플랫폼 데이터 스크래핑 및 재사용: 법적 프레임워크

이 글은 네덜란드 및 유럽법에 따른 일반적인 법적 틀을 제시하는 것이며, 특정 상황에 대한 조언이 아닙니다. 데이터 스크래핑 문제의 결과는 사용된 기술, 데이터의 성격, 저장 방식, 사용 목적, 소스의 기술적 구성 등 구체적인 사실관계에 따라 달라집니다.

공개되어 있다고 해서 무료로 사용할 수 있다는 의미는 아닙니다.

온라인 플랫폼에서 데이터를 수집하여 다른 곳에서 공유하는 행위는 흔히 회색지대라고 불리지만, 자세히 살펴보면 생각보다 명확하게 정의된 영역에서 이루어집니다. 이러한 문제는 가격 비교 서비스, 채용 도구, 시장 조사 회사, 그리고 특히 최근 몇 년 동안 대규모로 AI 모델 학습 데이터를 수집하는 업체들에게 제기되고 있습니다.

공개적으로 이용 가능한 데이터를 수집하는 것 자체를 금지하는 법률은 없습니다. 마찬가지로 그 반대도 성립하지 않습니다. 로그인 없이 데이터를 볼 수 있다고 해서 자유롭게 재사용할 수 있다는 의미는 아닙니다. 데이터를 수집, 저장 및 재사용하는 모든 사람은 데이터베이스 권리, 저작권, 계약법, 형법 및 일반 데이터 보호 규정(GDPR )이라는 다섯 가지 영역의 교차점에서 활동하게 됩니다 . 결과를 결정하는 것은 데이터가 공개되었는지 여부가 아니라 데이터를 어떻게 획득하고 저장하고 다시 공개했는지입니다.

데이터 수집 모델 3가지, 위험 프로필 3가지

세 가지 운영 방식을 구분하는 것이 도움이 됩니다. 링크 및 임베딩 방식에서는 서비스가 플랫폼 자체에서 이미 공개한 자료만 참조합니다. 독립적인 검색 및 저장 방식에서는 서비스가 데이터를 수집하여 자체 서버에 저장하고 거기에서 제공합니다. 세 번째 모델에서도 동일한 과정이 진행되지만, 로그인 장벽, 토큰 요구 사항, CAPTCHA 또는 기타 기술적 접근 제한을 우회합니다.

첫 번째 모델은 위험도가 가장 낮습니다. 자료가 이미 자유롭게 접근 가능한 상태였다면 저작권 측면에서 새로운 공중이 발생하지 않고, 기술적 제한도 우회되지 않기 때문입니다. 하지만 그렇다고 위험이 전혀 없는 것은 아닙니다. 프레임 사용, 오해의 소지가 있는 표현, 상표 사용 또는 임베드를 통한 IP 주소와 같은 개인 데이터 전송은 여전히 ​​문제를 야기할 수 있습니다. 두 번째 모델은 논란의 여지가 있으며, 탈취된 자료의 규모와 성격에 따라 크게 달라집니다. 세 번째 모델은 민사, 형사 및 데이터 보호 책임이 동시에 발생할 수 있으므로 가장 위험도가 높습니다.

아래 표는 확정된 법률 규칙이라기보다는 최초의 잠정적인 지침을 제공합니다.

데이터베이스 권한: 상당한 투자

플랫폼의 경우, 고유한 데이터베이스 권리는 일반적으로 가장 유망한 기반이 됩니다. 네덜란드 데이터베이스법 에 반영된 지침 96/9/EC 는 데이터베이스 제작자를 그 내용의 상당 부분의 추출 또는 재사용으로부터 보호하며, 정상적인 이용과 충돌하는 경우 더 작은 부분의 반복적이고 체계적인 추출로부터도 보호합니다.

창조 vs. 획득

영국 경마 위원회 대 윌리엄 힐 사건(C-203/02)에서 유럽사법재판소는 기존 데이터를 확보, 검증 및 제시하는 데 드는 투자만 중요하며, 데이터를 생성하는 데 드는 비용은 중요하지 않다고 판결했습니다.

사용자 생성 콘텐츠

사용자들이 무료로 콘텐츠를 제공하는 플랫폼의 경우, 이러한 구분은 양날의 검과 같으며 자동으로 유리하게 작용하는 것은 아닙니다. 한편으로 플랫폼은 데이터를 직접 생성하지 않으므로 데이터 보호의 여지가 생깁니다. 그러나 다른 한편으로, 데이터를 수집하는 데는 비용이 들지 않습니다. 사용자들이 자발적으로 데이터를 업로드하기 때문에 수집 단계에서 투자해야 할 비용이 거의 없습니다. 따라서 데이터 보호는 데이터셋의 규모에서 비롯되는 것이 아니라, 플랫폼이 데이터 수집 후 검증, 검토 및 정리, 품질 관리, 색인 생성, 데이터의 인프라 구축 등 수집 후 과정에 상당한 투자를 했음을 보여줄 수 있을 때 비로소 가능합니다. 이러한 투자가 데이터 보호 기준을 충족하는지 여부는 사용자 규모보다는 직원, 인프라, 시스템 관련 수치를 통해 플랫폼과 데이터셋별로 입증해야 하는 사실 문제입니다.

메타 검색 엔진 및 스크래퍼

Innoweb v Wegener 사건(C-202/12)에서 법원은 실시간 검색 쿼리를 다른 당사자의 데이터베이스로 전달하고 그 결과를 자체 인터페이스에 표시하는 서비스는 데이터가 로컬에 영구적으로 저장되는지 여부와 관계없이 해당 데이터베이스를 재사용하는 것이라고 판결했습니다. 이는 데이터를 전혀 저장하지 않는 경우에도 많은 스크래퍼 및 대체 인터페이스의 핵심적인 내용입니다.

텍스트 및 데이터 마이닝 예외

DSM 지침 제3조 및 제4조는 네덜란드 저작권법 제15조n항 및 제15조o항에 따라 텍스트 및 데이터 마이닝에 대한 예외를 규정하고 있습니다. 상업적 당사자의 경우, 이 예외는 권리 보유자가 명시적으로 권리를 유보하지 않은 경우에만 적용되며, 해당 유보는 API 메타데이터, 계약 조항 또는 robots.txt 명령어와 같은 기계 판독 가능한 형태로 기록되어야 합니다.

저작권 및 플랫폼 인터페이스

사용자 콘텐츠가 게시되는 플랫폼에서 저작권이 잘못된 당사자에게 귀속되는 경우가 빈번합니다. 게시물과 이미지는 원칙적으로 해당 저작물이 Infopaq(C-5/08)에서 정의하는 저작자 자신의 지적 창작물인 경우 개별 저작자에게 저작권이 있습니다. 짧고 사실적인 게시물은 이러한 기준을 충족하지 못하는 경우가 많아, 보호할 대상이 없는 경우가 흔합니다.

누가 집행할 수 있는가

이용 약관은 일반적으로 플랫폼에 비독점적 라이선스만을 부여합니다. 여기서 흔히 혼동되는 세 가지 질문은 다음과 같습니다. 첫째, 실질적인 저작권은 저작자에게 있으며, 둘째, 침해를 금지할 권리는 원칙적으로 저작권자 또는 독점 라이선스 보유자에게만 있으며, 셋째, 소송을 제기할 수 있는 권한은 플랫폼이 저작권자로부터 명시적인 위임을 받은 경우에 한해 보유할 수 있습니다.

네덜란드 법에 따르면 단순히 비독점적 사용권만 가진 사용자는 저작권 침해에 대한 독립적인 소송권을 갖지 못합니다. 그러나 플랫폼은 콘텐츠와는 별개로 자체적인 권리, 즉 그래픽 사용자 인터페이스, 데이터베이스 구조 및 아이콘에 대한 저작권과 상표명 및 로고에 대한 상표권을 행사할 수 있습니다. 서비스가 유사성을 위해 이러한 요소들을 차용하는 경우, 플랫폼은 원저작 콘텐츠에 대해서는 갖지 못했던 권리를 주장할 수 있게 됩니다.

링크 및 복사

유럽사법재판소의 세 가지 판례가 여기에 적용됩니다. 이미 자유롭게 접근 가능한 자료에 하이퍼링크를 거는 것은 공중에 대한 새로운 전달 행위가 아닙니다(Svensson, C-466/12). 저작물을 다운로드하여 자신의 서버에 저장하는 것은 저작물이 다른 공중에게 공개되는 것이므로 새로운 전달 행위에 해당합니다(Renckhoff, C-161/17). 또한 기술적 보호 조치를 우회하여 저작권자가 의도하지 않은 공중에게 도달하는 것 역시 공중에 대한 새로운 전달 행위에 해당합니다(VG Bild-Kunst, C-392/19).

계약법: 이용 약관과 라이언에어의 역설

거의 모든 플랫폼은 약관에서 자동 접근을 금지하고 있습니다. 하지만 가장 먼저 고려해야 할 사항은 계약이 성립되었는지 여부이며, 이는 일반 방문자와 등록 계정 사용자 간에 상당한 차이가 있습니다. 단순히 페이지를 둘러보는 것만으로는, 방문자가 적극적으로 동의했다는 사실이 입증되지 않는 한 네덜란드 법에 따라 구속력이 없습니다. 반면, 가입 시 약관에 명시적으로 동의하는 클릭 방식의 경우에는 원칙적으로 약관이 구속력을 가지며, 자동 계정 생성은 그 자체로 계약 위반이 됩니다.

라이언에어의 역설

Ryanair 대 PR Aviation 사건(C-30/14)에서 유럽사법재판소는 데이터베이스가 저작권이나 특별권으로 보호되지 않는 경우, 데이터베이스 지침에 따른 의무적인 사용자 권리가 적용되지 않는다고 판결했습니다. 따라서 운영자는 계약을 통해 재사용을 광범위하게 제한할 수 있습니다. 지적재산권적 입장이 약할수록 계약상의 입장이 더 강해질 수 있습니다. 이 예비 판결 이후 사건은 네덜란드 법원으로 돌아갔고, 2018년 1월 23일 헤이그 항소법원은 이전 판결과 달리 Ryanair 약관의 데이터베이스 사용 금지 조항이 당연히 무효가 아니라고 판결했습니다. 이 판결은 또한 약관에 적용되는 법률이 얼마나 중요한지를 보여줍니다. 법원은 네덜란드 법이 아닌 Ryanair가 약관에서 선택한 법률에 따라 브라우즈랩(browse-wrap)에 의한 동의 여부를 판단했습니다.

데이터베이스가 보호되는 경우 null 값

데이터베이스가 고유한 보호를 받는 경우, 데이터베이스 지침 제15조에 따라 중요하지 않은 부분의 추출을 금지하는 계약 조항은 무효가 됩니다. 이러한 보호는 적법한 사용자 자격을 갖춘 당사자에게만 제공되며, 적법한 사용자 자격은 데이터베이스에 대한 접근 권한을 획득한 방식에 따라 결정됩니다.

계약상 청구의 실질적인 약점

이는 계약 상대방에게만 효력이 있고 최종 사용자에게는 효력이 없으며, 플랫폼이 무료인 경우 손실을 정량화하기 어렵고, 실질적인 위약 조항이 없는 경우가 많습니다. 따라서 계약상의 근거는 거의 항상 데이터베이스 권리, 저작권 또는 불법행위 책임과 결합됩니다.

형법상 제한사항: 무단 접근

접근 조건 위반이 모두 무단 접근에 해당하는 것은 아니며, 논의가 너무 쉽게 그러한 결론으로 ​​치닫는 경향이 있습니다. 네덜란드 형법 제138조ab항 은 보안 침해, 기술적 개입, 허위 키 사용 또는 허위 신분 사용과 같은 자동화 시스템에 대한 고의적이고 불법적인 침입을 무단 접근으로 규정하고 있습니다.

제공자가 의도한 속도보다 빠르게 요청을 보내거나, robots.txt 파일을 무시하거나, 가명 또는 허위 정보로 계정을 등록하는 행위 자체는 개인정보 침해에 해당하지 않습니다. 공개된 회원가입 양식은 누구나 이용할 수 있으므로, 이러한 행위 자체가 개인정보를 침해하는 것은 아닙니다. 다만 이용약관을 위반하는 것일 수는 있지만, 이는 민사적인 문제입니다.

구체적인 기술적 접근 장벽을 무력화하는 순간 범죄 위험이 증가합니다. 예를 들어, 탈취한 인증 토큰이나 API 키를 재사용하거나, 의도적으로 봇 방지 시스템 및 CAPTCHA 시스템을 우회하는 행위 등이 이에 해당합니다. 사용된 기술의 명칭만으로 법적 성격이 자동으로 결정되는 것은 아닙니다. 어떤 행위가 침입, 기술적 개입 또는 허위 키 사용에 해당하는지는 보안 메커니즘의 작동 방식, 사용자의 의도, 그리고 우회 대상의 성격 등 여러 요인을 종합적으로 고려하여 판단해야 합니다.

대규모 스크래핑에서의 데이터 보호

스크래핑된 데이터가 사용자 이름, 프로필 사진, 게시물, IP 주소 및 프로필 통계를 포함하여 직간접적으로 개인을 식별할 수 있는 경우, 스크래퍼는 일반적으로 데이터 처리의 목적과 수단을 결정하는 당사자인 데이터 컨트롤러로 간주됩니다.

실제로는 정당한 이익이 종종 근거로 제시됩니다. 하지만 이는 가능한 근거일 뿐, 자동적인 허가를 의미하는 것은 아닙니다. 목적 제한, 필요성, 보충성의 원칙을 평가하고, 정보 주체의 합리적인 기대 또한 고려하는 균형 조정이 필요합니다. 민감한 데이터, 대규모 모니터링 또는 프로파일링이 관련된 경우에는 이러한 균형이 반대로 기울어질 수 있습니다.

GDPR 제14조(5)(b)항은 정보 제공이 불가능하거나 과도한 노력이 필요한 경우 정보 제공 의무를 면제한다고 규정하고 있는데, 이는 대규모로 수집된 데이터의 경우에 흔히 발생합니다. 이 면제는 정보 제공 의무에만 적용됩니다. 목적 제한 및 데이터 최소화, 처리 활동 기록, 접근, 이의 제기 및 삭제를 포함한 정보 주체의 권리, 적절한 보안 조치, 그리고 대규모 처리의 경우 데이터 보호 영향 평가 등은 모두 계속해서 완전하게 적용됩니다.

개인 정보가 플랫폼에 공개적으로 나타난다는 사실만으로 정보 주체의 권리가 박탈되거나 추가 처리 또는 프로파일링이 허용되는 것은 아닙니다. 이는 플랫폼이 아닌 감독 기관과 관련 개인이 강제해야 하는 프레임워크의 유일한 부분이며, 따라서 정보 출처가 조치를 취하든 안 하든 위험이 존재한다는 것을 의미합니다.

개인 정보를 수집하는 사람들을 위한 체크리스트

• 수집되는 데이터는 정확히 무엇이며, 일반 개인정보인지 아니면 특별 개인정보인지 궁금합니다.
• 이 처리의 구체적인 목적은 무엇입니까?
• 법적 근거는 무엇이며, 필요성 및 균형 평가를 통과할 수 있는가?
• 정보 주체에게는 어떻게 정보가 전달되며, 정보 제공 의무 면제 사유가 적용되는가?
• 데이터는 얼마나 오랫동안 보관되나요?
• 데이터가 유럽 경제 지역 외부로 전송됩니까?
• 처리 규모와 특성을 고려할 때 데이터 보호 영향 평가가 필요한가요?
• 접근, 정정 및 삭제 요청이 기술적으로 실제로 실행될 수 있습니까?

AI 학습 데이터: 분명한 과제

스크랩한 데이터를 사용하여 AI 및 언어 모델을 학습시키는 것은 앞서 언급한 법적 체계에 추가적인 법적 문제를 야기합니다. 데이터 수집, 저장 및 학습은 서로 다른 행위이며 각각 고유한 법적 기준이 적용됩니다. 학습 데이터를 수집하고 일시적으로 저장하는 것은 텍스트 및 데이터 마이닝 예외 조항에 해당될 수 있지만, 해당 데이터를 사용하여 모델을 학습시키고 그 결과를 상업적으로 이용하는 것은 저작권, 데이터베이스 권리 및 GDPR을 준수하는지 여부를 새롭게 검토해야 하는 별개의 행위입니다.

상업용 AI 개발자는 원칙적으로 데이터 마이닝 예외 조항에 의존할 수 있지만, 플랫폼에서 기계 판독 가능한 선택 해제 기능을 구현하기 전까지만 유효합니다. 훈련 데이터가 보호된 데이터베이스의 상당 부분을 구성하는 경우, 예외 조항이 저작권 요소를 포함하는지 여부와 관계없이 고유한 권리는 여전히 유효합니다.

GDPR에 따라 학습 목적으로 개인 데이터를 수집하려면 견고한 법적 근거가 필요하며, 대규모로 수집할 경우 영향 평가가 필수적입니다. 특히, 삭제권과 정정권을 이미 학습된 모델에 반영된 매개변수에 적용하는 것은 어려운 문제입니다. 모델에서 데이터를 제거하는 것은 간단한 기술적 작업이 아니기 때문입니다. 법적 의무와 기술적 실현 가능성 사이의 이러한 긴장 관계는 감독 당국의 중요한 관심사입니다. 라이언에어 사례에서도 볼 수 있듯이, 지적 재산권 보호가 미흡한 플랫폼이라도 계약이 체결되었다면 약관을 통해 AI 학습에 재사용하는 것을 광범위하게 제한할 수 있습니다.

법 집행 및 소송 실무

행위의 출처를 밝히는 것 자체는 어려운 일이 아닙니다. 서버 로그, IP 범위, 브라우저 지문 및 요청 패턴을 통해 트래픽을 계정과 연결할 수 있습니다. 또한 플랫폼은 카나리 데이터(canary data, 14 bytes>)를 내장합니다. 이는 다른 곳에서 나타날 때 출처를 증명하는, 눈에 띄지 않는 합성 데이터 포인트입니다. 오픈 소스 프로젝트의 경우 소스 코드가 공개되어 있어 어떤 엔드포인트가 호출되는지 정확하게 문서화할 수 있습니다.

프록시 서버나 익명 도메인 뒤에 운영 체제가 있는 경우, 책임 소재를 파악하기가 더 어렵습니다. 이 경우 네덜란드 대법원이 Lycos v Pessers 사건에서 제시한 기준에 따라 호스팅 제공업체와 같은 중간업체로부터 신원 확인 정보 공개를 요구할 수 있습니다.

민사 집행은 주로 불법 행위 또는 지적 재산권 침해를 근거로 하는 임시 소송을 통해 이루어지며, 그럴듯한 근거가 제시되면 긴급 가처분 및 벌금 부과를 요청할 수 있습니다. 정식 소송의 비용과 입증 부담을 고려할 때, 플랫폼들은 실제로 기술적 조치와 함께 호스팅 제공업체, CDN 서비스, 앱 스토어 및 도메인 등록기관에 대한 통지 절차를 병행하는 경우가 많습니다. 디지털 서비스법은 이러한 목적을 위한 표준화된 통지 절차를 제공합니다. 이 법 자체가 행위의 불법 여부를 판단하는 것은 아니며, 단지 문제를 신속하게 해결할 수 있는 경로를 제공할 뿐입니다. 또한, 이 법의 적용은 관련 서비스의 역할과 통지의 성격에 따라 달라집니다.

자주하는 질문

지우면 좋을거같음 . SM

유럽사법재판소, 2004년 11월 9일, C-203/02 (영국 경마 위원회 대 윌리엄 힐)

CJEU 2009년 7월 16일, C-5/08(Infopaq)

CJEU 2013년 12월 19일, C-202/12 (Innoweb v Wegener)

CJEU 2014년 2월 13일, C-466/12 (Svensson)

유럽사법재판소, 2015년 1월 15일, C-30/14 (라이언에어 대 PR 에비에이션)

유럽사법재판소, 2018년 8월 7일, C-161/17 (렌크호프)

CJEU 2021년 3월 9일, C-392/19 (VG Bild-Kunst)

헤이그 항소법원, 2018년 1월 23일, ECLI:NL:GHDHA:2018:61 (라이언에어 대 PR 에비에이션, 회부 후)

네덜란드 대법원, 2005년 11월 25일, ECLI:NL:HR:2005:AU4019 (Lycos 대 Pessers 사건)

지침 96/9/EC(데이터베이스 지침)는 네덜란드 데이터베이스법에 반영되어 있습니다.

지침(EU) 2019/790(DSM 지침), 제3조 및 제4조; 네덜란드 저작권법 제15조n항 및 제15조o항

네덜란드 저작권법 제1조 및 제27조

네덜란드 형법 제138조ab항

유럽연합 일반 데이터 보호 규정(GDPR) 2016/679 제4조, 제5조, 제6조, 제14조, 제15조~제21조, 제30조, 제32조 및 제35조

규정(EU) 2022/2065(디지털 서비스법)

네덜란드 민법 제6권 제162조 및 제217조; 네덜란드 민사소송법 제254조 및 ​​제1019조

Law & More 타사 데이터를 처리하는 회사와 자체 데이터 수집을 보호하려는 당사자 모두에게 조언을 제공합니다. 언제든지 편하게 문의해 주세요. 최대한 빨리 여기를 클릭해주세요. 특정 상황에 대한 평가를 위해서입니다.