企业使用开源软件的法律合规风险及应对建议.docxVIP

企业使用开源软件的法律合规风险及应对建议

开源软件，顾名思义就是将源代码向公众公开的软件，除有特别限制的情形外，用户可以自由地获取、使用、修改和分发。在当前中国相关法律法规规定下，开源软件符合文学、艺术和科学领域内具有独创性并能以一定形式表现的智力成果的特征，属于《著作权法》第三条规定的计算机软件作品。相比于商业软件，开源软件具有获取容易、成本较低的优势，有助于企业极大地缩短软件的开发周期。但是，正如从自由软件（FreeSoftware）到开源软件（OpenSourceSoftware）的名称变迁过程[1]，开源的本质是希望通过知识共享共同推动技术进步，并非完全放弃智力成果的知识产权，因此对于开源软件的使用并非完全自由，实务中具体表现为开源软件以许可证的方式要求用户承认开发者的著作权，并对后续的使用行为以许可证的模式进行法律约束，可见无论通过何种方式利用开源软件均应严格遵循许可证约定的义务[2]。本文尝试从开源许可证法律性质的角度出发，分析使用开源软件可能面临的法律风险，并对企业合规使用开源软件提出建议，供企业在实务中参考。

一、开源许可证及其法律性质

开源许可证，也可称为开源许可协议，是指用户在获取、使用、修改和分发开源软件时应当遵循的具体条件。依据开源许可证是否强制要求继续公开源代码，开源许可证一般可以分为两大类：一是宽松式（permissive）许可证，如Apache许可证、MIT许可证、BSD许可证等，这类许可证对用户的限制较少，一般只要求用户在分发修改开源软件时发布许可证副本、修改声明或者版权声明等即可，而不要求必须向第三方公开其修改后的源代码；二是著佐权式（copyleft）[3]许可证，如GPL、MPL等，这类许可证对用户的限制更大，主要要求用户在分发修改开源软件时，基于许可证的传染性必须使用相同或兼容的许可证公开其源代码。

关于开源软件许可证的性质，参考当前司法实务中的判决[4]，一般认为许可证的内容具备合同特征，具有合同性质，是授权方和用户订立的附解除条件的著作权合同。具体而言，著作权人将其享有权利的计算机软件上传至开源社区或平台即视为合同邀约行为，意在做出按照开源软件许可证许可的意思表示；用户获取、使用、修改和分发开源软件即视为合同承诺行为，意在承诺愿意遵守开源许可证的要求使用开源软件；经过邀约和承诺的合同成立过程，双方应依据开源许可证的约定行使相关权利和履行相关义务。可见开源软件许可证作为附解除条件合同的性质决定了用户需要严格履行许可证义务，否则其使用行为不再具有合法性，从而产生相应法律风险。

二、企业使用开源软件常见的法律风险

正如前述分析，对于开源软件的使用并非完全自由，而是应当在开源许可证框架下进行，国内许多开发者或者企业往往对于开源软件、开源许可证的性质认识不足，误以为一个软件只要是开源软件（甚至只要能公开获取），就可以直接使用或者进行二次开发而无需履行任何义务，导致出现违约或者侵权的风险，或者导致本公司计划作为商业秘密保护的源代码不当泄露，严重影响企业的生产经营活动。结合实务中常见的纠纷以及司法判决中的案例，我们对企业使用开源软件常见的法律风险及一般应对方案总结如下。

1.不遵守许可证义务导致出现违约或者著作权侵权的情形

在企业内部评估对开源软件的使用需求后，使用开源软件（承诺行为）的行为意味着与软件权利人成立民事上的合同法律关系。同时，依据《民法典》、《著作权法》、《计算机软件保护条例》等法律法规的规定，计算机软件是我国著作权法意义上受保护的作品，无论其是否开源，均自创作完成后由权利人享有著作权。因此，如果用户使用开源软件时不遵守许可证义务（例如不发布版权声明、不包含许可证副本、不声明修改内容、不公开源代码、限制他人进行商业使用等），许可证合同自动解除，用户不再具有使用开源软件的法律基础。该等情况下的使用行为可能同时产生违约和侵权两种法律后果，依据权利人的主张不同，需要承担继续履行和赔偿损失等违约责任，或者停止侵害、损害赔偿、恢复原状等侵权责任。针对这种情况，通常要求用户在使用前充分审阅待使用开源软件的许可证规定的义务，并严格遵守。

2.忽视开源许可证的传染性导致出现衍生代码被强制公开的情形

一些开源许可证中往往要求如果用户在自己的软件中使用开源软件全部或部分代码，那么用户必须同样遵循该许可证的要求公开二次开发的衍生软件代码，否则视为未获得许可，这就是开源许可证的传染性。例如对于GPLV3，在前述济宁市罗盒网络科技有限公司与广州市玩友网络科技有限公司等侵害计算机软件著作权纠纷案中，广州中院认为对于在逻辑上与开源代码有关联性且整体发布的衍生作品，只要其中有一部分适用了GPLV3协议发布，那么整个衍生作品都必须适用GPLV3协议而公开。可见，如果将开源软件置入到本公司软件，或者本公司技术人员