Hvad det kan koste at overtræde open source-licenser

• 01

  Krav om ophavsretskrænkelse

  Når I overtræder centrale betingelser (manglende påkrævet licenstekst, tilbageholdelse af kildekode, udeladt kildeangivelse), har domstole afgjort, at dette er ophavsretskrænkelse, ikke blot kontraktbrud.

  Jacobsen v. Katzer (2008): Den amerikanske Federal Circuit-domstol fastslog, at det at overtræde en open source-licens' betingelser (som f.eks. krav om offentliggørelse) udgør en ophavsretskrænkelse, hvilket giver rettighedshavere adgang til ophavsretlige retsmidler. Denne afgørelse cementerede håndhævelsen af open source-licenser ved domstolene.

  Welte v. Sitecom (Tyskland, 2004): Den første GPL-licens, der nogensinde blev prøvet ved retten. Byretten i München fastslog, at Sitecom var bundet af GPL'ens vilkår, hvilket under tysk ret fastslog, at licensen er en bindende, håndhævelig kontrakt, ikke bare en filosofisk erklæring.

  Welte v. D-Link (Tyskland, 2006): Retten fandt, at D-Link havde overtrådt GPL'en ved at sende en Linux-baseret enhed i produktion uden den påkrævede kildekode og licenstekst, og pålagde godtgørelse af sagsøgerens sagsomkostninger, hvilket bekræftede, at leverandører er bundet af GPL'ens vilkår.

  SourceTrusts compliance-sundhedsscore flager pakker, der stadig mangler påkrævet licenstekst eller kildeangivelse, før I udgiver, ikke efter en domstol finder jer non-compliant.

• 02

  Påbud: Tvunget til at stoppe distributionen

  Rettighedshavere kan søge om nedlæggelse af forbud. I kan blive pålagt at stoppe distributionen af jeres produkt, indtil I overholder vilkårene.

  Software Freedom Conservancy v. Westinghouse (USA, 2010): Efter at Westinghouse undlod at svare på en BusyBox GPL-håndhævelsessag, afsagde retten en udeblivelsesdom med det første permanente påbud i USA, der forbød distribution af HDTV-produkter, som overtrådte GPL'en, samt konfiskation af de krænkende enheder. Andre sagsøgte i samme sag, herunder Best Buy og Samsung, indgik forlig uden om retten frem for at risikere samme udfald.

  • For leverandører, der sælger software, kan det betyde tabt omsætning og kunder, mens I udbedrer forholdene under pres
  • Copyleft-licenser (GPL-familien) har særligt høj risiko: Manglende compliance kan blokere salg helt, indtil forpligtelserne er opfyldt

  Forbundne repos synkroniseres automatisk igen ved hver push, så en ny copyleft-afhængighed lander i jeres gennemgangskø dage efter merge, ikke måneder efter en retssag tvinger jer til at reagere.

• 03

  Erstatningskrav og sagsomkostninger

  Domstole kan tilkende økonomisk erstatning, og den tabende part betaler ofte sagsomkostningerne. I nogle jurisdiktioner er erstatning for ikke-økonomisk skade for ophavsmænds omdømme mulig.

  Entr'ouvert v. Orange (Frankrig, 2024): Orange blev pålagt at betale over 900.000 EUR, heraf 150.000 EUR i erstatning for ikke-økonomisk skade, for at distribuere GPL-licenseret kode uden at stille kildekoden til rådighed.

  Sebastian Steck v. AVM (Tyskland, 2024): En enkelt udvikler håndhævede LGPL-forpligtelser over for en stor koncern, fik godtgjort 7.500 EUR i sagsomkostninger og tvang AVM til at levere manglende installationsscripts: Et bevis på, at små rettighedshavere kan gå efter store virksomheder.

  Et dateret, udgivet attestations-snapshot er bevis på, at I tog forpligtelserne alvorligt, det modsatte af den bevidste tilsidesættelse, der udløste tredobbelt erstatning i Westinghouse-sagen.

• 04

  Tvungen open source-udgivelse af proprietær kode

  Copyleft-licenser (GPL, LGPL, AGPL) kan kræve, at I udgiver kildekoden til afledte værker under den samme licens, når I distribuerer uden at overholde vilkårene.

  Kombinerer I proprietær kode med GPL-kode og sender det i produktion uden at opfylde forpligtelserne, kan I blive udsat for pres, eller pålæg, om at udgive langt mere som open source, end I havde til hensigt. Det er den praktiske risiko bag “viral” copyleft.

  Separat gennemgang af Test- og Udgivet-branches fanger en copyleft-afhængighed, før den når jeres Udgivet-branch og jeres produkt i produktion.

• 05

  Parallelle kontraktkrav

  Nogle jurisdiktioner behandler også licensovertrædelser som kontraktbrud, hvilket giver rettighedshavere yderligere muligheder for at forfølge jer ud over ophavsretten.

  Eksporter indeholder den præcise licenstekst og de notices, som de fleste licenser, og domstole, behandler som de underliggende betingelser, uanset om kravet rejses som ophavsret eller kontrakt.

• 06

  Omdømmeskade

  Offentlig viden om, at I overtræder licenser, ignorerer forpligtelser eller kræver compliance af kunder, mens I selv fejler, skader tilliden hos enterprise-købere, bidragydere og investorer.

  • Enterprise-indkøb og sikkerhedsgennemgange
  • Open source-fællesskabet og jeres brand som arbejdsgiver
  • Bestyrelsens og investorers due diligence på juridisk hygiejne

  En offentlig attestationsside med et tillidsmærke er det artefakt, der besvarer en indkøbs- eller presseforespørgsel, før den bliver til en.

• 07

  Aftaledræbere i M&A og audits

  Uløste overtrædelser dukker op i due diligence ved opkøb, SOC 2- og ISO 27001-gennemgange og enterprise-sikkerhedsspørgeskemaer.

  • Aftaler forsinkes, genforhandles i pris eller dropper
  • Revisionsfund og mislykkede certificeringer
  • Dyr udbedring under tidspres, ofte uden en vedligeholdt oversigt at starte ud fra

  Indsæt jeres attestations-URL i due diligence-spørgeskemaet i stedet for at kæmpe for at genopbygge en oversigt, mens aftalen tikker.

• 08

  International håndhævelse

  Håndhævelse er ikke kun et amerikansk fænomen. Domstole i Tyskland, Frankrig og andre steder har idømt mærkbare sanktioner. Tendensen går mod hårdere håndhævelse, ikke blødere normer.

  SPDX- og CycloneDX-eksporter fra det samme gennemgåede snapshot dækker de formater, forskellige jurisdiktioner efterspørger, uden at I skal vedligeholde separate regneark pr. marked.

Denne side er pædagogisk kontekst, ikke juridisk rådgivning. Sager og udfald varierer med jurisdiktion og konkrete forhold. Søg kvalificeret juridisk rådgivning til jeres situation.