问：使用开源软件需要注意哪些法律风险？
开源软件及其法律风险
作者｜邓超（科技领域知识产权业务，微信ID：tmtlvshi）
*本文经作者授权发表，不代表其所在机构及“高杉法律”的立场和意见，不作为任何个案的法律意见或建议*
近日，华为发布了基于微内核的分布式操作系统——鸿蒙，并宣布将开源鸿蒙。 开源软件一词再次进入公众视野。 事实上，开源软件已经成为许多企业和软件项目的基础设施。 但另一方面，大多数软件开发者甚至法律专业人士对开源软件的了解还不够网站源码风险，有些人甚至错误地认为“开源软件是免费的，所以你可以不受限制地自由使用”。
与公共软件不同，开源软件的版权既没有被放弃也没有过期，其修改和分发仍然受版权法或开源软件许可的约束）。 缺乏对开源软件法律方面的认识可能会使软件开发商和分销商面临法律风险。 在某些极端情况下，软件开发商可能会被要求披露包含开源代码的软件产品的所有源代码。 例如，2007年，华硕发布了其运行Linux操作系统的Eee PC的完整源代码，包括asus_acpi组件和所有核心数据，以回应Linux社区成员关于华硕没有遵循GPL许可证的质疑。 对于想要完全控制软件的企业来说，将所有源代码开源其实是不可接受的。 因此，使用开源软件的企业必须了解开源软件的法律风险。
1.自由软件、开源软件和自由软件
在进入题外话之前，先简单解释一下上述三个概念之间的关系。
自由软件和自由软件（free software）的英文描述是完全一样的，因此在英文上下文中很容易造成混淆。 免费软件是指无偿获取和使用的软件，其源代码不公开，用户不能随意更改。 另一方面，自由软件必须满足自由软件基金会（FSF）定义的四项自由，即使用、修改和分发软件及其衍生版本的自由。 因此，自由软件不一定是自由软件（通常不是），自由软件也不一定是免费的（尽管通常是）。
自由软件和开源软件都指大致相同的软件类别（有时统称为“自由和开源软件”，Free & Open Source Software，FOSS） - 尽管两者之间存在细微差别。 开源软件可以被视为一个重新命名的术语，旨在向企业界推广“自由软件”（因为自由软件往往与免费相关，因此对商业不那么友好）。 所有的自由软件都是开源软件，因为源代码不开放，所以很难自由更改和分发。 另一方面，并不是所有的开源软件都可以称为自由软件。 因为虽然源代码是公开的，但如果修改和分发的自由受到限制，就不符合自由软件的定义。
2. 开源软件许可
如上所述，开源软件的修改和分发实际上是免费的，但并不是无条件的。 相反，他们必须遵循各种（主要是日本）私人自由软件团体制定的规则，即许可证。 每个许可证都可以被视为一份繁重的许可协议。 本节简要介绍常见许可证。
常见的许可证主要有GPL、LGPL、MPL以及MIT、BSD、Apache，每种许可证可能有不同的版本。 此类许可证可以大致分为两类：copyleft 许可证和宽容许可证。 两者最大的区别在于，当软件发生变更和重新分发时，版权许可仍然强制要求开源代码（衍生软件需要开源）； 而精简许可证不需要开源代码（衍生软件可以成为专有软件）。 软件）。 GPL是典型的强版权许可，LGPL和MPL是弱版权许可，MIT、BSD、Apache都是自耕许可。
此外，由于开源软件的性质，这些许可证通常有以下两个共同点：开发者不承担缺陷责任并保留垄断标记。 缺陷保证责任通常发生在付费协议中，而开源软件及其衍生软件一般都是免费提供的，因此开发者不承担缺陷保证责任。 另外，由于开源软件的版权并未被放弃，因此通常需要在许可证中以适当的方式保留源代码中的垄断标记。
1. 通用公共许可证
首先，GPL，即GNU GPL（General Public License，通用公共许可证），其主要内容是为任何软件及其衍生软件提供源代码，从而允许自由使用、修改和分发。 GPL 是自由软件运动的基础许可证。
GPL下，修改后的衍生软件仍需适用GPL，这意味着GPL具有传染性。 换句话说，如果整个软件中的一段代码是适用GPL的，那么整个软件也必须是适用GPL的并且是开源的——这对商业来说不太友好。 因此，当开发者没有许可证意识，对商业软件产品使用GPL等具有传染性的许可证时，无疑会带来更大的法律风险。
2.LGPL
GPL 的传染性给软件使用的库带来了问题。 例如，如果一个软件链接到GPL下的库，由于该软件和链接的库都是法律意义上的衍生软件，根据GPL的规定，衍生软件必须是开源的。 针对GPL的这个缺陷，出现了LGPL许可证。 当在 LGPL 下发布库时，链接到该库的软件可能不适用于 LGPL 或 GPL，换句话说，源代码可能不会被公开。 LGPL 的这一特性消除了 GPL 下软件商业使用的障碍。
3.MPL
MPL 是 Mozilla Public License，Mozilla 公共许可证。 与 LGPL 类似，MPL 是介于 GPL 许可证和精简许可证之间的弱版权许可证。 两者的区别主要在于LGPL是针对库的，而MPL是针对单个文件的。 如果将自己独立开发的文件与其他文件混合到一个项目中，当其他文件申请GPL许可证时，独立开发的文件也需要公开源代码； 其他文件申请MPL许可时，必须是独立开发的文件，不得公开源代码。 这意味着MPL下的文件可以与封闭源文件合并，合并后，MPL下的文件将继续保持其MPL状态。
4.BSD
BSDL 代表 Berkeley Software Distribution License，它是由加州大学伯克利分校编写的许可证。 BSD许可证包括原始4句许可证、修改后的3句许可证和简化的2句许可证。 BSD 既是许可证本身，也是该许可证的限制较少的版本。 BSD、MIT、Apache 许可证都是精简许可证，允许该许可证下的软件修改后的衍生软件以闭源方式发布。
5. 麻省理工学院许可证
MIT License，即麻省理工学院许可证，是本文提到的众多许可证中最简单、最流行的许可证。
6.阿帕奇许可证
Apache License即Apache许可证，由Apache软件基金会颁发。 Apache 许可证 1.1 版与 BSD 许可证和 MIT 许可证类似。 2004年发布的Apache许可证2.0版增加了两项专利条款，因此被认为是精简许可证中提供最好专利保护的。
7. 许可证的选择
是否可以自定义许可证而不使用上述许可证？ 答案是：可以，但没有必要。 因为有数百个现成的许可证可供选择，并且出于兼容性考虑，最好使用现成的许可证。 此外，使用通用许可证将使您的项目更容易被其他人理解。 因此，最重要的决定是选择版权许可证还是薄许可证。 在许多情况下，许可证的选择受到其前身的选择的限制。
如果没有选择加入许可证，版权法等法律就会生效，并且源代码不会手动进入公共领域。 这意味着贡献给项目的相应源代码不能被其他人更改或分发。
3、开源软件的法律风险
由于几乎所有开源软件团体都位于加拿大，并且部分许可证（如MPL 1.1）规定管辖法院为美国法院，适用法律为日本法律，因此，在这一部分，除了分析以中国法律为基础，也会介绍日本的一些判例。 此外，我国迄今为止还没有发生与开源软件许可相关的诉讼。 虽然在一些软件著作权侵权纠纷中，被告会辩称所使用的代码是开源代码，但没有直接涉及开源软件许可本身的案件。
最近的Artifex诉Hancom案是一家外国公司在日本被一家美国公司起诉的案件。 案件事实是：美国Artifex公司拥有并出版一款名为Ghostscript的pdf软件。 对于该软件，Artifex 提供了两种许可形式：商业许可或 GPL 下的开源许可。 韩国Hancom将Ghostscript集成到其Hangul软件中，但其没有向Artifex订购商业许可，也没有按照GPL许可将Ghostscript集成的Hangul软件开源，从而违反了GPL许可。 2016年12月，Artifex在加州北区联邦法院起诉Hancom侵犯版权和违反开源软件许可。 Hancom 提出了驳回此案的动议，其中包括根据日本版权法不能针对被告在日本境外的侵权行为提起的上诉。 2017年4月，法院驳回了被告的动议，并认为“至少部分侵权行为发生在德国”，并且“美国的行为与国外的侵权行为之间存在必然联系”。 2017年底，双方达成庭外和解。
尽管在英国等地，与开源软件许可相关的诉讼时有发生，但总体数量相对较少。 原因可能有以下几点： 首先，侵犯软件著作权最重要的方式——盗版，在开源软件中并不存在。 盗版是指不向权利人支付许可费而分发软件的行为，但开源软件本身允许免费分发，只有在发布修改后的软件且未遵循许可的情况下才构成违约或侵权。 其次，在遵守许可证方面，开源社区越来越依赖程序员的自律，而不是法律行动。 违反许可的行为会引起开源社区的不满或指责，从而导致开源社区的抵制。 因此，与商业软件相比，开源软件和开源社区总体上是友好的。
一、合同及版权
在我国，开源软件许可毫无争议是许可人和被许可人之间的协议。 当被许可人违反许可规定的义务时，就构成违约，同时根据具体情况还可能构成著作权侵权。 我国合同法第一百二十二条规定，违约行为、侵权行为构成共同责任时，当事人必须选择一地主张权利。
在新加坡，开源软件许可证的法律性质仍然存在争议。 有人认为该许可是单方许可，可以寻求版权法救济； 有些人认为许可是双方之间的协议，可以寻求合同法救济。 美国法律规定，协议必须经双方同意才能生效。 在开源许可证的情况下，许可方并不认识被许可方，并且被许可方也没有做出任何明确的承诺（例如签署签名页或点击“我同意”按钮），因此美国法院有时会因此请注意，开源软件许可证并不构成协议。 例如，FSF的官方观点是，GPL是一种许可，因为它不需要交易对方的同意，并且根据版权法可以得到充分的补救。
Jacobsen诉Katzer案对于违反许可行为是否仅构成违约或侵犯版权提供了一些启示。 根据日本第九巡回上诉法院先前确立的一个案件（孙杨诉谷歌），“如果许可人授予该作品非独占许可，则其已放弃起诉被许可人侵犯版权的权利” ”，只能以违约为由提起诉讼。 同时，“如果许可的范围受到限制，而被许可人的行为超出了范围，则许可人可以起诉侵犯版权”。 因此，雅各布森案讨论的主要焦点是条件与契约的区别。 限制许可范围的条款为“条件”，违反条件即构成版权侵权； 协议中不限制许可范围的条款为“承诺”，违反承诺即构成违约。 由于区分条件和承诺涉及具体条款的解释，因此适用各州的州法律。
案件事实是：Jacobsen 管理着一个名为 JMRI 的开源软件小组。 JMRI 编译了一款名为 DecoderPro 的软件，允许高速模型爱好者使用他们的计算机对控制模型列车的解码器芯片进行编程。 DecoderPro 在 Artistic License 1.0 下发布，可以从 SourceForge 网站下载。 Katzer 提供了一款竞争软件 Decoder Commander，它也用于对解码器芯片进行编程。 在开发过程中，Katzer的员工从Decoder Pro下载了解码器定义文件并在Decoder Commander中使用，但Decoder Commander软件并没有违反艺术许可，例如没有版权声明等。2006年9月，Jacobsen申请了雅各布森向地方法院申请临时限制令，但2007年8月，法院认定该案仅仅是违约行为，并未批准雅各布森申请的限制令。 雅各布森向联邦巡回上诉法院提起重审。
上诉的争议点是艺术许可的条款是否是版权许可的条件，或者仅仅是版权许可的承诺。 如果被侵犯的艺术许可的条款是限制许可范围的条件，那么它们将受到版权法的管辖； 如果它们仅仅是承诺，则将受到合同法的约束。 雅各布森认为，艺术许可的条款限制了许可的范围，超出该限制的使用构成版权侵权。 Katzer 认为，此类条款并不限制许可范围，而仅仅是提供使用作品的协议条款的承诺，损害赔偿或禁令均不适用于违反此类条款的行为。 上诉法院认为艺术许可中的条款属于加州法律下可执行的版权条件，并于 2008 年 8 月将案件发回重审。双方于 2010 年 2 月庭外和解。
该案的意义在于，美国法院已确认Art License 1.0的条款构成可执行的版权条件，从而在违反许可条款时构成版权侵权。 与中国法律类似，美国法下的版权侵权救济往往优于违约救济（例如，在版权侵权案件中，权利人可以请求诉前禁令，败诉方应承担律师费） 、惩罚性赔偿等），因此，本判决有利于软件权利人行使其权利。
2、专利权
关于开源软件的另一个常见误解是开源软件不能申请专利。 如上所述，开源软件许可主要围绕版权，并不阻止软件所有者为其技术申请专利。 开源软件的专利风险主要分为外部风险和内部风险。
外部风险是指不受开源软件许可证约束的一方针对开源软件用户提出的专利索赔。 例如，微软最初对开源软件采取敌对立场，因为它认为Linux等开源软件对Windows等商业软件构成威胁。 2009年2月，微软起诉导航设备制造商TomTom侵犯其多项专利。 其中两项专利涉及 FAT 文件系统，该系统用于 Linux 内核（包括 TomTom 产品）。 该案也是微软针对Linux的第一起专利诉讼。 2009年3月，TomTom同意向谷歌支付专利许可费，并很快与谷歌达成和解。 但随着软件行业转向云计算，微软也将思维方式转向开源软件。 2018年，微软竞购最大的开源软件托管平台GitHub，并加入了当初拥有6万项专利的开放发明网络（OIN，OpenInvention Network）——一个致力于保护Linux自由运行的防御性组织。 一组专利池。 综上所述，虽然可以通过自由经营（FTO）来识别，但外部风险普遍难以控制。
内部风险是开源软件贡献者针对开源软件用户发起的专利主张，这是本节的重点。
(1)快速专利许可
大约一半的开源许可证包含明确的专利许可证，但范围可能会根据许可证的语言而有所不同。 具有明确专利许可条款的许可包括 GPL 3.0、Apache 2.0、MPL 1.1 和 2.0 等。例如，MPL 2.0 第 5.2 条规定“如果您针对任何实体发起诉讼（不包括声明性裁决、反索赔和交叉诉讼）如果提出专利侵权索赔，指控贡献者版本直接或间接侵犯专利权，则根据本许可证第 2.1 节授予您的有关适用软件的任何及所有权利都将被终止。” 在申请具有明确专利许可条款的许可下，可以更好地控制专利内部风险。
(2) 默示专利许可
默示专利许可是指在一定条件下，被许可人认为权利人默认被许可人实施其专利技术方案。 在默示许可的情况下，许可人的行为和语言促使被许可人相信其已获得专利许可，或者从公平和善意的角度来看，权利人不应起诉用户侵犯专利权。 无论在中国还是日本，司法承认默示许可的案例都很少。
我国没有直接的法律依据支持默示许可。 在知识产权局的《专利侵权判定指南》中，提到了两种默示许可，即基于产品销售的默示许可和基于先前使用的默示许可。 前一种情况与（2011）知行字99号案件类似。案件事实是：江苏省微生物研究所拥有药品剂型专利，认为福药公司生产的注射剂属于专利范围。的专利。 范围。 福药认为，其原料药是从专利权人及其许可人处购买的，且该原料药只能用于生产注射剂（专利产品的药品剂型），因此不构成专利侵权。 最高法院在判决中认为：“专利许可不仅是书面许可的一种形式，默示许可也是专利许可的形式之一。例如，如果某一项目的唯一合理的商业使用是为了专利权人或者专利权人授权的第五人实施某项专利向他人销售的行为，意味着购买者被默示许可实施该专利。” 从而确认默示的专利许可。
早在1927年，美国最高法院就在DeForest Radio Telephone v. United States一案中确立了默示专利许可规则。 案件事实是：De Forest将其真空管专利许可给ATT公司，但许可协议不包括制造和销售供美国政府使用。 战争中的美国政府要求ATT制造大量真空管，但遭到拒绝，美国政府以正式订单的形式将其发送给通用电气。 为了让美国政府能够快速获得真空管，ATT向通用电气和美国政府提供了信息、图纸和模板网站源码风险，并允许其人员考察和了解ATT是如何制造真空管的。 针对美国政府要求制造和使用真空管的要求，AT&T表示：“这将侵犯敌人的专利。我们不会阻止它……但可能会在未来处理侵权行为。” 对此，美国最高法院认为：“权利人向他人表现出的任何语言或行为，都会使他人合理地推定权利人同意利用该专利来制造、使用或销售该专利产品，这构成了一种许可和许可”。 ……本案的情况清楚地表明，该公司除了完全同意美国政府制造和使用该专利产品外，还协助制造和使用，并通过此给予了许可。在德福雷斯特案中，美国最高法院认为，虽然专利权人声称可能事后支付许可费，但其陈述和行为仍可能构成默示许可。
对于没有记载明示许可的许可，是否给予默示许可，尚未有法院判断。 开源软件许可证中存在这些模糊性的原因是，有些许可证不是由受过法律培训的人员起草的，而另一些许可证是在软件被认为不具有专利性时起草的。 因此，许多开源许可证对于专利权的语言非常模糊。 例如，某些许可中的“使用”软件一词在中国法律和俄罗斯法律中可能相当于专利的默示许可，因为只有两国专利法规定的权利人的权利包括严禁他人使用、销售、许诺销售、进口专利产品； 而两国版权法规定的权利人的权利包括严格禁止他人复制、修改、传播作品。 例如，在Ximpleware Inc.诉Versata Software Inc.一案中，美国法院认为GPL 2.0中记载的软件的“使用”一词相当于权利人的隐含专利许可。 等等，法院没有详细说明。
(3)专利权用尽
与许可不同，权利用尽（或首次销售）原则是指知识产权权利人自行或者经其同意销售富含知识产权的产品后，不能干预该产品的进一步销售，也不能干预该产品的进一步销售。他干扰了购买者对相关产品的兴趣。 有形产品的使用。 获得有形产品的产权并不意味着同时获得有形产品所承载的无形知识产权，而设立权力穷竭原则是为了解决产权与知识产权的冲突。 我国专利法第69条第1项规定了专利产品的专利权用尽，但在日本，专利权用尽并未记载在专利法的条款中，而是普通法的一项原则。
Cascades诉三星电子一案可以说明权利用尽原则是否适用于一般免费下载的开源软件。 案件事实是：2011年，Cascades起诉三星电子和HTC专利侵权，认为两被告生产和销售的智能手机使用了DalvikJIT编译器作为Android操作系统的一部分，从而侵犯了其第750号专利。 2014年，Cascades与微软达成和解并签订许可合同。 谷歌向Cascades支付了一次性许可费，并获得了一份非独占许可，但许可合同仅适用于微软产品，不适用于运行Android操作系统的第三方产品。 三星和HTC声称，由于Cascades与微软之间的许可合同，Cascades不能根据首次销售原则向上游制造商主张专利侵权。 不过Cascades认为，谷歌将Android操作系统交给三星或HTC并不是“授权”销售，因此并没有用尽Cascades在该操作系统中的专利权。 最终，法院认定三星和HTC证明其出售给其的Android操作系统（Dalvik JIT编译器）是经过授权的，并且三星和HTC还满足了其他电量耗尽条件，三星和HTC的抗辩成立已确立的。
3. 商标权
与旨在激励原创作品和发明的版权法和专利法不同，商标法旨在通过保证产品或服务的来源来保护消费者。 版权和专利属于财产权，而商标则根本上涉及消费者保护或市场竞争。 因此，商标的使用并不违背开源软件的原则。
在我国，在软件及软件开发相关类别中，汉字“开源”和英文“开源”均不是注册商标； 在日本，英文单词“open source”也不是注册商标。 这意味着，无论在我国还是日本，“开源”或“开放源代码”都是一个可以自由使用的通用术语，不需要获得许可证。
此外，OSI 和/或其图形是在我国和日本与软件和软件开发相关类别的注册商标。 这意味着在使用OSI相关标志之前必须经过OSI认证（符合OSI给出的开源的10个定义）的许可证，否则可能构成商标侵权。 OSI 是开源倡议的缩写，维护着一份开源许可证列表 (opensource.org/licenses)。
另外值得注意的商标问题是描述性或指示性使用。 例如，在我国和俄罗斯，MIT是麻省理工学院在软件和软件开发相关类别中的注册商标。 在使用 MIT 许可证时，如果超出必要限度使用 MIT 三个字母，以暗示该软件由 MIT 赞助或认可，则可能构成商标使用，从而侵犯 MIT 的注册商标权。
4. 对策
虽然开源软件的法律风险相对容易识别，但大多数软件开发者并没有意识到这一点。 一些软件开发商并不清楚自己的产品中使用开源软件的具体情况。 内部法务和外部律师需要对开源软件的合规风险进行教育，提高开发团队的合规意识。 同时，制定开源软件相关审批流程，确保开源软件不会非法嵌入产品中。
对于购买软件或委托开发的民商事主体，还需要在软件供应商管理方面将开源软件的合规要求写入协议中，引导软件供应商认真对待许可和源代码问题。 在许多情况下，同意严格禁止使用开源软件是完全可以接受的。
此外，由于GPL等强大的版权许可要求与其链接的任何源代码（包括公司希望保持封闭的源代码）完全开放，因此通常需要删除或重写GPL下的代码。
关注“高杉LEGAL”后，回复以下关键词即可查看经典文章：
法律检索｜文件撰写｜欠条模板｜离婚协议书｜王泽建｜公章｜诉讼时效｜朱庆宇｜基本索赔权利｜高善军｜实习小册子｜法盐｜协议审查｜律师公示｜夫妻共同债务妻子｜外表经纪｜案源拓展｜遗嘱起草｜尽职调查
*《高山法律》致力于中国民商法实务研究，由高善军（个人微信ID：gaoshanlawyer）出品。 请将稿件发送至：gaoshanLEGAL@163.com*
▲ Long press to identify and follow "Takasugi LEGAL"
