Aktivacijski ključ nije licenca. Kako možete provjeriti podrijetlo rabljenog softvera?

Ovaj stručni intervju sa specijalistom za licenciranje Igorom Weinlichom ističe pravne rizike kupnje aktivacijskih ključeva za softver bez dokumentacije o prijenosu te objašnjava kako organizacije mogu prepoznati krivotvorene licence kako bi osigurale potpunu usklađenost.

Kako prepoznati zakoniti rabljeni softver i izbjeći nasjedanje na prodavača koji umjesto licence isporučuje samo aktivacijski ključ? Igor Weinlich, stručnjak za licenciranje u tvrtki Forscope, dijeli svoja iskustva s provjerom ponuda i dokumentacije o prijenosu licenci. Objašnjava koja bi odstupanja trebala pobuditi sumnju i zašto čak ni dokumentacija koja izgleda vjerodostojno ne mora biti jamstvo.

Koliki problem zapravo predstavljaju sivo tržište licenci i prodaja samih aktivacijskih ključeva?

Temeljni problem je u tome što kupac često ne razlikuje ključ od licence. Ključ je kombinacija slova i brojeva koja otključava program. Međutim, to ne znači da njegov vlasnik ima pravo koristiti taj softver. Da bi to imao, potrebna mu je pravna osnova. Korisnik mora biti u stanju dokazati da je softver propisno kupio kao nov ili da je pravo korištenja preneseno na njega. Upravo to ovlaštenje čini samu bit licence. Ako kupac kupi samo ključ bez dokumentiranih prava korištenja, on tehnički može otključati program, no sam ključ mu ne daje pravo na njegovo korištenje.

Znači li to da kupac može imati funkcionalan softver, a da pritom nema ovlaštenje za njegovo korištenje?

Da. A rizik povezan s takvim korištenjem snosi krajnji kupac. Sama prodaja ključa razlikuje se od prodaje licence – odnosno ovlaštenja za korištenje softvera. Neki su kupci pri kupnji rabljenog softvera dovedeni u zabludu, dok drugi u to ulaze svjesno. Međutim, često pretpostavljaju da, ako posjeduju račun, automatski imaju i pravo na korištenje softvera. Najjednostavniji oblik takve trgovine izgleda tako da lažni prodavač nudi, primjerice, najnoviji Office 2024 za jedan dolar, jedan euro ili možda dvjesto kruna. Pritom izričito navodi da prodaje ključ ili kombinira pojmove „ključ“ i „licenca“.

Kada govorimo o kupcima, radi li se o privatnim korisnicima ili i o tvrtkama?

O objema skupinama. Razlika je uglavnom u percepciji rizika. Tvrtke se više pribojavaju revizije koja bi provjerila koriste li softver legalno. Istini za volju, za privatnog korisnika rizik da će mu netko doći u kućnu provjeru softvera na računalu prilično je teoretski. Za tvrtke je taj rizik znatno veći. Pritom se postavlja i pitanje tko snosi odgovornost za kupnju i korištenje – je li to IT djelatnik koji je nabavio softver, osoba koja je kupnju odobrila ili platila, ili tvrtka u cjelini.

Je li prodaja sumnjivih ključeva ograničena samo na jeftine ponude na internetu ili u tome sudjeluju i veće trgovine?

To već ulazi i u javnu nabavu. Susreli smo se sa situacijama u kojima prodavači izrađuju lažnu dokumentaciju uz ključ. U početku imaju samo ključ, a potom naknadno izmisle popratnu dokumentaciju koja bi trebala stvoriti dojam da je riječ o valjanoj licenci. Nakon toga proizvod prodaju kao rabljeni softver s dokumentiranim lancem prijenosa. Taj lanac ili izmisle ili imaju nekoliko tvrtki preko kojih ga preprodaju kako bi lanac formalno postojao. Cijene su, naravno, izrazito niske.

Je li teško otkriti takvu krivotvorenu dokumentaciju?

Zakonitost prijenosa dokazuje se dokumentima. No, paradoksalno, kod originalnih rabljenih licenci ponekad je teško doći do izvornika jer su prošle mnoge godine od prve kupnje. Primjerice, možda prodajete licence koje su izvorno kupljene kao Office 2016, ali zato što je kupac plaćao stalna ažuriranja – takozvani Software Assurance – sada ima pravo na najnoviju verziju, Office 2024. Međutim, on možda više nema originalni dokument iz 2016. godine jer nabavnu dokumentaciju nije čuvao deset godina. Stoga se pri dokazivanju zakonitog podrijetla koriste i kopije ili izvadci s različitih portala.

Koje još komplikacije prate prodaju rabljenih licenci?

Prodavač koji krivotvori dokumentaciju danas vrlo lako može izraditi dokument koji na prvi pogled izgleda besprijekorno. Šaren je, uredan i djeluje autentično. No, sam izgled dokumenta ne govori ništa o tome je li njegov sadržaj istinit. Kupcu je često dovoljno to što je dobio dokumente i povjeruje onome što u njima piše. No rijetko tko podigne slušalicu i nazove izvornu tvrtku kako bi provjerio je li ona doista prodala navedeni broj licenci drugom subjektu. Dakle, problem nije samo u tome postoji li dokumentacija. Nužno je provjeriti odgovara li ona stvarnosti. A to se često ne događa.

Odakle zapravo dolaze ključevi na sivom tržištu? Jesu li to pravi ključevi za određeni softver ili je riječ o nekoj vrsti krivotvorenih „glavnih ključeva“?

Na internetu se ključevi mogu nabaviti iz raznih izvora. No, da bismo to razumjeli, potrebno je objasniti kako funkcioniraju količinske licence. U Forscopeu prodajemo trajne licence iz programa količinskog licenciranja, pri čemu jedan ključ može aktivirati, primjerice, tisuću uređaja. Dakle, nemate tisuću jedinstvenih ključeva, već jedan zajednički. Ilegalni se ključevi mogu kupiti, primjerice, u Kini, na eBayu ili drugdje. Mogu biti raznih vrsta i omogućavati, recimo, nekoliko stotina aktivacija. Prodavačima samih ključeva to je sasvim dovoljno za poslovanje.

Znači li to da se broj aktivacija ne mora nužno podudarati s brojem licenci koje kupac stvarno posjeduje?

Sama aktivacija nije dokaz prava na korištenje softvera. Ključ može imati, primjerice, tristo do petsto aktivacija. Nakon što se one iscrpe, proizvođač softvera ili dodaje nove ili se ključ zamjenjuje. I mi možemo kupcu osigurati drugi ključ ako se iscrpi aktivacijski kapacitet izvornog ključa. No to ne mijenja pravnu osnovu za korištenje softvera.

Usporedio bih to s automobilom. Kada izgubite ključ ili se on istroši, date izraditi novi. Njime ponovno otključavate i pokrećete automobil. No sam ključ ne dokazuje da imate pravo koristiti taj automobil. Prilikom kontrole također nije dovoljno pokazati da ključ odgovara bravi za paljenje. Za to su vam potrebni odgovarajući dokumenti.

Kako lažni prodavači pretvaraju takav ključ u ponudu za navodno valjanu licencu?

Testnim ključevima, ukradenim ključevima ili ključevima koji potječu iz Kine ili drugih zemalja izvan Europske unije dodaju krivotvorenu dokumentaciju koja bi trebala dokazati europsko podrijetlo licence. Zatim ih prodaju kao rabljeni softver. Neki idu još dalje i tvrde da prodaju novi softver. Tvrde da, iako je netko već kupio licencu, softver još nije instaliran. S pravnog stajališta to je besmislica. Odlučujući čimbenik je to što je netko kupio pravo korištenja softvera i sada to pravo prenosi dalje. Je li softver ikada bio instaliran ili aktiviran, nije relevantno za razlikovanje novog od rabljenog softvera.

Što isporučuju kupcu kada tvrde da je riječ o novom softveru?

Ponekad samo račun. S time se često susrećemo, primjerice, u Poljskoj. Kada novi stjecatelj zatraži dokumentaciju, prodavač odgovara: „To su nove licence. Evo vam račun, to vam je dovoljno.“

Spomenuli ste da problem lažnih licenci pogađa i javnu nabavu. Što vas navodi na taj zaključak?

Javnim se institucijama obraćamo sa zahtjevima prema Zakonu br. 106 o slobodnom pristupu informacijama. Tamo gdje smo posumnjali na nepravilnosti, raspitujemo se što im je isporučeno i kako su to provjerili. Odgovori su ponekad prilično neodređeni. U jednom smo slučaju, međutim, izravno u objavljenom ugovoru pronašli podatak da je institucija kupila Office 2024 Standard iz programa Enterprise Agreement. Upozorili smo ih na to da se Office 2024 Standard uopće nije nudio u tom programu, te da je u sklopu Enterprise Agreementa bilo moguće kupiti samo najviše izdanje, Professional Plus.

Kako je institucija reagirala na to upozorenje?

U početku na to nisu reagirali. Tek kada smo im problem pokušali objasniti jednostavnim primjerom – da je to poput kupnje stana na desetom katu zgrade koja ima samo pet katova – počeli su rješavati situaciju s dobavljačem. Posljednji odgovor koji smo dobili bio je da se pregovori s njima nastavljaju. Radilo se o približno dva i pol milijuna kruna plaćenih za nešto što u navedenom obliku uopće ne postoji.

Pretpostavljam da je na strani kupca bila riječ o lakovjernosti ili neznanju, a ne o namjeri.

Moglo je biti neznanje, no prema mom mišljenju, IT djelatnik bi trebao znati te osnovne stvari, posebice ako vodi IT odjel cijele institucije.

Kako se može prepoznati sumnjiva ponuda? Što bi kupac trebao provjeriti?

U Forscopeu se vodimo time da moramo vidjeti dokumente. Kada su nam dostupni, u njima možemo pronaći pogreške. Naš kolega zadužen za nabavu zna kako popratna dokumentacija treba izgledati, koji brojevi imaju smisla i kako se označavaju pojedini ugovori o licenciranju. Običan kupac koji prvi put vidi takvu dokumentaciju ima znatno manje šanse otkriti nepravilnosti. No neke se pogreške mogu prepoznati i bez dubljeg poznavanja licenciranja. Na primjer, kada se u dokumentima navodi da je netko kupio Office 2024 još 2022. godine, u vrijeme kada taj proizvod još nije postojao. U dokumentaciji za jedan javni natječaj pronašli smo i prijenos licenci na tvrtku u razdoblju kada ona još nije bila ni osnovana.

Imate li zabilježeno još primjera?

Povremeno kupujem sumnjivi softver, što zatim koristim za internu edukaciju naših prodajnih predstavnika. Tu bi se mogao navesti konkretan primjer. Ponekad mi dođu i kažu da netko nudi isti proizvod kao i mi, ali u pola cijene. Kažem im: „U redu, pogledajmo što zapravo prodaju.“ Zatražim takav proizvod i kupim licencu. Naravno, zanima me i sva popratna dokumentacija koju dobijem. Ponekad je već iz samih odgovora jasno da prodavač ne zna što prodaje. Ono što napiše ne podudara se s mogućnostima danog programa licenciranja. Katkad imam dojam i da na chatu odgovara bot. Takve se tvrtke često sastoje od samo jedne osobe, čime se rizik takvog „poslovanja“ svodi na minimum.

Što realno prijeti kupcu koji kupi sumnjivi ključ i počne koristiti softver? I kakva je odgovornost prodavača?

Razlikovao bih dvije situacije. Ako netko otvoreno prodaje samo ključ i kupac kupi ključ, po mom mišljenju prodavač se ne izlaže velikom riziku. Međutim, ako nudi licencu, a isporuči samo ključ s lažnom dokumentacijom, u tome već vidim prijevaru. On dovodi kupca u zabludu predstavljajući mu dokumentaciju kao dokaz o zakonitom podrijetlu.

No tu dolazimo do pitanja tko je pretrpio štetu i u kojem iznosu. S jedne strane, šteta nastaje onome tko je kupio takav softver, a s druge strane njegovom proizvođaču, koji pak možda nije motiviran za naplatu takve štete.

Znači li to da prodavači sumnjivih ključeva koji sudjeluju u javnoj nabavi nastupaju kao uobičajene tvrtke?

Da. To su u pravilu uredno osnovane tvrtke, često sa samo jednim direktorom. Ta osoba može imati još dvije ili tri tvrtke preko kojih stvara lanac prijenosa. Zatim se javlja na javni natječaj i natječe kao i svaki drugi dobavljač.

Što bi trebalo učiniti ako dokumenti na prvi pogled izgledaju vjerodostojno?

I dalje vrijedi pravilo da je nužno provjeriti njihov sadržaj. Ako je u dokumentaciji naveden dobavljač, možete ga kontaktirati telefonom ili e-poštom i pitati odgovaraju li doista broj računa i navedeni proizvod. Naravno, mogli bi odgovoriti da je to poslovna tajna.

Kako Forscope provjerava zakonitost vlastitih licenci? Kakav je vaš postupak?

Upravo onako kako sam opisao. Provjeravamo svoje dobavljače i verificiramo lanac prijenosa. Zovemo pojedine tvrtke i provjeravamo jesu li navedeni ugovori o licenciranju doista postojali. Provjeru provodimo unaprijed. U suprotnom uključujemo revizora koji provjerava licence i o tome sastavlja izvješće.

Opisali smo kako djeluju trgovci samim ključevima koji zapravo nude ilegalnu robu. S druge strane, kako izgleda trgovina propisno dokumentiranim rabljenim licencama?

Tvrtke koje otkupljuju licence organiziraju dražbe. Otkupe licence iz određenog ugovora, a zatim nude pojedinačne softverske pakete. Možete se prijaviti na dražbu i kupiti licence. Tako je vidljivo tko sudjeluje na tim dražbama i tko kupuje. Unutar EU-a, Njemačka je velik izvor rabljenih licenci. I mi, uz izravan otkup, kupujemo od njemačkih partnera.

Ako tvrtka sazna da je kupila sumnjivi softver, može li se on naknadno legalizirati?

Ne. Ni krivotvorenu torbicu ne možete naknadno legalizirati.