Open source software, opgehelderde misvattingen en praktische handvatten

Door de NGB Werkgroep Digitalisering, op voorzet van mr. Maurits Meijboom. 

Voor veel bedrijfsjuristen valt het gebruik van Open Source Software ("OSS”) in hun organisaties in de afdeling ‘wat niet weet, wat niet deert’. Open source en OSS spelen echter een grote rol bij het gebruik en inzetten van software. Het gebruik van OSS is, net als bij commercieel aangeboden en gelicentieerde software, niet vrij van risico’s. Maar er is ook goed nieuws: tegenwoordig zijn deze risico’s als bedrijf een beter in kaart te brengen en daarmee beter te beheersen. Tijd dus om ons meer te verdiepen in Open Source Software! 

Dit artikel legt kort uit wat OSS is en benoemt de voornaamste juridische aspecten van OSS en de bijkomende risico’s. Vervolgens komen diverse tips aan bod die helpen om een beter beeld te krijgen van het gebruik van OSS binnen een organisatie om daarmee een aantal voorname risico’s uit de weg te gaan.

1. Wat is open source software?

De term OSS wordt te pas en te onpas gebruikt en de betekenis vraagt oplettendheid. Bij juist gebruik betekent het dat de broncode (dat wil zeggen het door mensen leesbare deel van de computercode) vrij toegankelijk is. Deze OSS mag dus door iedereen worden gebruikt, vaak zonder dat er licentievergoedingen betaald hoeven worden. De filosofie achter OSS is oorspronkelijk geïnspireerd door het concept van vrijheid van eigendom en verzette zich tegen de beperkende aard van intellectuele eigendomsrechten. Het idee is dus dat de software vrij mag worden verspreid en iedereen het mag verbeteren of optimaliseren, waarna het vervolgens verder kan worden gedistribueerd. Dit resulteert in een voortdurende cyclus van open en gezamenlijke verbetering van de software.

OSS kan een vrij beschikbaar softwareproduct zijn. Denk bijvoorbeeld aan de Android- en Linux-besturingssystemen, de Mozilla Firefox-webbrowser, databasesoftware zoals MySQL en content managementsoftware als WordPress. Daarnaast worden OSS-elementen veelvuldig als bouwstenen gebruikt in de ontwikkeling van software. Een softwareontwikkelaar zal vaak online op zoek gaan naar standaard bouwstenen, dat wil zeggen stukken OSS-computercode, die kunnen worden gebruikt voor bepaalde functies die voor de software nodig zijn. Wel zo efficiënt: zo hoeft het wiel niet opnieuw te worden uitgevonden.

Het gebruik van OSS heeft naast de efficiëntie nog vele andere voordelen, waaronder (meestal) geen licentiekosten, lagere ontwikkelingskosten, flexibiliteit tussen softwareoplossingen en leveranciers, regelmatig (en vrij) beschikbare fixes en updates via de samenwerkende OSS-gemeenschap en het versnellen van software-releasecycli. Daarnaast maakt ook de enorme hoeveelheid beschikbare gerenommeerde OSS dat het gebruik daarvan een essentieel onderdeel is geworden van het hedendaagse softwareontwikkelingsproces. Maar liefst 90% van de respondenten van een in november 2019 door Gartner uitgevoerd onderzoek onder IT specialisten gaf aan in meer of mindere mate van OSS-componenten gebruik te maken[1]. OSS is dus zeer populair en wordt eigenlijk in de meeste organisaties gebruikt.

2. Juridische aspecten OSS

Er zit echter een addertje onder het gras. Een veel voorkomende misvatting is dat de vrije beschikbaarheid van OSS ook 'licentievrij' impliceert. Niets is minder waar: gebruikers van OSS zijn nog steeds onderworpen aan een softwarelicentie die moet worden nageleefd, net als gebruikers van commerciële software. Immers, zowel op commerciële software als OSS rusten auteursrechten. Dat de software vrij mag worden verspreid en dat de broncode vrij toegankelijk is, betekent dus niet dat de software niet (auteursrechtelijk) is beschermd. De OSS-licentie bepaalt onder welke voorwaarden de broncode vrij beschikbaar is, en soms of deze bij verspreiding of wijziging ook weer beschikbaar moet worden gesteld. OSS-licentiegevers gebruiken nog steeds het auteursrecht om het gedrag van gebruikers te beheersen. Echter, in plaats van het auteursrecht te gebruiken om te beperken wat een gebruiker anders zou kunnen doen (d.w.z. kopiëren of distribueren), gebruiken ze de bevoegdheden die ze hebben als auteursrechthebbenden om ervoor te zorgen dat de OSS 'vrij' blijft.  

Voor de gebruiker van software, maar nog meer voor de softwareontwikkelaar, valt het sterk aan te raden om het gebruik van OSS en de onderliggende licenties nauwlettend in de gaten te houden om zeker te zijn dat de desbetreffende OSS licentie het beoogde gebruik van het totaalproduct (waarin de OSS wordt opgenomen) toestaat. Er is immers een brede variatie aan OSS-licenties. Globaal kunnen de OSS-licenties worden onderverdeeld in 1) Free-for-all; waarbij de voornaamste eis is het noemen van de auteurs (o.a. MIT, BSD licenties), 2) Keep-open; waarvan alleen de wijzigingen aan de OSS zelf ook als open source moeten worden gepubliceerd (o.a. Linux), en 3) Share-alike; waarbij wijzigingen aan de OSS maar ook andere uitbreidingen van de OSS of zelfs de gehele software waarvan het onderdeel vormt moeten worden gepubliceerd (o.a. verschillende versies van GPL). Daarbij komt dat sommige licenties nog geen A4’tje in beslag nemen en andere licenties uitgebreide en complexe juridische documenten zijn.

De voornaamste vrees met betrekking tot het gebruik van OSS komt waarschijnlijk voort uit een concept dat bekend staat als 'Strong Copyleft' dat opduikt in sommige OSS-licenties. De term ‘Copyleft’ is een tegenhanger van ‘Copyright’ en houdt de plicht in een kopie van de source code vrij beschikbaar te stellen. En ‘Strong Copyleft’-licenties, ook wel bekend als 'virale' licenties, bepalen dat de voorwaarden die van toepassing zijn op de originele OSS worden geërfd door de gecombineerde software die is ontwikkeld met behulp van de originele OSS. In de praktijk betekent dit dat als een organisatie software wil distribueren die OSS-bouwblokken bevat, zij de broncode voor die software ‘vrij’ beschikbaar moet stellen onder de voorwaarden van die betreffende licentie. Dit dus mogelijk inclusief elementen van de code die zelfstandig door de organisatie zijn ontwikkeld. Software architectuur kan dit bezwaar ondervangen en gelukkig bevat veel OSS geen Strong Copyleft verplichtingen en worden deze bepalingen over het algemeen alleen geactiveerd als een licentiehouder de OSS distribueert; louter ‘intern’ gebruik binnen een organisatie zal derhalve meestal geen problemen en veroorzaken. Ook verschillen de voorwaarden per specifieke OSS-licentie. Zo bepalen sommige OSS-licenties bijvoorbeeld dat het beschikbaar stellen van software als een software-as-a-service (SaaS) geen 'distributie' van de software oplevert. Desalniettemin, als een organisatie met de gecombineerde broncode bijvoorbeeld een commercieel of concurrentievoordeel wil behalen, dan is het gebruik van OSS met een Strong Copyleft licentie af te raden.

Hoewel het dus niet waarschijnlijk is dat intern gebruik van OSS problemen zal opleveren, vergt ieder ander gebruik dat de toepasselijke licentievoorwaarden vanuit juridisch oogpunt -en in het licht van het beoogde gebruik- beoordeeld worden. De reden is dat als de OSS-licentie wordt geschonden, sprake is van een auteursrechtinbreuk waartegen kan worden opgetreden. Dit laatste gebeurt echter niet vaak: pasvorig jaar is in Nederland voor het eerst een vonnis gewezen t.a.v. OSS-licentie inbreuk[2]. Meestal is het dreigen met optreden of een sommatie al voldoende om het inbreukmakende gebruik te doen eindigen.