Lesen perisian sumber terbuka di bawah undang-undang Belanda dan EU

Hampir setiap produk perisian komersial mengandungi komponen sumber terbuka, biasanya beratus-ratus, yang dipilih oleh pembangun dan bukannya peguam. Ini menjadi masalah apabila tiada siapa yang boleh menyatakan lesen mana yang terpakai, apa yang diperlukan dan sama ada produk itu mematuhi peraturan. Artikel ini menerangkan cara lesen sumber terbuka berfungsi di bawah undang-undang Belanda dan EU, di mana risikonya terletak, dan apa yang perlu ada.

Apakah lesen sumber terbuka, dari segi undang-undang

Lesen sumber terbuka ialah lesen hak cipta yang diberikan tertakluk kepada syarat-syarat. Ia bukanlah pengecualian, bukan dedikasi kepada domain awam, bukan pengabaian hak. Pencipta mengekalkan hak cipta di bawah art. 1 Aw dan art. 10 Aw, yang melindungi program komputer sebagai karya, dan lesen tersebut membenarkan tindakan yang sebaliknya akan melanggar hak eksklusif di bawah art. 12 Aw dan art. 13 Aw.

Akibat lebih penting daripada definisi. Patuhi, dan penyalinan serta pengedaran anda adalah sah. Gagal mematuhi, dan kebenaran tidak meliputi apa yang anda lakukan: penggunaan anda adalah pelanggaran hak cipta, bukan pelanggaran kontrak. Kebanyakan lesen copyleft mengukuhkan ini dengan ditamatkan secara automatik apabila pelanggaran — GPLv2 tanpa sebarang tempoh pemulihan, manakala GPLv3 dan AGPLv3 mengembalikan hak jika pelanggaran itu dipulihkan dalam tempoh yang ditetapkan selepas notis.

Mahkamah Belanda menggunakan alasan ini. Dalam Rb. Amsterdam 22 September 2020, ECLI:NL:RBAMS:2020:4717, pengedar yang mengalih keluar teks lesen dan notis hak cipta daripada pangkalan kod yang bercabang telah dianggap telah kehilangan kebenarannya dan melanggar. Menambah sejumlah besar kod baharu tidak menghasilkan karya bebas: kod asal kekal wujud dengan mudah, jadi kewajipan turut dibawa bersamanya.

Kedua-dua keluarga: permisif dan copyleft

Lesen permisif — MIT, lesen BSD, Apache 2.0 — membenarkan penggunaan, pengubahsuaian dan pengedaran semula, termasuk di dalam produk sumber tertutup, dengan syarat anda mengekalkan notis hak cipta dan teks lesen.

Lesen Copyleft memerlukan anda berbuat demikian di bawah lesen yang sama dan menyediakan sumber yang sepadan. Jangkauan mereka berbeza.

Pencetus copyleft dan soalan pautan

Kewajipan hak cipta (copyleft) memihak kepada pengedaran, bukan penggunaan. Sebuah syarikat yang menjalankan perisian GPL secara dalaman, walau bagaimanapun diubah suai dengan banyak, tidak mengedarkan apa-apa dan tidak berhutang apa-apa. "Adakah kita telah mengedarkan?" sentiasa menjadi soalan pertama, dan itulah sebabnya kontena, peralatan, firmware dan SDK lebih penting daripada perkakasan dalaman.

Soalan kedua lebih sukar. GPL menyebut tentang "karya berdasarkan Program", meminjam konsep Amerika tentang karya terbitan. Undang-undang Belanda tidak mempunyai istilah sedemikian: analisisnya merangkumi hak penghasilan semula dan penyesuaian, bertanya sama ada ekspresi yang dilindungi daripada yang asal telah dihasilkan semula.

Kes praktikalnya ialah menghubungkan. Sama ada menghubungkan modul proprietari ke pustaka GPL mewujudkan satu karya yang tertakluk kepada copyleft tidak pernah diputuskan oleh mahkamah Belanda, dan tiada kuasa EU yang mengikat. Pandangan Yayasan Perisian Bebas bahawa menghubungkan mewujudkan karya gabungan adalah tafsiran pengurus lesen, bukan undang-undang, dan pandangan yang bertentangan sama-sama belum diuji. Jawapan kegemaran internet — pautan dinamik selamat, pautan statik tidak — tidak mempunyai asas dalam undang-undang hak cipta Belanda, yang tidak bertanya bagaimana pengkompil bertindak. Analisis yang lebih boleh dipertahankan bertanya sejauh mana komponen digabungkan secara rapat: adakah ia berkongsi ruang alamat dan struktur data, adakah gabungan dihantar sebagai satu produk, sama ada boleh berfungsi secara bersendirian, adakah pihak proprietari menghasilkan semula pengepala, makro atau kod sebaris dari pihak copyleft? Soalan-soalan tersebut biasanya menyelesaikan risiko. Jika tidak, asingkan komponen di sebalik sempadan proses, gantikannya atau ambil lesen komersial.

AGPL dan penggunaan rangkaian

AGPL wujud kerana copyleft dicetuskan oleh pengedaran dan penyedia SaaS tidak mengedarkannya. Klausa rangkaiannya menghendaki bahawa jika anda mengubah suai perisian dan menyediakannya kepada pengguna yang berinteraksi dengannya dari jauh, anda menawarkan mereka sumber versi yang diubah suai yang sepadan.

Tiga perkara yang biasa terlepas pandang. Kewajipan ini diberikan kepada pengguna perkhidmatan, yang mana dalam produk pendaftaran terbuka tidak begitu memuaskan. Ia dicetuskan oleh pengubahsuaian, jadi komponen yang tidak diubah suai tidak akan terlibat tetapi binaan yang ditampal mungkin akan terlibat. Dan ia menimbulkan persoalan kerja gabungan yang sama seperti GPL untuk keseluruhan tindanan anda — itulah sebabnya banyak syarikat melarang AGPL dalam kod pengeluaran.

Keserasian lesen

Keserasian ialah masalah menggabungkan komponen yang lesennya mengenakan obligasi yang tidak boleh dipenuhi dalam satu pengedaran: lesen permisif serasi dengan hampir semua perkara, lesen copyleft hanya dengan apa yang dibenarkan oleh terma mereka sendiri. Kes standard ialah Apache 2.0 dan GPLv2. Yayasan Perisian Apache dan Yayasan Perisian Bebas bersetuju bahawa gabungan itu tidak dibenarkan, kerana peruntukan penamatan paten dan ganti rugi Apache 2.0 adalah sekatan tambahan yang tidak dibenarkan oleh GPLv2. GPLv3 telah digubal untuk menerimanya. Keserasian juga berarah: Kod Apache boleh diserap ke dalam projek GPLv3, tetapi bukan sebaliknya. Satu komponen GPL di tempat yang salah boleh memaksa pilihan antara pelesenan semula, kejuruteraan semula atau penyingkiran — jauh lebih murah sebelum keluaran berbanding selepasnya.

Kewajipan atribusi dan notis

Kewajipan yang paling kerap dilanggar adalah yang paling kurang dramatik: menghasilkan semula notis hak cipta, teks lesen, penafian dan, di bawah Apache 2.0, kandungan NOTIS dalam bahan yang disertakan dengan pengedaran. Setiap keluarga mengenakannya, termasuk MIT dan BSD. Ia dilanggar kerana tiada siapa yang memilikinya, dan paling mudah untuk dibaiki — biasanya fail atribusi yang dijana yang dihantar bersama produk. Kes Belanda di atas telah menghidupkan kegagalan ini.

Pemberian paten dan tindakan balas paten

MIT dan BSD tidak mengatakan apa-apa tentang paten, dan sama ada lesen paten boleh disiratkan masih belum diselesaikan. Apache 2.0 telah menambah lesen paten bebas royalti yang nyata daripada setiap penyumbang, digandingkan dengan klausa pembalasan: membawa litigasi paten yang mendakwa bahawa karya tersebut melanggar dan lesen paten anda akan ditamatkan. GPLv3 mengandungi geran yang setanding dan peruntukan patennya sendiri.

Dua implikasi untuk syarikat yang mempunyai portfolio paten. Jika jurutera anda menyumbang kepada projek berlesen Apache atau GPLv3, anda memberikan lesen di bawah paten anda sendiri. Dan jika anda pernah menuntut paten terhadap syarikat bergantung pada komponen berlesen Apache yang sama yang anda gunakan, tindakan balas mungkin menyebabkan anda kehilangan lesen yang anda andalkan.

EUPL dan sektor awam Belanda

Lesen Awam Kesatuan Eropah versi 1.2, yang diluluskan oleh Suruhanjaya Eropah melalui keputusan pelaksanaan pada Mei 2017, ialah lesen copyleft yang diluluskan OSI dengan tiga ciri yang membezakannya.

• Bahasa. Ia wujud dalam bahasa rasmi EU, semua versi yang diluluskan mempunyai nilai yang sama, jadi pihak berkuasa Belanda boleh membuat kontrak dalam bahasa Belanda.
• Keserasian. Lampiran menyenaraikan lesen yang serasi — GPLv2 dan v3, AGPLv3, LGPL, MPL 2, EPL 1.0, OSL dan CeCILL antaranya — dan membenarkan karya terbitan yang menggabungkan kod EUPL dengan kod di bawah lesen tersenarai untuk diedarkan di bawah lesen tersebut.
• Jangkau. Takrifan pengedarannya merangkumi penyediaan karya dalam talian atau luar talian atau menyediakan akses kepada fungsi pentingnya, dan perkara 5 EUPL membawa kewajipan copyleft melalui interaksi jarak jauh di mana fungsi yang sama ditawarkan. Oleh itu, ia menjangkau perisian yang dihantar sebagai perkhidmatan, dengan cara yang tidak dilakukan oleh GPL.

Pelanggan sektor awam Belanda mungkin memerlukan EUPL sebagai dasar dan bukannya statut. Akta Eropah Boleh Dikendalikan, Peraturan (EU) 2024/903, mengarahkan badan sektor awam untuk mengutamakan penyelesaian kebolehkendalian tanpa terma pelesenan yang ketat, seperti sumber terbuka, yang setara; di peringkat kebangsaan, prinsip sumber terbuka, tenzij bergantung pada keputusan kabinet dan garis dasar, bukan pada statut: Wet digitale overheid memudahkan infrastruktur identiti digital tetapi tidak mengenakan sebarang kewajipan yang boleh dikuatkuasakan untuk menerbitkan semua kod sumber. Baca dokumen tender: keperluan EUPL mengikat penghantaran anda dan mungkin tidak serasi dengan kod proprietari yang anda ingin gunakan semula.

Penguatkuasaan dalam amalan

Siapa yang boleh menyaman. Pemegang hak — penyumbang individu, atau yayasan atau syarikat yang memegang hak cipta yang diberikan. Pengarang yang berpecah-belah adalah brek praktikal: penuntut mesti membuktikan pemilikan kod yang dipersoalkan. Itu mengalahkan kes GPL Eropah yang paling terkenal, di mana tuntutan pembangun kernel terhadap vendor virtualisasi gagal kerana kekurangan bukti pengarang (LG Hamburg 8 Julai 2016, 310 O 89/15; dikekalkan OLG Hamburg 28 Februari 2019, 5 U 146/16).

Apa yang diwujudkan oleh undang-undang kes. Mahkamah Jerman telah berulang kali menerima bahawa lesen sumber terbuka adalah sah dan pelanggaran itu menjadikan pengedaran menyalahi undang-undang, bermula dengan injunksi GPL pertama (LG München I 19 Mei 2004, 21 O 6123/04). Litar Persekutuan AS mencapai kesimpulan yang sama dalam Jacobsen lwn Katzer , 535 F.3d 1373 (Fed. Cir. 2008): terma lesen adalah syarat pada skop pemberian, bukan sekadar perjanjian, jadi pelanggaran menyokong tuntutan hak cipta dan relif injunksi. Litigasi AS sedang meneroka sama ada penerima hiliran boleh menguatkuasakan GPL sebagai benefisiari pihak ketiga. Itulah persoalan utama dalam Software Freedom Conservancy lwn Vizio di hadapan Mahkamah Tinggi California: sama ada pengguna, sebagai benefisiari pihak ketiga, boleh menuntut pelepasan kod sumber di bawah GPLv2. Keputusan muktamad substantif dijangka hanya selepas perbicaraan juri pada tahun 2026, jadi perkara itu belum diputuskan.

Bagaimana mahkamah Belanda akan mendekatinya. Sebagai pelanggaran hak cipta di bawah Auteurswet: penuntut membuktikan pemilikan dan penghasilan semula atau komunikasi; defendan mengemukakan lesen; penuntut menjawab bahawa syarat-syaratnya tidak dipenuhi, jadi pembelaan gagal. Remedi kontrak di bawah perkara 6:265 BW dijalankan secara selari, tetapi hak cipta adalah laluan yang lebih kukuh.

Remedi. Injunksi di bawah art. 3:296 BW, biasanya dengan bayaran penalti dan tersedia dalam prosiding ringkasan; ganti rugi di bawah art. 27 Aw dan akaun keuntungan di bawah art. 27a Aw; penarikan balik, penyerahan atau pemusnahan di bawah art. 28 Aw; dan pemulihan penuh kos guaman yang munasabah dan berkadar di bawah art. 1019h Rv. Jika perisian diedarkan secara percuma, kerugian sukar untuk diukur, dan mahkamah rayuan Jerman enggan memberikan ganti rugi sambil mengekalkan injunksi tersebut (OLG Hamm 13 Jun 2017, 4 U 72/16). Apa yang jarang berlaku ialah ganti rugi: ia adalah injunksi, penarikan balik, perintah kos, dan perlu menerbitkan sumber yang anda tidak pernah bermaksud untuk menerbitkan.

Apabila anda menemui masalah pematuhan

Penemuan biasanya datang daripada soal selidik keselamatan pelanggan, imbasan semasa usaha wajar atau surat daripada pemegang hak. Pemulihan kemudiannya dijalankan seperti berikut. Hentikan pengedaran binaan yang terjejas jika pendedahannya serius. Tentukan komponen yang mana, versi yang mana, lesen yang mana, produk dan keluaran yang mana, sepanjang tempoh yang mana. Tentukan apa yang sebenarnya diperlukan oleh lesen — selalunya fail atribusi dan bukannya keluaran sumber. Sediakan artifak: notis, teks lesen, lengkapkan sumber yang sepadan termasuk skrip binaan dan tawaran bertulis jika digunakan. Hantar keluaran yang mematuhi peraturan, kemudian beritahu pemegang hak apa yang telah anda lakukan dan bukannya berhujah sama ada anda perlu berbuat demikian.

Di bawah GPLv3 dan AGPLv3, tempoh pemulihan memberikan nilai undang-undang kelajuan; di bawah GPLv2 tiada hak pemulihan, itulah sebabnya kebanyakan penguatkuasaan berakhir dengan aku janji pematuhan yang dirundingkan. Perhatikan juga bahawa keistimewaan dilampirkan kepada nasihat daripada peguam anda, bukan kepada laporan kejuruteraan dalaman.

Sumber terbuka dalam Penggabungan dan Pengambilalihan (M&A) dan usaha wajar

Dalam pemerolehan perisian, sumber terbuka ialah aliran kerja ketekunan standard, dan komponen copyleft yang tidak didedahkan dalam produk teras ialah salah satu daripada beberapa penemuan yang benar-benar menggerakkan sesuatu perjanjian: jika produk tersebut tidak boleh diedarkan tanpa mengeluarkan sumbernya, pembeli memperoleh aset yang berbeza daripada yang berharga.

Jangkakan imbasan pangkalan kod, inventori komponen dengan lesen dan soalan tentang pengaturan penyumbang dan kontraktor. Hasil lazimnya ialah indemniti khusus, pengekalan sementara menunggu pemulihan, duluan syarat yang memerlukan penyingkiran atau jaminan sumber terbuka tersuai. Penjual harus mengimbas terlebih dahulu: penemuan yang anda dedahkan adalah rundingan, penemuan yang dibuat oleh penasihat pembeli adalah pengaruh. Pembeli harus mencari bukan "syarikat memiliki IPnya" tetapi perwakilan bahawa tiada produk yang menggabungkan sumber terbuka yang memerlukan pendedahan kod sumber proprietari.

Bil bahan, pengimbasan dan Akta Ketahanan Siber

Bil bahan perisian ialah inventori komponen produk, dengan versi dan lesen. Sehingga baru-baru ini ia adalah kontraktual semata-mata, kini ia juga merupakan peraturan.

Akta Ketahanan Siber, Peraturan (EU) 2024/2847, mula berkuat kuasa pada 10 Disember 2024 dan berperingkat-peringkat. Kewajipan pelaporan untuk kelemahan yang dieksploitasi secara aktif dan insiden teruk dalam perkara 14 CRA terpakai mulai 11 September 2026; peruntukan mengenai pemberitahuan badan penilaian pematuhan mulai 11 Jun 2026; Peraturan sepenuhnya mulai 11 Disember 2027 (perkara 71 CRA). Lampiran I CRA menghendaki pengeluar mengenal pasti dan mendokumentasikan komponen dalam produk, termasuk dengan menyediakan bil bahan perisian dalam format yang biasa digunakan dan boleh dibaca mesin yang meliputi sekurang-kurangnya kebergantungan peringkat tertinggi. Ia tidak perlu diterbitkan; pihak berkuasa pengawasan pasaran boleh memintanya.

Perisian sumber terbuka dan bebas yang dibekalkan di luar aktiviti komersial berada di luar CRA. Peraturan ini memperkenalkan pengurus perisian sumber terbuka — seorang entiti undang-undang yang memberikan sokongan berterusan kepada pembangunan perisian sumber terbuka yang bertujuan untuk aktiviti komersial — dengan kewajipan yang lebih ringan dalam perkara 24 CRA: dasar keselamatan siber yang didokumenkan, kerjasama dengan pihak berkuasa pengawasan pasaran dan pelaporan. Jika anda mengkomersialkan sumber terbuka atau membiayai projek yang dikomersialkan oleh orang lain, tetapkan peranan yang anda sandang. Suruhanjaya telah menerima pakai panduan pertamanya pada 27 Julai 2026: panduan Suruhanjaya mengenai penggunaan Akta Ketahanan Siber (CRA), yang dilampirkan pada komunikasi C(2026) 5252, yang antara lain membincangkan tentang bila perisian sumber terbuka dan bebas berada dalam skop. Tiada akta pelaksana yang menetapkan format untuk bil bahan perisian telah diterima pakai, jadi piawaian Peraturan itu sendiri — format yang biasa digunakan dan boleh dibaca oleh mesin — kekal sebagai ukuran buat masa ini.

Analisis komposisi perisian yang dijalankan dalam CI menjana inventori yang memenuhi pematuhan, semakan lesen dan usaha sekaligus. Alat sedemikian terlepas kod yang dilesenkan, salah mengenal pasti projek berlesen dua dan tidak dapat membaca syarat lesen: anggap output sebagai permulaan semakan, bukan semakan.

Jika anda menerbitkan kod anda sendiri: CLA dan DCO

Syarikat yang mengeluarkan kod dan menerima sumbangan luar mesti tahu bahawa ia mempunyai hak ke atas apa yang digabungkannya. Perjanjian lesen penyumbang ialah kontrak antara projek dan penyumbang, biasanya memberikan lesen hak cipta yang luas dan lesen paten nyata, dengan jaminan tentang keaslian dan autoriti. Ia membolehkan syarikat melesenkan semula projeknya kemudian, atau menawarkan lesen komersial bersama lesen sumber terbuka. Kosnya adalah geseran.

Sijil Asal Usul Pembangun , yang digunakan oleh kernel Linux dan banyak projek lain, bukanlah pemberian lesen tetapi pengesahan ringan, yang ditambahkan sebagai baris pengesahan pada setiap komitmen, bahawa penyumbang boleh menyerahkan kod di bawah lesen projek. Kurang membebankan, dan kurang melindungi: tiada lesen paten, tiada pelesenan semula.

Jika pelesenan berganda atau lesen semula pada masa hadapan adalah munasabah, gunakan CLA; jika projek itu merupakan milik bersama yang tulen, DCO biasanya sudah memadai. Walau apa pun caranya, pastikan perjanjian pekerjaan dan kontraktor anda memberikan hak cipta dalam kod yang ditulis oleh orang anda.

Senarai semak dasar praktikal

• Jana inventori komponen bagi setiap produk dan keluarkan dalam saluran binaan, bukan secara manual.
• Terbitkan dasar dalaman: senarai yang dibenarkan, senarai yang dilarang dan laluan kelulusan untuk semua yang lain.
• Takrifkan secara bertulis apa yang dikira sebagai pengedaran — pemasangan di premis, peralatan, bekas, SDK, aplikasi mudah alih, perisian tegar.
• Hantar fail atribusi yang dijana dengan setiap produk.
• Luluskan pilihan lesen pada masa reka bentuk, apabila komponen dipilih, bukan semasa pelancaran.
• Tentukan sama ada sumbangan kepada projek luaran memerlukan kelulusan, memandangkan geran paten yang terlibat, dan pilih CLA atau DCO sebelum sumbangan luar yang pertama.
• Selaraskan jaminan IP, indemniti dan terma escrow dengan sumber terbuka yang sebenarnya ada dalam produk tersebut.
• Jalankan semakan sebelum proses pengumpulan dana atau jualan, bukan semasa proses tersebut.