IT på kran. Några praktiska juridiska aspekter på ASP och utility computing. Lars Perhard, Advokatfirman Cederquist*

Transkript

1 IT på kran Några praktiska juridiska aspekter på ASP och utility computing Lars Perhard, Advokatfirman Cederquist* ASP eller Application Service Provider är ett relativt nytt koncept inom IT-området som innebär att en extern leverantör tillhandahåller kundföretaget centraliserade IT-tjänster på distans via ett nätverk. Användningen av ASP har ökat markant under senare tid. ASP är idag den tydligaste och mest spridda varianten av utility computing, som innebär att IT tillhandahålls som en nyttighet och betalas efter förbrukning som till exempel telefoni eller elektricitet. Det ansedda analysföretaget Forrester Research menar att utility computing är den tredje stora omvälvningen på IT-området efter stordatorn och Internet. 1 En rad aktörer på IT-marknaden inklusive de allra största som IBM, HP och Sun satsar stora resurser på att utveckla ASP och utility computing koncept. IBM tillhandahåller bl. a en lösning som de kallar e-business on demand, vilken marknadsförs aggressivt, HP benämner sitt koncept the adaptive enterprise och Sun har sitt baskoncept N1. Utbudet av ASP-lösningar är under tilltagande och det finns mycket attraktiva alternativ för såväl stora som små aktörer på kundsidan. IT-jurister som inte redan konfronterats med ASP i den dagliga gärningen kan räkna med att göra det inom kort. Även om ASP har många likheter med traditionell utkontraktering av IT finns det således skäl att göra ett försök att närmare analysera juridiken i konceptet. Syftet med artikeln är således bland annat att, i huvudsak utifrån svensk rätt, ge en juridisk analys av ASP som kan förväntas vara till nytta för den praktiskt verksamme juristen i avtalssituationen oavsett om denne befinner sig på säljar- eller köparsidan. För pedagogiken och sammanhanget har det bedömts lämpligt att återknyta till traditionella och kända begrepp inom området för utkontraktering av IT-drift, såsom servicebyråtjänster, outsourcing och facility management. Artikeln gör inte anspråk på att vara uttömmande. ASP levererar således IT-funktioner som en nyttighet. En jämförelse mellan utility computing och ASP görs av Baseline. 2 Begreppet utility computing torde enligt Baselines analys vara något vidare i sin betydelse än ASP och innebär att kunden Författaren Lars Perhard är partner i Advokatfirman Cederquist. Författaren tackar Daniel Westman för värdefulla synpunkter på en tidigare version av artikeln. En första del av artikeln publicerad i Lov & Data, Nr. 76, Desember 2003 (Nr. 4/2003), resterande del publiceras i efterföljande nummer. 1 Business Week, Aug 18-25, 2003 s. 61 f. 2 Se

2 betalar för utnyttjad processorkraft, bandbredd i nätverket och de mjukvaruapplikationer som kommer till användning; ASP som begrepp skulle fokusera mer på de mjukvaruapplikationer (datorprogram) som kommer till användning hos leverantören för att producera tjänsten. Affärsmodellen ASP har nyligen kommenterats i Business Week Software should be delivered as a service over the Internet instead of shipped to customers on a disk. 3 IDC, ett av världens ledande analysföretag inom IT, kallar den här affärsmodellen för utility modellen. Deras tänkvärda konklusion är att kunden inte ska behöva bekymra sig om hur IT produceras. 1. EN ÅTERBLICK Utkontraktering av IT-tjänster är ett koncept som praktiserats i Sverige i ungefär 40 år. Det började med vad som kallades servicebyråer eller driftbyråer på 60-talet. Det handlade då främst om att köra stora transaktionsintensiva program, som till exempel lönehantering och bokföringstjänster, åt kunderna samt att sköta viss programutveckling. På den tiden krävdes betydande investeringar i maskiner och datorprogram för att ett företag eller en organisation på egen hand skulle kunna hantera önskade ITfunktioner och sköta sin egen IT-drift. Servicebyråerna hade fördelen av att kunna hantera ett större antal kunder på sina system och de dyra grundinvesteringarna kunde därigenom fördelas ut på ett flertal kunder med konkurrenskraftiga priser på tjänsterna som en konsekvens. Parterna kommunicerade inte tjänsterna via telekommunikation. Data levererades oftast på kassett. Allteftersom priserna på IT-system kontinuerligt sjönk samtidigt som prestanda ökade började företagen på allvar att under 1980-talet investera i egna system. Servicebyråerna tappade marknad och förlorade i betydelse. Under 1990-talet svängde pendeln tillbaka. Outsourcing och facility (eller facilities) management kom i ropet. Facility management innebär oftast att leverantören sköter en enda företagskunds IT-funktioner på ett system, vilket fysiskt kan befinna sig hos leverantören eller hos kunden. Det blev en trend under nittiotalet att kundföretagen ville att leverantörerna skulle ta över mer och mer av IT-funktionerna. Systemen blev också allt mer komplexa. Alltfler företag bestämde sig nu för att lägga ut driften av sina IT-funktioner på en extern leverantör för att själva kunna koncentrera sig på kärnverksamheten. Outsourcing och facility management blev de nya budorden. I slutet av 90 talet började företagen på allvar lägga ut hela sina IT-avdelningar med personal, maskiner och programvara. Ett antal stora uppmärksammade outsourcingaffärer både i här hemma och i utlandet banade väg för utvecklingen. 4 3 Business Week, June 23, 2003 s Augustson, Magdalena, m.fl., Outsourcing av IT-tjänster, Industrilitteratur, s

3 Under den s.k. dot-com-boomen användes hot (eller löften) om outsourcing som påtryckningsmedel i syfte att pressa företagens IT-avdelningar att hänga med snabbare i utvecklingen. Outsourcing skulle kunna översättas till svenska med ordet utkontraktering. Kunden ett företag, en organisation eller en myndighet - lägger ut IT-funktionerna på en extern leverantör. I denna artikel används mestadels kundföretaget eller ibland bara kunden som sammanfattande benämning på alla typer av slutanvändare i ASP-konceptet. En facility management-tjänst börjar egentligen alltid med en outsourcing eller utkontraktering av större eller mindre omfattning. Begreppet outsourcing används emellertid ofta som benämning på både den inledande utkontrakteringsfasen (migrationen) och den därefter kommande förvaltningsfasen. Facility management används också ibland som övergripande benämning på förvaltning av drift inklusive migrationsfasen. Val av etikett kan i viss mån bero på omfattningen av migrationsfasen. Denna fas kan bestå i allt från en utflyttning av en större IT-avdelning som nämnts i exemplet ovan till en kontraktsreglering av mindre omfattning. 5 Outsourcing som begrepp kan även omfatta till exempel systemutveckling. De flesta andra typer av tjänsteproduktion, men även produktion av varor, till exempel komponenttillverkning, kan outsourcas eller utkontrakteras, men i denna artikel används begreppet outsourcing endast i betydelsen utkontraktering av IT-drift. Allteftersom prestanda och kapacitet i telenäten ökat samtidigt som priserna för telekommunikation sjunkit har möjligheterna för facility management- och outsourcingleverantörerna att kommunicera med sina kunder på distans kontinuerligt förbättrats under de senaste åren. Kommunikation via nätverk utnyttjas mer och mer även i dessa koncept. Timesharing, webbhosting, partnerskap och i viss mån även datalagring är några nya begrepp på temat utkontraktering värda att uppmärksammas. 6 Datalagring ingår vanligtvis som en del i ett större tjänstekoncept som innefattar olika typer av informationssäkerhetstjänster, vilka i sin tur ofta utgör ett led i ett outsourcing-koncept. Webbhosting eller webbdrift innebär att ett företag agerar som värd för och administrerar kundens webbplats eller hemsida; detta sker inte sällan i förening med att leverantören först bygger kundens webbplats. 2. ASP-KONCEPTET OCH DESS FÖRDELAR ASP lanserades i slutet av 1990-talet, men tillämpningen har, som nämnts i inledningen ovan först under den senaste tiden slagit igenom på allvar. Man skulle kunna säga att ASP är en kombination av ett driftsavtal och en systemleverans. Driftsavtalet innebär att leverantören sköter driften åt kundföretaget, d.v.s. tillhandahåller överenskomna centraliserade och verksamhetsanpassade IT-funktioner samt i anslutning härtill tar emot indata, processar dessa och levererar utdata. Med systemleverans skulle då menas att det 5 Det är viktigt att komma ihåg att en rättighetsklarering skall göras i samband med överföring av datorprogram vid outsourcing. Rättighetsklarering av motsvarande slag normalt ej behövlig i ASP konceptet, eftersom kunden migrerar över helt till leverantörens teknologi och system. 6 Citat, Molin, Nils, senioranalytiker IDC. 3

4 system som kunden nyttjar hos leverantören är kundanpassat som om det hade varit ett komplett system beställt av kunden och anpassat för kundens specifika verksamhet. Även om många ASP-lösningar på marknaden är relativt standardiserade, tillåter de likväl oftast en långtgående kund- eller verksamhetsanpassning. Vid en jämförelse mellan traditionell outsourcing, å ena, samt ASP, å andra sidan, kan sägas att det är den under senare tid markant ökade tillgången på kraftfulla nätverkslösningar, till exempel olika typer av prismässigt intressanta och säkra bredbandslösningar, som gett ASP dess definitiva genombrott. ASP erbjuder ett funktionsanpassat IT-stöd för kundföretagets verksamhet. Traditionell outsourcing ersätts med kompletta företagsanpassade funktionstjänster där allt från programhantering, datalagring, säkerhet och kommunikation till help-desk och support ingår. En ASP-leverantör tillhandahåller således sina tjänster via ett nätverk, till exempel genom en s.k. VPNlösning. 7 Det är de kraftfulla näten som möjliggör in- och utleverans av stora datamängder och som gör att kundföretaget i princip kontinuerligt och utan avbrott kan nå sina ITfunktioner 24 timmar om dygnet. Detta är en del av det som läggs in i begreppet IT som en "nyttighet" eller "IT på kran". Signifikativt för konceptet är också att kundföretaget endast behöver en tunn klient (en per användare) och en browser eller s.k. webbläsare för att kunna tillgå alla dessa nyttigheter. Kunden behöver inte heller någon hårddisk att lagra data på, eftersom ASP-leverantören även sköter datalagringen i mån av behov. De mest avancerade siarna menar att det i en nära framtid inte ens kommer att behövas lokala program på kundföretagets klienter (d.v.s. arbetsstationer) för ordbehandling, kalkyl m.m. 8 Terminalen på servicebordet är på sikt endast försedd med det enklaste operativsystem och en browser. En viktig och intressant faktor framför allt för mindre kundföretag är att alla dess medarbetare, p.g.a. att ASP-tjänsten är centraliserad, kan arbeta på distans. Har de bara tillgång till en Internetförbindelse kan de arbeta från den plats de befinner sig. Kunderna kan även använda en PC av äldre modell. Jämförelser mellan ASP och traditionell utkontraktering av IT-drift kan göras utifrån flera olika perspektiv, t.ex. juridiskt, tekniskt eller kommersiellt (affärsmodellens utformning). ASP innebär aldrig att leverantören går in och tar över kundföretagets personal, maskiner eller datorprogram, utan ASP leverantören migrerar in kunden i sin egen teknologi och sitt eget system, som vanligtvis delas med många andra kunder. Väl på plats är det sedan meningen att kunden skall kunna köpa till prestanda, funktionalitet och kapacitet allteftersom behoven ökar. ASP-lösningarna är skalbara. I konceptet ligger att expansion inte skall behöva leda till drastiska stötvisa kostnadsökningar. ITstödet i en ASP-lösning kan snabbt anpassas till kundföretagets förändrade marknadsförutsättningar utan att dyra nyinvesteringar behöver göras. En grundläggande idé med konceptet är att priset står i direkt relation till utnyttjande. Det ligger i ASP-konceptets natur att tjänsten bör vara relativt standardiserad så att många kunder kan utnyttja samma basstruktur. Detta gäller nog framför allt koncept avsedda för målgruppen små och medelstora företag. Härigenom nås gynnsamma effekter genom att kostnaden för grundinvesteringen kan bäras av flera. Undersökningar 7 VPN skulle kunna beskrivas som en "krypterad tunnel genom Internet". VPN står för Virtuella Privata Nätverk. Tanken är att främst företag ska kunna bygga upp säkra interna nätverk men använda sig av publika, öppna nätverk för transport av data (främst internet). Anledningen är att varje företag ej ska behöva bygga upp en egen infrastruktur för att känna sig säker. Att använda sig av VPN kräver att man använder sig av krypterad trafik för att skydda informationen som färdas över det publika och fullt avlyssningsbara Internet, se 8 Computer Sweden, under signerat, nr 71 för 2003, s. 2. 4

5 i USA visar att egenanvändare endast belägger sina servrar till i snitt 20%. En ASPleverantör kan nå helt andra utnyttjandegrader, upp mot 80%. 9 Här finns en stor besparingspotential enbart i detta avseende. Priset för prestanda, funktionalitet och kapacitet sjunker drastiskt för kunderna i ASP-affärsmodellen (i viss mån av samma skäl som i det beprövade servicebyråkonceptet enligt ovan). I särskilt konkurrensutsatta branscher kan en ökad benägenhet hos kundföretagen att ge avkall på sina extremaste krav på specifik anpassning för att istället satsa på en prisvärd ASP-lösning iakttas. ASP kan ibland ha så stora kostnadsfördelar att det kan vara ett överlevnadsvillkor för kundföretaget att följa konkurrenternas övergång till denna affärsmodell för hantering av IT-driften. I det övre segmentet för ASP-lösningar riktade mot större kunder, t.ex. IBM m.fl:s övertagande av hela Ericssons IT-drift och IFS ASP- eller hostinglösning (IFS föredrar att använda begreppet hosting) globalt för Munters är det andra fördelar än bearbetning av många kunder som kommer fram i koncepten. I det övre segmentet kan det vara fråga om att konvertera större kunder som använder t ex Unix eller AS400 till en centraliserad ASP-lösning på samma plattform. ASP-lösningarna ger ofta möjlighet att hantera stora transaktionsvolymer, inte bara vid kontakten med kundföretaget - utan även vid kontakten med kundföretagets kunder som också kan integreras i processen; detta kan gälla till exempel olika typer av e-handelslösningar i varierande branscher. Affärsmodellen ASP omfattar idag således allt från relativt obetydliga applikationer till stora affärssystem och innebär betydande fördelar när det gäller kostnadseffektiv utkontraktering av drift, underhåll, utveckling m.m. av IT-funktionerna i en verksamhet på en utomstående leverantör. ASP-leverantören kör sina egenutvecklade eller licensbaserade datorprogram på egna maskiner och kunden behöver inte bekymra sig om underhåll av maskin- och programvaror. Det framhålls ofta som säljargument att en ASP-leverantör är bättre skickad att underhålla systemen än en enskild kund; ett klassiskt säljargument för utkontraktering av IT-drift. Det ligger nära till hands att tro att en ASP-lösning, jämfört med en egen lösning inhouse, typiskt sett medför att kundföretaget exponerar sig för större risker såvitt avser säkerheten när det gäller skyddet för affärskritisk programvara, data, företagshemligheter och annan information av sekret karaktär. Teknikens utveckling med de påtagliga säkerhetsrisker som följt i dess spår - har emellertid inneburit att detta inte nödvändigtvis är sant. En ASP-leverantör har i en hel del fall sammantaget långt bättre resurser och kan istället höja säkerhetsnivå, kvalitet och effektivitet i till exempel fysiska säkerhetslösningar, back-up-funktioner, brandväggar, virusskydd och dylikt på ett sätt som kundföretaget inte skulle förmå på egen hand. Genom att anlita seriösa, beprövade och solida ASP-leverantörer, även om många leverantörer i branschen är relativt nystartade, samt genom att lägga ned omsorg på avtalets utformning bör kunden kunna försäkra sig om en tillräckligt hög säkerhet i alla relevanta avseenden. ASP-leverantörer med tjänster som fungerar väl hos nöjda kunder har referenser Business Week, Aug 18-25, 2003 s. 61 f. 10 Se dock, Computer Sweden, nätupplagan, artikel problematiskt att använda referenskund, computersweden.idg.se 5

6 Det finns ett visst psykologiskt motstånd hos företag som hanterar höggradigt konfidentiell information att lämna ut hanteringen av data till en utomstående driftleverantör. Detta kräver naturligtvis att ASP-leverantören visar att höga säkerhetskrav kan infrias. I ASP-koncepten ingår, som ovan nämnts, ofta datalagring och olika former av statistiktjänster. ASP-leverantören måste tillhandahålla utbildning av kundföretagets personal som ett led i implementeringen och tillämpningen av konceptet. ASP innebär en långtgående interaktion mellan kund och leverantör i affärsprocessen. The ASP Industry Consortiums site och the Information Technology Association of Americas site innehåller också intressant information om ASP. Med ASP kan kundföretaget ägna sig mer åt kärnverksamheten. Kundföretaget bör kunna göra väsentliga kostnadsbesparingar samt reducera risker av olika slag som ovan antytts. Etablerade ASP-leverantörer har ofta sina driftscentraler i väl skyddade datorhallar (t.ex. i bergrum) med back-up-lösningar i andra väl skyddade och åtskilda hallar oftast belägna på annan ort (av särskilt intresse efter attacken mot World Trade Center). I allmänhet bör det också med en ASP-lösning bli lättare att kontrollera och budgetera kundföretagets IT-kostnader. Företaget blir mindre beroende av den egna IT-funktionen. Beroendet till ASP-leverantören ökar givetvis, en faktor som måste analyseras. Kommunikationen mellan leverantör och kund går som nämnts genom krypterade kommunikationslösningar i nätverk. Säkerhets- och servicenivå skall naturligtvis adresseras i avtalet även när det gäller kommunikationen mellan parterna. Mer om ansvar för kommunikationslösningarna nedan. Sammanfattningsvis bör således ASP-leverantören kunna tillhandahålla en centraliserad verksamhets- och kundanpassad, konkurrenskraftig och säker lösning, som stödjer kundföretagets verksamhet. Kundföretaget kan via ASP-leverantören få tillgång till kompetent personal som det inte skulle kunna attrahera vid drift i egen regi. Kunden slipper även tänka på uppgraderingar och installationer. En övergång till ASP behöver inte innebära att företagsledningen tappar inflytande och kontroll över det IT-stöd som företaget behöver för sin kärnverksamhet. Kraven på funktionalitet och prestanda kan fortfarande arbetas fram och fortlöpande uppdateras. Den dagliga hanteringen blir emellertid avsevärt underlättad. Telefoni och el är synnerligen verksamhetskritiska nyttigheter för de flesta företag. Trots detta tar de, till exempel i jämförelse med IT-drift i egen regi, relativt litet av företagsledningens uppmärksamhet i anspråk. Genom ASP och utility computing är vi på väg i samma riktning när det gäller IT-försörjning. 3. UPPHOVSRÄTTSFRÅGOR M.M. Från den praktiskt verksamme juristens synpunkt är det av intresse att analysera på vilket sätt upphovsrätten spelar in i sammanhanget. På vilket sätt ASP-konceptet inbegriper upphovsrättsligt relevanta åtgärder. Vad kräver licens och vad ligger utanför det upphovsrättsligt skyddade området? 6

7 Framställningen behandlar i detta avseende de två leden, dels ASP-leverantörens avtalsförhållande med kundföretaget, dels eventuell rättighetsinnehavares/licensgivares förhållande till ASP-leverantören. Ledet mellan ASP-leverantör och kundföretag är av särskilt intresse därför att marknaden för att beskriva åtgärder i detta led ofta i onödan använder termer som kan uppfattas som licensavtalsterminologi, alltmedan en närmare analys ger vid handen att åtgärderna i det ledet inte är upphovsrättsligt relevanta i den omfattning som man skulle kunna tro. Artikeln syftar i vissa fall till att göra avgränsningar mellan vad som är upphovsrättsligt relevant respektive endast av kontraktuell betydelse. Måhända kan några konstateranden uppfattas som självklarheter för den kunnige IT- eller upphovsrättsjuristen. 3.1 Relationen ASP-leverantör - kundföretag Datorprogram Teknisk bakgrund I det grundläggande ASP-konceptet (ibland benämnt ASP-konceptet eller endast baskonceptet i det följande) driftar leverantören samtliga datorprogram på egna servrar för produktionen av tjänsten. Kundföretaget förses således inte med datorprogram från ASP-leverantörens sida för nedladdning på sina datorer. I baskonceptet behöver således som tidigare nämnts kundföretaget inget annat än en webbläsare, d.v.s. en browser eller bläddrare, för att kunna tillgodogöra sig de avtalade IT-funktionerna. Härtill bör ASPleverantören tillhandahålla lösningar för personlig identifikation samt säkerhet i överföringen mellan leverantör och kund. Då kunden beställer nyttjande av ett visst datorprogram i ASP-leverantörens system sker en framställning av en kopia i och med att programmet laddas upp från ASPleverantörens filserver till ASP-leverantörens terminalserver, och i terminalserverns RAM-minne skapas en kopia av programmet; en kopia för varje användare. Vad som här benämns filserver kan i en annan tänkt konfiguration hos ASP-leverantören motsvaras av hårddisken på ASP-leverantörens server (om denne endast använder en server). Vid beställning från kunden laddas en kopia av eftersökt datorprogram från hårddisken upp till primärminnet (som då i stort är motsvarigheten till vad som nyss benämnts "terminalserver"). Om det är fråga om till exempel användning av ett ordbehandlings- eller kalkylprogram och kunden vill arbeta med ett tidigare utarbetat dokument finns även dokumentinnehållet lagrat på ASP-leverantören filserver. I den mån kunden vill ha tidigare lagrat dokumentinnehåll bearbetat laddas också detta upp från filservern/hårddisken till terminalservern/arbetsminnet. Det är terminalservern/arbetsminnet som sköter all bearbetning av data. Det är av intresse att undersöka hur kunden beställer eller initierar den aktuella användningen hos ASP-leverantören. I ett förenklat exempel, och i syfte att beskriva vad som händer, kan 7

8 nämnas att i en gammaldags variant ringer kundföretaget upp ASP-leverantören och beställer körningar. ASP-leverantören skulle i anledning härav ladda upp en kopia från filserver/hårddisk till terminalserver/primärminne för att vara redo när kunden kopplar upp sig för att få indata bearbetade och utdata levererade. Vid uppkoppling mot ASP-leverantörens terminalserver/primärminne projiceras en skärmbild på kundens (slutanvändarens) bildskärm, som utgör ett användargränssnitt för kunden att arbeta i. Kunden kanske lägger in ny eller ändrar text eller sifferinformation på därför avsedd plats i användargränssnittet, d v s på skärmbilden. När kunden trycker "spara" ändras den information som är under bearbetning i ASP-leverantörens terminalserver/primärminne. Det kan sägas att kunden nyttjar tjänsten via tangenttryckningar och musklick som sänds till ASP-leverantören. Den primära upphovsrättsliga problemställningen är då om något händer som är upphovsrättsligt relevant i relation till de datorprogram som kommer till utnyttjande. Vad som ovan nämnts innebär att ASP-leverantören faktiskt inte gör något annat än att ge kunden möjlighet att få sina indata bearbetade i terminalservern/primärminnet. Då en ASP-leverantör bistår ett antal kunder med sådan tillgänglighet skapas särskilda "partitioner" i terminalservern/primärminnet för var kund. Vid en gammaldags hantering, se exemplet ovan, sköttes accessen av en person, som ibland kallades space manager, en sådan hade i uppgift att kontrollera att det fanns tillräckligt med plats och datorkraft för att ge samtliga kunder avtalad service vid avrop. D v s det ligger på leverantörens ansvar att se till att avtalade tjänsteleveranser kan innehållas med utfästa servicenivåer m.m. för respektive kund. I moderna koncept har givetvis space managern bytts ut. ASP-leverantören tillhandahåller istället en särskild programvara för motsvarande ändamål. Med hjälp av denna kan kunden beställa access till terminalservern/primärminnet. Exemplet syftar till att visa att det är leverantören och inte kunden som kör datorprogrammen i normalfallet. Det kan inte uteslutas att det finns ASP-lösningar med andra konfigurationer och konstruktioner. I normalfallet kan emellertid en leverantör i ett ASP koncept inte låta kunden penetrera leverantörens system och utan kontroll från leverantörens sida ladda upp kopior på olika sätt samt på egen hand göra körningar i leverantörens system. ASP-lösningar är typiskt sett präglade av mycket höga krav på funktionalitet, prestanda, säkerhet, sekretess m.m. och leverantören har det fulla ansvaret för allt detta jämte utfästa servicenivåer. Det finns därför i de allra flesta fall en naturlig och tydlig avgränsning mot kunden, som inte har eller får ha någon egentlig rådighet över leverantörens system. ASP-leverantören är suverän det må vara att kunden vid beställning alltid eller nästan alltid får omedelbar access, men det förutsätter leverantörens godkännande var gång. Detta gäller även om leverantörens godkännande är automatiserat Exemplarframställning Den ovannämnda tekniska bakgrunden är således lämnad i syfte att klarlägga om och i så fall på vilket sätt upphovsrättsligt relevanta åtgärder utförs i ASP-konceptet. De upp- 8

9 hovsrättligt relevanta åtgärderna är exemplarframställning och tillgängliggörande för allmänheten. Enligt direktivet 91/250/EEG av den 14 maj 1991 om rättsligt skydd för datorprogram, det s.k. mjukvarudirektivet, Artikel 4a, är enbart en körning av ett datorprogram inte upphovsrättsligt relevant såvida inte en exemplarframställning åstadkommes p.g.a. körningen. 11 I den ovan givna beskrivningen av ett ASP-koncept är det leverantören och inte kunden som "kör" programmet i terminalservern/primärminnet där all data bearbetas. Kunden kan endast beställa körningen. De bearbetningar som utförs för kundens räkning i ASPleverantörens primärminne innebär således inte att någon exemplarframställning utförs av kunden. Kundens nyttjande av ASP-tjänsten är således inte upphovsrättsligt relevant och regleras inte genom upphovsrättsliga bestämmelser i lag utan i endast, i förekommande fall, genom avtal mellan parterna. I det här beskrivna ASP-konceptet står det klart att kunden inte får tillgång till någon kopia av det datorprogram som kunden behöver för sina bearbetningar. Ur ASP-leverantörens synvinkel är dennes körning upphovsrättsligt relevant i de fall då denne arbetar med inlicensierad programvara. Nedan hänvisas till departementspromemorian Ds 2003:35 (Promemorian), Upphovsrätten i informationssamhället genomförande av direktiv 2001/29/EG (Infodirektivet). Infodirektivet klargör, vilket enligt promemorian avses implementeras i URL, att även en flyktig kopia av ett upphovsrättsligt skyddat verk uppladdat på ett primärminne är upphovsrättsligt relevant. Nu är det emellertid stadgat i Infodirektivet (se Art 1.2 a och b) att detta inte på något sätt skall påverka gemenskapsbestämmelserna om det rättsliga skyddet för datorprogram och databaser. Enligt Artikel 4a i mjukvarudirektivet har rättighetsinnehavaren redan upphovsrättsligt skydd för temporära kopior av datorprogram. Om diskussionen huruvida mjukvarudirektivets ståndpunkt i nämnt hänseende överensstämmer med svensk rätt, se Promemorian s Oavsett om rättighetsinnehavare till datorprogram har ett upphovsrättsligt skydd i sig avseende den tillfälliga kopia som ASP-leverantören laddar upp från filserver/hårddisk till terminalserver/primärminne, har ASP leverantören under alla förhållanden rätt att framställa s.k. bruksexemplar enligt mjukvarudirektivet, som är implementerat i svensk rätt (se URL 26 g ). 12 Under förutsättning att det ligger inom ramen för det avsedda ändamålet för användningen av licensen är således nämnda uppladdning tillåten Tillgängliggörande Tillgängliggörande är spridning, visning eller framförande. Alternativet spridning kan uteslutas direkt när det gäller datorprogram i ASP-konceptet, eftersom spridning förutsätter hantering av exemplar. Kunden erhåller inte något exemplar av datorprogram i ASP-konceptet som ovan nämnts. 11 Se även Rosén, Jan, Swedish Software Law s Rosén, Jan, Upphovsrättens avtal, Norstedts, 2 uppl., s. 208 f. 9

10 Visning kan inte heller bli aktuellt eftersom ASP-leverantören inte exponerar datorprogrammets kod, varken i käll- eller objektkod. 13 Såvitt avser ett möjligt framförande får frågeställningen delas upp. Först skall det vara fråga om tillgängliggörande för "allmänheten". I isolerat perspektiv gäller att när ASP-leverantören levererar ut upphovsrättsligt relevanta resultat (se nedan) till en enda kund "one-to-one" är det knappast fråga om tillgängliggörande till allmänheten. Detta synsätt kan passa in på riktigt stora ASP-projekt; där det endast finns en kund eller ett mycket begränsat antal potentiella kunder. ASP-tjänsten är inte heller tillgänglig för envar på någon webbplats. Distributionen är kringgärdad av hög säkerhet med krypteringslösningar m.m. Tjänsten kan endast sägas vara tillgänglig för allmänheten i den bemärkelsen att de företag som är intresserade och har råd i de allra flesta fall kan köpa ASP-leverantörens tjänst. Detta är nog i de flesta fall inte heller tillräckligt för att uppfylla kriteriet göra tillgängligt för allmänheten, men detta kan givetvis diskuteras. I URL 2 tredje stycket sista meningen finns emellertid en bestämmelse om att framföranden som i förvärvsverksamhet anordnas inför en större sluten krets jämställs med offentliga framföranden (kompletteringsregeln). Se vidare promemorian s om att framförande härvidlag istället skall bedömas som överföring. I de ASP-koncept som omfattar one-to-many lösningar, framför allt på små och medelstora kunder, kan det bli fråga om att tillämpa kompletteringsregeln. Ett tillgängliggöranderesonemang när det gäller ASP torde ofta falla redan på att kriteriet "till allmänheten" inte är uppfyllt. Vad är det då för upphovsrättsligt skyddat objekt som skulle kunna vara föremål för ett upphovsrättsligt relevant framförande. Infodirektivet tar som ovan nämnts inte sikte på datorprogram (och inte heller databaser). Dessutom är det redan konstaterat att något datorprogram som sådant inte framförs i ASP-konceptet. Det skulle kunna tänkas att det finns upphovsrättsligt skydd för det användargränssnitt som ett datorprogram kan generera. De flesta ASP-leverantörer har utarbetat ett eget företagsspecifikt användargränssnitt i någon form. Huruvida detta är upphovsrättligt skyddat eller inte är mindre intressant, eftersom ASP-leverantören har full kontroll över detta (liksom över egenutvecklade datorprogram). Den intressanta frågan är då om en till ASP-leverantören inlicensierad programvara kan generera ett användargränssnitt som är upphovsrättsligt relevant. Detta kan inte uteslutas. Om det i användargränssnittet ingår en illustration eller en text med verkshöjd är den skyddad som konstnärligt eller litterärt verk, även om den säger litet om det bakomliggande programmet. 14 Mer vanliga användargränssnitt torde i sig ha inget eller ringa skydd. 15 Användargränssnitt i allmänhet saknar skydd, rull-menyer och ikoner med mer slentrianmässig utformning och dylikt når inte verkshöjd. Info-direktivet skall således inte påverka bestämmelserna i mjukvarudirektivet och databasdirektivet, se Infodirektivet Art. 1:2 a) och e). 13 Se bl.a. Bryde Andersen, Mads, IT-retten, p 6.3e, s 320, 14 Se IT-retten sid. 362 f. 15 Rosén, Jan, Swedish Software Law, s

11 I det något teoretiska fallet att kunden tar emot projiceringar från ASP-leverantörens terminalserver/primärminne som genererar upphovsrättsligt skyddade verk på kundens skärm på kundens tunna klient kommer frågan upp om kunden gör något som är upphovsrättsligt relevant. Genom Art. 5.1 i Infodirektivet har man bl. a velat säkerställa att webbläsning eller browsing kan ske. Detta gäller under vissa förutsättningar. Användargränssnittet på en tunn klients skärm är en flyktig kopia som enligt Infodirektivets Art. 2 är undantagen från den exklusiva rätten till mångfaldigande om den inte har en självständig ekonomisk betydelse. Det är svårt att tänka sig att en tillfällig bild av ett användargränssnitt skulle ha en självständig ekonomisk betydelse. Detta torde under alla förhållanden innebära en viss lättnad för ASP leverantören i det fall projiceringen av gränssnittet på kundens skärm skulle vara att betrakta som någon form av exemplarframställning (mindre troligt). Art 5.1 gör emellertid inget undantag för rättighetsinnehavarens exklusiva rätt till överföring, se Art 3.1 i Infodirektivet. Om nu projiceringen av gränssnittet är att bedöma som ett framförande eller en överföring krävs en licens från rättighetsinnehavaren för ASP-leverantörens hantering. Däremot är det knappast otillåtet för kunden att betrakta det verk som kan förekomma i gränssnittet. Enligt st 33 i ingressen till Infodirektivet är en användning laglig om den inte är otillåten enligt lag (se Promemorian s 127). Med utgångspunkt i det givna exemplet ovan kan vidare hävdas att kunden inte laddat ner någon kopia eller exemplar gränssnittet projiceras endast på dennes bildskärm. Med en tunn klient har kunden varken arbetsminne för bearbetning eller hårddisk för lagring, utan endast en webbläsare och det allra enklaste operativsystem för kommunikationen Några slutsatser av analysen avseende datorprogram ASP-konceptet innebär således i avtalsrelationen mellan ASP-leverantören och kunden, d.v.s i slutledet, att den sistnämnda aldrig får tillgång till några upphovsrättsligt relevanta kopior av de datorprogram som arbetar i ASP-leverantörens system och att kunden inte heller i övrigt företar några upphovsrättsligt relevanta åtgärder. Detta förutsätter emellertid dels att teknikbeskrivningen ovan är representativ för konceptet och att det inte kan anses att kunden kör programmen i ASP-leverantörens system och därvid skapar exemplar av ifrågavarande datorprogram, dels att den i allmänhet närmaste teoretiska risken för att datorprogrammen ifråga skulle generera upphovsrättsligt relevanta konstnärliga eller litterära verk i användargränssnittet tänks bort. Någon licensavtalsreglering är då inte erforderlig för nämnda slutled; det finns inga lagstadgade hinder för kundföretaget att indirekt förfoga över datorprogrammen enligt baskonceptet såsom det beskrivits ovan. En rättighetsinnehavare till ett datorprogram som licensierats till en ASP-leverantör kan inte annat än i synnerligen speciella fall attackera en kund med stöd av upphovsrättsliga regler. Rättighetsinnehavaren får nöja sig med att angripa ASP-leverantören, och kan gentemot denne åberopa såväl upphovsrättsliga som civilrättsliga grunder. Om det - i ytterligare ett teoretiskt exempel - skulle visa sig att ASP-leverantören inte har någon licens överhuvudtaget (t ex fråga om användning av en s k piratkopia) får rättighetsinnehavaren på motsvarande sätt hålla sig till ASP-leverantören och mot denne rikta en intrångstalan, men enbart på upphovsrättsliga grunder. Det ankommer således endast på ASP-leverantören att tillse att, i den mån tjänsten bygger på licensbaserade datorprogram och inte på 11

12 egenutvecklad programvara, ASP-användningen är täckt i avtalet med rättighetsinnehavarna, se mer härom nedan. På s. 127 i Promemorian tas således frågan om webbläsning upp. Genom artikel 5.1 i Infodirektivet har man bl.a. velat säkerställa att webbläsning (browsing) kan ske. På s. 129 i Promemorian beklagas att artikel 5.1 inte är tillämplig på datorprogram och databaser; här konstateras vidare att [d]et torde emellertid inte vara särskilt vanligt att det uppstår tillfälliga kopior av självständiga datorprogram i samband med webbläsning. Uttalandet är i och för sig relaterat till enskildas webbläsning, men det är välfunnet och passar in på ASP-konceptet; d.v.s. den webbläsning eller browsing som ASP-konceptet bygger på innebär inte att det uppstår någon tillfällig kopia av datorprogram hos (slut-)användaren. Låt oss anta i ett tillspetsat exempel att en ASPleverantör tillhandahåller ett gränssnitt med verkshöjd som emanerar från en piratkopia av ett underliggande datorprogram. Slutanvändarens betraktande av detta gränssnitt är inte upphovsrättsligt relevant. Med stöd av uttalanden på s 127 i Promemorian kan det således konstateras att användaren inte gör sig skyldig till något upphovsrättsintrång så länge som vederbörande endast betraktar verket. Detta konstaterande är av visst intresse för att visa att en kund i ASP konceptet i så många avseenden fjärmas från vad som är upphovsrättsligt relevant Några observationer beträffande marknaden En av Skandinaviens ledande leverantörer av ASP-lösningar till mindre och medelstora företag, Telecomputing Sweden AB (se omnämner till exempel i marknadsföringen på sin hemsida att bolaget tillhandahåller hyreslicenser i ett vad som kallas kontorspaket till kunden med MS(Microsoft)-produkter. Vid en närmare undersökning från juridiska utgångspunkter visar det sig att nämnd tjänst inte innebär att ASP-leverantören hyr ut datorprogram till kundföretaget; det reella förhållandet är att ASP-leverantören hyr programmen från MS varefter ASPleverantören enligt avtal med MS levererar ut datorprogrammet som en tjänst (nyttighet) till kundföretaget, utan att något upphovsrättsligt relevant exemplar överförs i det senare ledet. Detta är för övrigt en lösning som generellt passar rättighetsinnehavare, eftersom det är lättare att kontrollera datorprogrammen hos en stor ASP-leverantör än hos ett mycket stort antal individuella slutanvändare. Risken för olovlig kopiering minskar drastiskt. ASP innebär således i princip ett frångående av licensavtalsmodellen. Ett frångående i den bemärkelsen att kundföretaget istället för att förvärva datorprogramlicenser för egna maskiner istället upphandlar en ASP-tjänst. Jämfört med till exempel outsourcing föreligger inga skillnader just i detta avseende. Avtalsförhandlande och avtalsförfattande parter i slutledet faller lätt in i en licensavtalsterminologi i ett avtal så snart det blir bekant att upphovsrättsligt skyddade datorprogram finns med i bilden; detta händer således trots att de åtgärder som parterna avser att reglera inom ramen för samarbetet aldrig eller sällan blir upphovsrättsligt relevanta. I ASP-konceptet är det fråga om att definiera tjänsten, och parterna behöver efter genomförd analys inte gå in på frågor om nyttjanderätt eller licens till ASPleverantörens programvaror. 12

13 Ett annat konkret exempel på vilka svårigheter bristen på klargörande begrepp i svenska språket kan medföra är när samma företag som ovan i marknadsföringen på sin hemsida upplyser att de levererar applikationer till kunden. Vid en juridisk analys av den närmare beskaffenheten av tjänsten visar det sig att säljbudskapet inte skall förstås som att ett exemplar av ett datorprogram levereras ut till kunden. IT-jurister uppfattar vanligtvis ordet applikation som synonymt med någon form av datorprogram. Här visar det sig att applikationen endast är en viss specificerad tjänst till kunden, som emanerar ur leverantörens system, men där i tjänsten ingående åtgärder saknar upphovsrättslig relevans precis som i det ovan beskrivna baskonceptet. Språkligt sett är användningen av ordet applikation enligt ovan helt korrekt, men för IT- och upphovsrättsjuristen leder den lätt tanken i fel riktning. Den upphovsrättsliga relevansen torde i allmänhet vara mindre intressant för den kommersielle användaren. För de jurister som skall författa avtal omkring denna materia är det emellertid viktigt att kunna passa in avtalstexten i det rättsliga systemet mot bakgrund av en enkel, men för ändamålet tillräcklig och korrekt teknikbeskrivning. I likhet med exemplet om hyreslicenser ovan, står inte alltid det kommersiella språkbruket i dessa sammanhang i samklang med IT-juristens begreppsapparat. I mindre renodlade ASP-tillämpningar kan det förekomma att leverantören tillhandahåller programvaror separat som komplement till ASP-tjänsten. Varje ASP-upplägg måste som ovan nämnts analyseras särskilt, något standardupplägg finns inte. Förekommer leverans av datorprogram från ASP-leverantör till kundföretag i ett vad jag skulle vilja kalla orent ASP-koncept får naturligtvis licensavtalsfrågorna lösas på ett traditionellt sätt i dessa avseenden. Om tjänsten i något avseende skulle tillhandahållas kundföretaget genom s.k. applets blir det också aktuellt med en licensavtalsreglering avseende dessa. En applet är ett litet datorprogram som i allmänhet bör nå verkshöjd och därigenom komma i åtnjutande av upphovsrättsligt skydd. De udda lösningarna behandlas inte närmare i denna artikel Skyddet för sammanställningar (databaser) m.m. I framför allt olika varianter av e-handelskoncept som bygger på ASP-lösningar genereras genom samarbetet mellan ASP-leverantör och kund vanligtvis en synnerligen värdefull databas med kundregister, kundstatistik, kundprofiler m.m. Det är därför av största vikt att analysera denna hantering såväl från upphovsrättsliga som från kontraktuella utgångspunkter. I ASP-konceptet förekommer typiskt sett två slag av verk som är skyddade av upphovsrätt, dels datorprogram (som behandlats ovan), dels sammanställningar eller databaser. En viktig del av ASP-tjänsten torde i de flesta fall vara tillgången till hantering av datalagring, statistik, kundregister och dylikt. Enligt 49 URL har den som framställt en katalog, en tabell eller ett annat dylikt arbete i vilket ett stort antal uppgifter har sammanställts eller vilket är resultatet av en väsentlig investering uteslutande rätt att framställa exemplar av arbetet och göra det tillgängligt för allmänheten. Skyddet gäller i 15 år. Är ett sådant arbete eller del av det föremål för upphovsrätt får också den göras gällande. (Jämför 49 URL = sui generisrätt, och 1 = upphovsrätt.) De omfattande sammanställningar eller databaser som skapas i många ASP-tillämpningar innefattar resultat som åtnjuter skydd enligt nämnda stadgande. Dessa resultat får 13

14 kundföretaget del av inom ramen för det i ASP-avtalet föreskrivna samarbetet och leverans sker givetvis med ASP-leverantörens samtycke. Enligt svensk rätt skapas emellertid sammanställningen externt utanför kundföretaget och av andra än kundföretagets anställda. Detta gör att ASP-leverantören, om inget annat avtalas, medelbart skulle kunna tänkas bli rättighetsinnehavare till dessa sammanställningar enligt databasregeln ovan genom utförande av tjänsten över tiden. Detta är dock mycket osäkert eftersom ASP-leverantören inte gör någon investering i databasen. Det är ju kundföretaget som står för investeringen, som är en av de faktorer som grundar rättigheten enligt databasregeln. Om en ASP-leverantör i ett speciellt fall skulle kunna motivera en rätt till utförda sammanställningar enligt databasregeln, blir kundföretagets användning av dessa också upphovsrättsligt relevanta åtgärder om tillfälliga kopior av sådana sammanställningar till exempel innehåller tillräckligt stor del av dessa för att de skall anses utgöra en kopia av sammanställningen som sådan (se även Promemorian s 129 om webbläsning av databaser). Det finns således anledning att, för säkerhets skull i ett kundperspektiv, i avtalet mellan ASP-leverantör och kundföretag särskilt stadga att rätten till, och i förekommande fall upphovsrätten till, de sammanställningar eller databaser som byggs upp inom ramen för samarbetet enbart och uteslutande tillkommer kunden. Härtill bör läggas bestämmelser om att ASP-leverantören i samband med avtalets upphörande skall vara skyldig att överföra alla data till kundföretaget och att när detta är genomfört förstöra samtliga eventuella kvarvarande exemplar av sammanställningarna. Sekretessbestämmelser och förtydligande avtalsreglering om rätten till företagshemligheter kan ge kundföretaget ytterligare skydd. En ASP-leverantör bör givetvis aldrig ges någon form av rätt att efter avslutat uppdrag exploatera sammanställningar skapade inom ramen för uppdraget. Jämför även vad som ovan nämnts om vikten av att skydda sekretessbelagd information som hanteras eller lagras av ASP-leverantören Vad ASP inte är i jämförelse med licensavtalsmodellen och några pragmatiska lösningar för att öka säkerheten i konceptet ASP kan sägas medföra vissa nackdelar för kunden i jämförelse med den traditionella licensavtalsmodellen. (I jämförelse med outsourcing är situationen i stort sett densamma). Kunden måste lita på leverantören, eftersom kunden inte i alla avseenden har samma skydd som en licenstagare. Vissa tvingande regler kan inte åberopas, källkodsdeposition kan inte utnyttjas på samma sätt och situationen vid en obeståndssituation för leverantören är annorlunda. Detta får då kompenseras genom överlägsenheten i konceptet i andra avseenden, och att stor vikt läggs vid utvärderingen av leverantören och kontraktsregleringen. Då kunden för att kunna använda ASP-tjänsten inte behöver eller ens får tillgång till en kopia av de upphovsrättsligt skyddade datorprogram som ingår i leverantörens system kommer inte de tvingande bestämmelserna i URL 26 g eller 26 h in i bilden såvitt avser kunden i slutledet. Dessa tvingande bestämmelser - som för övrigt är en konsekvens av implementeringen i svensk rätt av mjukvarudirektivet, - blir således inte 14

15 tillämpliga och kunden får inte framställa de (bruks)exemplar av programvaran som krävs för användning inom ramen för programmets avsedda ändamål, göra ändringar i programmet inklusive rättelse av fel som också krävs för användningen, framställa s.k. back-up kopior eller säkerhetsexemplar, utröna programmets gränssnitt eller dekompilera det aktuella programmet under åberopande av de ovannämnda paragraferna i URL. Det avgörande enligt lagtexten (URL 26 g ) är att den som förvärvat rätt att använda ett datorprogram också har rätt att åberopa sig på de ovan nämnda tvingande reglerna som utgör inskränkningar i rättsinnehavarens exklusiva rätt till exemplarframställning. Det avgörande för tillämpningen av nämnda regler är att förvärvet i det enskilda fallet också skall inbegripa en rätt att använda programexemplaret. 16 Dessa kriterier är inte uppfyllda i det i denna artikel givna exemplet på kundföretagets användning i ASP-konceptet. Däremot kan bestämmelserna givetvis bli tillämpliga i första ledet, dvs. i relationen mellan rättighetsinnehavare och ASP-leverantör. P.g.a. att kunden i ASP-konceptet inte erhåller tillgång till programvaran kan kunden följaktligen inte heller utan vidare motivera ett krav på tillgång till källkoden till ASPleverantörens programvaror genom t.ex. källkodsdeposition. 17 Kunden får på kontraktuell väg försöka säkerställa att ASP-leverantören upprätthåller en säker back-up lösning. Här kommer en vanlig avtalsproblematik in i bilden. Det gäller att avtala om var back-up-servrar m.m. ska befinna sig rent fysiskt (kanske på annan ort) samt om det skall vara en transparent back-up-lösning som går kontinuerligt 24 timmar om dygnet och som totalt sett speglar in driften på ordinarie servrar; en dubblerad drift där back-up-servrar snabbt kan kopplas in utan annat än ett obetydligt driftsavbrott. Resultatet av en sådan förhandling beror bland annat på hur affärskritisk den genom ASP utkontrakterade IT-driften är för kundföretaget och i vilken omfattning avbrott kan tålas; allt med hänsyn tagen till i vilken omfattning kundföretaget är berett att ta på sig kostnader för en höjd säkerhet. Innebär då ASP-konceptet, genom att det inte bygger på licensavtalsmodellen, en sämre situation för kunden om leverantören hamnar i en obeståndssituation? En licens står sig enligt doktrinen; enligt Möller uppnår en licenstagare såväl borgenärs som omsättningsskydd redan i och med avtalet. Detta får bland annat till följd att licensgivarens konkursbo inte får säga upp avtalet med licenstagaren och därmed beröva licenstagaren rätten till att nyttja den upplåtna programvaran. Dock behöver inte konkursboet fullgöra positiva biförpliktelser såsom utbildning av personal och tekniskt bistånd. 18 ASP-konceptet i slutledet är, som visats ovan, inte en licens i bemärkelsen en upplåtelse av en nyttjanderätt till en programvara. I allmänt språkbruk kan det vara en slags medelbar nyttjanderätt, men p.g.a. att konceptet inte omfattar tillhandahållandet av ett upphovsrättsligt relevant exemplar är det inte fråga om en sådan nyttjanderätt som ger skydd i obeståndssammanhang. Om en ASP-leverantör går i konkurs och om konkursboet väljer att lägga ned ASP-tjänsten är det i praktiken omöjligt för kundföretaget att fortsätta att bedriva sin affärsverksamhet i den mån den är beroende av nämnda tjänst. Kundföretaget har som nämnts inte ens tillgång till de datorprogram som ligger bakom 16 Rosén, Jan, Upphovsrättens avtal, Norstedts, 2 uppl., s Tuula, Marie, IT-bolagen och de immateriella tillgångarna, Norstedts 2002, s Tuula, a a, s

16 tjänsten. Då återstår sannolikt endast möjligheten för kundföretaget att antingen skaffa en annan ASP-leverantör eller att bygga ett nytt eget system in-house. Det förekommer att kundföretag, som vill höja säkerhetsnivån vid förvärv av affärskritiska tillämpningar av ASP-koncept i större och avancerade projekt, parallellt med ASP-tjänsten köper en licens till leverantörens samtliga datorprogram som ingår i leverantörens system för tillhandahållandet av tjänsten. Syftet med en sådan omfattande licens är enbart att få tillgång till programmens objektkod samt att få en kopia av källkod och erforderlig dokumentation deponerad i ett källkodsdepositionsförfarande. Man kan säga att kunden i dylika fall köper en total licens och sedan återlägger driften på leverantören. I praktiken erhålls ett sedvanligt ASP-koncept, men med tillgång till objektkod och med en källkodsdeposition som en extra säkerhet. I denna artikel kan inte alla aspekter på deposition av programvara och dess hållbarhet i en situation där leverantören inte fullgör sina åtaganden och/eller hamnar i en obeståndssituation belysas. Under alla förhållanden finns utländska rättssystem där kundföretaget/licenstagaren kan vara helt säker på att en källkodsdeposition håller rättsligt även i en obeståndssituation. ASP-uppläggen är inte sällan gränsöverskridande. Bortsett från att en källkodsdeposition enligt svensk rätt kan medföra någon osäkerhet i obeståndssituationer kan värdet av en källkodsdeposition ifrågasättas när det gäller ett avancerat (ASP) system. Vid ett tänkt haveri, oavsett slag, hos en ASP-leverantör där verksamheten inte drivs vidare överhuvudtaget eller där leverantören ligger allt för långt ifrån avtalade servicenivåer m.m. för att det skall vara acceptabelt, skall kunden med utgångspunkt i en källkodsdeposition (i) installera datorprogrammen och implementera systemet in-house på egna maskiner eller (ii) flytta tjänsten till annan leverantör, och få allt att fungera på kort tid, vilket vanligtvis är nödvändigt om det är fråga om att säkra tillgången till en affärskritisk IT-drift. Flyttalternativet är inte helt adekvat om man talar om ASP-leverantörer, eftersom sådana typiskt sett bygger sin verksamhet på egen teknologi. Dessa antydda scenarion är inte okomplicerade. Det är emellertid möjligt att ett väl genomarbetat säkerhetsarrangemang med en total övergripande vilande licens och källkodsdeposition kan ge andra typer av fördelar, till exempel förhandlingsfördelar, som kan utnyttjas i ett kritiskt läge. En liknande problematik kommer upp i traditionella outsourcingsammanhang. En reglering av under vilka former och på vilka avtalade premisser ett affärssamarbete som innefattar utkontraktering av drift skall avslutas antingen driften skall återbördas till kundföretaget självt eller den skall läggas över på en annan (konkurrerande) leverantör och utan att behöva blanda in en obeståndsproblematik är redan ett av de svåraste avsnitten för kunden vid förhandlingen av ett traditionellt outsourcingavtal. Jämför även nedan anförda synpunkter på utformningen av ASP-leverantörens egna licenser i den mån denne inte använder sig av egenutvecklad programvara. En problematik som kommer in i bilden även när det gäller flexibiliteten i en säkerhetslösning med källkodsdeposition. Kanske kan ASP-leverantören fungera som mellanman och förmedla källkodsdepositioner avseende tredjepartsprodukter i den mån sådana kommer in i bilden. 16

17 3.2 Relationen licensgivare ASP-leverantör I den mån ASP-leverantören inte bygger sin verksamhet på egenutvecklade datorprogram föreligger ett antal upphovsrättsliga och civilrättsliga frågeställningar från licensgivares och rättighetsinnehavares synpunkt. Detta är delvis en problematik som även gäller för licensgivare till traditionella outsourcingleverantörer. Det skall framhållas att outsourcing alltjämt är en kraftigt expanderande bransch i sig som bedöms ha en stor potential, som säkert närmar sig ASP i många avseenden. Tanken med denna artikel är emellertid att lyfta fram ASP. ASP-konceptet, såsom det beskrivits ovan, innebär således att en ASP-leverantör kan tillhandahålla tjänster till sin kund utan att det - såvitt avser datorprogram - skall bli fråga om en upphovsrättsligt relevant hantering. Detta innebär att en rättighetsinnehavare till datorprogram vid licensiering till en ASPleverantör kan riskera att se väsentliga delar av sin investering i programutveckling gå om intet på ett oväntat sätt, om och när ASP-leverantören transformerar licensgivarens datorprogram till en nyttighet eller tjänst utan upphovsrättsligt relevanta implikationer i relationen mellan ASP-leverantören och dess kund. Med andra ord, rättighetsinnehavaren och tillika licensgivaren har inget lagstadgat immaterialrättsligt skydd som han utan vidare kan åberopa mot ASP-leverantören som användare och licenstagare, om det kan tolkas in i licensavtalet att det var fråga om användning för ASP-ändamål. Slutsatsen av detta är att endast avtalsvägen återstår för en licensgivare som vill vara på den säkra sidan och skydda sin investering mot en licenstagares användning för ASP-ändamål. Eftersom en tillämpning av ASP-konceptet i vissa fall i slutledet, dvs. i relationen mellan ASP-leverantören och dess kund eller kunder, kan tänkas innefatta ett framförande eller en överföring till allmänheten såvitt avser mer sofistikerade användargränssnitt, skulle en rättighetsinnehavare till ett datorprogram och medelbar rättighetsinnehavare till ett litterärt eller konstnärligt verk som kan återfinnas i användargränssnittet genererat av datorprogrammet ifråga, på upphovsrättslig grund kunna beivra en användning för ASP-ändamål i fall där han kan visa (eventuell bevisbördeproblematik lämnas därhän) att en ASP-användning inte ingick i licensen. En sådan användning av ASP-leverantören skulle då kunna innefatta upphovsrättsintrång med de rättsliga konsekvenser som detta medför.. Licens betyder tillåtelse. Om licensgivaren vid upplåtelsen av licensen är medveten om att licenstagaren skall använda den licensierade produkten i ett ASP-koncept, kan knappast licensgivaren med framgång protestera i efterhand om han upptäcker att hans program fått en så omfattande användning hos licenstagaren att hans potentiella kundbas urholkats i ett vidare perspektiv En förutseende licensgivare bör således på förhand gardera sig för risken av att värdet av hans investering i programvaruutveckling gröps ur genom att i avtalet särskilt värdera licenstagares eventuella användning för ASP ändamål eller dylikt. Om licensgivaren vet att ASP kommer in i bilden prissätter han aktiviteten i avtalet; i övriga fall synes det lämpligt att ta in ett generellt förbud mot att använda det licensierade datorprogrammet för ASP-ändamål. 17

18 Utan att ha gjort någon vetenskaplig studie kan det på goda grunder antas att det finns förbud mot användning av en licens för den aktuella typen av aktiviteter i de flesta licensavtal i marknaden. I ett aktuellt villkor (2002) från en av världens ledande leverantörer av affärssystem återfinns under rubriken License use bland annat följande bestämmelse the software may not be used by Licensee for the purpose of commercial timesharing, service bureau or other [rental or] sharing agreements. Om ASP materiellt sett är en variant av servicebyråtjänster eller time-sharing och om begreppsjurisprudens kan undvikas vid tolkningen (sannolikt utfall vid tillämpning av svensk rätt) har licensgivaren i det nyss nämnda exemplet på avtalsvillkor lyckats undanta licenstagarens användning för ASP-ändamål. Det kan emellertid finnas anledning för licensgivare att vara tydligare än i exemplet och komplettera uppräkningen genom att lägga till ASP, hosting och kanske utility computing i dylika begränsningsbestämmelser. EDEL 98A Allmänna licensvillkor för leverans av programprodukter framtagna av Föreningen Svensk Programvaruindustri SPI och Elektronikindustriföreningen förutsätter att ett licensavtal är tecknat direkt mellan licensgivare och licenstagare, t.ex. via avtalsmallen ASPI 98 ( ASPI har inget med ASP att göra!) som ingår i nämnda organisationers avtalspaket. Såvitt avser svenska allmänna bestämmelser för licensiering av programvaror finns egentligen bara de nämnda licensvillkoren EDEL 98A. Visserligen finns det hänvisningar till bilagor rörande licensobjektets funktion och användarmiljö enligt ASPI 98 formuläret, som skall fyllas i. Om inte någon bestämmelse som reglerar användningen för ASP-ändamål tas med då formuläret fylls i har licensgivaren inget skydd; dock möjligen med ett svårtolkat undantag i p. 4.3, EDEL 98A: Licenstagare får inte upplåta underlicens, uthyra, utlåna eller på annat sätt låta annan än licenstagaren varken direkt eller indirekt, mot eller utan vederlag, disponera eller i övrigt förfoga över licensobjektet på annat sätt som nedan under sägs. Framställning av exemplar av licensobjektet för enskilt bruk är sålunda inte tillåtet lyder: Överlåtelse av samtliga rättigheter enligt detta licensavtal kan endast ske med licensgivarens samtycke. Frågan är således om förenämnd bestämmelse i och för sig, det bortses helt från andra tolkningsdata, förbjuder en licenstagare att nyttja en datorprogramlicens för ASPändamål. Siktar bestämmelsen enbart på upphovsrättsligt relevanta förfoganden eller är den tänkt att träffa alla förfoganden som går att intolka kontraktuellt under dess ordalydelse utan kontakt med upphovsrätten. 19 Klausulen i 4.3 ovan tar i allt väsentligt upp åtgärder som är upphovsrättsligt relevanta. Det ligger nära till hands att tolka andra förfoganden snävt, så snävt att de i det närmaste faller inom den upphovsrättsligt relevanta sfären eller mycket nära densamma. Konsekvenserna av bestämmelsen blir annars i det närmaste omöjliga att förutse. Den kan t.ex. inte rimligen träffa ett förfogande som går ut på att licenstagaren använder datorprogrammet för att till exempel genom ett klassiskt servicebyråkoncept utföra tjänster åt en kund. Beskrivningen av ASP-konceptet ovan där kunden arbetar mot ASPleverantörens gränssnitt on-line och beställer bearbetningar i leverantörens terminalserver/primärminne skulle möjligen kunna vara ett icke upphovsrättsligt 19 Jämför Rosén, Jan, Upphovsrättens avtal, s

19 relevant förfogande som trots allt träffas av bestämmelsen i p. 4.3 p.g.a. att det ligger nära upphovsrättsligt relevanta förfoganden. Den bedömning som utvecklats ovan är emellertid att kundens åtgärd att starta tjänsten, att betrakta ett eventuellt upphovsrättsligt skyddat gränssnitt samt att få sina bearbetningar av indata utförda inte rimligen kan anses vara upphovsrättsligt relevant. Med tanke på den explosionsartade utvecklingen för ASP och utility computing kan det finnas anledning att se över EDEL 98 på denna punkt. Jim E Bullock tar bland annat upp problematiken med att precisera licenstagarens användning i den aktuella artikeln Passing it on - Five basic issues in technology licensing. 20 Under rubriken Access and transferability rights nämner han: A licensor should be careful to balance the permitted use with the access rights it grants or else face creating a much broader license grant than intended. I Sverige har ofta lokutionen för licenstagarens eget bruk använts i licensavtalssammanhang. En sådan enkel formulering torde ge rättighetsinnehavaren ett dåligt skydd mot en ASP-leverantörs planerade bruk av den licensierade programvaran. Bullock för resonemang av denna typ där han jämför ändamålsbestämmelser som business purposes och internal purposes. Den sistnämnda formuleringen skulle eventuellt begränsa användningen av teknologin till licenstagarens anställda. Här kommer givetvis som alltid en sedvanlig avtalstolkningsproblematik in i bilden i det specifika fallet. Det skall tilläggas att Bullocks artikel inte specifikt behandlar ASP. De knapphändiga licensbestämmelserna i Avtal 90 Allmänna bestämmelser, kapitel 10, om Nyttjande av programprodukter hänvisar endast till att nyttjanderätten till programprodukterna skall ske på villkor som anges i avtalet; på intet sätt klargörande när det gäller en eventuell användning för ASP-ändamål. I sammanhanget kan det vara av intresse att notera IT-Företagen uppmärksammat denna problematik från slutanvändarens synpunkt i ett standardvillkor för outsourcing benämnt Allmänna bestämmelser IT Drift; i p sista stycket anges: Leverantören ansvarar för att erforderliga licensavtal finns för Leverantörens programvara. I leverantörens ansvar ligger också att leverantören skall tillförsäkra att sådana licensavtal tillåter att kunden får nyttja driftmiljön (författarens kurs). Sista meningen garderar kunden för att driftsleverantörens licenser inte innehåller begränsningar av det ovan diskuterade slaget avseende tjänsteproduktion i formen av till exempel olika varianter av outsourcing. Bestämmelsen har säkert sin bakgrund i att det är vanligt med bestämmelser i licensavtal av det slaget som redovisats i exemplet ovan avseende villkoret i ett licensavtal för ett affärssystem. Med genombrottet för ASP blir denna bestämmelse allt viktigare och garderar kunden kontraktuellt visavi leverantören. Det är inte ovanligt att svenska ASP-leverantörer bygger sina avtal på Allmänna bestämmelser IT-Drift. 20 American Bar Association, Business Law Today, Volume 12, Number 6, July/August

20 I avtalsförhandlingen mellan rättighetsinnehavare/licensgivare och ASP-leverantörer/licenstagare bör således dessa frågeställningar om den tilltänkta ASP-tillämpningen tas upp och regleras i licensavtalet med målsättningen att uppnå ett för alla inblandade parter fungerande avtal och för att undvika tolkningstvister. 4. SERVICENIVÅAVTAL OCH KOMMUNIKATIONSLÖSNINGAR I ett ASP-avtal är det givetvis från kundföretagets synpunkt viktigt att se till att erforderliga servicenivåavtal finns på plats. Tjänsten måste alltså definieras i termer av servicenivåer. Det kan gälla tillgänglighet, tidsramar för olika typer av support m.m. Härtill är det givetvis viktigt att parterna träffar avtal med en pålitlig och seriös ISP (Internet Service Provider); de flesta stora telekomföretag tillhandahåller avancerade kommunikationslösningar, som till exempel VPN-lösningar eller motsvarande. Driftsstopp p.g.a. att kommunikationen i nätverket inte fungerar är i de flesta affärskritiska tillämpningar något som inte får inträffa. Vad som är särskilt viktigt i detta sammanhang är emellertid att mellan ASP-leverantör och kundföretag reglera ansvaret för kommunikationslösningen dem emellan. Det finns ett antal stora aktörer på den svenska och internationella marknaden som möter den snabba utvecklingen av telekommunikation och den stora efterfrågan på infrastruktur för drift av till exempel ASP-baserade e-handelslösningar. En hel del telekomföretag marknadsför även egna sådana koncept; ibland tillsammans med partners. I de fall ASPleverantören inte själv tillhandahåller kommunikationslösningen får avtal träffas om tillgång till denna facilitet. I sådana avtal gäller att ASP-leverantören och kundföretaget sinsemellan reglerar hur ansvaret för tjänsten skall fördelas fram till de gränssnitt som specificeras gälla vid porten till utvald ISP. Sedan ankommer det på ASPleverantören och kundföretaget att förhandla med ISP:n. Här kommer en hel del intrikata frågeställningar upp som till exempel SLA (Service Level Agreement) för dedicerad access och stamnätstillgänglighet, SLA för fördröjning i stamnät, SLA för paketförluster i stamnät och SLA för installation m.m. Man kan tänka sig att ha en alternativ ISP som leverantör av kommunikationslösning knuten till back-up-centralen för särskilt affärskritiska tillämpningar. Aspekter på bland annat network SLA:s har getts i en artikel av Holly Towle och Alan Buggeman i Computer und Recht International 3/2002. Vad som är slående är de höga krav som kan och bör ställas på ett sådant servicenivåavtal. 5. SLUTORD 20