Licence za softver otvorenog koda prema holandskom i zakonodavstvu EU

Gotovo svaki komercijalni softverski proizvod sadrži komponente otvorenog koda, obično stotine, koje biraju programeri, a ne advokati. To postaje problem kada niko ne može reći koje licence se primjenjuju, šta zahtijevaju i da li je proizvod u skladu s propisima. Ovaj članak objašnjava kako licence otvorenog koda funkcionišu prema holandskom i EU zakonodavstvu, gdje leži rizik i šta treba imati na snazi.

Šta je licenca otvorenog koda, u pravnom smislu

Licenca otvorenog koda je licenca za autorska prava dodijeljena pod određenim uslovima. To nije odricanje, niti posvećenost javnom domenu, niti odricanje od prava, i u tom smislu funkcioniše kao i svaka druga softverska licenca prema holandskom zakonu . Autor zadržava autorska prava prema članu 1 Aw i članu 10 Aw, koji štite računarske programe kao djela, a licenca dozvoljava radnje koje bi inače kršile isključiva prava prema članu 12 Aw i članu 13 Aw.

Posljedica je važnija od definicije. Pridržavajte se pravila i vaše kopiranje i distribucija su zakoniti. Ne pridržavajte se pravila, i dozvola ne pokriva ono što ste učinili: vaša upotreba je kršenje autorskih prava, a ne kršenje ugovora. Većina copyleft licenci ovo pojačava automatskim prekidom u slučaju kršenja - GPLv2 bez ikakvog perioda ispravljanja, dok GPLv3 i AGPLv3 vraćaju prava ako se kršenje ispravi u određenom roku nakon obavještenja.

Holandski sudovi primjenjuju ovo obrazloženje. U predmetu Rb. Amsterdam 22. septembra 2020. godine, ECLI:NL:RBAMS:2020:4717, distributer koji je uklonio tekst licence i obavještenje o autorskim pravima iz proširene baze koda proglašen je gubitkom dozvole i kršenjem autorskih prava. Dodavanje velike količine novog koda nije stvorilo nezavisno djelo: original je ostao prepoznatljivo prisutan, tako da su obaveze išle s njim.

Dvije porodice: permisivna i copyleft

Dozvolne licence — MIT, BSD licence, Apache 2.0 — dozvoljavaju korištenje, modifikaciju i redistribuciju, uključujući i unutar proizvoda zatvorenog koda, pod uslovom da sačuvate obavještenja o autorskim pravima i tekst licence.

Copyleft licence zahtijevaju da kada distribuirate softver ili nešto što je izgrađeno na njemu, to činite pod istom licencom i da odgovarajući izvorni kod učinite dostupnim. Razlikuju se po dosegu.

Okidač copylefta i pitanje linkovanja

Obaveze autorskog prava se odnose na distribuciju, a ne na upotrebu. Kompanija koja interno koristi GPL softver, ma koliko bio jako modificiran, ne distribuira ništa i ne duguje ništa. "Jesmo li distribuirali?" je uvijek prvo pitanje i zato su kontejneri, uređaji, firmver i SDK-ovi važniji od internih alata.

Drugo pitanje je teže. GPL govori o „djelu zasnovanom na Programu“, posuđujući američki koncept izvedenog djela. Holandski zakon nema takav termin: analiza prolazi kroz prava reprodukcije i adaptacije, pitajući da li je reprodukovan zaštićeni izraz iz originala.

Praktični slučaj je povezivanje. Holandski sud nikada nije odlučio da li povezivanje vlasničkog modula sa GPL bibliotekom stvara jedno djelo koje podliježe copyleftu, a ne postoji obavezujući autoritet EU. Stav Fondacije za slobodni softver (Free Software Foundation) da povezivanje stvara kombinovano djelo je tumačenje upravitelja licence, a ne zakon, a suprotno mišljenje je podjednako neprovjereno. Omiljeni odgovor interneta - dinamičko povezivanje je sigurno, statičko povezivanje nije - nema osnovu u holandskom zakonu o autorskim pravima, koji ne pita kako se kompajler ponaša. Odbranjivija analiza pita koliko su komponente intimno kombinovane: da li dijele adresni prostor i strukture podataka, da li se kombinacija isporučuje kao jedan proizvod, da li može funkcionisati samostalno, da li vlasnička strana reprodukuje zaglavlja, makroe ili inline kod sa copyleft strane? Ta pitanja obično rješavaju rizik. Tamo gdje to ne čine, izolujte komponentu iza granice procesa, zamijenite je ili uzmite komercijalnu licencu.

AGPL i korištenje mreže

AGPL postoji jer se copyleft aktivira distribucijom, a SaaS provajderi ne distribuiraju. Njegova mrežna klauzula zahtijeva da, ako modificirate softver i učinite ga dostupnim korisnicima koji s njim komuniciraju na daljinu, ponudite im odgovarajući izvorni kod vaše modificirane verzije.

Tri tačke se često previđaju. Obaveza se odnosi na korisnike usluge, što u proizvodu s otvorenom registracijom nije velika utjeha. Pokreće se modifikacijom, tako da je nemodificirana komponenta ne aktivira, ali zakrpljena verzija može. I postavlja isto pitanje kombinovanog rada kao i GPL za ostatak vašeg stacka - zbog čega mnoge kompanije zabranjuju AGPL u produkcijskom kodu.

Kompatibilnost licenci

Kompatibilnost je problem kombinovanja komponenti čije licence nameću obaveze koje se ne mogu ispuniti u jednoj distribuciji: permisivne licence su kompatibilne sa gotovo svime, a copyleft licence samo sa onim što njihovi vlastiti uslovi dozvoljavaju. Standardni slučaj je Apache 2.0 i GPLv2. Apache Software Foundation i Free Software Foundation se slažu da kombinacija nije dozvoljena, jer su odredbe o raskidu patenta i obeštećenju Apache 2.0 dodatna ograničenja koja GPLv2 ne dozvoljava. GPLv3 je napisan da ih prihvati. Kompatibilnost je također usmjerena: Apache kod se može apsorbovati u GPLv3 projekat, ali ne i obrnuto. Jedna GPL komponenta na pogrešnom mjestu može nametnuti izbor između ponovnog licenciranja, reinženjeringa ili uklanjanja - mnogo jeftinije prije objavljivanja nego poslije.

Obaveze pripisivanja i obavještavanja

Najčešće kršene obaveze su najmanje dramatične: reprodukcija obavještenja o autorskim pravima, tekstova licenci, odricanja odgovornosti i, pod Apache 2.0, sadržaja NOTICE u materijalima koji prate distribuciju. Svaka porodica ih nameće, uključujući MIT i BSD. Krše se jer ih niko ne posjeduje i najlakše ih je popraviti - obično se generira datoteka atribucije koja se isporučuje s proizvodom. Gore navedeni holandski slučaj pokazao je upravo ovaj neuspjeh.

Dodjela patenata i odmazda za patente

MIT i BSD ne govore ništa o patentima, a pitanje da li se patentna licenca može podrazumijevati nije riješeno. Apache 2.0 je dodao izričitu, patentnu licencu bez tantijema od svakog saradnika, uparenu s klauzulom o odmazdi: pokrenite patentni spor u kojem se tvrdi da djelo krši patent i vaša patentna licenca prestaje važiti. GPLv3 sadrži uporedivu dodjelu i vlastite patentne odredbe.

Dvije implikacije za kompanije s patentnim portfolijima. Ako vaši inženjeri doprinose projektima licenciranim pod Apache ili GPLv3 licencom, dodjeljujete licence pod vlastitim patentima. A ako ikada zatražite patente od kompanije koja zavisi od istih komponenti licenciranih pod Apache licencom koje koristite, odmazda vas može koštati licence na koju se oslanjate.

EUPL i holandski javni sektor

Javna licenca Evropske unije verzija 1.2, koju je Evropska komisija odobrila provedbenom odlukom u maju 2017. godine, je copyleft licenca odobrena od strane OSI-ja sa tri karakteristične karakteristike.

• Jezik. Postoji na službenim jezicima EU, sve odobrene verzije imaju istu vrijednost, tako da holandski organ vlasti može sklapati ugovore na holandskom jeziku.
• Kompatibilnost. Dodatak navodi kompatibilne licence - među njima GPLv2 i v3, AGPLv3, LGPL, MPL 2, EPL 1.0, OSL i CeCILL - i dozvoljava da se izvedeno djelo koje kombinuje EUPL kod s kodom pod navedenom licencom distribuira pod tom licencom.
• Dosegni. Njegova definicija distribucije obuhvata omogućavanje dostupnosti djela online ili offline. ili omogućavanje pristupa njegovim osnovnim funkcionalnostima, i član 5 EUPL-a prenosi obavezu autorskog prava na udaljenu interakciju u kojoj se nudi ista ta funkcionalnost. Stoga se to odnosi na softver isporučen kao usluga, na način na koji to GPL ne čini.

Holandski kupac iz javnog sektora može zahtijevati EUPL kao pitanje politike, a ne zakona. Zakon o interoperabilnoj Evropi, Uredba (EU) 2024/903, nalaže tijelima javnog sektora da daju prioritet rješenjima interoperabilnosti bez restriktivnih uslova licenciranja, kao što je otvoreni kod, gdje je ekvivalentno; na nacionalnom nivou, princip otvorenog koda, tenzij, počiva na odlukama kabineta i političkim linijama, a ne na zakonu: Wet digitale overheid olakšava infrastrukturu digitalnog identiteta, ali ne nameće nikakvu obavezu objavljivanja cjelokupnog izvornog koda. Pročitajte tendersku dokumentaciju: zahtjev EUPL-a obavezuje vašu isporuku i može biti nekompatibilan s vlasničkim kodom koji ste namjeravali ponovo koristiti.

Provođenje u praksi

Ko može tužiti. Nosilac prava - pojedinačni saradnici ili fondacija ili kompanija koja posjeduje dodijeljena autorska prava. Fragmentirano autorstvo je praktična kočnica: podnosilac zahtjeva mora dokazati vlasništvo nad spornim kodom. Time je poražen najpoznatiji evropski GPL slučaj, gdje je tužba programera kernela protiv dobavljača virtualizacije odbijena zbog nedostatka dokaza o autorstvu (LG Hamburg 8. jula 2016., 310 O 89/15; potvrđeno OLG Hamburg 28. februara 2019., 5 U 146/16).

Šta utvrđuje sudska praksa. Njemački sudovi su više puta prihvatili da su licence otvorenog koda važeće i da kršenje čini distribuciju nezakonitom, počevši od prve GPL zabrane (LG München I 19. maj 2004., 21 O 6123/04). Američki Federalni okružni sud došao je do istog zaključka u predmetu Jacobsen protiv Katzera , 535 F.3d 1373 (Fed. Cir. 2008): uslovi licence su uslovi o obimu dodjele, a ne samo ugovori, tako da kršenje podržava tužbu za autorska prava i zabranu. Američki parnični postupak istražuje da li nizvodni primalac može sprovoditi GPL kao korisnik treće strane. To je centralno pitanje u predmetu Software Freedom Conservancy protiv Vizio pred Višim sudom Kalifornije: da li potrošači, kao korisnici treće strane, mogu zahtijevati objavljivanje izvornog koda pod GPLv2. Dana 23. decembra 2025. godine, sud je odlučio o jednoj tački skraćenog postupka, utvrdivši da GPLv2 i LGPLv2.1 zahtijevaju izvorni kod koji se može dobiti i preraditi za upotrebu negdje drugdje, a ne izvorni kod koji se može ponovo instalirati na uređaj sa netaknutom funkcionalnošću. Samo pitanje korisnika treće strane ostavljeno je za suđenje pred sudom, koje je više puta odgađano. U svakom slučaju, to je pitanje kalifornijskog ugovornog prava, tako da ne obavezuje Holandiju; ono što bi promijenilo je broj ljudi koji mogu podnijeti žalbu.

Kako bi holandski sud pristupio ovome. Kao kršenje autorskih prava prema Auteurswet-u: tužilac dokazuje vlasništvo i reprodukciju ili komunikaciju; tuženi pokreće pitanje licence; tužilac odgovara da njegovi uslovi nisu ispunjeni, tako da odbrana ne uspijeva. Ugovorni pravni lijekovi prema članu 6:265 BW teku paralelno, ali autorsko pravo je jači put.

Pravni lijekovi. Sudska zabrana prema članu 3:296 BW, obično s plaćanjem novčane kazne i dostupna u skraćenom postupku; odšteta prema članu 27 Aw i obračun dobiti prema članu 27a Aw; opoziv, predaja ili uništenje prema članu 28 Aw; i potpuni povrat razumnih i proporcionalnih sudskih troškova prema članu 1019h Rv. U slučajevima kada je softver distribuiran besplatno, gubitak je teško kvantificirati, a njemački žalbeni sud odbio je dosuditi odštetu, a potvrdio je sudsku zabranu (OLG Hamm 13. juni 2017., 4 U 72/16). Ono što rijetko grize je šteta: to je sudska zabrana, opoziv, nalog o troškovima i obaveza objavljivanja izvora koji nikada niste namjeravali objaviti.

Kada otkrijete problem sa usklađenošću

Otkriće obično dolazi putem sigurnosnog upitnika kupca, skeniranja tokom dubinske analize ili pisma nosioca prava. Sanacija se zatim odvija na sljedeći način. Zaustavite distribuciju pogođene verzije ako je izloženost ozbiljna. Utvrdite koja komponenta, koja verzija, koja licenca, koji proizvodi i izdanja, tokom kojeg perioda. Utvrdite šta licenca zapravo zahtijeva - često datoteku s podacima o izvornom kodu, a ne izdanje izvornog koda. Pripremite artefakte: obavještenja, tekstove licence, kompletan odgovarajući izvorni kod, uključujući skripte za izgradnju, i pisanu ponudu gdje je korišten. Pošaljite izdanje koje je u skladu s propisima, a zatim obavijestite nosioca prava šta ste uradili umjesto da se raspravljate o tome da li ste morali.

Prema GPLv3 i AGPLv3, period za ispravljanje grešaka daje brzini pravnu vrijednost; prema GPLv2 ne postoji pravo na ispravljanje grešaka, zbog čega se većina provođenja zakona završava pregovaračkim sporazumom o usklađenosti. Također imajte na umu da se privilegija odnosi na savjet vašeg advokata, a ne na interni inženjerski izvještaj.

Otvoreni kod u spajanjima i akvizicijama i due diligence-u

Prilikom akvizicije softvera, otvoreni kod je standardni tok analize, a neotkrivena komponenta autorskog koda u osnovnom proizvodu je jedno od rijetkih otkrića koja zaista pokreću posao: ako se proizvod ne može distribuirati bez objavljivanja izvornog koda, kupac stiče drugačiju imovinu od one po kojoj je određena cijena.

Očekujte skeniranje baze koda, inventar komponenti s licencama i pitanja o aranžmanima između saradnika i izvođača radova. Tipični ishodi su specifična odšteta, zadržavanje do otklanjanja nedostataka, prethodni uslov koji zahtijeva uklanjanje ili prilagođena garancija otvorenog koda. Prodavci bi trebali prvo skenirati: nalazi koje otkrijete su pregovori, nalazi koje napravi savjetnik kupca su prednost. Kupci ne bi trebali tražiti da „kompanija posjeduje svoje intelektualno vlasništvo“, već izjavu da nijedan proizvod ne uključuje otvoreni kod koji zahtijeva otkrivanje vlasničkog izvornog koda.

Popis materijala, skeniranje i Zakon o kibernetičkoj otpornosti

Popis softverskih materijala je popis komponenti proizvoda, s verzijama i licencama. Do nedavno je bio isključivo ugovorni, a sada je i regulatorni.

Zakon o kibernetičkoj otpornosti, Uredba (EU) 2024/2847, stupio je na snagu 10. decembra 2024. godine i postepeno se uvodi. Nadovezuje se na holandski Zakon o kibernetičkoj sigurnosti , koji se odnosi na organizaciju, a ne na proizvod. Obaveze izvještavanja o aktivno iskorištenim ranjivostima i ozbiljnim incidentima iz člana 14 CRA primjenjuju se od 11. septembra 2026. godine; odredbe o obavještavanju tijela za ocjenjivanje usklađenosti od 11. juna 2026. godine; Uredba u cijelosti od 11. decembra 2027. godine (član 71 CRA). Aneks I CRA zahtijeva od proizvođača da identificiraju i dokumentiraju komponente u proizvodu, uključujući i izradu softverskog popisa materijala u uobičajeno korištenom i mašinski čitljivom formatu koji pokriva barem najviše zavisnosti. Nije potrebno objavljivati; organi za nadzor tržišta mogu to zatražiti.

Besplatni softver otvorenog koda koji se isporučuje izvan komercijalne aktivnosti ne spada u nadležnost CRA. Uredba uvodi upravitelja softvera otvorenog koda - pravnu osobu koja pruža kontinuiranu podršku razvoju softvera otvorenog koda namijenjenog za komercijalne aktivnosti - s lakšim obavezama u članu 24 CRA: dokumentirana politika kibernetičke sigurnosti, saradnja s tijelima za nadzor tržišta i izvještavanje. Ako komercijalizirate otvoreni kod ili finansirate projekt koji drugi komercijaliziraju, utvrdite koju ulogu zauzimate. Komisija je usvojila svoje prve smjernice 27. jula 2026.: smjernice Komisije o primjeni Zakona o kibernetičkoj otpornosti (CRA), priložene komunikaciji C(2026) 5252, koje se, između ostalog, bave kada besplatni softver otvorenog koda spada u područje primjene. Nije usvojen nijedan provedbeni akt kojim se propisuje format za popis materijala za softver, tako da vlastiti standard Uredbe - uobičajeno korišteni, strojno čitljivi format - ostaje mjera za sada.

Analiza sastava softvera pokrenuta u CI generira inventar koji istovremeno služi za provjeru usklađenosti, pregled licence i dubinsku analizu. Takvi alati propuštaju kod dobavljača, pogrešno identificiraju projekte s dvostrukom licencom i ne mogu pročitati uvjete licence: tretiraju izlaz kao početak pregleda, a ne sam pregled.

Ako objavljujete vlastiti kod: CLA i DCO

Kompanija koja objavljuje kod i prihvata vanjske doprinose mora znati da ima prava na ono što spaja. Ugovor o licenci za saradnika je ugovor između projekta i saradnika, koji obično daje široku licencu za autorska prava i izričitu patentnu licencu, s garancijama originalnosti i autoriteta. To je ono što omogućava kompaniji da kasnije relicencira svoj projekat ili ponudi komercijalne licence uz licencu otvorenog koda. Njegova cijena je trenje.

Certifikat o porijeklu razvojnog inženjera , koji koristi Linux kernel i mnogi drugi projekti, nije licenca, već jednostavna potvrda, dodana kao linija za potpisivanje svakom commitu, da saradnik može poslati kod pod licencom projekta. Manje opterećujuće i manje zaštitno: nema patentne licence, nema ponovnog licenciranja.

Ako je dvostruko licenciranje ili buduće korištenje licence moguće, koristite CLA; ako je projekat zaista zajedničko dobro, DCO je obično dovoljan. U svakom slučaju, provjerite da vaši ugovori o radu i ugovori o izvođaču radova dodjeljuju autorska prava na kod koji vaši ljudi pišu.

Praktična kontrolna lista politika

• Generirajte inventar komponenti po proizvodu i objavite ih u procesu izgradnje, a ne ručno.
• Objavite internu politiku: listu dozvoljenog, listu zabranjenog i postupak odobravanja za sve ostalo.
• Pismeno definirajte šta se smatra distribucijom - lokalne instalacije, uređaji, kontejneri, SDK-ovi, mobilne aplikacije, firmver.
• Uz svaki proizvod pošaljite generiranu datoteku s atribucijom.
• Odobrite izbore licenci u vrijeme dizajniranja, kada je komponenta odabrana, a ne prilikom objavljivanja.
• Odlučite da li doprinosi vanjskim projektima zahtijevaju odobrenje, s obzirom na uključene patentne dodjele, i odaberite CLA ili DCO prije prvog vanjskog doprinosa.
• Uskladite garancije za intelektualno vlasništvo, odštete i uvjete escrow računa s otvorenim kodom koji se zapravo nalazi u proizvodu.
• Pregledajte prije procesa prikupljanja sredstava ili prodaje, a ne tokom njega.

Law & More savjetuje softverske kompanije i njihove investitore od Eindhoven i Amsterdam o usklađenosti s otvorenim kodom, pregledu licenci, aranžmanima s suradnicima i toku rada s otvorenim kodom u transakciji.