Scraping danych a prawo: co musisz wiedzieć zanim uruchomisz crawler?

Web scraping  czyli automatyczne pobieranie danych ze stron internetowych stał się codziennością branży e-commerce, AI i analityki. Pytanie „czy to legalne?” pojawia się jednak zwykle po uruchomieniu projektu, a nie przed. Warto odwrócić tę kolejność.

API czy HTML – różnica ma znaczenie prawne

Sposób pozyskiwania danych wpływa na ocenę prawną, nie tylko techniczną.

Scraping przez API zwykle odbywa się w ramach regulaminu (Terms of Service / API Terms), który strona internetowa narzuca użytkownikowi klucza dostępu. To umowa – jej naruszenie (np. przekroczenie limitów zapytań, użycie danych niezgodnie z licencją) rodzi odpowiedzialność kontraktową, niezależnie od tego, czy doszło do naruszenia praw własności intelektualnej.

Scraping HTML (parsowanie kodu strony bez pośrednictwa API) częściej odbywa się bez wyraźnej zgody właściciela serwisu. Tu kluczowe stają się: techniczne środki zabezpieczające (np. CAPTCHA, blokady IP), plik robots.txt oraz to, czy dane są ogólnodostępne, czy wymagają zalogowania. Ominięcie zabezpieczeń technicznych może dodatkowo wyczerpywać znamiona czynu nieuczciwej konkurencji (art. 3 i 11 u.z.n.k.) lub  w skrajnych przypadkach  przepisów o nieuprawnionym dostępie do systemu informatycznego (art. 267 k.k.).

Prawa autorskie – co faktycznie jest chronione

Nie każda informacja podlega ochronie. Same dane (ceny, daty, liczby) nie są utworem w rozumieniu ustawy o prawie autorskim. Ochronie podlega natomiast twórcze ułożenie treści: opisy produktów, artykuły, grafiki, unikalna struktura prezentacji danych. Scraping takich elementów i ich dalsze wykorzystanie (np. republikacja, trenowanie modelu generującego podobne treści) może naruszać prawa autorskie twórcy lub wydawcy.

Tu pojawia się istotny wyjątek: eksploracja tekstów i danych (TDM) wprowadzona dyrektywą 2019/790 i implementowana do polskiej ustawy. Pozwala ona na kopiowanie utworów w celu analizy danych – ale tylko, gdy uprawniony nie zastrzegł tego wyraźnie (opt-out), zwykle w formie maszynowo czytelnej klauzuli w warunkach korzystania z serwisu. Dla podmiotów budujących zbiory treningowe AI to jeden z pierwszych elementów do sprawdzenia.

Baza danych sui generis – pułapka, o której zapomina się najczęściej

Niezależnie od praw autorskich do pojedynczych treści, ustawa o ochronie baz danych przyznaje producentowi bazy odrębne prawo sui generis – jeśli poniósł istotne nakłady (finansowe, organizacyjne, czasowe) na jej stworzenie. Ochrona ta dotyczy samej struktury zgromadzonych danych, nawet jeśli poszczególne elementy same w sobie nie są chronione prawem autorskim.

Naruszeniem jest pobranie lub wtórne wykorzystanie całości lub istotnej części takiej bazy – co orzecznictwo TSUE (m.in. sprawy Ryanair przeciwko PR Aviation czy Innoweb przeciwko Wegener) interpretuje szeroko. Systematyczne, powtarzalne pobieranie nawet niewielkich fragmentów danych może zostać uznane za naruszenie, jeśli w efekcie odtwarza się istotną część bazy. To właśnie sui generis, a nie prawo autorskie, jest najczęstszą podstawą sporów dotyczących agregatorów cen, portali ogłoszeniowych czy baz ofert.

Co to oznacza w praktyce?

Przed uruchomieniem scrapingu warto ustalić: czy dane pochodzą z API objętego regulaminem, czy ze strony chronionej technicznie; czy struktura serwisu może stanowić bazę danych sui generis; czy pobierane treści są utworami; oraz czy właściciel serwisu zastrzegł wykorzystanie do TDM. Odpowiedzi na te pytania decydują o tym, czy projekt wymaga zgody, licencji, czy może być prowadzony na podstawie ustawowego wyjątku.