettigheder til brugergrænsefladen og varemærker.
Hvad kan vi gøre for dig med scraping og datagenbrug?
Vores IT-advokater rådgiver både virksomheder, der indsamler tredjepartsdata, og platforme, der beskytter deres egne. Vi kan:
- Vurder din indsamlingsmetode i forhold til databaserettigheder, ophavsret og artikel 138ab Sr.
- Udarbejde eller gennemgå brugsbetingelser og en maskinlæsbar minedriftsreservation.
- Udfør eller gennemgå GDPR-afvejningstesten og konsekvensanalysen.
- Send et ophørsbrev eller en meddelelse til en hostingudbyder eller registrator.
- Anlægge eller forsvare en summarisk sag med henblik på et påbud eller afsløring af identitet.
Resumé
- Skrabning af offentlige data er ikke som sådan forbudt; hvordan dataene indhentes, opbevares og genbruges, afgør deres lovlighed.
- Databaseretten beskytter betydelige investeringer i indhentning, verificering eller præsentation af data i femten år (artikel 1, 2 og 6 i Databankenwet).
- Kommerciel tekst- og datamining er kun tilladt uden et maskinlæsbart forbehold (artikel 15o Auteurswet).
- At bryde sikkerheden eller bruge en falsk nøgle kan være computerindbrud i henhold til artikel 138ab Sr.
- Offentlige personoplysninger forbliver beskyttet af GDPR; scraperen er normalt den dataansvarlige.
Ofte stillede spørgsmål
Er scraping af offentlige hjemmesider forbudt i Holland?
Nej. Ingen lov forbyder indsamling af offentligt tilgængelige data som sådan. Om det er lovligt afhænger af, hvad der indsamles, hvordan adgangen er opnået, og hvad der gøres med det bagefter.
Er det en strafbar handling at overtræde brugsbetingelserne?
Ikke i sig selv; det er en civilretlig sag. Strafferetligt ansvar kræver computerindtrængen i henhold til artikel 138ab Sr, hvilket under alle omstændigheder gælder, når sikkerheden er brudt, et teknisk indgreb eller en falsk nøgle anvendes, eller en falsk identitet antages.
Er det uautoriseret adgang at oprette en konto under et pseudonym?
I princippet nej: en offentlig registreringsformular er åben for alle, og intet er brudt. Det kan være i strid med brugsbetingelserne. Situationen ændrer sig, når CAPTCHA eller anti-bot-systemer omgås, eller der bruges tokens, som ikke er udstedt til dig.
Hvad tæller som en væsentlig del af en database?
Den vurderes kvantitativt og kvalitativt, ikke med en fast procentdel. Gentagen og systematisk udtrækning af små dele kan også være i strid med den normale udnyttelse af databasen (artikel 2 i Databankenwet).
Har jeg brug for et retsgrundlag, hvis personoplysningerne allerede er offentlige?
Ja. Offentliggørelse fratager ikke de registreredes rettigheder. Den part, der fastlægger formålene og midlerne, er den dataansvarlige og har brug for et retsgrundlag, normalt legitime interesser, som skal bestå en nødvendigheds- og afvejningstest.
