Ce que peut vous coûter le non-respect des licences open source

• 01

  Actions en contrefaçon

  Quand vous enfreignez des conditions essentielles (texte de licence manquant, rétention du code source, attribution non respectée), les tribunaux ont jugé qu'il s'agissait de contrefaçon, et non d'un simple manquement contractuel.

  Jacobsen v. Katzer (2008) : la Cour d'appel fédérale des États-Unis (Federal Circuit) a jugé que violer les conditions d'une licence open source (telles que les obligations de divulgation) constitue une contrefaçon, donnant aux titulaires de droits accès aux recours en contrefaçon. Cette décision a consacré le caractère exécutoire des licences open source devant les tribunaux.

  Welte v. Sitecom (Allemagne, 2004) : la première licence GPL jamais portée devant un tribunal. Le tribunal régional de Munich a jugé que Sitecom était liée par les termes de la GPL, établissant en droit allemand que la licence est un contrat contraignant et exécutoire, pas une simple déclaration philosophique.

  Welte v. D-Link (Allemagne, 2006) : le tribunal a jugé que D-Link avait enfreint la GPL en livrant un appareil basé sur Linux sans fournir le code source et le texte de licence requis, et a ordonné le remboursement des frais juridiques du plaignant, confirmant que les fournisseurs sont liés par les termes de la GPL.

  Le score de santé de conformité de SourceTrust signale les paquets sans texte de licence ou attribution requis avant que vous ne publiiez, pas après qu'un tribunal vous ait jugé non conforme.

• 02

  Injonctions : contraint de cesser la distribution

  Les titulaires de droits peuvent demander une mesure d'injonction. Vous pourriez être contraint de cesser de distribuer votre produit jusqu'à mise en conformité.

  Software Freedom Conservancy v. Westinghouse (États-Unis, 2010) : après l'absence de réponse de Westinghouse à une action en application de la GPL concernant BusyBox, le tribunal a rendu un jugement par défaut assorti de la première injonction permanente aux États-Unis interdisant la distribution de téléviseurs HDTV enfreignant la GPL, ainsi que la confiscation des unités concernées. D'autres défendeurs dans la même affaire, dont Best Buy et Samsung, ont transigé à l'amiable plutôt que de risquer la même issue.

  • Pour les éditeurs qui vendent du logiciel, cela peut signifier une perte de revenus et de clients pendant que vous corrigez la situation dans l'urgence
  • Les licences copyleft (famille GPL) sont particulièrement risquées : la non-conformité peut bloquer entièrement les ventes jusqu'à ce que les obligations soient remplies

  Les dépôts connectés se resynchronisent automatiquement à chaque push, si bien qu'une nouvelle dépendance copyleft arrive dans votre file de révision quelques jours après le merge, pas des mois après qu'un procès vous ait forcé à réagir.

• 03

  Dommages financiers et frais de justice

  Les tribunaux peuvent accorder des dommages et intérêts financiers, et la partie perdante paie souvent les frais de justice. Dans certaines juridictions, des dommages moraux pour atteinte à la réputation des auteurs sont possibles.

  Entr'ouvert v. Orange (France, 2024) : Orange a été condamnée à payer plus de 900 000 €, dont 150 000 € de dommages et intérêts moraux, pour avoir distribué du code sous licence GPL sans fournir le code source.

  Sebastian Steck v. AVM (Allemagne, 2024) : un développeur indépendant a fait valoir des obligations LGPL face à une grande entreprise, obtenant le remboursement de 7 500 € de frais juridiques et contraignant AVM à fournir les scripts d'installation manquants : la preuve que de petits titulaires de droits peuvent poursuivre de grandes entreprises.

  Un instantané d'attestation daté et publié est une preuve que vous avez pris vos obligations au sérieux, à l'opposé du mépris délibéré qui a justifié le triplement des dommages et intérêts dans l'affaire Westinghouse.

• 04

  Ouverture forcée du code propriétaire

  Les licences copyleft (GPL, LGPL, AGPL) peuvent vous obliger à publier le code source de vos travaux dérivés sous la même licence si vous distribuez sans respecter les conditions.

  Combinez du code propriétaire avec du code GPL et livrez sans respecter les obligations, et vous risquez de subir des pressions, voire des injonctions, à ouvrir bien plus de code que prévu. C'est le risque concret derrière le copyleft dit « viral ».

  La révision séparée des branches Test et Publié détecte une dépendance copyleft avant qu'elle n'atteigne votre branche Publié et votre produit livré.

• 05

  Des actions contractuelles en parallèle

  Certaines juridictions traitent aussi les violations de licence comme des manquements contractuels, offrant aux titulaires de droits des voies de recours supplémentaires au-delà du droit d'auteur.

  Les exports contiennent le texte exact des licences et les mentions que la plupart des licences, et des tribunaux, considèrent comme les conditions sous-jacentes, que l'action soit fondée sur le droit d'auteur ou le droit des contrats.

• 06

  Atteinte à la réputation

  Le fait qu'il soit de notoriété publique que vous enfreignez des licences, ignorez vos obligations, ou exigez la conformité de vos clients tout en y manquant vous-même, nuit à la confiance des acheteurs grands comptes, des contributeurs et des investisseurs.

  • Revues achats et sécurité en environnement grand compte
  • Communauté open source et marque employeur
  • Diligence du conseil d'administration et des investisseurs sur l'hygiène juridique

  Une page d'attestation publique avec un sceau de confiance est l'artefact qui répond à une question des achats ou de la presse avant qu'elle n'en devienne une.

• 07

  Transactions compromises en M&A et en audit

  Les violations non résolues ressurgissent lors des diligences d'acquisition, des revues SOC 2 et ISO 27001, et des questionnaires de sécurité en environnement grand compte.

  • Transactions retardées, renégociées à la baisse ou annulées
  • Constats d'audit et certifications échouées
  • Remédiation coûteuse dans l'urgence, souvent sans inventaire maintenu comme point de départ

  Collez l'URL de votre attestation dans le questionnaire de diligence, au lieu de vous précipiter pour reconstruire un inventaire pendant que l'horloge de la transaction tourne.

• 08

  Application internationale de la loi

  L'application de la loi ne se limite pas aux États-Unis. Des tribunaux en Allemagne, en France et ailleurs ont imposé des sanctions significatives. La tendance va vers une application plus stricte, pas plus permissive.

  Les exports SPDX et CycloneDX à partir du même instantané révisé couvrent les formats demandés par les différentes juridictions, sans avoir à maintenir un tableur distinct par marché.

Cette page fournit un contexte pédagogique, ce n'est pas un conseil juridique. Les affaires et leurs issues varient selon la juridiction et les faits. Consultez un juriste qualifié pour votre situation.