-1
archive,category,category-social-media,category-332,theme-stockholm,cookies-not-set,stockholm-core-1.1,woocommerce-no-js,select-child-theme-ver-5.1.8.1573676579,select-theme-ver-5.1.8,ajax_fade,page_not_loaded,menu-animation-underline,popup-menu-fade,wpb-js-composer js-comp-ver-6.0.5,vc_responsive

część 1 – Czy deepfake – face swap i face reenactment mieszczą się w prawach własności intelektualnej?

Niebezpieczne dla każdego Lewandowskiego ale w rękach szaleńców mogłyby zdestabilizować demokracje – wg The Guardianprawda umiera tam gdzie deepfake[1], wg The Timesdeepfake zagraża porządkowi świata”[2] Czy te obawy są uzasadnione będzie zależało od jakości deepfake-ów, sposobu ich wykorzystania w praktyce oraz zdolność opinii publicznej do odróżniania faktów od fikcji.

Ostatnio w Polsce, przy okazji wyborów prezydenckich, pojawiły się spekulacje na temat prawdziwości wystąpień niektórych osób publicznych. O prawnych ocenach “deepfake”, komputerowej zamiany i rekonstrukcji twarzy, manipulowania wizerunkiem i głosem w tak tworzonych filmach, rozmawialiśmy przy kancelaryjnym stole.

 

 

Małgorzata Gradek Lewandowska: Wygląda na to, że świat przechodzi do kolejnej fazy „twórczości” w ramach cyberkultury. Po obróbkach obrazów za pomocą Photoshopa w wielu przypadkach przybierających formę mema, kolej na film. Wiemy, że zdjęcie może być świetnie podretuszowane i zmontowane, a nagranie w formie wideo może zostać przedstawione jedynie we fragmencie z odpowiednim komentarzem, tak, aby zmienić jego przekaz. Co jednak w przypadku, gdy otrzymujemy pełen obraz, np. wypowiedź polityka, który podczas konferencji prasowej wygłasza swoje przemówienie. Jest spójne, nie zawiera żadnych podejrzanych pauz, cięć, nienaturalnych przejść…i ten film udostępniany jest z komentarzami w social mediach. Czy nadal możemy mieć pewność, że to co widzimy i słyszymy ma miejsce w rzeczywistości? Przy czym treść wypowiedzi może mieć poważny charakter, nie wskazywać na żart.

Definicję „deepfake” zaproponował pod koniec 2018 roku republikański senator Ben Sasse z Nebraski w ramach ustawy znanej jako “Malicious Deep Fake Prohibition Act of 2018”[3], jako „nagranie audiowizualne stworzone lub zmienione w taki sposób, że nagranie mogłoby fałszywie wydawać się rozsądnemu obserwatorowi autentycznym zapisem rzeczywistego przemówienia lub zachowania danej osoby”. W takiej definicji podkreślony jest dezinformujący, wprowadzający w błąd charakter przekazu.

Czy zatem na tym polega problem z filmami tworzonymi w ten sposób? Na wprowadzeniu w błąd? Jak deepfake można ocenić czy zaklasyfikować z naszej prawniczej perspektywy?

 

Anna Dębska: Trzeba zacząć od początku. Deepfake to technika syntezy ludzkiego obrazu oparta na sztucznej inteligencji. Rozwijając to hasło, deepfake to zbitka wyrazowa pochodząca od słów z języka angielskiego deep learning, czyli głębokie uczenie oraz fake, czyli fałszywy, imitacja. Technologia bazuje na możliwości łączenia i nakładania na wyjściowe, źródłowe obrazy kolejnych obrazów. A precyzyjniej: jest to wykorzystanie sztucznej inteligencji używanej do tworzenia lub modyfikowania obrazu odwzorowanej twarzy, do tworzenia ultra-realistycznych fałszywych filmów, w których ludzie mówią i robią rzeczy, w rzeczywistości nie mające miejsca.[4] Do tej pory rozróżniamy cztery rodzaje deepfake-ów:

  1. face reenactmentz ang. face – twarz, reenactment – przywrócenie, rekonstrukcja – sterowanie mimiką danej osoby (przykładem film Hillary Clinton’s face is digitally ‘stitched’ onto Saturday Night Live actress Kate McKinnon, źródło: Derpfakes)
  2. faceswapz ang. face – twarz, swap – zamiana, dosłownie zamiana twarzy jednej osoby na twarz innej osoby (przykładem film źródło: The Visual Computing Lab at TUM)
  3. face generation – polega na tworzeniu zupełnie nowych obrazów twarzy nie istniejących w rzeczywistości, Generative Adversarial Networks jest platformą uczenia maszynowego, która działa poprzez przeciwstawienie sobie dwóch sieci neuronowych: pierwsza generuje obraz, a druga ocenia czy ten wynik jest realistyczny (przykłady na ThisPersonDoesNotExist.com – jest to popularna witryna internetowa, która za każdym razem generuje nową twarz osoby, która faktycznie nie istnieje)
  4. speech synthesis – synteza mowy polega na stworzeniu modelu czyjegoś głosu, który może odczytać tekst w taki sam sposób, jak osoba docelowa (przykładem narzędzie Modulate.ai)

Czyli podsumowując: deepfake to zespół algorytmów składający się na program komputerowy służący do wizualnych przeróbek głosu i twarzy.

 

Anna Maślanka: Pojawienie się w 2017 r. deepfake nie powinno być zaskoczeniem. Skoro tworzone są oprogramowania, które nie wymagają wielu danych, aby program mógł „nauczyć się” mimiki czy sposobu poruszania osoby (do tego w zupełności wystarczą dwa pliki: docelowy, do którego chcemy wprowadzić zmiany i drugi, od którego chcemy pozyskać ruch). Jednocześnie istnieją również technologie, które po kilkusekundowej próbce głosu danej osoby mogą odczytywać dowolny tekst głosem tej osoby. Ostatni element, czyli dopasowanie ruchu ust pod daną ścieżkę audio również nie stanowi problemu. Możliwe zatem stało się stworzenie filmu, w którym dana osoba będzie mówiła to co chcemy, a czego nigdy nie wypowiedziała naprawdę. Znanym przykładem[5] jest film wykorzystujący wizerunek Baracka Obamy.

 

MGL: Powstaje zatem pytanie czy w tym przypadku mamy do czynienia z twórczością? Czy próbując dokonać analizy deepfake-ów pod kątem prawnym należy odnieść się do regulacji dotyczących twórczości zatem do praw własności intelektualnej.

Czy możemy przyjąć, że proces tworzenia deepfake i efekt w postaci tak stworzonego filmu (nazwijmy go dla uproszczenia deepfake) są w jakikolwiek sposób regulowane?

 

AD: Oczywiście nie mamy obecnie przepisów prawa regulujących wprost deepfake (zmiany prawa nie nadążają za tempem postępu technologicznego ostatnich lat) ale analizując sposób powstawania filmów oraz ich wykorzystywania można wskazać obecnie istniejące normy prawne, które mogą mieć w takim przypadku zastosowanie.

Pierwszy akt prawny jaki przychodzi mi na myśl to ustawa o prawie autorskim i prawach pokrewnych, czyli: prawo autorskie. Na podstawie zawartych tam przepisów możemy chronić program komputerowy do tworzenia deepfake-ów. Zgodnie z art. 74 prawa autorskiego programy komputerowe podlegają ochronie jak utwory literackie, z uwzględnieniem innych pól, zakresu dozwolonego użytku publicznego czy praw osobistych twórców programu komputerowego

Ponadto, autorskie prawa majątkowe do programu komputerowego obejmują prawo do:

  • reprodukcji (zwielokrotnienia) programu, w całości lub części, jakimikolwiek środkami i w jakiejkolwiek formie;
  • tłumaczenia, przystosowania (adaptacji) programu, zmiany układu oraz wprowadzania innych zmian w programie
  • rozpowszechniania, w tym użyczania lub najmu programu lub jego kopii.

Legalny posiadacz programu, czyli najczęściej nabywca kopii programu, licencjobiorca, może bez zgody autorsko uprawnionego zwielokrotniać program w całości lub części, a także tłumaczyć, przystosowywać i zmieniać go w takim zakresie, w jakim jest to niezbędne do korzystania z programu zgodnie z jego przeznaczeniem. Jeśli oczywiście nie zostało to wyłączone czy ograniczone umową licencyjną lub umową sprzedaży egzemplarza programu.

Czyli program do tworzenia deepfake-ów jest chroniony prawem autorskim i można z niego korzystać jeśli osoba, która napisała ten program udostępni go np. na zasadzie otwartych licencji. Z jednej strony oznacza to możliwość udoskonalania programów do tworzenia deepfake, a tym samym do lepszej jakości tak powstających filmów – czyli ciągły rozwój i utrudnienie wykrycia deepfake. Z drugiej strony daje to możliwość praktycznie każdemu korzystania z programu komputerowego i stworzenia własnej postaci deepfake-owej. Oznacza to, że możliwe będzie również wykorzystanie tak stworzonej postaci deepfake-owej do celów komercyjnych, a nie tylko prywatnych.

 

MGL: Ok, czyli program komputerowy to narzędzie do tworzenia postaci deepfake-owych, które może dostać się w ręce dowolnej osoby. Zatem, zakładając legalność korzystania z programu komputerowego, ważne jest kto, a raczej z jakim zamiarem i w jaki sposób będzie tworzył deepfake-owe filmy i postaci. Zucconi wymienia 3 etapy powstania deepfake[6]:

  • ekstrakcja – zebranie wystarczającej liczby obrazów do trenowania modelu zastępujący twarz
  • szkolenie – wyszkolenie modelu zastępującego twarz przy użyciu zebranych obrazów za pomocą autoenkodera, którym jest sieć neuronowa składająca się z dwóch części: kodera i dekodera (koder pobiera obraz twarzy i kompresuje go do małego wymiaru a następnie dekoder rekonstruuje twarz do jej pierwotnej formy)
  • tworzenie – najtrudniejszy technicznie etap polegający na wstawieniu fałszywych obrazów do wideo (dla każdej klatki wideo kąt syntetyzowanej twarzy musi pasować do kąta głowy osoby docelowej), wg Zucconiego to jedyny etap procesu, który opiera się na ręcznie napisanym kodzie, a nie na maszynowym i dlatego jest podatny na więcej błędów.

Tworzenie to przypomina cyfrowy kolaż składający się z różnych elementów. Żeby go stworzyć trzeba korzystać z nagrań wizerunków osoby, jej głosu oraz nagrania osoby, która „użycza” swojego ruchu tworzonej postaci.

Czy deepfake rozumiany jako film to utwór? A postaci tworzone w ten sposób, bohaterowie filmu, jak można je zaklasyfikować?

 

AM: Zacznijmy może od tego że zgodnie z art. 1 prawa autorskiego utworem jest każdy przejaw działalności twórczej. Trzeba zatem ustalić czy film deepfake stanowi rezultat działania człowieka? Zakładając, że co najmniej trzeci etap tworzenia deepfake wydzielony przez Zucconiego zależy od człowieka to dla dalszej analizy możemy przyjąć, iż rezultat w postaci filmu został stworzony przez człowieka. Jednak to założenie będzie błędne, gdy rezultat w postaci filmu deepfake jest wyłącznym efektem działalności szablonowej, w przystosowanych do tego generatorach, wówczas do powstania utworu nie dojdzie.

Zakładając, że mamy do czynienia z tym pierwszym przypadkiem (efektem działalności człowieka), kontrowersyjne jest ustalenie czy połączenie, a raczej przekształcenie zebranych obrazów twarzy, zmiana jej mimiki oraz „włożenie” w usta tak powstałej postaci innego tekstu powoduje, że film ma twórczy, indywidualny charakter. Przyjmuje się, że „cecha twórczości jest spełniona wówczas, gdy istnieje subiektywnie nowy wytwór intelektu”[7]. Prof. J. Błeszyński, uważa, że utwór musi być „osobistą wizją” autora, tzn. „musi polegać na uformowaniu własnego obrazu, zjawiska, procesu, idei”[8]

Generowanie deepfake-ów odbywa się, za pomocą programów komputerowych, co nie tylko wymaga pewnych umiejętności, ale również wcześniej zamierzonej wizji autora. Zgodnie z wyrokiem Sądu Najwyższego z dnia 25 stycznia 2006r.[9] „utworem może być nawet kompilacja wykorzystująca dane powszechnie dostępne pod warunkiem, że ich wybór, segregacja, sposób przedstawienia ma znamiona oryginalności”. Podobnie Sąd Apelacyjny w Warszawie w wyroku z 26 listopada 2014 r. uznał, że „spełnienia przesłanki twórczości (oryginalności i indywidualności) utworu można doszukiwać się nawet w doborze, układzie lub uporządkowaniu składników utworu, tj. poszczególnych ujęć czy nawet doborze podkładu muzycznego”[10]. Zatem realizacja wizji autora deepfake przemawia za zakwalifikowaniem deepfake-ów do utworów, z tym zastrzeżeniem, iż być może nie każdą modyfikację lub fotomontaż, w rezultacie której powstaje deepfake, będzie można uznać za utwór z powodu braku indywidualności.

 

MGL: Jakie więc, regulacje prawne mogą mieć zastosowanie do tworzenia deepfake za pomocą łączenia poszczególnych elementów: głosu, wizerunku, wygłaszanego tekstu? Na jakie przepisy mogą powoływać się twórcy deepfake-ów? Z jakich materiałów wyjściowych mogą korzystać?

 

AD: Tak, sporo pytań. Może zacznijmy od materiałów wykorzystywanych do tworzenia deepfake. Na pewno twórcy deepfake muszą korzystać z innych nagrań (wideogramów), z wizerunków osób i muszą mieć drugie nagranie z „podstawionym” głosem: wideogram lub fonogram.  Co do zasady aby móc korzystać z cudzego utworu musimy mieć na to zgodę twórcy. W prawie autorskim przewidziane są jednak wyjątki, które zezwalają na włączanie części cudzego utworu lub jego przeróbkę. Jedną z takich „instytucji” jest prawo cytatu. Ustawodawca wskazał w art. 29 prawa autorskiego, iż wolno przytaczać w utworach stanowiących samoistną całość urywki rozpowszechnionych utworów oraz rozpowszechnione utwory plastyczne, utwory fotograficzne lub drobne utwory w całości, w zakresie uzasadnionym celami cytatu, takimi jak wyjaśnianie, polemika, analiza krytyczna lub naukowa, nauczanie lub prawami gatunku twórczości. Tym samym wykorzystywanie przez twórcę deepfake fragmentu innego utworu może być uzasadnione prawem cytatu.

Przeszkodą może być wykorzystanie przy tym cudzego wizerunku, ale tu także mamy wyjątki zezwalające na ich rozpowszechnianie. Wizerunek znanej osoby utrwalony podczas wykonywania przez nią obowiązków służbowych to idealna definicja polityka. Trzeba jednak pamiętać, by nie przekroczyć przy tym granicy, która będzie naruszała nie tylko wizerunek ale także inne dobra osobiste np. godność, dobre imię. Za przykład mogą tutaj posłużyć coraz częściej tworzone za pomocą technologii deepfake filmy pornograficzne, w których gwiazdy porno mają twarze znanych osób – aktorów, muzyków, a nawet polityków.

 

AM: Najciekawsza jest jednak analiza tworzenia deepfake-ów w kontekście prawa do korzystania z cudzego utworu w ramach parodii, pastiszu i karykatury. W 2015 r. rozszerzono ten przepis o art. 291 podkreślając tym samym specyfikę takich praw gatunków twórczości, jak parodia, pastisz czy karykatura jako gatunków szczególnych. Nie powinno to nikogo dziwić, biorąc pod uwagę, że wraz z rozwojem technologii pojawiają się także nowe gatunki twórczości, a niektóre nabierają zupełnie innego wymiaru. Każdy z nas chyba kojarzy z wakacji artystów siedzących na deptaku i rysujących karykatury znanych osób lub nas, czyli świadome przedstawienie osoby, zjawiska lub przedmiotu w sposób zdeformowany, które ma na celu podkreślenie negatywnego charakteru elementów, właściwości, cech.

Czy nie tym właśnie są memy czyli najczęściej zabawne, prześmiewcze kolaże, na których do zdjęcia lub grafiki dodaje się teksty nawiązujące np. do obecnej sytuacji w kraju czy na świecie, wyśmiewa się wpadki znanych gwiazd itp. Czy filmik przedstawiający znaną postać, mówiącą coś zupełnie innego niż byśmy się mogli spodziewać nie będzie więc parodią? Bardzo często w przypadku deepfake-ów będziemy mówić o satyrze, zwłaszcza politycznej, za pomocą której twórcy chcą ośmieszyć czy też postawić w niezręcznej sytuacji znane postaci ze świata polityki. Wydaje się, że te przepisy dają prawo twórcom wykorzystywania technologii deepfake.

 

MGL: Na pewno każdy przypadek trzeba będzie oceniać indywidulanie. Zapewne nie zawsze sądy będą skłonne uznawać, że tego typu ingerencja w prawa autorskie twórcy utworu macierzystego mieści się w graniach parodii, pastiszu i karykatury. To jest o tyle istotne, że parodię, pastisz oraz karykaturę zalicza się głównie do utworów inspirowanych, ponieważ autor takiego dzieła chce przekazać coś nowego i odmiennego od tego, co było zawarte w utworze pierwotnym. Wówczas nie ma wymogu uzyskania zgody autora utworu macierzystego, ani obowiązku zamieszczania informacji wynikających z art. 2 ust. 5 prawa autorskiego, czyli wymieniania twórcy i tytułu utworu pierwotnego na egzemplarzach opracowania.

 

AM: Tak, zarówno w przypadku korzystania z prawa cytatu, jak i w przypadku tworzenia opracowania czyjegoś utworu, co także mogą robić twórcy deepfake-ów konieczne jest wskazanie źródła, a z tym spotykamy się bardzo rzadko. Podawanie źródeł utworów to generalnie duży problem twórczości internetowej. Dodatkowo w przypadku opracowania takiego jak przeróbka, adaptacja czy tłumaczenie, aby móc korzystać z cudzego utworu we własnym opracowaniu konieczna jest zgoda twórcy utworu pierwotnego. Mówiąc krótko, musimy mieć zgodę twórcy, którego utwór przerabiamy.

W prawie autorskim dopuszczalne jest także inspirowanie się czyimś utworem, pod warunkiem, że nowy utwór jest samodzielnym tworem i nie zawiera elementów twórczych pochodzących z cudzego utworu. W takim przypadku twórca nie musi uzyskiwać zgody od twórcy utworu inspirowanego. Granica pomiędzy inspiracją, a opracowaniem jest bardzo cienka i łatwo jest ją przekroczyć.

 

AD: Utwory samoistne to takie, które nie przejmują żadnych elementów twórczych oraz „nie rodzą skojarzeń z innymi dziełami”[11] . Zgoda twórcy pierwotnego utworu w takim przypadku nie jest konieczna, zarówno do stworzenia utworu inspirowanego, jak i do korzystania z takiego utworu i rozporządzania nim. Sąd Najwyższy w wyroku z 23 czerwca 1972r.[12] stwierdził, że „za kryterium rozgraniczające dzieło inspirowane od dzieła zależnego należy uznać twórcze przetworzenie elementów dzieła inspirującego tak, że o charakterze dzieła inspirowanego decydują już jego własne, indywidualne elementy (nie zaś elementy przejęte). W wypadku utworu inspirowanego (objętego prawem autorskim niezależnym) zaczerpnięty zostaje tylko wątek utworu cudzego, powstaje utwór nowy i o cechach twórczości samodzielnej”. Można wyobrazić sobie, że w przypadku deepfake jest to możliwe: kompilacja twarzy i głosu osoby, która ma być „przerobiona” na potrzeby deepfake nie będzie budziła skojarzenia z konkretnym np. publicznym wystąpieniem tej osoby.

Ale możliwa tez jest inna sytuacja: utwór macierzysty, z którego powstaje deepfake zostaje dopełniony elementami twórczymi, co w rezultacie prowadzi do powstania nowego utworu. Co istotne, musi być tutaj widoczny własny wkład autora dzieła zależnego.  Wydaje się, że większość dotychczas powstałych deepfake-ów stanowi utwory zależne, a przeróbka utworu pierwotnego, polega na dodaniu lub całkowitym przekształceniu za pomocą programów komputerowego danego elementu oraz podłożeniu nowego tekstu.

To o tyle istotne, że na egzemplarzach opracowania powinno się wymienić twórcę i tytuł utworu pierwotnego, a z kolei do korzystania i rozporządzania utworem niesamoistnym potrzebna jest zgoda twórcy utworu macierzystego. Jeśli twórca zgody takiej nie wyraził, rozpowszechnianie to będzie uznane za naruszenie prawa do integralności utworu. Udostępnianie utworu w Internecie uznać trzeba za przejaw korzystania z utworu[13].

 

MGL: Czyli podsumowując: nie ma ogólnych zasad, według których można klasyfikować deepfake. Każdorazowo należy ustalić, czy dany deepfake jest efektem działalności człowieka czy wyłącznie efektem pracy maszyny. Nie sposób uznać, że deepfake zawsze będą traktowane jako utwory w rozumieniu art. 1 ust. 1 prawa autorskiego.

Gdyby uznać konkretny deepfake za utwór, to należy ocenić czy mamy do czynienia z utworem samoistnym, czy też z utworem niesamoistnym, co z punktu widzenia wykorzystania cudzej twórczości będzie miało istotne znaczenie. W tym drugim przypadku powoduje powstanie obowiązku z art. 2 ust. 2 i 5 prawa autorskiego: uzyskania zgody na korzystanie i rozpowszechnianie deepfake i wymienienia twórcy utworu pierwotnego.  To wydaje się bardzo problematyczne z uwagi na rozwój narzędzi technologicznych, dzięki którym możliwe jest przerabianie, łączenie czy też miksowanie cudzych utworów oraz późniejsze ich rozpowszechnianie na masową skalę[14]  

Nie można wykluczyć, że utwory inspirowane mogą stanowić parodię, pastisz lub karykaturę, a wtedy nie ma potrzeby korzystania z licencji ustawowej opisanej w art. 291 Prawa autorskiego. Według E. Czarny-Drożdżejko „przy ocenie zachowania osoby wykorzystującej cudzy utwór istotna będzie ocena zamiaru, który jej przyświecał. Musi on bowiem podejmować eksploatację cudzego utworu w celu humorystycznym, a nie innym”[15] .

To właśnie cel stworzenia i a raczej rozpowszechniania deepfake budzi najwięcej kontrowersji … ale o tym możesz przeczytać w drugiej części wpisu: czy deepfake wymusi zmiany w regulacjach prawnych?

 

[1] Schwartz, O. (2018) You thought fake news was bad? deepfakes are where truth goes to die [article] The Guardian, 12 listopada 2018.
[2] Schick, N. (2019) ‘deepfake’ videos threaten the world order [article] The Times, 27 lutego 2019.
[3] https://www.congress.gov/bill/115th-congress/senate-bill/3805/text
[4] Deepfake jako skomplikowana i głęboko fałszywa rzeczywistość, Olga Wasiuta, Sergiusz Wasiuta, Studia de Securitate 9(3) (2019) ISSN 2657-8549.
[5] Mack, D. (2018) This PSA About Fake News From Barack Obama Is Not What It Appears [article] Buzzfeed News, 17 kwietnia 2018.
[6] Zucconi, A. (2018) An introduction to DeepFakes [blog] AZ website, 14 marca 2018.
[7]Tak w uzasadnieniu wyroku Sądu Najwyższego z dnia 22 czerwca 2010r. IV CSK 359/09, https://sip.lex.pl/#/jurisprudence/520787965?keyword=subiektywnie%20nowy
[8] J Błeszyński „Prawo autorskie” Warszawa 1985r. s. 40
[9] Sygn.. I CK 281/05, OSN 2006, nr 11, poz. 186
[10] Sygn.. VI AC 212/14, Legalis
[11] K. Grzybczyk, Cytowanie, [w:] P. Ślęzak, Ustawa…, komentarz do art. 2 PrAut, Legalis/el. 2017
[12] Sygn. ICR 104/72, niepublikowane
[13] I. Matusiak, [w:] P. Ślęzak, Ustawa…, komentarz do art. 17 PrAut, Legalis/el. 2017.
[14] K. Grzybczyk, [w:] P. Ślęzak, Ustawa…, komentarz do art. 2 PrAut, Legalis/el. 2017
[15] E. Czarny-Drożdżejko, Dozwolony…, s. 204.

 

Więcej informacji dotyczących praw własności intelektualnej, o których warto wiedzieć znajdziesz na https://lgl-iplaw.pl/warto-wiedziec/

Schrems II – czyli czy nadal możliwe jest korzystanie z narzędzi Facebooka i Google w Twoim przedsiębiorstwie?

Cieszące się dużą popularnością wszelkiego rodzaju narzędzia dotyczące analizy wyników sprzedaży, działań marketingowych, zachowania Twoich klientów lub potencjalnych klientów na Twojej stronie internetowej czy w e-sklepie najczęściej należą do największy graczy na rynku, którzy przekazują pozyskane w trakcie świadczenia usług dane osobowe w różne rejony świata poza Europejski Obszar Gospodarczy (EOG), a najczęściej do USA.

Photo by William Iven on Unsplash

Danymi osobowymi nie są tylko imię i nazwisko, ale także mogą nimi być adres IP i pliki cookies zatem pozyskując te dane od użytkowników Twojej strony czy klientów przetwarzasz dane osobowe i być może przekazujesz je do państw poza EOG.

Jeśli tak jest, to wydane w dniu 16.07.2020 r. przez Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzeczenie ws. Privacy Shield (C-311/18: „Schrems II”) dotyczące transferu danych osobowych do państwa trzeciego, czyli poza EOG, w tym w szczególności dotyczy to USA, dotyczy także Ciebie. Po wydaniu tego orzeczenia, do którego Polska jako państwo członkowskie UE powinna zastosować się, wątpliwa stała się możliwość kontynuowania korzystanie z określonych usług, w związku z którymi dochodzi do przekazywania danych do USA.

 

Możliwości transferu danych poza EOG

Zaczynając od początku należy wskazać jakie istnieją możliwości przekazywania danych osobowych do państwa trzeciego.

Transfer danych poza EOG uzależniony jest od spełnienia określonych warunków wskazanych w rozdziale V rozporządzenia (RODO). Istnieją 3 podstawy, w oparciu o które administrator danych może przekazywać dane osobowe poza EOG:

 

1. decyzja Komisji Europejskiej  (KE) (art. 45 RODO) stwierdzająca, że dane państwo zapewnia odpowiedni stopień ochrony, przekazanie danych w oparciu o taką decyzję nie wymaga specjalnego zezwolenia

 

2. razie braku decyzji KE administrator może przekazać dane osobowe poza EOG wyłącznie, gdy dane państwo zapewni odpowiednie zabezpieczenia, i pod warunkiem, że obowiązują egzekwowalne prawa osób, których dane dotyczą, i skuteczne środki ochrony prawnej (art. 46 RODO).

Zapewnienie odpowiednich zabezpieczeń możliwe jest za pomocą np. standardowych klauzul ochrony danych przyjętych przez KE na podstawie decyzji w sprawie klauzul standardowych (SCC). Decyzje te dostępne są pod linkami:

 

3. W przypadku braku decyzji KE (pkt 1) oraz odpowiednich zabezpieczeń (pkt 2), transfer zostać oparty jedynie o konkretne przesłanki, takie jak m.in.:

    • zgodę osoby, której dane mają być przetwarzane;
    • konieczność wykonania umowy zawartej pomiędzy podmiotem danych a administratorem;
    • zawarcie lub wykonanie umowy zawartej w interesie podmiotu danych;
    • niezbędność transferu danych ze względu na ważne interesy publiczne.

Szczegółowy katalog został określony w art. 49 RODO.

 

Google i Facebook to podmioty przekazujące dane poza EOG zgodnie z regulaminami świadczonych przez nie usług, w związku z wymianą informacją w ramach wewnętrznych struktur. Najczęściej dane osobowe przekazywane są do USA ale mogą być przekazywane również do innych państw spoza obszaru EOG. Ponadto, wszystkie podmioty, z których usług korzystasz, a mają swoje siedziby w USA będą dokonywać tam transferu danych osobowych. Dokonując weryfikacji, czy dany podmiot przekazuje dane poza EOG zapoznaj się dokładnie z jego polityką prywatności i regulaminem świadczonych usług.

Do momentu wydania wyroku TUSE w sprawie C-311/18, czyli do dnia 16 lipca 2020 r. przekazywanie danych osobowych do USA odbywało się na podstawie decyzji Komisji Europejskiej, tzw. Tarczy prywatności.

 

Tarcza prywatności (privacy shield)

Decyzja Komisji Europejskiej nr 2016/1250 (wydana na podstawie art. 45 RODO) dotycząca Tarczy Prywatności UE-US (tzw. privacy shield) została przyjęta 12 lipca 2016 r. a jej zasady zaczęły funkcjonować z dniem 1 sierpnia 2016 r. Tarcza Prywatności jest mechanizmem samocertyfikowania dla przedsiębiorstw zlokalizowanych w Stanach Zjednoczonych. Tarcza Prywatności polega na zobowiązaniu amerykańskich przedsiębiorstw do przestrzegania zasad, reguł i obowiązków określonych w ramach Tarczy Prywatności, dzięki czemu Tarcza Prywatności miała zapewniać ochronę obywatelom UE, a także jasność prawa przedsiębiorstwom. Listę podmiotów spełniających wymogi Tarczy Prywatności można znaleźć na stronie https://www.privacyshield.gov/list. Certyfikacja podlegała odnowieniu po okresie roku.

 

Wyrok w sprawie Schrems II

Jednakże w wyroku z dnia 16 lipca 2020 r. o sygnaturze C-311/18 Trybunał Sprawiedliwości Unii Europejskiej (TSUE) stwierdził, że:

  1. Tarcza Prywatności nie zapewnia odpowiedniej ochrony danych osobowych w państwie trzecim, o której mowa w art. 45 ust. 2 RODO.  Zdaniem Trybunału w decyzji dotyczącej Tarczy Prywatności doszło do naruszenia przepisów Karty Praw Podstawowych Unii Europejskiej i tym sam Trybunał unieważnił decyzję Komisji Europejskiej, co oznacza że od 16 lipca 2020 r. decyzja ta nie może stanowić podstawy transferu danych do USA;
  2. decyzja KE nr 2010/87 zatwierdzająca standardowe klauzule umowne jako instrument transferu danych osobowych w rozumieniu art. 46 RODO jest ważna. Trybunał potwierdził, że klauzule te przewidują skuteczne mechanizmy ochrony danych osobowych. Jednakże samo zawarcie standardowych klauzul umownych z podmiotem z USA nie zapewnia legalności transferu danych osobowych, co oznacza, że administrator powinien dodatkowo je przeanalizować. Administrator nie jest zwolniony z obowiązku sprawdzenia oraz oceny, czy w danym państwie trzecim poziom ochrony jest odpowiedni. Administrator powinien każdorazowo ocenić poziom ochrony praw i wolności, a w przypadku gdy nie jest on odpowiedni – powinien zaprzestać przesyłanie danych do danego państwa.

 

Powyższe oznacza, że jedynym bezpiecznym i pewnym rozwiązaniem, w przypadku dalszej chęci korzystania z usług lub narzędzi firm, które przekazuje dane Twoich klientów lub użytkowników do USA jest wyrażona zgoda przez osobę, której dane dotyczą.

 

Zgoda, czyli …

Pamiętaj, że zgoda musi być wyraźna, a także dobrowolna, konkretna i świadoma. Zgoda nie może zostać wyrażona w sposób domyślny. Treść zgody powinna wskazywać administratora danych, odbiorcę za granicą, państwa, do których trafią dane, cel ich transferu, jego zakres oraz kategorie danych, jakich ona dotyczy. Zgoda powinna być uzyskana przez administratora przed przystąpieniem do operacji transferu danych. Późniejsze wystąpienie o zgodę i uzyskanie jej nie legalizuje wcześniejszego przekazania danych, chyba że administrator wykaże, że w chwili dokonywania transferu miała zastosowanie inna podstawa przekazania danych.

Twój użytkownik lub klient, czyli osoba, której dane dotyczą, przed wyrażeniem zgody musi zostać poinformowana o ewentualnym ryzyku związanym z brakiem decyzji stwierdzającej odpowiedni stopień ochrony oraz związanym z brakiem odpowiednich zabezpieczeń.

Obowiązek informacyjny powinien być wykonany zgodnie z zasadami wskazanymi w art. 12 RODO, czyli zawierać wszystkie wymagane informacje jak przy standardowym obowiązku informacyjnym dotyczącym przekazywania danych w obrębie EOG.

 

Co robić?

Jeżeli nie chcesz uzyskiwać zgód od Twoich kontrahentów i klientów na przekazywanie danych do USA, ani informować ich, że USA nie zostały uznane decyzją Komisji Europejskiej za państwo zapewniające odpowiedni stopień ochrony ich danych osobowych, oraz że nie zapewniasz odpowiednich zabezpieczeń określonych w art. 46 RODO, a także, że w związku brakiem odpowiednich zabezpieczeń istnieje ryzyko niedostatecznej ochrony danych Twoich klientów zrezygnuj z dostawców rozwiązań dla Twojego przedsiębiorstwa, którzy przekazują dane poza EOG.

Wniesione zostały już skargi do wielu europejskich organów zajmujących się ochroną danych osobowych, w tym do Prezesa Urzędu Ochrony Danych Osobowych. Szczegóły dotyczące skarg i stawionych w nich zarzutów znajdziesz pod linkiem EU-US Transfers Complaint Overview.

 

Jeśli chcesz bezpiecznie przetwarzać dane osobowe swoich klientów i użytkowników swoich aplikacji i serwisów możesz skorzystać z pakietu wzorów dokumentów RODO, który zawiera pełen zestaw dokumentów niezbędnych i pomocnych do wypełnienia obowiązków ciążących na administratorze danych osobowych.

Jeżeli nie masz pewności czy przetwarzasz dane osobowe zgodnie z przepisami albo czy nie przekazujesz danych poza EOG bez odpowiedniej postawy do dokonywania transferu skorzystaj z e-porady dostępnej w sklepie albo skontaktuj się z nami za pomocą formularza kontaktowego.

 

Więcej informacji dotyczących praw własności intelektualnej, o których warto wiedzieć znajdziesz na https://lgl-iplaw.pl/warto-wiedziec/

ABC tworzenia regulaminu konkursu w Internecie. Czego unikać i o czym pamiętać pisząc regulamin konkursu w social mediach.

Największym błędem przy organizacji konkursu w Internecie jest brak regulaminu (!). Jeszcze kilka lat temu, gdy konkursy w social mediach dopiero raczkowały, bardzo często ich organizatorzy zupełnie zapominali o tym dokumencie. Obecnie zdarza się to rzadziej, ale nadal można natknąć się na konkurs “bez zasad”.

Każdy konkurs powinien mieć określone i dostępne reguły jego organizacji i przebiegu a zwłaszcza wyłaniania zwycięzców. Nawet wtedy, gdy służy tylko zabawie dzieci czy dorosłych…

Photo by Abigail Miller on Unsplash

 

Oto podstawowe ABC tworzenia regulaminu konkursu w Internecie. 

 

A – jak abuzywne klauzule (niedozwolone)

Klauzule abuzywne, to inaczej postanowienia zakazane. Przystępujący do konkursu uczestnicy nie mają możliwości negocjowania treści regulaminu i muszą podporządkować się zasadom określonym przez organizatora. Z tego względu, z uwagi na ochronę praw konsumenta, którym jest każdy uczestnik konkursu nie związanego z działalnością gospodarczą, prawo zabrania stosowania postanowień, które są niekorzystne dla drugiej strony lub sprzeczne z prawem. Organizator, który stosuje klauzule abuzywne naraża się na postępowanie przed Prezesem Urzędu Ochrony Konkurencji i Konsumentów.

Zakazane jest używanie klauzul obejmujących m.in. zastrzeżenie możliwości zmiany regulaminu w każdym czasie bez podania przyczyn bądź zastrzeżenie sądu do rozstrzygnięcia możliwego sporu właściwego dla siedziby organizatora. Za abuzywne uznano następujące klauzule: 

  • “Organizator zastrzega sobie prawo do zmiany terminu konkursu, jego przerwania lub zawieszenia konkursu z ważnych przyczyn”
  • “Organizator zastrzega sobie prawo zmian w regulaminie w czasie trwania konkursu i zobowiązuje się do natychmiastowego opublikowania zmienionego regulaminu w miejscach, w których uprzednio opublikował regulamin konkursu”
  • “Odpowiedzialność Organizatora jest ograniczona względem Uczestnika do wysokości wartości możliwej do wygrania w Konkursie nagrody.”
  • “Wszelkie reklamacje w związku z Konkursem mogą być zgłaszane listem poleconym (…) w terminie nie późniejszym niż 7 od daty zaistnienia zdarzenia stanowiącego podstawę reklamacji, jednakże nie później niż w terminie do dnia (…) włącznie, pod rygorem wygaśnięcia jakichkolwiek roszczeń związanych z udziałem w Konkursie (…).”
  • “Niezgłoszenie roszczeń w ww. terminie oznacza zrzeczenie się przez Uczestnika wszelkich roszczeń związanych z uczestnictwem w Konkursie”
  • “Organizator zastrzega sobie prawo zmiany okresu trwania Konkursu, zmiany warunków Konkursu oraz nagród przeznaczonych do wygrania w Konkursie, o czym powiadomi Uczestników na stronach internetowych: www.(…)”
  • “Organizator nie ponosi odpowiedzialności za nieprawidłowość lub nieterminowość doręczenia przez Pocztę Polską lub kuriera listów, telegramów i innych przesyłek wysyłanych przez lub do Organizatora w związku z Konkursem, ani za działanie podmiotów świadczących usługi telekomunikacyjne lub dostępu do Internetu, w zakresie, w jakim usługi te były wykorzystywane w związku z Konkursem”
  • “Wszelkie ewentualne spory, mogące wyniknąć w związku z Konkursem lub interpretacją postanowień niniejszego Regulaminu poddane będą pod rozstrzygnięcie sądu powszechnego właściwego miejscowo dla siedziby Organizatora.”
  • “Całkowita odpowiedzialność organizatora konkursu wobec uczestnika nagrodzonego z tytułu reklamacji nie przekracza wartości nagrody przypadającej dla danego uczestnika zgodnie z zasadami określonymi w niniejszym regulaminie”
  • “Organizator zastrzega sobie prawo do zakończenia Konkursu w każdym czasie bez podania przyczyny, o czym poinformuje poprzez zamieszczenie informacji na stronie internetowej Organizatora”
  • “Organizator zastrzega sobie prawo do zmiany rodzaju nagrody podczas trwania Konkursu na nagrody o podobnych właściwościach, funkcjonalności oraz o podobnej wartości”
  • “(…) Zleceniodawca nie ponoszą odpowiedzialności za doręczenie, prawidłowość i terminowość doręczenia przez (…) pocztę bank lub kuriera odpowiednio SMS-ów, listów (w tym reklamacji), telegramów i innych przesyłek wysyłanych w imieniu organizatora/Zleceniodawcy lub przez/do Organizatora w związku z Konkursem”
  • “Organizator może zakończyć albo zawiesić Konkurs w dowolnym momencie albo na dowolny okres bez konieczności uprzedniego powiadamiania o tym fakcie Uczestników. O zakończeniu albo zawieszeniu działań konkursowych Organizator poinformuje Uczestników za pośrednictwem Serwisu”
  • “Organizator zastrzega sobie, że nie ponosi odpowiedzialności za zdarzenia uniemożliwiające prawidłowe przeprowadzenie Konkursu, których nie był w stanie przewidzieć (…)”
  • “Decyzja Komisji w zakresie wniesionej reklamacji jest ostateczna i wiążąca” (pkt (…) Regulamin Konkursu Promocyjnego”
  • “W wypadku zawieszenia lub zaprzestania organizacji Konkursu Uczestnikom nie przysługują względem Organizatora żadne roszczenia, w szczególności Uczestnikowi nie przysługuje prawo żądania […] zwrotu kosztu udziału w Konkursie”
  • “Organizator konkursu nie ponosi odpowiedzialności za wszelkie kwestie związane z realizacją nagrody przez Partnerów (…)”

pełną listę klauzul niedozwolonych znajdziesz w rejestrze prowadzonym przez Urząd Ochrony Konkurencji i Konsumentów https://www.uokik.gov.pl/rejestr_klauzul_niedozwolonych2.php

 

B – jak brak prawidłowego oznaczenia organizatora konkursu

Regulamin konkursu jest pewnego rodzaju umową uczestnika konkursu z organizatorem, dlatego w regulaminie powinny znaleźć się pełne dane organizatora wraz z adresami kontaktowymi. Przystępujący do konkursu mają prawo wiedzieć kto jest jego organizatorem, do kogo mogą zwrócić się z pytaniami czy reklamacjami dotyczącymi przebiegu konkursu.

 

C – jak czas trwania konkursu

Termin przeprowadzania konkursu powinien być z góry określony. Niedozwolone jest skracanie lub przesuwanie terminu rozpoczęcia i zakończenia konkursu. Brak wskazania terminu trwania konkursu powoduje, że jest on nieważny. Z uwagi na to, że konkurs jest wedle prawa przyrzeczeniem publicznym stosuje się do niego przepis 921. § 1.  Kodeksu cywilnego: Publiczne przyrzeczenie nagrody za najlepsze dzieło lub za najlepszą czynność jest bezskuteczne, jeśli nie został w nim oznaczony termin, w ciągu którego można ubiegać się o nagrodę.

 

D – jak dane osobowe

O tym, że istnieje RODO wiedzą już chyba wszyscy. Organizator konkursu zbiera od uczestników ich dane osobowe, które pozwalają na ich identyfikację jak imię, nazwisko, adresy zamieszkania itp. Przepisy o ochronie danych osobowych nakładają obowiązek poinformowania podmiotu, którego dane są przetwarzane o:

  • celu i podstawie przetwarzania danych
  • kto jest administratorem danych,
  • w jaki sposób dane są przechowywane
  • czy i komu będę udostępniane
  • przez jaki czas będą przetwarzane
  • jakie prawa ma użytkownik w związku z przetwarzaniem jego danych

 

E – jak element losowości

Zasady wyłaniania zwycięzców konkursu nie mogą zawierać żadnego elementu losowości. W przypadku takiego skonstruowania regulaminu, że o wyłonieniu zwycięzcy decyduje los mamy do czynienia z loterią, której organizacja wymaga spełnienia szeregu warunków zawartych w ustawie z dnia 19 listopada 2009 r. o grach hazardowych. Loteria promocyjna może być urządzona jedynie poprzez uzyskanie zezwolenia na jej urządzenie. Więcej na temat tego, kiedy konkurs jest loterią i jakie wymagania musisz spełnić organizując loterię możesz przeczytać w naszym wcześniejszym artykule: https://lgl-iplaw.pl/2020/05/konkurs-czy-loteria-podstawowe-roznice-dotyczace-tych-form-promocji-twojego-przedsiebiorstwa/

 

F – jak formalności, czyli opisanie trybu postępowania reklamacyjnego

Obowiązek ten wynika z przepisów o prawach konsumenta. Uczestnik konkursu powinien zostać poinformowany o tym gdzie i w jakim terminie może składać reklamacje w związku z przebiegiem konkursu, tj. należy wskazać czas na złożenie reklamacji, adres e-mail lub korespondencyjny na jaki należy kierować reklamację oraz co trzeba zawrzeć w składanej reklamacji.

 

G – jak gwarancja nagrody 

Najważniejsza motywacją do wzięcia udziału w konkursie zwykle są nagrody. Określenie nagród jakie są możliwe do wygrania w konkursie i sposoby ich odbioru. Nagrody jakie są możliwe do wygrania w konkursie powinny być znane uczestnikom przed przystąpieniem do konkursu. Wiadomo, że każdy chciałby wiedzieć wcześniej co może wygrać i czy wkład pracy jaki się od niego wymaga jest dla niego adekwatny do wartości nagrody.

 

H – jak hasło: “podatek od nagród”

Pamiętaj, że na organizatorze konkursu ciąży obowiązek opłacenia podatku dochodowego od wygranych przez uczestników nagród. Przygotowując konkurs sprawdź czy możliwe będzie zastosowanie zwolnienia podatkowego w innym przypadku będzie obowiązany do pobrania od uczestnika należnej do zapłaty kwoty lub przyznania zwycięzcy konkursu dodatkowej nagrody pieniężnej, która pokryje wysokość należnego podatku. Nie zapomnij zawrzeć, w zależności od wybranej przez Ciebie opcji, odpowiednich postanowień w regulaminie informujących uczestnika o obowiązkach podatkowych związanych z wygraną w konkursie.

 

I – jak informacja o braku powiązań z FB

Gdy konkurs organizowany jest w serwisach Facebook i Instagram, ważne jest czytelne wskazanie, że konkurs nie jest przeprowadzany ani w żaden inny sposób zarządzany czy powiązany z podmiotami zarządzającymi lub będącymi właścicielami obu serwisów. Zgodnie z Regulaminem serwisu Facebook promocje na Facebooku muszą zawierać następujące zapisy:

  • pełne zwolnienie serwisu Facebook z odpowiedzialności wobec każdego uczestnika
  • informację, że promocja nie jest w żaden sposób sponsorowana, popierana ani przeprowadzana przez serwis Facebook ani z nim związana.

Dodatkowo warto zwrócić uwagę na jeszcze jeden zapis z regulaminu serwisu, który zabrania wykorzystywania do konkursu prywatnych osi czasu i połączeń ze znajomymi, np. niedozwolone jest stosowanie rozwiązań typu „udostępnij na swojej osi czasu, aby wziąć udział w promocji”, „udostępnij na osi czasu znajomego, aby mieć większe szanse na wygraną w konkursie” czy „oznacz znajomych w tym poście, aby wziąć udział w promocji”

 

J – jak jasne reguły uczestnictwa w konkursie 

Regulamin powinien określać kto może wziąć w nim udział. Jeżeli konkurs jest kierowany do osób małoletnich, trzeba dopełnić dodatkowych formalności, aby mógł być przeprowadzony zgodnie z prawem takie jak np. zgoda rodzica bądź innego opiekuna prawnego. Z udziału w konkursie powinny być też wyłączone osoby bezpośrednio spokrewnione z organizatorem (zarządem, komisją konkursową) lub współpracujące z osobami zarządzającymi czy wyłaniającymi zwycięzców.

 

K – jak kryteria wyłaniania zwycięzcy 

Poprawnie określenie zasad przyznawania nagród pozwoli zaoszczędzić organizatorowi czasu i stresu, który będzie musiał poświęcić na odpisywanie rozżalonym uczestnikom, którzy nie będą się zgadzać z wynikiem konkursu. Sposób wybory zwycięzcy powinien być obiektywny, pozbawiony faworyzowania jakiejś grupy uczestników konkursu. Najlepiej jest określić kryteria jakie praca konkursowa musi spełnić oraz wskazać komisję konkursową składającą się z kilku osób, by wybór zwycięzcy był dla każdego sprawiedliwy.

 

 

Kolejne litery alfabetu konkursów pisze życie a my będziemy opisywać je w następnych wpisach 🙂

 

Jeśli już teraz potrzebujesz gotowego regulaminu konkursu, w którym prace konkursowe zwycięzców konkursu będą stanowić utwory w rozumieniu prawa autorskiego bądź przedmioty praw pokrewnych czy własności przemysłowej, gdy wyłonione prace konkursowe mają służyć np. jako logo firmy lub do innych celów związanych z eksploatacją praw autorskich – zajrzyj na https://lgl-iplaw.pl/product/wzor-regulaminu-konkursu-w-internecie/