Aktivační klíč není licence. Jak ověřit původ druhotného softwaru?

Rozhovor s licenčním specialistou Igorem Weinlichem poukazuje na právní rizika nákupu softwarových aktivačních klíčů bez převodové dokumentace a vysvětluje, jak mohou organizace odhalit padělané licence a zajistit plný soulad s předpisy.

Jak poznat legální druhotný software a nenaletět prodejci, který místo licence dodá pouze aktivační klíč? Igor Weinlich, specialista na licencování ve Forscope, popisuje zkušenosti s prověřováním nabídek i dokumentů k převodu licencí. Vysvětluje, jaké nesrovnalosti vás mohou varovat a proč ani věrohodně vypadající dokumentace nemusí být zárukou.

Jak velký problém představuje šedý trh s licencemi a prodej samotných aktivačních klíčů?

Základní problém je už v tom, že zákazník často neumí rozlišit mezi klíčem a licencí. Klíč je kombinace písmen a čísel, která odemkne program. To ale ještě neznamená, že má jeho držitel právo software používat. K tomu potřebuje právní podklad. Uživatel musí být schopen prokázat, že software řádně koupil jako nový, nebo že na něj bylo převedeno právo jej užívat. Právě toto oprávnění je podstatou licence. Pokud zákazník koupí pouze klíč bez doloženého práva užívání, může program technicky odemknout, ale samotný klíč ho k používání neopravňuje.

Zákazník tedy může mít funkční software, ale přesto nemít oprávnění jej používat?

Ano. A riziko spojené s takovým používáním nese koncový zákazník. Samotný prodej klíče je něco jiného než prodej licence, tedy oprávnění software používat. Někteří zákazníci kupující druhotný software jsou uvedeni v omyl, jiní do toho možná jdou vědomě. Často se ale domnívají, že když mají fakturu, mají automaticky i právo software používat. Nejjednodušší podoba tohoto obchodování vypadá tak, že podvodný prodejce nabízí například nejnovější Office 2024 za dolar, euro nebo třeba dvě stě korun. K tomu výslovně uvádí, že prodává klíč, případně pojmy „klíč“ a „licence“ kombinuje.

V případě zákazníků mluvíme o soukromých uživatelích, nebo také o firmách?

O obou těchto skupinách. Rozdíl je hlavně ve vnímání rizika. Firmy mají větší obavy z toho, že někdo přijde na audit a bude kontrolovat, zda software používají legálně. Popravdě, u soukromého uživatele je riziko, že k němu někdo přijde domů kontrolovat software na jeho počítači, spíš teoretické. U firem je riziko větší. Zároveň tam vzniká otázka, kdo za nákup a používání odpovídá – zda pracovník IT, který software pořídil, člověk, který nákup schválil či zaplatil, nebo firma jako celek.

Soustředí se prodej problematických klíčů jen na levné nabídky na internetu, nebo se jedná i o větší obchody?

Dostává se už i do veřejných zakázek. Setkali jsme se s tím, že prodejci ke klíči vytvářejí falešnou dokumentaci. Na začátku mají klíč a k němu si dodatečně vymyslí podklady, které mají vzbudit dojem, že jde o řádnou licenci. Následně produkt prodávají jako použitý software s doloženým řetězcem převodů. Tento řetězec si buď vymyslí, nebo mají několik firem, přes které jej přeprodají, aby nějaký řetězec existoval. Ceny jsou samozřejmě velmi nízké.

Je obtížné takovou zfalšovanou dokumentaci odhalit?

Oprávněnost převodu se dokládá dokumenty. Jenže paradoxně právě u skutečných druhotných licencí může být obtížné získat originály, protože od prvního nákupu uplynula řada let. Můžete například prodávat licence, které byly původně pořízeny jako Office 2016, ale protože si zákazník platil za průběžnou aktualizaci v rámci tzv. Software Assurance, má dnes právo na nejnovější verzi Office 2024. Původní doklad z roku 2016 už přitom nemusí mít, protože dokumenty o nákupu deset let neskladoval. Při dokládání legálního původu se proto pracuje také s kopiemi nebo výpisy z různých portálů.

Jaké další komplikace provázejí prodej druhotných licencí?

Prodejce, který dokumentaci falšuje, si dnes může snadno vytvořit na pohled dokonalý dokument. Je barevný, úhledný a působí jako originál. Vzhled dokumentu ale sám o sobě nic nevypovídá o tom, zda je jeho obsah pravdivý. Kupujícímu často stačí, že dostane dokumenty, a věří tomu, co je v nich napsáno. Už ale nezvedne telefon a nezavolá původní firmě, aby si ověřil, zda skutečně prodala daný počet licencí dalšímu subjektu. Problém tedy není jen v tom, zda dokumentace existuje. Je potřeba ověřit, zda odpovídá skutečnosti. To se často neděje.

Odkud vlastně klíče na šedém trhu pocházejí? Jsou to skutečné klíče ke konkrétnímu softwaru, nebo jsou to jakési zfalšované „paklíče“?

Na internetu se dají klíče získat z různých zdrojů. Pro pochopení je ale potřeba vysvětlit, jak fungují multilicence. My prodáváme trvalé licence z multilicenčních programů, u kterých může jeden klíč aktivovat například tisíc zařízení. Nemáte tedy tisíc unikátních klíčů, ale jeden společný klíč. Nelegální klíče lze koupit například v Číně, na eBay nebo jinde. Mohou být různého typu a umožňovat třeba několik set aktivací. Prodejcům samotných klíčů to pro jejich obchodování stačí.

Počet aktivací tedy nemusí odpovídat počtu licencí, které zákazník skutečně vlastní?

Samotná aktivace není dokladem práva software používat. Klíč může mít například tři sta až pět set aktivací. Po jejich vyčerpání výrobce softwaru buď přidá další, nebo se klíč vymění. I my můžeme zákazníkovi dodat jiný klíč, pokud se možnosti aktivace původního klíče vyčerpají. To ale nemění právní základ používání softwaru.

Přirovnal bych to k autu. Když ztratíte klíč nebo se opotřebuje, necháte si vyrobit nový. S ním auto zase otevřete a nastartujete. Klíč ale sám o sobě nedokládá, že máte právo auto používat. Při kontrole také nestačí ukázat, že pasuje do zapalování. Potřebujete příslušné doklady.

 Jak z takového klíče podvodní prodejci vytvářejí nabídku údajně řádné licence?

K testovacím či ukradeným klíčům nebo ke klíčům pocházejícím z Číny či jiných zemí mimo Evropskou unii doplní padělanou dokumentaci, která má dokládat evropský původ licence. Potom je prodávají jako druhotný software. Někteří jdou ještě dál a tvrdí, že prodávají nový software. Argumentují tím, že licence sice už někdo koupil, ale software ještě nenainstaloval. To je z právního hlediska nesmysl. Rozhodující je, že někdo koupil právo software používat a nyní toto právo převádí dál. To, zda byl software někdy nainstalován nebo aktivován, není pro rozlišení nového a druhotného softwaru podstatné.

Co zákazníkovi dodají, když tvrdí, že jde o nový software?

 Někdy jen fakturu. S tím se často setkáváme například v Polsku. Když nový nabyvatel požaduje dokumentaci, prodejce mu odpoví: „Jsou to nové licence. Tady máte fakturu, ta vám stačí.“

Zmiňoval jste, že problém podvodných licencí se týká i veřejných zakázek. Z čeho tak usuzujete?

Obracíme se na veřejné instituce s žádostmi podle zákona č. 106 o svobodném přístupu k informacím. Tam, kde jsme měli podezření na problém, se ptáme, co jim bylo dodáno a jak to zkontrolovali. Odpovědi bývají někdy dost vágní. V jednom případě jsme ale přímo ve zveřejněné smlouvě našli údaj, že instituce nakoupila Office 2024 Standard z programu Enterprise Agreement. Upozornili jsme tedy, že Office 2024 Standard se v tomto programu vůbec nenabízel a že v Enterprise Agreement bylo možné koupit pouze nejvyšší edici, tedy Professional Plus.

Jak instituce na upozornění reagovala?

Nejdřív to neřešila. Teprve když jsme se jim problém snažili přiblížit na jednoduchém příkladu, že je to podobné, jako kdyby koupili byt v desátém patře domu, který má jen pět pater, začali situaci řešit s dodavatelem. Poslední odpověď, kterou jsme dostali, byla, že jednání s ním pokračuje. Šlo přitom přibližně o dva a půl milionu korun zaplacených za něco, co v uvedené podobě neexistuje.

 Předpokládám, že na straně kupujícího šlo spíš o důvěřivost nebo neznalost než o záměr.

Mohla to být neznalost, ale pracovník IT by podle mě měl tyto základní věci vědět, zvlášť pokud má na starosti IT celé instituce.

Jak lze problematickou nabídku poznat? Co by měl zákazník zkontrolovat?

Ve Forscope postupujeme tak, že potřebujeme vidět dokumenty. Když je máme k dispozici, dokážeme v nich najít chyby. Náš kolega, který má na starosti výkup, ví, jak mají podklady vypadat, jaká čísla dávají smysl a jak jsou označovány jednotlivé licenční smlouvy. Běžný zákazník, který takovou dokumentaci vidí poprvé, má mnohem menší šanci nesrovnalosti odhalit. Některé chyby ale lze poznat i bez hlubší znalosti licencování. Třeba když je v dokumentech uvedeno, že někdo koupil Office 2024 už v roce 2022, kdy tento produkt ještě neexistoval. V podkladech k jedné veřejné zakázce jsme zase našli převod licencí na firmu v době, kdy ještě nebyla založena.

Máte zdokumentované i jiné příklady?

Občas dělám nákup podezřelého softwaru, na kterém pak školím naše obchodníky. Ti totiž někdy přijdou s tím, že někdo nabízí stejný produkt jako my, ale za poloviční cenu. Řeknu jim: „Dobře, pojďme se podívat, co skutečně prodává.“ Poptám takový produkt a koupím licenci. Zajímám se samozřejmě i o to, jaké všechny podklady obdržím. Někdy přitom už z odpovědí vyplývá, že prodejce neví, co prodává. To, co píše, neodpovídá možnostem daného licenčního programu. Někdy mám také dojem, že v chatu odpovídá robot. Tyto firmy často tvoří jediný člověk. Riziko takového „podnikání“ se tím minimalizuje.

Co reálně hrozí zákazníkovi, který si problematický klíč koupí a začne software používat? A jaká je odpovědnost prodejce?

Rozlišoval bych dvě situace. Pokud někdo otevřeně prodává pouze klíč a zákazník si koupí klíč, podle mě prodejci příliš mnoho nehrozí. Pokud ale nabízí licenci a místo ní dodá pouze klíč s falešnou dokumentací, už bych v tom viděl podvod. Zákazníka totiž uvádí v omyl tím, že mu předkládá dokumentaci jako doklad legálního původu.

Dostáváme se ale k otázce, komu vznikla škoda a v jaké výši. Ta na jedné straně vzniká tomu, kdo si takový software koupil, a jednak jeho výrobci, který však nemusí být motivován takovou škodu vymáhat.

Prodejci problematických klíčů, kteří se účastní veřejných zakázek, tedy vystupují jako běžné firmy?

Ano. Jsou to normálně založené společnosti, často s jedním jednatelem. Ten může mít další dvě nebo tři firmy, přes které vytvoří řetězec převodů. Potom se přihlásí do výběrového řízení a soutěží jako kterýkoliv jiný dodavatel.

Co má následovat, pokud dokumenty na první pohled vypadají věrohodně?

 Stále platí, že je potřeba ověřit jejich obsah. Pokud je v dokumentaci uveden dodavatel, můžete ho kontaktovat telefonicky nebo e-mailem a zeptat se, zda číslo faktury a uvedený produkt skutečně souhlasí. Samozřejmě vám může odpovědět, že jde o obchodní tajemství.

Jak Forscope ověřuje legálnost vlastních licencí? Jak postupujete?

Přesně tak, jak jsem nyní popsal. Prověřujeme naše dodavatele a ověřujeme řetězec převodů. Voláme jednotlivým firmám a zjišťujeme, zda uvedené licenční smlouvy skutečně existovaly. Kontrolu provádíme předem. Případně zapojíme auditora, který licence prověří a vypracuje k nim zprávu.

Popsali jsme, jak fungují „klíčníci“, kteří fakticky nabízejí nelegální zboží. Jak naopak vypadá obchodování s řádně doloženými druhotnými licencemi?

Firmy, které licence vykupují, pořádají aukce. Vykoupí licence z určité smlouvy a potom nabízejí jednotlivé balíky softwaru. Do aukce se můžete přihlásit a licence koupit. Je tedy vidět, kdo se těchto aukcí účastní a kdo nakupuje. V rámci EU je velkým zdrojem druhotných licencí Německo. I my, kromě přímého výkupu, nakupujeme od německých partnerů.

 Pokud firma zjistí, že koupila problematický software, lze ho dodatečně zlegalizovat?

 Ne. Padělanou kabelku také dodatečně nezlegalizujete.