Az etikus hacker szerzői jogi kockázatai

Dr. Horváth Katalin*

Az etikus hacker szerzői jogi kockázatai 1. Az etikus hackertevékenység jogi megközelítése 1.1. Az etikus hackertevékenység meghatározása Az etikus vagy úgynevezett fehérkalapos hacker mára már külön foglalkozásként elismert, speciálisan képzett informatikai biztonsági szakértő, aki tisztában van a vállalati informatikai rendszerek sebezhetőségével, fel tudja deríteni ezen rendszerek sérülékeny pontjait, fenyegetettségeit, kitettségeit, az ilyen rendszerekben elkövetett csalásokat, és megoldási javaslatokat tesz ezen problémák kezelésére. Az etikus hackerek állhatnak munkaviszonyban valamely vállalkozás alkalmazásában, de külsős partnerként, megbízási szerződéssel is elláthatják feladataikat. Bármelyik foglalkoztatási formában is dolgoznak, a vállalkozás és az etikus hacker között bizalmi kapcsolat jön létre, amelynek fenntartása mindkét fél érdeke, és amelyhez az etikus hacker részéről egy rendkívül erős titoktartási kötelem társul. 1.2. Az etikus hackertevékenység jogi vetületei Az etikus hackertevékenység számos kérdést felvet, kezdve a morális-etikai kérdésektől a szerzői jogi kérdéseken át az adatvédelmi, titokvédelmi és büntetőjogi megítélésig. A morális-etikai kérdések alapvetően szubjektív jellegűek, és tárgyalásuk, bár igencsak érdekes, de meghaladja a jelen cikk kereteit. Alapvetően az etikus hackertevékenység jogi, azon belül is szerzői jogi megítélésére helyezzük a hangsúlyt, érintve a büntetőjogi aspektust is. Fő kérdésfelvetésként azt vizsgáljuk, hogy van-e az etikus hackertevékenységnek szerzői jogi kockázata, követhet-e el az etikus hacker szerzői jogi jogsértést az általa vizsgált szoftverek tekintetében? A válasz erre a kérdésre – ahogy az lenni szokott a szerzői jog világában – nem feltétlenül egyértelmű és nyilvánvaló, azonban kísérletet teszünk a megválaszolására. 1.3. A büntetőjogi és adatvédelmi megközelítés az elterjedt Az etikus hackertevékenységgel kapcsolatban a jogi szakirodalom és a sajtó általában a lehetséges büntetőjogi jogkövetkezményekkel, továbbá üzleti titok vagy személyes adatok nyilvánosságra kerülésének a veszélyeivel foglalkozik. A médiában megjelenő hosszabb-rö

* A szerző dr. Horváth Katalin ügyvéd, a Sár és Társai Ügyvédi Iroda szerzői jogi szakértő partnere, a Szerzői Jogi Szakértő Testület és a Magyar Szerzői Jogi Fórum Egyesület tagja.

Iparjogvédelmi és Szerzői Jogi Szemle

Az etikus hacker szerzői jogi kockázatai

45

videbb értekezések hosszan boncolgatják azokat a kérdéseket, hogy vajon az etikus hackerek bűncselekményt követnek-e el, vagy a jog biztosít nekik egy „szabadulókártyát”, amellyel tevékenységüket legalizálhatják, amikor számítástechnikai rendszerekbe behatolnak, azok sebezhetőségéről információkat gyűjtenek, belülről a rendszerek szolgáltatásait feltörik, hozzáféréseket, jogosultságokat szereznek, adatokat megváltoztatnak, törölnek, hozzáférhetetlenné tesznek, vagy éppen a social engineering segítségével bizalmas, érzékeny adatokat szereznek meg.1 Ezek a publikációk szinte mind egyetértenek abban, hogy az etikus hacker ezen magatartása általában nem minősül bűncselekménynek, a magyar büntető törvénykönyv 423. §-a szerinti „információs rendszer vagy adat megsértésének”,2 ha az etikus hacker betart néhány alapvető játékszabályt: 1

Ilyen külföldi cikkek például: Sarah Pearce, Jane Elphic: Hacking back – tempting, but is it legal?: http://www.computing.co.uk/ctg/ opinion/2360745/hacking-back-tempting-but-is-it-legal; Jon Brodkin:The legal risks of ethical hacking: http:// www.networkworld.com/article/2268198/lan-wan/the-legal-risks-of-ethical-hacking.html; Electronic Frontier Foundation: A „Grey Hat” Guide: https://www.eff.org/pages/grey-hat-guide; Ronald I. Raether Jr.: Data Security and Ethical Hacking. American Bar Association, Business Law Section – Business Law Today, 18. évf. 1. sz., 2008. szeptember–október: https://apps.americanbar.org/buslaw/blt/2008-09-10/raether. shtml; Edmand Dester Thipursian, Sai Thogarcheti, Abdullah Al Fahad, Chintan Gurjar, Adam Mentsiev, Alams Titua Mammuan: Case Study – News of the World Phone Hacking Scandal (NoTW). Hacking, 2014. 04. 03.: http://resources.infosecinstitute.com/case-study-news-world-phone-hacking-scandal-notw/; Graham Cluley: Jail for ’ethical’ hacker who bypassed Facebook security from his bedroom: https:// nakedsecurity.sophos.com/2012/02/20/jail-facebook-ethical-hacker/; Kronenberger Rosenfeld: Hacking and unauthorized access: https://www.krinternetlaw.com/practice-areas/hacking; Paul Vlissidis, Struan Robertson, Neil O’Neil: License to hack? – Ethical hacking. Infosecurity Magazine, 2009. október 16.: http://www.infosecurity-magazine.com/magazine-features/license-to-hack-ethical-hacking/; Earl Warren: Legal, Ethical, and Professional Issues in Information Security: http://www.cengage.com/resource_ uploads/downloads/1111138214_259148.pdf; Kevesen foglalkoznak etikus hackeléssel: https://sg.hu/ cikkek/90833/kevesen-foglalkoznak-etikus-hackelessel. 2 A Büntető Törvénykönyvről szóló 2012. évi C. törvény információs rendszer vagy adat megsértése bűncselekményről szóló 423. §-a az alábbiakat mondja ki: 423. § (1) Aki információs rendszerbe az információs rendszer védelmét biztosító technikai intézkedés megsértésével vagy kijátszásával jogosulatlanul belép, vagy a belépési jogosultsága kereteit túllépve vagy azt megsértve bent marad, vétség miatt két évig terjedő szabadságvesztéssel büntetendő. (2) Aki a) az információs rendszer működését jogosulatlanul vagy jogosultsága kereteit megsértve akadályozza, vagy b) információs rendszerben lévő adatot jogosulatlanul vagy jogosultsága kereteit megsértve megváltoztat, töröl vagy hozzáférhetetlenné tesz, bűntett miatt három évig terjedő szabadságvesztéssel büntetendő. (3) A büntetés bűntett miatt egy évtől öt évig terjedő szabadságvesztés, ha a (2) bekezdésben meghatározott bűncselekmény jelentős számú információs rendszert érint. (4) A büntetés két évtől nyolc évig terjedő szabadságvesztés, ha a bűncselekményt közérdekű üzem ellen követik el. (5) E § alkalmazásában adat: információs rendszerben tárolt, kezelt, feldolgozott vagy továbbított tények, információk vagy fogalmak minden olyan formában való megjelenése, amely információs rendszer általi feldolgozásra alkalmas, ideértve azon programot is, amely valamely funkciónak az információs rendszer által való végrehajtását biztosítja.

11. (121.) évfolyam 4. szám, 2016. augusztus

46

Dr. Horváth Katalin

– a számítástechnikai, információs rendszer üzemeltetőjének tudtával, megbízása alapján, erre feljogosítottan jár el és követi el a fent felsorolt cselekményeket, – nem lépi túl a megbízójával kötött szerződésében meghatározott korlátokat és rendelkezéseket, – az általa megtudott sérülékenységeket, sebezhetőségeket, üzleti titkokat, személyes adatokat és egyéb információkat nem adja tovább harmadik személynek, és nem is hozza nyilvánosságra. 1.4. A szerzői jogi aspektus hiánya A témában megszólaló szakértők az etikus hackertevékenység vizsgálatát általában a büntetőjogi, adatvédelmi kérdések tárgyalásával le is zárják, és nem foglalkoznak azzal a szerzői jogi szempontból relevanciával bíró aspektussal, hogy ezek a hackerek olyan, a megbízójuknál/munkáltatójuknál elérhető szoftverekbe hatolnak be, végeznek módosításokat, amelyekre a megbízójuk – szerencsés esetben – rendelkezik a szoftver szerzői jogi jogosultjától felhasználási engedéllyel (licenccel), ők maguk azonban nem. Ugyanígy az az esetkör sem kap nagy hangsúlyt, hogy az etikus hackerek ezeknek, a megbízójuknál futó szoftvereknek a működését alaposan tanulmányozzák, megfigyelik, esetlegesen még azok kódját is visszafejtik annak érdekében, hogy a szoftverekben rejtőző hibákat, biztonsági réseket felfedezzék szintén anélkül, hogy lenne a szoftver felhasználására engedélyük. A jelen cikk ezekre a ritkábban tárgyalt kérdésekre keres választ, annak előrebocsátásával azonban, hogy nem feltétlenül talál is. Néha csak még több kérdést tud felvetni, míg máskor akár egyértelmű, vagy legalábbis annak tűnő választ is tud adni. Azt is le kell szögezni, hogy a szerzői jogi problémákat elsősorban az európai uniós és a magyar jog szemszögéből vizsgáljuk, és legfeljebb csak egy óvatos kitekintést adunk más tagállamok joggyakorlatára, a teljesség igénye nélkül. 2. Kérdésfelvetés A cikk részletesen elemzett kérdésfelvetése tehát az alábbi: a) Jogosult-e az etikus hacker a megbízója által használt szoftverek, operációs rendszerek működését a szoftver alapját képező elv vagy elgondolás megismerése céljából tanulmányozni, megfigyelni? b) Jogosult-e az etikus hacker a megbízója által használt szoftverek hibáinak felfedése és azok javítása céljából a szoftvereket többszörözni, módosítani vagy esetleg visszafejteni?



47

A kérdések boncolgatását jogi szempontból az Európai Tanács szoftverirányelvével3 kell kezdenünk, amely a magyar szerzői jogi szabályozás alapja is egyben. 2.1. A szoftver visszafejtésének és módosításának joga 2.1.1. Releváns jogszabályok A szoftverirányelv 5. cikk (1) bekezdése foglalja jogszabályi keretbe a szerzői engedély alóli kivételeket, és mondja ki az alábbiakat: „Külön szerződéses kikötés hiányában a számítógépi program bármely eszközzel és bármely formában, részben vagy egészben történő tartós vagy időleges többszörözéséhez, a számítógépi program lefordításához, átdolgozásához, feldolgozásához és bármely más módon történő módosításához, valamint ezek eredményének többszörözéséhez nem szükséges a jogosult engedélye, ha azokra azért van szükség, hogy a számítógépi programot az azt jogszerűen megszerző személy (az eredeti angol szövegben: „lawful acquirer”) a rendeltetési célnak megfelelően használja, beleértve a hibajavítást is.” A szerzői jogról szóló 1999. évi LXXVI. törvény (a továbbiakban: Szjt.) a szoftverirányelv fenti rendelkezéseit többé-kevésbé szó szerint átvette, vannak azonban eltérések a két szöveg között. A szoftverirányelv fent idézett 5. cikk (1) bekezdését átültető magyar Szjt. 59. § (1) bekezdése az alábbi: „Eltérő megállapodás hiányában a szerző kizárólagos joga nem terjed ki a többszörözésre, az átdolgozásra, a feldolgozásra, a fordításra, a szoftver bármely más módosítására – ideértve a hiba kijavítását is –, valamint ezek eredményének többszörözésére annyiban, amennyiben e felhasználási cselekményeket a szoftvert jogszerűen megszerző személy a szoftver rendeltetésével összhangban végzi.” 2.1.2. A törvényi kivétel hatálya A magyar Szjt. és a szoftverirányelv az alábbi felhasználások tekintetében ad kivételt az engedélyezési kötelezettség alól:

3

A számítógépi programalkotások szerzői jogi védelméről szóló 91/250/EGK irányelvének módosításait egységes szerkezetbe foglaló, az Európai Parlament és a Tanács 2009/24/EK irányelve (2009. április 23.) a számítógépi programok jogi védelméről (kodifikált változat): http://www.sztnh.gov.hu/jogforras/Szoftver_iranyelv_HU.pdf.


48


a) többszörözés: a szoftverirányelv 4. cikk 1. bekezdés a) pontja4 alapján szoftverek esetében kiterjed a szoftver bármilyen módon, bármilyen formában, részben vagy egészben történő többszörözésére, így például betöltésére, képernyőn megjelenítésére, futtatására, átvitelére, tárolására, mentésére; b) átdolgozás: a szoftverirányelv 4. cikk 1. bekezdés b) pontja5 és a magyar Szjt. átdolgozásra vonatkozó 4. § (2) bekezdése, 29. §-a és 58. § (2) bekezdése6 alapján idetartozik a szoftvernek az eredeti programnyelvétől eltérő programnyelvre történő átírása, a szoftver lefordítása és minden olyan módosítása, amelynek eredményeként a szoftverből származó másik új egyéni, eredeti, szerzői alkotás jön létre. Az átdolgozási, módosítási jogban tehát a fenti fordítási jog részeként benne foglaltatik a szoftver visszafejtése (angolul reverse engineering/decompilation) is, amelynek eredményeképpen az eredeti vagy ahhoz nagyon hasonló forráskód állítható elő. Sem az irányelv, sem a magyar jogszabály nem tesz korlátozást az átdolgozás, lefordítás tekintetében, vagyis azt úgy lehet értelmezni, hogy abba a dekompilációs (visszafejtési) jog is beletartozik. 2.1.3.

A módosítási, visszafejtési jog korlátai

A módosítási, visszafejtési jog nem korlátlan, a korlátok és feltételek az alábbiak. a) Célhoz kötöttség – konfliktus a magyar és az uniós jogszabály között A szoftverirányelv fent hivatkozott 5. cikk (1) bekezdése hibajavítási, hibamentes működés biztosítása célból engedi meg a szoftver visszafejtését, módosítását, amelyet a magyar Szjt. 4

A szoftverirányelv 4. cikk 1. bekezdés a) pontja alapján, az 5. és 6. cikk rendelkezéseire is figyelemmel, a jogosult 2. cikk szerinti kizárólagos jogai magukban foglalják az alábbi cselekmények elvégzését vagy engedélyezését: a) a számítógépi program bármely eszközzel és bármely formában, részben vagy egészben történő tartós vagy időleges többszörözése. Amennyiben a számítógépi program betáplálása, megjelenítése, futtatása, továbbítása vagy tárolása szükségessé teszi az ilyen többszörözést, az ilyen cselekményhez szükséges a jogosult engedélye. 5 A szoftverirányelv 4. cikk 1. bekezdés b) pontja alapján, az 5. és 6. cikk rendelkezéseire is figyelemmel a jogosult 2. cikk szerinti kizárólagos jogai magukban foglalják az alábbi cselekmények elvégzését vagy engedélyezését: b) a számítógépi program lefordítása, átdolgozása, feldolgozása és bármely más módon történő módosítása, valamint ezek eredményének többszörözése a számítógépi programot módosító személy jogainak sérelme nélkül. 6 Az Szjt. 4. § (2) bekezdése szerint szerzői jogi védelem alatt áll – az eredeti mű szerzőjét megillető jogok sérelme nélkül – más szerző művének átdolgozása, feldolgozása vagy fordítása is, ha annak egyéni, eredeti jellege van. Az Szjt. 29. §-a szerint a szerző kizárólagos joga, hogy művét átdolgozza, illetve hogy erre másnak engedélyt adjon. Átdolgozás a mű fordítása, színpadi, zenei feldolgozása, filmre való átdolgozása, a filmalkotás átdolgozása és a mű minden más olyan megváltoztatása is, amelynek eredményeképpen az eredeti műből származó más mű jön létre. Az Szjt. 58. § (2) bekezdése szerint a 4. § (2) bekezdésében foglaltakat alkalmazni kell a szoftvernek az eredeti programnyelvétől eltérő programnyelvre történő átírására is.



49

59. § (1) bekezdése majdnem szó szerint átvett, van azonban a magyar jogszabály szövegében egy kicsi, értelmezést zavaró eltérés: szoftverirányelv 5. cikk (1) bekezdés

Magyar Szjt. 59. § (1) bekezdés

„... ha azokra azért van szükség, hogy a számítógépi programot az azt jogszerűen megszerző személy a rendeltetési célnak megfelelően használja, beleértve a hibajavítást is.”

„... amennyiben e felhasználási cselekményeket a szoftvert jogszerűen megszerző személy a szoftver rendeltetésével összhangban végzi.”

A fenti különbséget egy gyakorlati példával lehet jól megvilágítani: egy számlázóprogramot például az irányelv szövege alapján akkor lehet módosítani, visszafejteni, átdolgozni, ha az a szoftver rendeltetésszerű, hibamentes működéséhez, azaz például kijavításához szükséges. Ezzel szemben a magyar jogszabály alapján a számlázóprogram csak akkor módosítható, fejthető vissza vagy dolgozható át, ha az a számlázóprogram rendeltetésével összhangban történik. A probléma itt a magyar törvényben a „rendeltetésével összhangban” kitétel, ami nehezen érthető, és zavart kelt. A magyar szerzői jogi törvény miniszteri indokolása sem ad magyarázatot arra, hogy mit ért a magyar jogalkotó a szoftver rendeltetésével összhangban történő módosításon. Az Szjt. 59. §-ához fűzött miniszteri indokolás lakonikusan csak azt tartalmazza, hogy „a törvény III. és VI. fejezete a szoftverrel kapcsolatos vagyoni jogokat és e jogok korlátjait a közösségi irányelv 4–6. cikkével összhangban szabályozza. Különösen fontos az ún. ’dekompiláció’ lehetővé tétele (59–60. §).” A miniszteri indokolás nem tér ki részletesen a szabályozás tartalmára, annyit azonban rögzít, hogy az Szjt. 59. §-ának dekompilációra vonatkozó rendelkezése összhangban van a szoftverirányelv vizsgált 5. cikk (1) bekezdésével, amelyből az a következtetés vonható le, hogy a jogalkotó megítélése szerint a magyar és az uniós normaszöveg fedi egymást, nincs eltérés közöttük. A magyar jogszabály alapján pedig önmagában arra a következtetésre is lehetne jutni, hogy a szoftver kódjának visszafejtése vagy a szoftver más módosítása nincs összhangban a szoftver rendeltetésével, így az nem engedélyezett kivétel, hanem adott esetben szerzői jogi jogsértést valósíthat meg. A szerzői jogi szakirodalom sem tesz említést a szoftverirányelv és az Szjt. szövege közötti különbségről, a szerzői jogi törvény kommentárja is csak annyit rögzít, hogy „a szoftver rendeltetésszerű felhasználhatóságának biztosítása érdekében a törvény (a szoftverirányelv nyomán) a szoftver jogszerű felhasználója számára kivételeket állapít meg”, majd kiemeli, hogy „az Szjt. 59. § (1) bekezdése a szoftver jogszerű felhasználójának lehetővé teszi a szoftver többszörözését, átdolgozását. feldolgozását, fordítását, a szoftver más módosítását – hibák kijavítása – és ezek eredményének többszörözését, amennyiben ezek a szoftver rendeltetésével összhangban történnek.” 7 A Szerzői Jogi Szakértő Testület (a továb7

Gyertyánfy Péter (szerk.): Nagykommentár a szerzői jogi törvényhez. Wolters Kluwer, Budapest, p. 376–377.


50


biakban: SZJSZT) is csupán néhány szakvéleményében8 foglalkozott az Szjt. 59. § (1) bekezdése szerinti kivétellel. A SZJSZT 12/11/1 és 13/11/1 számú szakvéleményében szó szerint azonos módon a rendeltetésével összhangban történő módosításról is csak a következőket mondja: „hangsúlyozni kell, hogy a ’módosítás’ kifejezést szélesen kell értelmezni, az – a hibajavításon túl – magába foglalja a szoftver szerzői jogi értelemben vett átdolgozását és feldolgozását is. A módosítást engedély nélkül ugyanakkor csak olyan személy végezheti, aki (amely) egyébként a szoftvert jogszerűen használja, a módosításnak pedig a rendeltetésszerű használatra kell irányulnia. A szoftver módosítása annak rendeltetésszerű használatára irányul például akkor, amikor a módosítás célja a jogszabálykövetés elvégzése”,9 amely értelmezés pedig közelebb áll a szoftverirányelv rendelkezéséhez, mintsem a magyar Szjt. szó szerinti szövegéhez. Az Európai Unióról szóló Szerződés (a továbbiakban: EUSZ) 4. cikk (3) bekezdése szerinti hűség- vagy lojalitásklauzula10 és az Európai Unió működéséről szóló Szerződés (a továbbiakban: EUMSZ) 291. cikk (1) bekezdése11 alapján a tagállami jogot az átültetett uniós joggal összhangban, arra tekintettel kell értelmezni az alábbiak szerint: – a tagállami harmonizált jogszabályt az uniós norma figyelembevételével kell értelmezni és alkalmazni, – a magyar jogszabály nem előzheti meg az uniós irányelvet, – a tagállami bíróság köteles az uniós irányelvet korlátozások nélkül alkalmazni, és köteles a nemzeti jog minden esetlegesen ellentmondó rendelkezését figyelmen kívül 8

SZJSZT-24/2003, -29/2003, -12/11/1 és -13/11/1 számú szakvélemény: http://www.sztnh.gov.hu/hu/ szjszt/kereses?field_szakterulet_value=All&field_megkereso_value=All&field_birosagi_hatarozat_ value=All. 9 SZJSZT-12/11/1 és -13/11/1 számú szakvélemény: http://www.sztnh.gov.hu/hu/szjszt/kereses?field_ szakterulet_value=All&field_megkereso_value=All&field_birosagi_hatarozat_value=All. 10 Az EUSZ (http://europaialkotmanyjog.eu/?p=404) 4. cikk (3) bekezdése szerinti lojalitás- vagy hűségklauzula szerint az Unió és a tagállamok a lojális együttműködés elvének megfelelően kölcsönösen tiszteletben tartják és segítik egymást a szerződésekből eredő feladatok végrehajtásában. A tagállamok a szerződésekből, illetve az Unió intézményeinek intézkedéseiből eredő kötelezettségek teljesítésének biztosítása érdekében megteszik a megfelelő általános vagy különös intézkedéseket. A tagállamok segítik az Uniót feladatainak teljesítésében, és tartózkodnak minden olyan intézkedéstől, amely veszélyeztetheti az Unió célkitűzéseinek megvalósítását. Az Európai Bíróság a fenti hűségklauzulát az alábbi főbb ügyekben értelmezte és kiszélesítette: Costa– ENEL-ügy: Flaminio Costa kontra E.N.E.L., C-6/64. számú ügy, EBHT 1964 01141; 11/70 Internationale Handelsgesellschaft kontra Einfurh- und Vorrartstelle für getreide und Futtermittel (1970) ECR 1125; Simmenthal-ügy: Amministrazione delle Finanze dello Stato kontra Simmenthal SpA., C-106/77. számú ügy, EBHT 1978 00629; Johnston-ügy: 222/84 Johnston v. Chief Constable of the Royal Ulster Constabulary; Factortame-ügy: Case 213/89 R v Secretary of State for Transport, ex parte Factortame Ltd /1990/ ECR I-2433, /1990/ 3 CMLR; Marleasing SA kontra La Comercial Internacional de Alimentacion SA, C-106/89. számú ügy, EBHT 1990 I-04135; Sabine von Colson és Elisabeth Kamann kontra Land Nordrhein-Westfalen, C-14/83. számú ügy, EBHT 1984 01891. 11 Az EUMSZ 291. Cikk (1) bekezdése szerint a tagállamok nemzeti jogukban elfogadják a kötelező erejű uniós jogi aktusok végrehajtásához szükséges intézkedéseket.



51

hagyni anélkül, hogy ehhez ezen rendelkezés előzetes, törvényhozás vagy más alkotmányjogi eljárás általi megszüntetését kérnie kellene vagy meg kellene azt várnia. A hűségklauzula alapján tehát egy esetleges perben a magyar bíróságnak a magyar Szjt. 59. § (1) bekezdésének a szövegét a szoftverirányelv 5. cikk (1) bekezdésével azonos tartalommal kellene figyelembe vennie, aminek eredményeképpen a fenti értelmezési nehézség megszűnik: a szoftver bármilyen módosítására, visszafejtésére, fordítására Magyarországon is azért van lehetősége a szoftver jogszerű használójának, hogy a szoftvert a rendeltetési célnak megfelelően használja, beleértve a hibajavítást is. Nem illeti meg azonban a szoftver jogszerű megszerzőjét a fenti jog, ha annak célja a szoftver továbbfejlesztése, új funkciók kifejlesztése, a szoftverhez hasonló funkciójú más szoftver létrehozása, mivel ezekben az esetekben a célhoz kötöttség nem valósul meg: a cél nem a meglévő szoftver hibáinak javítása és rendeltetésszerű működésének biztosítása, hanem annál sokkal több. Ezt a korlátozást az etikus hacker nagy valószínűséggel betartja, hiszen az etikus hacker munkájának a célja az, hogy a szoftver rendeltetésszerűen, céljának megfelelően használható legyen, vagyis azt ne tudják feltörni, abba ne tudjanak behatolni, a sérülékeny pontjait, sebezhetőségét felfedezzék, és a felfedezett hiányosságokat, hibákat ki is javítsák. Az etikus hacker tehát az első feltételnek megfelel. b) A módosítás, visszafejtés elvégzésére jogosult: a szoftvert jogszerűen megszerző személy (lawful acquirer) – többféle értelmezési lehetőség Mind a szoftverirányelv 5. cikk (1) bekezdése, mind a magyar Szjt. 59. § (1) bekezdése alapján a módosítást, visszafejtést csak a szoftvert jogszerűen megszerző személy (angolul az irányelvben: lawful acquirer) végezheti el, más nem. Ez az előírás kétirányú feltételt foglal magában: i) Jogszerűen: Jogellenesen megszerzett szoftverre ezek a jogok nem vonatkoznak, vagyis az etikus hacker nem jogosult a megbízója által jogellenesen megszerzett szoftvert módosítani, visszafejteni, ezért a megbízóval kötött szerződésébe mindenképp szükséges belevenni azt a feltételt, hogy a megbízó jogszavatosságot vállal azért, hogy a vizsgálat tárgyát képező szoftvereket jogszerűen szerezte meg, azok felhasználására kifejezetten jogosult, és helytállást is vállal az etikus hacker helyett ezért. ii) Szoftvert megszerző személy (acquirer): Csak a szoftvert megszerző személy jogosult ezen módosítást, visszafejtést elvégezni a szoftveren, más személy nem. Ez a feltétel jelenti az uniós és magyar jogban a legnagyobb problémát az etikus hackerek számára, mivel a vizsgálandó szoftvert nem ők, hanem megbízóik szerezték meg, így a jogok a fenti módosításra, visszafejtésre is a megbízóknál vannak. A magyar szerzői jogi törvény azonban kimondja, hogy a szerzői jogok, felhasználási jogok csak akkor ruházhatók át vagy engedhetők át harmadik személynek, ha azt a licencszerződés kifejezetten megengedi. Ha tehát a licencfeltételek bármely jog másra történő továbbruházását, tovább-


52


engedélyezését kifejezetten kizárják, vagy esetleg nem mondanak róla semmit, akkor a szoftvert megszerző személy, vagyis az etikus hacker megbízója a magyar jog alapján nem jogosult a szoftvermódosítási, visszafejtési jogot átadni az etikus hackernek. Ebből pedig az következik, hogy ilyen esetben – ami a licencek többsége – az az etikus hacker, aki nem a megbízó munkavállalója, hanem külsős megbízott vagy vállalkozó, nem jogosult a szoftvert visszafejteni vagy módosítani még akkor sem, ha egyébként célja a hibák felfedése, kijavítása. Ebben az esetben az etikus hacker elvileg csak addig a pontig mehet el a vizsgálatában, ahol visszafejtésre, szoftverkód módosítására még nem kerül sor. Ezt a fenti szűk értelmezést igazolhatja az is, hogy ahol a megbízón kívüli harmadik személyeknek, például külsős szoftverfejlesztőknek ad visszafejtési jogot a szoftverirányelv és a magyar Szjt., ott azt a jogszabály kifejezetten tartalmazza és kimondja. Ilyen például az interoperabilitás érdekében adott visszafejtési, többszörözési jog,: „nincs szükség a jogosult engedélyére, ha a kód többszörözése, illetve lefordítása elengedhetetlen az önállóan megalkotott számítógépi program más programokkal való együttes működtetéséhez szükséges információ megszerzéséhez, feltéve, hogy e cselekményeket az engedéllyel rendelkező személy vagy a program példányának felhasználására jogosult másik személy, vagy ezek nevében az erre felhatalmazott személy végzi” [szoftverirányelv 6. cikk (1) bekezdés a) pontja, magyar Szjt. 60. § (1) bekezdés a) pontja]. A contrario tehát arra az értelmezésre lehet jutni nyelvtani, logikai szempontból, hogy ahol ilyen kivételt és külön kifejezett szabályt nem alkalmaz a jogalkotó, ott csak és kizárólag a szoftvert jogszerűen használó személynek, vagyis az etikus hacker megbízójának és azok munkavállalóinak – vagy a licencfeltételekben meghatározott számú munkavállalónak – van joga a szoftvert visszafejteni vagy azt javítási céllal módosítani. A fenti interoperabilitási célú visszafejtési jognál mind az uniós, mind a magyar jogalkotó azt hozza fel érvként és indokként, hogy ott szükséges a visszafejtéshez programozói szaktudás, ezért indokolt, hogy ne csupán a megbízó, a szoftvert megszerző személy végezhesse ezt a tevékenységet, hanem az ő programozói szaktudással rendelkező megbízottja, vállalkozója, vagy egy erre általa felhatalmazott harmadik személy is. Azonban mivel a javítási, rendeltetésszerű működtetési célú visszafejtési, módosítási jog is ugyanannyira programozói szaktudást igényel, mint az interoperabilitás biztosítása érdekében adott visszafejtési (dekompilációs) jog, ezért nem tehető ilyen szempontból különbség a két esetkör jogosultjai között. Ezen túlmenően a logikai, szakmai szempontok is azt támasztják alá, hogy ilyen visszafejtési jogot szükséges biztosítani a szoftvert jogszerűen használó személy megbízásából eljáró szakembereknek, így például az etikus hackereknek is. Nincs tehát sem logikailag, sem szakmailag védhető magyarázat arra, hogy a javítási célú módosítási, fordítási, visszafejtési jogból miért kellene az etikus hackereknek kimaradniuk. Ez utóbbi érvelést és értelmezést támasztja alá az Európai Bizottság szoftverirányelv-értelmezése is, amelyet a szoftverirányelv tagállami átültetésének és hatásainak vizsgálatáról szóló, 2000-ben megjelent jelentésében kö-



53

zölt.12 A Bizottság rámutatott, hogy a szoftverirányelv fenti 5. cikkének implementálása során a tagállamok az irányelv eredeti angol szövegében „lawful acquirer” kifejezéssel megjelölt, magyarul a szoftvert jogszerűen megszerző személyre fordított személyi kört eltérően értelmezik és alkalmazzák, egyes tagállamok például helyette a „lawful user”, azaz a jogszerű felhasználó fogalmát vezették be, amely azonban nem azonos az irányelv szerinti „lawful acquirer” megjelöléssel, mert az csak a szoftver felhasználására joggal rendelkező személyt (angolul: „a person having a right to use the program”) takarja. Ezzel szemben az irányelv szerinti „lawful acquirer” valójában jelenti a szoftver megvásárlóját (purchaser), felhasználóját (licensee), bérlőjét (renter) és azt a személyt is, aki felhatalmazással rendelkezik ezektől a személyektől a szoftver nevükben történő felhasználására (a person authorized to use the program on behalf of one of the above). Az Európai Bizottság fenti értelmezése alapján tehát azt lehet mondani, hogy a fent részletesen hivatkozott hűség- vagy lojalitásklauzula megfelelő alkalmazásával a magyar jogszabály szövegét is úgy kell értelmezni, hogy ezen javítási célú módosítási, visszafejtési, fordítási jog nem csupán az etikus hacker megbízójára, hanem a megbízó kifejezett felhatalmazása alapján a nevében eljáró etikus hackerre is vonatkozhat. Ennek érdekében azonban mindenképpen javasolt az etikus hacker szerződésébe beletenni a szoftver ilyen célú felhasználására vonatkozó kifejezett felhatalmazást. c) A módosítást, visszafejtést a licencszerződés kizárhatja – de nem minden uniós tagállamban Mind az uniós jogszabály, mind a magyar törvény megengedi, hogy a szoftver javítása, rendeltetésszerű működés biztosítása céljából történő módosítását, visszafejtését, fordítását az adott szoftverre vonatkozó licencszerződés, illetve licencfeltétel kizárja. Az etikus hacker megbízása előtt ezért gondosan javasolt a licencfeltételek (vagy gyakran használt nevén EULA – End User License Agreement) áttekintése, hogy vajon kizárják-e a fenti cselekményeket, ez esetben ugyanis az etikus hacker és megbízója is szerződésszegést és szerzői jogi jogsértést követ el, ha a licencfeltételek ellenére mégis visszafejti, módosítja a szoftvert még akkor is, ha egyébként a törvényi feltételeknek megfelel. Meg kell azonban említeni, hogy a szoftverirányelv ezen rendelkezését nem minden tagállam vette át: az Egyesült Királyság, Ausztria és Finnország szerzői jogi törvénye nem tartalmazza ezt a rendelkezést, ami miatt a Bizottság fent említett jelentése is megfogalmazza, hogy ott ez a szerzői jog alóli kivétel tágabb körű, mint amit az uniós jog megenged. Az etikus hacker tevékenységének szerzői jogi kockázatai körében eddig az etikus hacker visszafejtési, módosítási, többszörözési jogával foglalkoztunk részletesen, a cikk befejező 12

Celexszám: 52000DC0199; COM/2000/0199 final; Report from the Commission to the Council, the European Parliament and the Economic and Social Committee on the implementation and effects of Directive 91/250/EEC on the legal protection of computer programs – 5. pont.


54


részében pedig arra keressük a választ, hogy vajon jogosult-e az etikus hacker a megbízója által használt szoftverek, operációs rendszerek működését a szoftver alapját képező elv vagy elgondolás megismerése céljából tanulmányozni, megfigyelni? 2.2. A szoftver működése tanulmányozásának, megfigyelésének, tesztelésének a joga 2.2.1. Releváns jogszabályok Az etikus hackertevékenység egyik szükségszerű velejárója, hogy a megbízónál működő szoftverek működését, azok egyes elemeit megfigyeli, tanulmányozza, kipróbálja azért, hogy megismerje működésüket, az alapjukat képező műveleteket, algoritmusokat, és azok sebezhetőségét, hibáit felfedje. A szoftverirányelv 5. cikk (3) bekezdése, valamint a magyar Szjt. 59. § (3) bekezdése tartalmaz szabályokat erre a típusú, szerzői jogi engedélyt nem igénylő felhasználásra vonatkozóan. A szoftverirányelv 5. cikk (3) bekezdése a következőképpen rendelkezik: „A számítógépi program valamely példányának jogszerű felhasználója a jogosult engedélye nélkül megfigyelheti, tanulmányozhatja és kipróbálhatja a program működését a program elemeinek alapját képező ötletek és elvek meghatározása céljából, ha ezt a program olyan betáplálása, megjelenítése, futtatása, továbbítása vagy tárolása során végzi, amelyre jogosult.” Az Szjt. 59. § (3) bekezdése így hangzik: „Aki a szoftver valamely példányának felhasználására jogosult, a szerző engedélye nélkül is megfigyelheti és tanulmányozhatja a szoftver működését, továbbá kipróbálhatja a szoftvert annak betáplálása, képernyőn való megjelenítése, futtatása, továbbítása vagy tárolása során abból a célból, hogy a szoftver valamely elemének alapjául szolgáló elgondolást vagy elvet megismerje.” 2.2.2. A szoftveralgoritmus, -művelet, -működési elv nem védett A tanulmányozási, megfigyelési kivétel esetében az uniós és a magyar jogszabály szövege értelmét tekintve megegyezik, itt nem merül fel konfliktus a kétféle szöveg között. A szabály háttere az a szerzői jogi alapelv, hogy valamely ötlet, elv, elgondolás, eljárás, működési módszer vagy matematikai művelet nem lehet tárgya a szerzői jogi védelemnek [magyar Szjt. 1. § (6) bekezdés], amelyet szoftverek esetében alkalmazni kell a szoftver csatlakozófelületének alapját képező ötletre, elvre, elgondolásra, eljárásra, működési módszerre vagy



55

matematikai műveletre is [Szjt. 58. § (1) bekezdés]. Ugyanezt kimondja a szoftverirányelv 1. cikk (2) bekezdése13 is, így ez az egész Európai Unió területén érvényesülő szabály. A fenti alapelv alapján nem részesül szerzői jogi védelemben például a szoftver üzleti logikája, az algoritmus, a szoftver funkcionalitása, a programnyelv, az adatfájlformátum, az adatstruktúra, ahogy arra az Európai Bíróság több ítéletében is rámutatott,14 és ahogy azt a magyar szerzői jogi szakirodalom is megerősíti.15 Ez a mindenhol érvényesülő jogelv pedig azért fontos a tanulmányozási, megfigyelési célú kivétel esetében, mert a szabály lényege az, hogy a szerzői jogosult engedélyéhez kötött cselekményeket, mint például a szoftver betáplálása, képernyőn való megjelenítése, futtatása, továbbítása vagy tárolása kivételesen szerzői jogosulti engedély nélkül lehet megtenni akkor, ha annak célja a szerzői jog által nem védett működési elv, elgondolás (és nem a forráskód) megismerése. 2.2.3. A tanulmányozási, megfigyelési és tesztelési (kipróbálási) célú kivétel korlátai A szoftverirányelv és a magyar Szjt. fenti kivételt engedő rendelkezései alapján a szoftver valamely elemének alapjául szolgáló elgondolás vagy elv megismerése céljából tanulmányozható, figyelhető meg vagy tesztelhető a szoftver működése, aminek azonban vannak korlátai. a) Célhoz kötöttség A szoftver működését csak a szoftver valamely elemének alapjául szolgáló elgondolás vagy elv megismerése céljából lehet tanulmányozni, vagyis csak a szoftver szerzői jog által a fentiekben részletezettek szerint nem védett elemei felderítéséhez. Nem ad jogot azonban ez a rendelkezés arra, hogy hasonló szoftver kifejlesztéséhez, a szoftver átdolgozásához vagy más, szerzői jogot sértő cselekményhez használják fel az így megszerzett ismereteket. Az etikus hackerek esetében azonban a célhoz kötöttség megvalósulhat, hiszen az ő céljuk a szoftver működési elvének megismerése annak érdekében, hogy a szoftver sebezhetőségét felderítsék, vagyis az első feltételnek az ő eljárásuk megfelel.

13

A szoftverirányelv 1. cikk (2) bekezdése szerint az irányelv alapján biztosított védelem a számítógépi programok bármely formában történő kifejezésére vonatkozik. A számítógépi program bármely elemének – beleértve a csatlakozási felületeket – alapjául szolgáló ötletek és elvek ezen irányelv alkalmazásában nem részesülnek szerzői jogi védelemben. 14 C-406/10 SAS Institute Inc v. World Programming Ltd és C-393/09 Bezpecnostní softwarová asociace – Svaz softwarové ochrany v. Ninisterstvo kultury-ügy. 15 Gyertyánfy: i. m. (7), p. 368–369.


56


b) A tanulmányozásra, megfigyelésre, tesztelésre jogosult: a szoftvert jogszerűen megszerző személy (the person having a right to use a copy of a program) Az uniós jogszabály a megfigyelési, tanulmányozási célú szoftverhasználat esetében nem a fent részletesen elemzett „lawful acquirer” (a magyar jogszabályban „a szoftvert jogszerűen megszerző személy”) kifejezést, hanem a „the person having a right to use a copy of a program” (a magyar Szjt-ben: „aki a szoftver valamely példányának felhasználására jogosult”) megjelölést használja. A jelzett megfogalmazásbeli különbség értelmezésében az Szjt. fent részletesen idézett miniszteri indokolása nem nyújt támpontot, és azzal a hazai szakirodalom sem foglalkozik részletesen, amit az is igazol, hogy az Szjt. kommentárja is csak azt rögzíti, hogy „a kimerítően felsorolt felhasználási cselekmények … tehát abban az esetben értelmezhetők, ha egyébként a szoftver rendeltetésszerű felhasználására a felhasználó engedéllyel rendelkezik, ez az engedély azonban nem terjed ki a megfigyelési, tanulmányozási célú (tehát nem a rendeltetésszerű használat körébe eső) ilyen felhasználási cselekményekre”.16 A SZJSZT sem foglalkozott ezzel a kérdéssel, az Szjt. 59. § (3) bekezdésével is kapcsolatos 29/2003 számú szakvéleményében nem fejt ki ezzel kapcsolatos álláspontot. Az Szjt. 59. § (3) bekezdése és a szoftverirányelv 5. cikk (3) bekezdése ezen rendelkezése közötti különbség azonban nem feltétlenül releváns, és a fent leírt gondolatmenet és az Európai Bizottság 2000-ben született, előzőleg hivatkozott jelentésében foglalt kiterjesztő értelmezés itt is alkalmazható. Ez alapján pedig az etikus hacker a szoftver felhasználására jogosult megbízójának a felhatalmazása alapján jogosult a szoftvergyártó engedélye nélkül is tanulmányozni, megfigyelni a szoftver működését. Meg kell említeni, hogy egy magyar ügyben a Fővárosi Törvényszék ezzel ellenkező következtetésre jutott, és a szűk értelmezést választotta: a tényállás szerint a szoftver demó változatát jogszerűen megszerző magánszemély élettársa, aki szoftverfejlesztő volt, és éppen egy hasonló funkcionalitású, ámde merőben eltérő forráskódú szoftveren dolgozott közösen a demószoftvert megszerző családtagjával, tanulmányozta és megfigyelte a demószoftvert működés közben, annak a forráskódjához azonban nem fért hozzá. Ebben az esetben a Fővárosi Törvényszék a Szerzői Jogi Szakértő Testület szakvéleménye alapján ugyan kimondta, hogy a hasonló funkciójú, de teljesen eltérő forráskódú szoftver kifejlesztésével nem sértették meg a demószoftver jogosultjának szerzői vagyoni jogait, azonban a demószoftvert megszerző személy élettársát, aki a demószoftvert ténylegesen tanulmányozta, megfigyelte működés közben, elmarasztalta, és kimondta, hogy az élettárs jogosulatlanul futtatta és tanulmányozta a szoftvert, mert az Szjt. 59. § (3) bekezdése alapján nem ő volt a szoftver felhasználására jogosult (Fővárosi Törvényszék 3.P.27.406/2010/109. sorszámú, 2015. február 20. napján született elsőfokú ítélete, amelyet a Fővárosi Ítélőtábla a 2016. február 2-án kelt 8.Pf.20.743/2015/13. számú ítéletével helybenhagyott). 16

Gyertyánfy: i. m. (7), p. 377.



57

A bíróság tehát még magánszemélyek között, családon belül is szűken értelmezte a tanulmányozási célú felhasználási jogot, teljes mértékben figyelmen kívül hagyva az Európai Bizottság fenti értelmezését és a hűségklauzulát, így valószínűsíthetően egy etikus hacker felhasználással kapcsolatos ügyben is fennáll a veszélye hasonló ítélet születésének. A kockázat tehát nem zárható ki, és a nem egyértelmű jogszabályszöveg miatt a magyar bíróság könnyen juthat arra a következtetésre, hogy az etikus hacker tulajdonképpen nem is minősül a vizsgált szoftver felhasználására jogosult személynek, hanem az csak a megbízója lehet. Ezt a bizonytalanságot sajnos még szerződési rendelkezéssel sem lehet kiiktatni. c) A megfigyelés, tanulmányozás, tesztelés tárgya: a szoftver működése A tanulmányozási célú kivétel alapján az etikus hacker, ugyanúgy, mint bárki más, a szoftvernek csak a működését tanulmányozhatja, vizsgálhatja, azonban annak forráskódját nem. d) A megengedett felhasználások A szoftver működésének tanulmányozása, megismerése, tesztelése (kipróbálása) csak a szoftver betáplálása, képernyőn való megjelenítése, futtatása, továbbítása vagy tárolása során folytatható, nem lehet tehát a szoftvert ennek érdekében és során visszafejteni, módosítani, átdolgozni, lefordítani, átírni. Az etikus hacker eljárása során tehát ezekre a korlátokra is kénytelen figyelni, és ennek megfelelően eljárni a szoftver vizsgálata során. Fontos kiemelni, hogy az előző joggal ellentétben ez a szabad felhasználási kivétel nem korlátozható vagy zárható ki még felhasználási (licenc-) szerződéssel sem, és ugyanúgy vonatkozik rá, hogy jogellenesen megszerzett, nem jogtiszta szoftverre ugyanúgy nem alkalmazható. 3. Következtetések A cikkben sok értelmezési nehézség, az európai és a magyar szabályok közötti eltérés, a bírósági jogalkalmazásban rejlő bizonytalanság is bemutatásra került. Arra a kérdésre, hogy jár-e szerzői jogi kockázatokkal akár Magyarországon, akár az Európai Unióban az etikus hackertevékenység, egyértelmű választ adhatunk: igen, jár kockázatokkal. Arra a kérdésre azonban, hogy milyen valószínűséggel jár kockázatokkal ez a munka, és milyen mértékű kockázatokkal kell számolni, sajnos nyilvánvaló választ nem találunk. Az etikus hacker eljárásával kapcsolatban logikailag nem szabadna, hogy bármilyen szerzői jogi kockázat is felmerüljön, mivel elvileg mind a felhasználó, mind a szoftvergyártó érdeke, hogy a szoftverek sebezhetőségét, hibáit kijavítsák. Összefoglalóan megállapítható, hogy a cikkben felvázolt szerzői jogi kockázatok elsődleges oka nem az etikus hackerek magatartásában keresendő, hanem a kialakulatlan bírói gyakorlatra, a nem egyértelmű uniós jogszabályra, a tagállami


58


implementáció hiányosságára vagy pontatlanságára, a jogszabály nem logikai, hanem szó szerinti értelmezésére, a különböző nyelvi verziók közötti értelmezési nehézségekre vezethető vissza, amelyeket kiküszöbölni legfeljebb úgy lehetne, ha egy etikus hacker szerzői jogi jogsértési ügyében az Európai Unióban az Európai Bíróság a szoftverirányelv fenti rendelkezéseinek egységes európai értelmezésére előzetes döntéshozatali eljárásban iránymutatást adna, amely a tagállami bíróságokra nézve kötelező lenne. Ennek hiányában azonban csak a tagállami bíróságok logikailag helyes jogértelmezésében bízhatnak az etikus hackerek, amely az amúgy egységesedő európai digitális piacon nagy valószínűséggel egymástól jelentősen eltérő döntésekhez fog vezetni, és tovább rontja az európai versenyképességet az amerikai versenytársakhoz képest.


Az etikus hacker szerzői jogi kockázatai

Recommend Documents