Meta klaagt twee partijen aan voor massaal scrapen van Instagram-profielen

Meta klaagt een Turkse man aan voor het 'scrapen' van ongeveer 350.000 Instagram-profielen. Hij zou de informatie openbaar op een gekloonde website hebben gepubliceerd. Daarnaast sleept Meta ook een scrapeservice, Octopus, voor de rechter.

De twee partijen worden aangeklaagd door Meta omdat zij inbreuk zouden hebben gemaakt op de gebruikersvoorwaarden van Facebook en Instagram, zo stelt het bedrijf. Bij scraping gebruikt een 'aanvaller' een geautomatiseerde manier, in de praktijk een bot, om massaal data uit een website te extraheren. In principe is dit niet illegaal, al gingen het aangeklaagde individu en het Amerikaanse bedrijf volgens Meta verder dan alleen openbare data verzamelen.

In het geval van het individu zou dat met het publiceren van de buitgemaakte data te maken hebben. De man zou informatie van 350.000 Instagram-profielen door scraping hebben gekopieerd. Vervolgens zou deze informatie op een kloonwebsite openbaar zijn gemaakt. Meta beweert daarom ook niet dat scraping een illegale vorm van hacken is, of dat deze praktijk inherent illegaal is. In plaats daarvan doet Meta een beroep op de gebruikersvoorwaarden van de sociale media en op de Digital Millennium Copyright Act, een auteursrechtenwet.

Ook voor Octopus geldt dit verwijt. Het Amerikaanse dochterbedrijf van een Chinese partij zou tegen betaling scrapen als een service verkopen. Hierbij moeten klanten volgens de aanklager hun inloggegevens delen, waardoor de scrapingbots data te zien krijgen die anders niet openbaar is. Meta wil dat het bedrijf met de rechtszaak gedwongen wordt om te stoppen met het aanbieden van de service.

Scrapingbots kunnen met een toegangsaccount alle data kopiëren
die een normale gebruiker ook zou zien. Afbeelding via Instagram

Meta schrijft: "Wij vinden dat Octopus onze gebruikersvoorwaarden en de Digital Millennium Copyright Act geschonden heeft door ongeautoriseerd en geautomatiseerd [Facebook en Instagram] te scrapen. Zij hebben daarnaast getracht deze praktijk te verhullen om niet geblokkeerd te worden door Facebook en Instagram."

Octopus biedt zijn service volgens Meta aan met een diverse selectie aan doelwitten, waaronder Amazon, eBay, Twitter, Yelp, Google, Target, Walmart, Indeed, LinkedIn, Facebook en Instagram.

Doorgaans staat er in de gebruikersvoorwaarden van websites nadrukkelijk aangegeven of scraping van data is toegestaan of niet. In beginsel is het geautomatiseerd verzamelen van openbare data niet illegaal, maar het komt regelmatig voor dat er vervolgens illegale handelingen rondom de verkregen data plaatsvinden. Daarbij suggereert Meta dat het in de twee aanklachten niet om openbare data gaat, maar juist om afgeschermde data die alleen toegankelijk is voor gebruikers met een account.

Instagram verbiedt daarom scraping en het delen van gegevens die zo zijn verkregen: "Je mag niet proberen om op ongeautoriseerde manieren accounts te maken of informatie te verzamelen of hier toegang toe te krijgen. (...) Je kunt geen account of gegevens verkopen, licentiëren of kopen die zijn verkregen van ons of via onze service. (...) Je mag iemands privégegevens of vertrouwelijke informatie niet plaatsen zonder toestemming en je mag niets doen wat iemands rechten schendt, inclusief intellectuele-eigendomsrechten." Facebook heeft vergelijkbare gebruikersvoorwaarden.

Reacties (48)

[itcouldbeanyone]

5 jaar geleden Facebook verwijderd, binnen 90 dagen zou mijn profiel volledig verdwenen zijn, zijden ze.
Afgelopen week was account spontaan ineens weer actief, alles stond er nog op.
Meta moet zichzelf eens aan de regels houden.

[akooijman]

Ik heb dat ook meegemaakt. Account gedeactiveerd, en een paar weken later was ik er gewoon weer.
Vermoedelijk heb je tijdens de bedenktijd ergens een keer een website bezocht die je op de achtergrond automatisch inlogt bij Facebook en je reactivatie ongedaan maakt. Heel creepy allemaal.
Ik heb destijds in een anonieme browser mij wachtwoord gewijzigd en daarna het account (weer) gedeactiveerd of verwijderd.

Edit: net gecontroleerd, Facebook kent mijn herstel emailadres nog als ik zeg dat ik mijn wachtwoord vergeten ben. Eng bedrijf.

[Reactie gewijzigd door akooijman op 24 juli 2024 08:45]

[itcouldbeanyone]

Dat dus, is afgelopen week per ongeluk gebeurt in te loggen, en meteen bam, daar is alles weer, na 90 dagen verwijderen ze niets

[albatross]

Blijft toch ironisch dat Meta, een bedrijf dat eigenlijk alleen maar bestaat uit het scrapen van persoonlijke data van mensen, en om die reden ook is opgericht, zijn mond durft open te trekken over anderen die nu bij hen scrapen.

[Frame164]

Gebruikers hebben toestemming gegeven aan Meta/Facebook om die dat te gebruiken. In ruil voor data biedt Meta gratis te gebruiken apps en services. Je kunt ook zelf een app bouwen om foto's te kunnen tonen aan de rest van de wereld.

[PhilipsFan]

Nee, dat hebben ze niet. Mensen met een Facebook- of Instagram account misschien wel. Maar ze tracken ook mensen die geen account hebben. Ondanks dat ze van deze mensen niet hun naam weten, tracken ze wel welke websites ze bezoeken. Op basis van ip-nummer, browserprofiel en tracking cookies. Heb je wel eens een 'like' button gezien op een willekeurige website onderaan een artikel? Waar denk je dat die button van geladen wordt? Precies, van Facebook. Door de referer-header weet Facebook dat jij een bepaald artikel hebt gelezen. Als je dat maar bij genoeg sites en artikelen doet, krijg je een zeer gedetailleerd beeld.

Het zou eigenlijk verboden moeten zijn en Facebook zou er miljarden boetes voor moeten krijgen. Maar de politiek is te traag en te onhandig. Alleen al dat cookieverbod heeft jaren geduurd en heeft meer ellende dan goeds opgeleverd.

Het enige wat je als internetgebruiker kunt doen, is jezelf beschermen. Gebruik een plugin die de referer-header stript (maar daar gaan sommige sites weer kapot van), gebruik de anti-trackingopties van je browser of installeer plugins, gebruik containertabbladen. Het probleem van al die maatregelen is dat het lapmiddelen zijn, ze kunnen niet _alle_ tracking tegenhouden. En soms gat een website erdoor kapot. De reden dat je niet zomaar zulke plugins bij bv je ouders kunt installeren, want dan bellen ze elke avond omdat een website het niet doet.

[n0np3r50n]

Zover ik weet zou Nederland net als de Europese unie één internationale bondgenootschap moeten zijn. Meta danwel Facebook zou in principe net als de Albert Heijnen meteen aan het permanent verwijderen van alle data van alle personen moeten voldoen.

Maar zó werkt het rechtsysteem in de praktijk dus weer niet?

[memen]

Mogen we je voornaam weten, zodat anderen jou kunnen vinden?
Mogen we je mobiel nummer, zodat we je account veiliger kunnen maken?
Mogen we je geboortedatum, zodat anderen je kunnen feliciteren op je verjaardag?
Mogen we je contactenboek, zodat je meteen al je vrienden kunt toevoegen?
Enzovoort enzovoort. Behalve in de voorwaarden wordt nergens genoemd dat al deze data ook voor andere doeleinden gebruikt wordt. In feite heb je binnen Meta dus 2 operaties.
1. Het verkrijgen van informatie (zoals hierboven)
2. Het scrapen van deze informatie (voor doeleinden als in de voorwaarden omschreven)

Door stap 1, het verkrijgen van informatie, heeft Meta natuurlijk een groot competitief voordeel ten opzichte van andere bedrijven wat ze willen beschermen. In hoeverre het duidelijk is voor de gebruiker dat er een 'ruil' plaatsvindt, is de vraag.

[Sp3ci3s8472]

Mogen we je mobiel nummer, zodat we je account veiliger kunnen maken?

De meest onveilige manier van two factor authentication. In feite is het gewoon een leugen want ze beiden namelijk niet de optie aan om een authenticator te gebruiken ipv een telefoonnummer (voor zover ik weet want ik heb geen facebook account).
Andere online services die "gratis" zijn doen hetzelfde. Nee, je mag mijn telefoon nummer niet.

Wat het meest vervelende is is dat ze waarschijnlijk het telefoon nummer al weten omdat iedereen zijn contacten deelt met die platformen.

[scsirob]

Een groot deel van die informatie hoef je niet eens actief aan te leveren. Als in jouw omgeving meerdere mensen hun contactenlijst delen, en daar staat meermaals "memen: 06-12345678" in, dan is die relatie snel gelegd. Dat doen ze voor Meta gebruikers maar ook voor contacten die helemaal niets met Meta te maken (willen) hebben.

[Tintel]

Ja, gebruikers hebben toestemming gegeven maar de rest duidelijk niet en toch wordt ook data van hen gebruikt....

IK kan toch alleen maar hopen dat dit op niets uitloopt en zeggen dat Meta de laatste is die hierover mag zeuren.
Maar gezien het feit dat de bak met juristen aan de Meta-kant groter is....vrees ik dat het niet zo afloopt als ik zou willen.
Want dat weten we ook al wat langer; het grote geld wint nu eenmaal meer rechtzaken.

En dat mag dan [als Meta wint] wel een juridische grondslag hebben - het is nog steeds niet rechtvaardig.

[dasiro]

gebruikers worden vaak voor een bepaald doel om gegevens gevraagd en ongevraagd worden die dan ook voor andere doelen en zelfs compleet onbekende partijen gebruikt. Dat gebruikers die andere doelen niet kunnen weigeren is een zware tekortkoming van heel die privacy/GDPR wetgeving op zowat elk mogelijk niveau.

De simpelste voorbeelden zijn enerzijds klantenkaarten (je koopt jaarlijks 1.2kg bananen per week in de zomers dat je aan de zee op 70km van je woonplaats bent) en wedstrijden (een database met namen, mailadressen en vaak nog andere persoonsgegevens)

[androgeus]

Het gros heeft gewoon het lastige knopje ingedrukt dat hun tegenhield om een account aan te maken.
Die hebben absoluut geen bewuste toestemming gegeven voor alles wat Meta met hun data doet.

[Cergorach]

Blijft toch ironisch dat Meta, een bedrijf dat eigenlijk alleen maar bestaat uit het scrapen van persoonlijke data van mensen

Wat ik Ironisch vind is dat Meta helemaal niet die persoonlijke data van mensen scraped, mensen vullen die vrijwillig in op de Meta websites... Daarnaast natuurlijk tracking, maar dat is wat anders dan scrapen.

[Aiii]

Dat is technisch gezien wat anders, maar feitelijk gezien niet. Ze verzamelen en profileren data van mensen die helemaal niets vrijwillig invullen aan Meta. Ze verzamelen telefoonnummers en andere gegevens uit contactdata van Meta-gebruikers, ze verzamelen data via trackingpixels op externe websites, via games van derden, en telefoon-apps, etc. Ze verzamelen metadata op talloze wijzen van niet-Meta gebruikers. Dat is niet anders dan scraping, het verzamelen, opslaan, en gebruiken van data waar ze ogenschijnlijk geen recht op hebben. Dus is dat zeker ironisch, ook al is de methode waarop de verzameling gebeurt niet gelijk (al acht ik het onwaarschijnlijk dat Meta niet ook aan grootschalige webcrawling doet).

Het zou alleen niet ironisch zijn als de data die ze verzamelden slechts de data waren die mensen moedwillig en transparant van hunzelf aan Meta gaven, maar dat is dus overduidelijk niet het geval.

[Robbaman]

Precies, ik heb uit een heel ver verleden volgens mij nog wel een Facebook account, maar heb daar echt al zo lang niet op ingelogd dat ik niet eens meer weet wanneer dat dan was. Toch kan ik er met bijna 100% zekerheid vanuit gaan dat Facebook een hoop gegevens over mij weten die ik zelf niet actief heb verstrekt en derhalve geen idee van heb dat zij deze gegevens van mij hebben.

[HSG]

Absoluut. Zodra jij je voor- en achternaam, woonplaats, postcode en/of mailadres ergens invult dan hebben ze jou al te pakken en koppelen ze aan jou oorspronkelijke Facebook-account.

[grrfield]

Ik zie hier nochtans met regelmaat van klok een google crawler passeren......

[androgeus]

"Hey, dat is onze taak!"

[latka]

In mijn voorwaarden staat dat Meta niets van mij mag opslaan, maar daar reageren ze ook niet op. Dus leuk dat ze naar de rechter gaan (en waarschijnlijk winnen gezien USA), maar het slaat natuurlijk nergens op.

[watercoolertje]

Dat is dan ook niet het enige waarop ze de aanklacht baseren:

Wij vinden dat Octopus onze gebruikersvoorwaarden en de Digital Millennium Copyright Act geschonden heeft door ongeautoriseerd en geautomatiseerd [Facebook en Instagram] te scrapen.

[Aiii]

Volgens mij gelden gebruikersvoorwaarden alleen voor gebruikers van het platform, en als bezoeker van een publieke website ben je wat mij betreft niet per definitie gebonden aan de voorwaarden voor gebruikers. Immers kun je van de website gebruik maken zonder een account aan te maken, en dus ook zonder akkoord te moeten gaan met enige voorwaarden. Ik krijg zelf als ik naar een willekeurige Instagram ga in ieder geval slechts een cookiemelding en voor de rest meteen alle content.

Wat mij betreft kan een crawler, tenzij deze verborgen data crawled waarvoor een account aangemaakt moet zijn, dan ook niet de gebruikersvoorwaarden van een website overtreden. Het simpelweg aanroepen van een website en zijn publieke data lijkt mij niet genoeg om te zeggen "nu moet je ook voldoen aan al onze voorwaarden, ongeacht of je daarmee akkoord gaat of niet." Dan moet Meta de hele content achter een login zetten.

Het copyright verhaal lijkt mij dan weer sterker voor Meta, ervan uitgaande dat je alle copyright uit handen geeft van geplaatste content op Instagram en jouw copyright overdraagt aan Meta, danwel dat Meta automatisch toestemming krijgt van de plaatser om e.e.a. te tonen. In dat laatste geval denk ik echter dat Meta geen partij is m.b.t. copyright, maar dat de individuele gebruiker wel een case kan hebben tegen de crawler/reposter (al is ook dan weer een fair use element in werking, omdat je het zelf publiekelijk post).

Lijkt mij een lastige rechtzaak voor Meta om te winnen, in ieder geval.

[pim]

Ik heb hetzelfde gedaan voor een website waarbij ik celebrities probeer te rangschikken op populariteit n.a.v. hun followers van o.a. Instagram en Facebook.
Na elke ~300 requests moest ik een captcha overtypen. Uiteindelijk gestopt omdat het me niet lukte het te automatiseren.
Blij dat ik niet ben aangeklaagd, ging ook om behoorlijke getallen

[Sp3ci3s8472]

De enige reden dat ze boos zijn heeft niks met privacy te maken maar het feit dat andere services geld verdienen met hun data.

[Bulls]

Scrapping klinkt als vernietigen, maar blijkt dus eerder kopiëren te zijn? Waarom heeft het dan niet dupen. Ik dacht dat deze man 360k accounts had verwijderd.

Edit: oh scraping, afschrapen dus. Nog steeds rare term

[Reactie gewijzigd door Bulls op 24 juli 2024 08:45]

[Frame164]

Edit: oh scraping, afschrapen dus. Nog steeds rare term

In IT is dit een gewone term voor het verzamelen van informatie.

[Anoniem: 718943]

Bestaat echt al sinds de begindagen van het WWW. Scrapers en Spiders.

[akooijman]

Hoe kan het dat de informatie zo slecht beveiligd is dat dat schrapen blijkbaar technisch mogelijk is?
Wie neemt Facebook nog serieus? Wie gebruikt het nog? Waarom?

[Mr.Fancypants]

Deze informatie is publiekelijk toegankelijk, met scrapen word de inhoud van (een deel van) een webpagina gekopieerd. Bij het scrapen kan bijvoorbeeld een selectie gemaakt worden waarbij alleen tekst en afbeeldingen gekopieerd worden en de rest van de webpagina's niet. In feite is dit hetzelfde als een bezoeker die een webpagina bezoekt en daarbij ook de afbeeldingen en tekst download van een webpagina, met het scrapen gebeurt dit alleen geautomatiseerd en op grotere schaal.

[akooijman]

Zal best. Dat heb ik in het verleden ook wel gedaan. Maar ik zou verwachten dat Facebook het onmogelijk, of in elk geval erg moeilijk maakt om gebruikerspaginas op grote schaal te downloaden.
Facebook belooft telkens weer met onze gegevens om te gaan en blijkt dat telkens weer niet te doen.
En toch blijven honderden miljoenen mensen hun privéleven er delen.

[Gyzome]

In beginsel is het geautomatiseerd verzamelen van openbare data niet illegaal

Niet waar in Europa. Wij hebben het Databankrecht, dat auteursrechtelijke bescherming biedt aan geselecteerde, georganiseerde collecties van data. Schoolvoorbeelden zijn telefoonboeken, catalogussen van chemische materialen, indexen van gepubliceerde films. Maar ook de verzameling gegevens die beschikbaar zijn via publieke profielen op sociale media kunnen beschouwd worden als databanken (ze zijn, ten slotte, in de back-end exact op die manier opgeslagen).

Dus in de EU is het scrapen van gegevens vaker wel dan niet illegaal.

[debom]

Er is dus data vergaard van 350000 accounts. Worden deze account dan ook schadeloos gesteld door meta en in een later stadium door de aangeklaagde partijen?

[Cergorach]

Ik verwacht van niet, voornamelijk omdat ik vermoed dat in de voorwaarden staat waarmee je akkoord bent gegaan dat dit a.) niet hoeft en b.) je copyrights heb overgedragen (in meer of mindere mate)...

[watercoolertje]

Gezien Meta hier niks verkeerds heeft gedaan (in opdracht van de slachtoffers zelf bepaalde posts/data online beschikbaar gemaakt) lijkt het me uiterst vreemd dat die ergens voor moeten betalen.

Als ik jou vraag een lamp aan de muur te hangen voor 100 euro en iemand anders trekt die lamp er morgen af hoef jij die schade toch niet te vergoeden of de lamp gratis opnieuw op te hangen? Jij hebt gewoon gedaan wat er van je verwacht wordt...

[Reactie gewijzigd door watercoolertje op 24 juli 2024 08:45]

[Honytawk]

Aangezien Facebook zelf die data heeft vergaard, zijn zij zelf verantwoordelijk voor het beschermen er van.

Om het in uw analogie te zeggen.
Als er een aannemer bij u een muur bouwt, en iemand anders klimt over die muur waardoor die instort, dan is het nog steeds de aannemers fout dat die niet veilig genoeg gebouwd was.