Aktivacijski ključ ni licenca. Kako lahko preverite izvor rabljene programske opreme?

Strokovni intervju s specialistom za licenciranje Igorjem Weinlichom opozarja na pravna tveganja nakupa aktivacijskih ključev brez prenosne dokumentacije ter pojasnjuje, kako lahko organizacije prepoznajo ponarejene licence in zagotovijo popolno skladnost.

Kako prepoznati zakonito rabljeno programsko opremo in se izogniti prodajalcem, ki namesto licence dobavijo le aktivacijski ključ? Igor Weinlich, specialist za licenciranje pri podjetju Forscope, deli svoje izkušnje s preverjanjem ponudb in dokumentacije o prenosu licenc. Pojasnjuje, katera odstopanja bi morala vzbuditi sum in zakaj niti navidez pristna dokumentacija ni nujno zagotovilo za varnost.

Kako velik problem predstavljata sivi trg licenc in prodaja samih aktivacijskih ključev?

Temeljna težava je v tem, da kupec pogosto ne loči med ključem in licenco. Ključ je kombinacija črk in številk, ki odklene program. Vendar to še ne pomeni, da ima njegov imetnik pravico do uporabe programske opreme. Za to potrebuje pravno podlago. Uporabnik mora biti sposoben dokazati, da je programsko opremo zakonito kupil kot novo ali pa je bila pravica do njene uporabe nanj prenesena. Prav to pooblastilo predstavlja bistvo licence. Če kupec kupi le ključ brez dokumentiranih pravic do uporabe, lahko program sicer tehnično odklene, vendar ga sam ključ ne pooblašča za njegovo uporabo.

Kupec ima torej lahko delujočo programsko opremo, a hkrati nima pravice do njene uporabe?

Da. Tveganje, povezano s takšno uporabo, nosi končni kupec. Prodaja samega ključa je nekaj povsem drugega kot prodaja licence – torej pravice do uporabe programske opreme. Nekateri kupci rabljene programske opreme so zavedeni, drugi se morda v to podajo zavestno. Vendar pogosto domnevajo, da jim račun samodejno prinaša pravico do uporabe programske opreme. Najpreprostejša oblika takšnega trgovanja je videti tako, da goljufivi prodajalec na primer ponuja najnovejši Office 2024 za en dolar, en evro ali morda dvesto kron. Ob tem izrecno navede, da prodaja ključ, ali pa združuje izraza »ključ« in »licenca«.

Ali pri kupcih govorimo o fizičnih osebah ali tudi o podjetjih?

O obeh skupinah. Razlika je predvsem v dojemanju tveganja. Podjetja bolj skrbi, da bo prišla revizija in preverila, ali programsko opremo uporabljajo zakonito. Po pravici povedano je za fizično osebo tveganje, da bi nekdo prišel na dom preverjat programsko opremo na računalniku, precej teoretično. Za podjetja je tveganje veliko večje. Hkrati se postavlja vprašanje, kdo je odgovoren za nakup in uporabo – ali je to zaposleni v oddelku za IT, ki je programsko opremo naročil, oseba, ki je nakup odobrila ali plačala, ali pa podjetje kot celota.

Se prodaja spornih ključev osredotoča le na poceni ponudbe na spletu ali pa vključuje tudi večje trgovine?

Prodirati je začela že v javna naročila. Srečali smo se s primeri, ko prodajalci za ključ ustvarijo ponarejeno dokumentacijo. Na začetku imajo ključ, zraven pa si naknadno izmislijo spremljajoče dokumente, ki naj bi ustvarili vtis, da gre za veljavno licenco. Nato izdelek prodajo kot rabljeno programsko opremo z dokumentirano verigo prenosov. To verigo si bodisi izmislijo bodisi imajo več podjetij, prek katerih jo preprodajajo, da ustvarijo navidezno verigo. Cene so seveda izjemno nizke.

Je težko razkriti takšno ponarejeno dokumentacijo?

Zakonitost prenosa se dokazuje z dokumenti. Toda paradoksalno je pri pristnih rabljenih licencah včasih težko pridobiti izvirnike, ker je od prvotnega nakupa minilo že vrsto let. Na primer: morda prodajate licence, ki so bile prvotno kupljene kot Office 2016, vendar ima kupec, ker je plačeval stalne posodobitve – tako imenovani program Software Assurance – zdaj pravico do najnovejše različice, Office 2024. Vendar prvotnega dokumenta iz leta 2016 morda nima več, saj nakupnih dokumentov ni hranil deset let. Zato se pri dokazovanju zakonitega izvora uporabljajo tudi kopije ali izpiski z različnih portalov.

Kateri drugi zapleti spremljajo prodajo rabljenih licenc?

Prodajalec, ki ponareja dokumentacijo, lahko danes zlahka ustvari dokument, ki je na prvi pogled videti popoln. Je barvit, urejen in deluje kot izvirnik. Vendar sam videz dokumenta ne pove ničesar o tem, ali je njegova vsebina resnična. Za kupca je pogosto dovolj že to, da prejme dokumente, in verjame zapisanemu. Vendar nihče več ne dvigne telefona in ne pokliče prvotnega podjetja, da bi preveril, ali je dejansko prodalo navedeno število licenc drugemu subjektu. Težava torej ni le v tem, ali dokumentacija obstaja. Preveriti je treba, ali ustreza resničnosti. To pa se pogosto ne zgodi.

Od kod pravzaprav izvirajo ključi na sivem trgu? Gre za prave ključe za določeno programsko opremo ali za nekakšne ponarejene »glavne ključe«?

Na spletu je ključe mogoče dobiti iz različnih virov. Za razumevanje pa je treba pojasniti, kako deluje količinsko licenciranje. Pri podjetju Forscope prodajamo trajne licence iz programov količinskega licenciranja, kjer lahko en sam ključ aktivira na primer tisoč naprav. Nimate torej tisoč unikatnih ključev, temveč en skupni ključ. Nezakonite ključe je mogoče kupiti na primer na Kitajskem, na eBayu ali drugje. Lahko so različnih vrst in omogočajo recimo več sto aktivacij. Za prodajalce samih ključev je to povsem dovolj za njihovo poslovanje.

Število aktivacij se torej ne ujema nujno s številom licenc, ki jih ima kupec dejansko v lasti?

Sama aktivacija ni dokaz o pravici do uporabe programske opreme. Ključ ima lahko na primer od tristo do petsto aktivacij. Ko se te izčrpajo, proizvajalec programske opreme bodisi doda nove bodisi se ključ zamenja. Tudi mi lahko kupcu zagotovimo drug ključ, če je aktivacijska kapaciteta prvotnega ključa izčrpana. Vendar to ne spremeni pravne podlage za uporabo programske opreme.

To bi primerjal z avtomobilom. Ko izgubite ključ ali se ta obrabi, si date izdelati novega. Z njim ponovno odklenete in zaženete avtomobil. Toda sam ključ ne dokazuje, da imate pravico uporabljati avtomobil. Ob pregledu prav tako ni dovolj dokazati, da ključ ustreza ključavnici za vžig. Potrebujete ustrezne dokumente.

Kako goljufivi prodajalci takšen ključ spremenijo v ponudbo za domnevno veljavno licenco?

Testnim ključem, ukradenim ključem ali ključem, ki izvirajo iz Kitajske ali drugih držav zunaj Evropske unije, dodajo ponarejeno dokumentacijo, ki naj bi dokazovala evropski izvor licence. Nato jih prodajajo kot rabljeno programsko opremo. Nekateri gredo še dlje in trdijo, da prodajajo novo programsko opremo. Trdijo namreč, da programska oprema še ni bila nameščena, čeprav je licenco že nekdo kupil. S pravnega vidika je to nesmisel. Odločilno je, da je nekdo kupil pravico do uporabe programske opreme in to pravico zdaj prenaša naprej. Ali je bila programska oprema kdaj nameščena ali aktivirana, za razlikovanje med novo in rabljeno programsko opremo sploh ni pomembno.

Kaj dobavijo kupcu, ko trdijo, da gre za novo programsko opremo?

Včasih le račun. S tem se pogosto srečujemo na primer na Poljskem. Ko novi prevzemnik zahteva dokumentacijo, prodajalec odgovori: »To so nove licence. Tukaj je vaš račun, to vam zadostuje.«

Omenili ste, da težava s ponarejenimi licencami vpliva tudi na javna naročila. Na podlagi česa to sklepate?

Na javne ustanove se obračamo z zahtevami po Zakonu o dostopu do informacij javnega značaja. Kjer smo posumili na težavo, povprašamo, kaj jim je bilo dobavljeno in kako so to preverili. Odgovori so včasih precej nejasni. V enem primeru pa smo neposredno v objavljeni pogodbi našli podatek, da je ustanova kupila Office 2024 Standard iz programa Enterprise Agreement. Zato smo opozorili, da Office 2024 Standard v tem programu sploh ni bil na voljo in da je bilo v programu Enterprise Agreement mogoče kupiti le najvišjo izdajo, Professional Plus.

Kako se je ustanova odzvala na opozorilo?

Sprva se s tem niso ukvarjali. Šele ko smo jim težavo poskušali razložiti s preprostim primerom – da je to podobno nakupu stanovanja v desetem nadstropju stavbe, ki ima le pet nadstropij –, so začeli položaj reševati z dobaviteljem. Zadnji odgovor, ki smo ga prejeli, je bil, da se pogajanja z njimi nadaljujejo. Pri tem je šlo za približno dva milijona in pol kron, plačanih za nekaj, kar v navedeni obliki sploh ne obstaja.

Predvidevam, da je šlo na strani kupca prej za preveliko zaupljivost ali nevednost kot pa za namero.

Lahko bi šlo za nevednost, vendar bi po mojem mnenju zaposleni v IT-ju moral poznati te osnovne stvari, še posebej, če vodi IT celotne ustanove.

Kako je mogoče prepoznati sporno ponudbo? Kaj bi moral kupec preveriti?

V podjetju Forscope velja pravilo, da moramo videti dokumente. Ko jih imamo na voljo, lahko v njih poiščemo napake. Naš sodelavec, pristojen za nabavo, ve, kako morajo biti videti spremljajoči dokumenti, katere številke so smiselne in kako se označujejo posamezne licenčne pogodbe. Običajni kupec, ki se s takšno dokumentacijo sreča prvič, ima precej manj možnosti za razkritje neskladij. Toda nekatere napake je mogoče prepoznati tudi brez poglobljenega znanja o licenciranju. Na primer, ko je v dokumentih navedeno, da je nekdo kupil Office 2024 že leta 2022, ko ta izdelek sploh še ni obstajal. V dokumentaciji za eno izmed javnih naročil smo našli tudi prenos licenc na podjetje v času, ko to sploh še ni bilo ustanovljeno.

Imate dokumentirane še kakšne druge primere?

Občasno opravim nakup sumljive programske opreme, ki jo nato uporabim za usposabljanje naših prodajnih zastopnikov. Tu bi lahko navedel konkreten primer. Včasih pridejo k meni z besedami, da nekdo ponuja enak izdelek kot mi, vendar po polovični ceni. Odgovorim jim: »Prav, poglejmo, kaj dejansko prodajajo.« Zahtevam tak izdelek in kupim licenco. Seveda me zanima tudi vsa priložena dokumentacija, ki jo prejmem. Včasih je že iz odgovorov razvidno, da prodajalec sploh ne ve, kaj prodaja. To, kar napišejo, ne ustreza možnostim danega licenčnega programa. Včasih dobim tudi vtis, da v klepetu odgovarja bot. Ta podjetja pogosto sestavlja le ena oseba. Tveganje takšnega »poslovanja« je s tem zanje zmanjšano na minimum.

Kaj dejansko grozi kupcu, ki kupi sporen ključ in začne uporabljati programsko opremo? In kakšna je odgovornost prodajalca?

Tu bi razlikoval med dvema položajema. Če nekdo odkrito prodaja le ključ in kupec kupi ključ, po mojem mnenju prodajalec ni izpostavljen velikemu tveganju. Če pa ponuja licenco in namesto tega dobavi le ključ s ponarejeno dokumentacijo, gre po mojem mnenju že za goljufijo. Kupca namreč zavaja s tem, ko mu dokumentacijo predstavlja kot dokaz zakonitega izvora.

Toda tu pridemo do vprašanja, komu in v kakšni višini je nastala škoda. Po eni strani nastane tistemu, ki je takšno programsko opremo kupil, po drugi strani pa proizvajalcu, ki pa morda nima interesa uveljavljati odškodnine.

Prodajalci spornih ključev, ki sodelujejo pri javnih naročilih, torej delujejo kot običajna podjetja?

Da. To so običajno registrirana podjetja, pogosto z enim samim direktorjem. Ta oseba ima lahko še dve ali tri druga podjetja, prek katerih ustvari verigo prenosov. Nato se prijavi na javni razpis in tekmuje kot vsak drug dobavitelj.

Kaj bi moralo slediti, če so dokumenti na prvi pogled videti verodostojni?

Še vedno velja, da je treba preveriti njihovo vsebino. Če je v dokumentaciji naveden dobavitelj, se lahko nanj obrnete po telefonu ali e-pošti in vprašate, ali se številka računa in navedeni izdelek dejansko ujemata. Seveda se lahko zgodi, da vam odgovorijo, da gre za poslovno skrivnost.

Kako Forscope preverja zakonitost lastnih licenc? Kako postopate?

Natančno tako, kot sem pravkar opisal. Preverimo svoje dobavitelje in verigo prenosov. Pokličemo posamezna podjetja in ugotovimo, ali so navedene licenčne pogodbe dejansko obstajale. Preverjanje opravimo vnaprej. Druga možnost je, da vključimo revizorja, ki licence preveri in o njih pripravi poročilo.

Opisali smo delovanje preprodajalcev ključev, ki dejansko ponujajo nezakonito blago. Kako pa je na drugi strani videti trgovanje z ustrezno dokumentiranimi rabljenimi licencami?

Podjetja, ki odkupujejo licence, organizirajo dražbe. Odkupijo licence iz določene pogodbe in nato ponudijo posamezne programske pakete. Na dražbo se lahko prijavite in kupite licence. Tako je pregledno, kdo na teh dražbah sodeluje in kdo kupuje. Znotraj EU je Nemčija pomemben vir rabljenih licenc. Tudi mi poleg neposrednih odkupov kupujemo od nemških partnerjev.

Če podjetje ugotovi, da je kupilo sporno programsko opremo, ali jo je mogoče naknadno legalizirati?

Ne. Tudi ponarejene torbice ne morete naknadno legalizirati.