O que violar licenças open source lhe pode custar

• 01

  Ações por violação de direitos de autor

  Quando viola condições fundamentais (falta do texto de licença exigido, não disponibilização do código-fonte, omissão de atribuição), os tribunais já decidiram que isso constitui violação de direitos de autor, e não apenas incumprimento contratual.

  Jacobsen v. Katzer (2008): o Tribunal Federal de Recursos dos EUA decidiu que violar as condições de uma licença open source (como os requisitos de divulgação) constitui violação de direitos de autor, dando aos titulares de direitos acesso aos remédios previstos no direito de autor. Essa decisão consolidou a exequibilidade das licenças open source em tribunal.

  Welte v. Sitecom (Alemanha, 2004): a primeira licença GPL alguma vez litigada em tribunal. O Tribunal Distrital de Munique decidiu que a Sitecom estava vinculada aos termos da GPL, estabelecendo, ao abrigo do direito alemão, que a licença é um contrato vinculativo e exequível, não apenas uma declaração filosófica.

  Welte v. D-Link (Alemanha, 2006): o tribunal considerou que a D-Link tinha violado a GPL ao distribuir um dispositivo baseado em Linux sem o código-fonte e o texto de licença exigidos, e ordenou o reembolso das despesas jurídicas do autor da ação, reforçando que os fornecedores estão vinculados aos termos da GPL.

  A pontuação de saúde de conformidade do SourceTrust sinaliza pacotes a quem ainda falta o texto de licença exigido ou a atribuição, antes de publicar, não depois de um tribunal considerar que não está em conformidade.

• 02

  Providências cautelares: obrigado a parar de distribuir

  Os titulares de direitos podem pedir uma providência cautelar. Pode ser-lhe ordenado que pare de distribuir o seu produto até estar em conformidade.

  Software Freedom Conservancy v. Westinghouse (EUA, 2010): depois de a Westinghouse não responder a uma ação de aplicação da GPL relativa ao BusyBox, o tribunal proferiu uma sentença à revelia com a primeira providência cautelar permanente nos EUA a proibir a distribuição de produtos de HDTV que violavam a GPL, além da perda das unidades infratoras. Outros réus na mesma ação, incluindo a Best Buy e a Samsung, chegaram a acordo fora de tribunal para evitar o mesmo desfecho.

  • Para fornecedores que vendem software, isso pode significar perda de receita e de clientes enquanto corrige a situação sob pressão
  • As licenças copyleft (família GPL) têm um risco especialmente elevado: o incumprimento pode bloquear as vendas por completo até as obrigações serem cumpridas

  Os repositórios ligados voltam a sincronizar automaticamente a cada push, pelo que uma nova dependência copyleft chega à sua fila de revisão dias depois do merge, não meses depois de um processo judicial forçar uma resposta.

• 03

  Danos financeiros e custos jurídicos

  Os tribunais podem atribuir indemnizações monetárias, e a parte vencida paga muitas vezes os custos jurídicos. Em algumas jurisdições, são possíveis danos morais por prejuízo reputacional aos autores.

  Entr'ouvert v. Orange (França, 2024): a Orange foi condenada a pagar mais de 900.000 EUR, incluindo 150.000 EUR em danos morais, por distribuir código sob licença GPL sem disponibilizar o código-fonte.

  Sebastian Steck v. AVM (Alemanha, 2024): um programador individual fez cumprir obrigações da LGPL contra uma grande empresa, recuperando 7.500 EUR em despesas jurídicas e obrigando a AVM a fornecer os scripts de instalação em falta: prova de que pequenos titulares de direitos podem processar grandes empresas.

  Um snapshot de atestação publicado e datado é prova de que levou as obrigações a sério, o oposto do desrespeito deliberado que motivou a indemnização triplicada no caso Westinghouse.

• 04

  Abertura forçada de código proprietário

  As licenças copyleft (GPL, LGPL, AGPL) podem exigir que disponibilize o código-fonte de obras derivadas sob a mesma licença, quando distribui em incumprimento.

  Combine código proprietário com código GPL e lance sem cumprir as obrigações, e pode enfrentar pressão, ou ordens judiciais, para tornar open source muito mais do que pretendia. É esse o risco prático por trás do copyleft “viral”.

  A revisão separada das branches Teste e Publicado apanha uma dependência copyleft antes de esta chegar à sua branch Publicado e ao seu produto lançado.

• 05

  Ações contratuais em paralelo

  Algumas jurisdições também tratam as violações de licença como incumprimentos contratuais, dando aos titulares de direitos vias adicionais para o processar, além do direito de autor.

  As exportações contêm o texto de licença e os avisos exatos que a maioria das licenças, e dos tribunais, trata como as condições subjacentes, seja a ação enquadrada como direitos de autor ou como contrato.

• 06

  Danos reputacionais

  Ser publicamente conhecido por violar licenças, ignorar obrigações, ou exigir conformidade dos clientes enquanto falha nisso, prejudica a confiança de compradores enterprise, contribuidores e investidores.

  • Compras enterprise e revisões de segurança
  • Comunidade open source e imagem de marca para recrutamento
  • Diligência do conselho de administração e de investidores sobre higiene jurídica

  Uma página de atestação pública com um selo de confiança é o artefacto que responde a um pedido de compras ou de imprensa antes de este se tornar um problema.

• 07

  Negócios travados em F&A e auditorias

  As violações não resolvidas vêm ao de cima em diligências de aquisição, revisões de SOC 2 e ISO 27001, e questionários de segurança enterprise.

  • Negócios atrasados, renegociados ou cancelados
  • Achados de auditoria e certificações reprovadas
  • Correção dispendiosa contra o prazo, muitas vezes sem um inventário mantido como ponto de partida

  Cole o URL da sua atestação no questionário de diligência, em vez de correr para reconstruir um inventário enquanto o relógio do negócio conta.

• 08

  Aplicação internacional da lei

  A aplicação da lei não se limita aos EUA. Tribunais na Alemanha, França e outros países já impuseram penalizações significativas. A tendência é para uma aplicação mais rigorosa, não para normas mais brandas.

  As exportações em SPDX e CycloneDX a partir do mesmo snapshot revisto cobrem os formatos que diferentes jurisdições pedem, sem ter de manter folhas de cálculo separadas por mercado.

Esta página é um contexto educativo, não aconselhamento jurídico. Os casos e os desfechos variam consoante a jurisdição e os factos. Consulte um advogado qualificado para a sua situação.