【中伦律师事务】2024开源合规白皮书（第二版）（中英双语版）-中伦律师事务_156页_3mb

开源合规白皮书总结

核心内容

《开源合规白皮书》（第二版，2025年5月18日）旨在为开发者和企业提供关于开源软件使用的法律风险识别、合规管理以及相关法律实践的全面指导。白皮书从开源发展历史、许可证分类、合规体系建设、中国与域外司法实践等多方面进行了深入分析，强调开源许可证的法律属性、合规操作的重要性以及企业应对开源风险的策略。

主要观点

1. 开源的定义与分类

• 开源不仅限于软件，还包括硬件、设计、文档、技术等。
• 开源许可证分为宽松型和著佐权型，后者又分为强著佐权型和弱著佐权型。

2. 常见开源许可证及其特点

• MIT：宽松，允许闭源使用，无传染性。
• BSD：分为2-Clause和3-Clause，允许闭源使用，但3-Clause禁止使用原作者名称进行宣传。
• Apache：允许闭源使用，包含专利授权条款。
• GPL：强传染性，要求衍生作品也必须开源，分为v2和v3版本。
• AGPL：适用于网络服务，具有传染性。
• LGPL：允许链接到非开源软件，但修改必须开源。
• MPL：文件级授权，允许与其他许可证组合。
• 木兰许可证：中国自主研发的许可证，支持中英文双语，具有专利保护条款，适用于中国本土开源项目。

3. 开源合规风险

• 知识产权风险：包括著作权、专利权、商标权、商业秘密等。
• 商誉风险：违反开源协议可能导致舆论谴责和法律诉讼。
• 数据合规风险：涉及AI领域的开源软件需符合数据安全与个人信息保护相关法规。

4. 企业开源合规体系建设

• 建立开源合规团队，由法务、技术人员和外部律师组成。
• 搭建开源合规知识库，包括许可证查询手册、分组策略、合规工具。
• 制定合规的软件开发流程，如使用SBOM（软件成分清单）进行开源组件管理。

关键信息

一、中国开源司法实践

1. 天创科技诉阿凡提案
   • 典型意义：明确了计算机语言与软件作品无传染性。
2. 数字天堂诉柚子科技案
   • 典型意义：首次明确中国法院承认GPL协议的法律约束力。
3. 罗盒诉风灵案
   • 典型意义：首次明确GPL协议具有合同性质。
4. 罗盒诉玩友案
   • 典型意义：明确了GPLv3协议为附解除条件的非典型著作权许可使用合同。
5. 闪亮时尚诉不乱买案
   • 典型意义：最高院首次引用GPL.v3中的例外条款，强调“衍生产品”与“独立程序”的区分。
6. 未来公司诉云蜻蜓案
   • 典型意义：首次支持GPL抗辩，认定未受GPL传染的部分不构成侵权。

二、域外开源案例解读

1. Jacobsen诉Katzer案
   • 典型意义：厘清开源许可协议条款的性质，强调许可条件与合同义务的区分。
2. Christopher Helwig诉Vmware案
   • 典型意义：法院未处理实体问题，仅从程序性驳回诉权，引发对GPL协议适用范围的讨论。
3. Harald诉D-Link案
   • 典型意义：德国法院认为开源协议具有法律约束力，且无需被许可人声明即可成立合同关系。
4. Harald诉FANTEC案
   • 典型意义：强调产品销售者对开源合规的审查义务，指出其不能依赖供应商保证。

开源平台合规要求

一、平台运营者合规要求

• 遵守所在国法律法规及监管要求。
• 建立合法运营主体并取得相应资质。
• 完成ICP备案等手续。

二、出口管制合规要求

• 开源项目需关注出口管制法规变化。
• 建议设立镜像平台，降低访问限制风险。
• 可考虑自建平台或通过公共库发布，以规避托管平台限制。

三、司法管辖权合规要求

• 开源平台与用户之间的协议决定司法管辖。
• GitHub等平台受美国法律管辖，企业需关注法律适用风险。

四、知识产权风险合规要求

• 企业应提前进行知识产权登记和申请。
• 选择合适的许可证，如MIT、BSD用于仅版权许可，Apache、木兰许可证用于版权与专利许可。
• 注意代码来源方的知识产权风险，避免第三方侵权。

五、合同纠纷风险合规要求

• 需明确知识产权归属，通过章程、许可证、用户协议等方式约定。
• 避免因权属不清引发合同纠纷。

六、网络安全合规要求

• 企业需关注开源软件的安全性，防止恶意代码、后门等安全隐患。
• 定期进行安全审计，确保软件符合安全标准。

总结

《开源合规白皮书》为开源软件的合规使用提供了全面的指导，涵盖开源许可证、合规风险、司法实践、平台建设等多个方面。它强调开源不仅是技术协作方式，更涉及法律与商业风险，需要企业在使用、修改和分发开源软件时，严格遵守许可证条款，并建立完善的合规体系。随着开源技术的广泛应用，企业对开源合规的关注和管理将成为保障其合法运营和技术创新的重要基础。