范吳斌：軟件開發(fā)過程中使用開源軟件的潛在侵權(quán)風(fēng)險分析

#本文僅代表作者觀點，不代表IPRdaily立場，未經(jīng)作者許可，禁止轉(zhuǎn)載#

“企業(yè)在使用開源軟件進行自主研發(fā)的過程中，需要尤其注意是否符合開源許可協(xié)議的規(guī)定，應(yīng)當(dāng)仔細閱讀相應(yīng)的許可條款，針對使用過程進行必要的合規(guī)審查，以規(guī)避潛在的侵權(quán)風(fēng)險?！?br/>

來源：IPRdaily中文網(wǎng)（iprdaily.cn）

作者：范吳斌

1、什么是開源軟件？

開源軟件的字面意思是：開放源代碼的軟件。源代碼（也叫源程序）是指一系列人類可讀的計算機語言指令。直觀理解就是碼農(nóng)們所“碼“出來的一行行代碼就是源代碼。與源代碼相對應(yīng)的概念是目標代碼。源代碼是人類程序員根據(jù)高級語言規(guī)則（例如：C語言）所寫出來的便于人類理解和認知的代碼，而將源代碼通過編譯器進行編譯，生成的可供計算機識別和執(zhí)行的二進制指令就是目標代碼。

與開源軟件相對應(yīng)的是閉源軟件，也就是源代碼封閉不公開的軟件。目前市面上絕大部分的商業(yè)版權(quán)軟件都是閉源軟件，即源代碼只有作者或者權(quán)利人能夠看到。這也就導(dǎo)致在軟件出了問題或者在實際運行中發(fā)現(xiàn)了BUG（漏洞）時，也只有權(quán)利人能夠通過查看、修改源代碼來對軟件進行修正和更新。相應(yīng)的，其不公開的源代碼也會構(gòu)成權(quán)利人的商業(yè)秘密被法律所保護。而如果一個軟件是開源的話，則意味著其源代碼面向社會公眾是公開的，任何人都可以去查看、修改以及使用該源代碼。

有關(guān)開源思想的誕生，背后有一個有趣的故事。理查德·斯托曼（Richard Stallman）是有史以來最偉大的幾名黑客之一，也是世界上寫代碼最多的人之一。他曾經(jīng)買過一個商業(yè)軟件，結(jié)果使用的過程中發(fā)現(xiàn)一點小問題，于是他去找軟件公司，問他們能不能幫忙修復(fù)一下，軟件公司說不行，Richard 于是說，那能不能把源代碼給我，我來修復(fù)一下，公司也說不行。于是Richard很生氣，創(chuàng)立了著名的自由軟件基金會（FSF），發(fā)布了大名鼎鼎的GPL（通用公共許可協(xié)議），GPL至今為止依然是最著名的開源許可協(xié)議。

2、什么是開源許可協(xié)議？

開源許可協(xié)議又稱開源許可證（Open Source License），通俗來說就是軟件權(quán)利人在選擇將軟件的源代碼面向社會公眾進行公開時所附加的授權(quán)許可條款。這里需要強調(diào)的是，開源軟件即不等于免費軟件，也不等于沒有著作權(quán)的公共軟件。一款軟件的著作權(quán)人雖然面向社會公眾公開了該軟件的源代碼，但是在沒有明確的意思表示的情況下，該種公開行為只能代表權(quán)利人放棄了以商業(yè)秘密的形式來保護其源代碼，并不代表權(quán)利人放棄了被公開的源代碼上的著作權(quán)。而開源許可證的作用就是充當(dāng)了被公開源代碼的著作權(quán)授權(quán)許可協(xié)議的角色，權(quán)利人可以通過自己擬定許可條款，或者選擇特定類型的開源許可證來向準備使用該源代碼的不特定用戶明確使用的規(guī)則和限制。目前已知的開源許可證已經(jīng)有上百種，常見有GPL、LGPL、Apache、MIT、BSD、MPL、SSPL 等。不同類型的許可證中，針對源代碼的復(fù)制、使用、修改、傳播、再發(fā)布等行為的許可與限制條件也不同。

總的來說，開源許可協(xié)議就是保證開源軟件及源代碼按照約定使用的一個法律文件，目的在于規(guī)范受著作權(quán)保護的軟件及源代碼的使用、分發(fā)等行為。開源許可證是開源軟件生態(tài)系統(tǒng)的基礎(chǔ)，可以極大的促進軟件的協(xié)同開發(fā)。

3、開源許可協(xié)議的法律性質(zhì)

廣州知識產(chǎn)權(quán)法院在（2019）粵73知民初207號案的判決書中對許可協(xié)議的性質(zhì)做了詳細論述，法院認為開源許可協(xié)議具有合同性質(zhì)，是授權(quán)方和用戶訂立的格式化著作權(quán)協(xié)議，屬于廣義的合同范疇，受合同相關(guān)法律法規(guī)的調(diào)整。而具體到某一特定的開源許可協(xié)議（例如：GPL），在法律上視為針對某一特定的項目，預(yù)先設(shè)定好格式化條款的協(xié)議。只要權(quán)利人作為授權(quán)方為其開放的源代碼選定了該協(xié)議，那么使用該開放源代碼的不特定用戶就必須遵守該協(xié)議中所約定的內(nèi)容。上述行為視為是授權(quán)方和用戶之間形成的以開源軟件源代碼為目的的一種民事法律行為。在此基礎(chǔ)之上，授權(quán)方通過開源許可協(xié)議授予不特定的用戶復(fù)制、修改、再發(fā)行等權(quán)利，是設(shè)立、變更、終止民事法律權(quán)利義務(wù)關(guān)系的協(xié)議。同時，當(dāng)不特定用戶針對該源代碼采取了實際的復(fù)制、修改、發(fā)行等行為時，那么上述協(xié)議便在權(quán)利人和用戶之間成立并生效。

其次，法院認為開源許可協(xié)議為非典型合同。與我國著作權(quán)法有關(guān)著作權(quán)許可使用和轉(zhuǎn)讓合同的規(guī)定相比較，開源許可協(xié)議中不存在權(quán)利轉(zhuǎn)讓的對價或許可使用需要支付的報酬等典型著作權(quán)許可合同的主要條款。開源許可協(xié)議是開源軟件的權(quán)利人向不特定的使用者讓渡其著作權(quán)中部分或全部的人身權(quán)利和財產(chǎn)權(quán)利，從而換取使用者承諾遵守開源許可協(xié)議的許可條件和義務(wù)。例如，GPL協(xié)議中要求使用者基于開放源代碼修改后產(chǎn)生的新的源代碼也必須面向社會公眾進行公開。

第三，開源許可協(xié)議在合同性質(zhì)上是格式合同，是由著作權(quán)人向軟件程序及源代碼使用者提出的合同條款。該格式化條款保持承繼性，且不屬于格式合同條款無效的情形，其授權(quán)內(nèi)容符合我國著作權(quán)法的規(guī)定，合法有效。

第四，不特定用戶針對開源許可協(xié)議的承諾是通過行為作出。例如，GPL協(xié)議第9條規(guī)定：一旦修改和傳播一個受保護作品，就表明你接受本協(xié)議。該要約內(nèi)容表明以實踐行為作出承諾，無須再另行簽訂書面的合同。因此，開源許可協(xié)議中有關(guān)承諾可以用行為完成的條款符合合同法關(guān)于要約和承諾的規(guī)定，應(yīng)為有效。

綜上，法院認為開源許可協(xié)議具有合同性質(zhì)，是授權(quán)方與用戶訂立的格式化著作權(quán)協(xié)議，屬于我國合同相關(guān)法律法規(guī)調(diào)整的范圍。

4、用戶違反開源許可協(xié)議的約定使用開源軟件及源代碼的法律后果

如上所述，開源許可協(xié)議在法律上可以看作是開源軟件及源代碼的著作權(quán)授權(quán)許可協(xié)議，那么超出授權(quán)許可協(xié)議范圍的使用行為便同時構(gòu)成了違約行為和侵權(quán)行為，進而相應(yīng)產(chǎn)生了違約責(zé)任和侵權(quán)責(zé)任。但考慮到用戶只有一個違法行為，因此兩種責(zé)任構(gòu)成民事責(zé)任競合，根據(jù)《民法典》第186條的規(guī)定，權(quán)利人需要擇一主張，針對用戶違反開源軟件許可協(xié)議的行為要么采取違約救濟，主張違約損害賠償請求權(quán)；要么采取侵權(quán)救濟，主張侵權(quán)損害賠償請求權(quán)。

1、選擇違約救濟與選擇侵權(quán)救濟之間的區(qū)別

實務(wù)中，很多企業(yè)類用戶通常會在開源軟件及源代碼基礎(chǔ)之上衍生開發(fā)出新的商業(yè)軟件，通過售賣商業(yè)軟件作為企業(yè)的盈利模式。這種情況下企業(yè)就天然不愿意去面向公眾開放新開發(fā)商業(yè)軟件的源代碼，而是傾向于通過商業(yè)秘密的形式來保護其源代碼。但是如果新的商業(yè)軟件所使用的開源軟件采用了GPL開源許可協(xié)議，那么根據(jù)GPL協(xié)議的約定，使用者基于開源代碼修改后產(chǎn)生的新的源代碼也必須面向社會公眾進行公開。這時候企業(yè)最擔(dān)心的往往是權(quán)利人能不能基于開源許可協(xié)議的約定，強制要求企業(yè)公開新開發(fā)軟件的源代碼？

在違約救濟中，由于其訴訟基礎(chǔ)是用戶違反了合同的約定，理論上權(quán)利人是可以向法院提出公開源代碼的訴訟請求，即要求作為違約方的用戶按照開源許可協(xié)議的約定繼續(xù)履行合同，公開新開發(fā)軟件的全部源代碼。但筆者認為如果用戶明確表示拒絕公開相應(yīng)源代碼時，實務(wù)中法院大概率不會直接判決用戶強制公開，法院會傾向于適用《民法典》第580條，以合同目的不能實現(xiàn)為由，終止雙方的合同權(quán)利義務(wù)關(guān)系，判決違約方承擔(dān)違約損害賠償責(zé)任。另一方面，考慮到我國法律中有關(guān)合同違約的賠償標準是以實際造成的損失為限，當(dāng)開源許可協(xié)議中并沒有約定具體的違約條款及損害賠償額的計算方法時，權(quán)利人想要證明用戶的違約行為給自己造成的實際損失，筆者認為會存在不小的舉證困難。

再來看侵權(quán)救濟，由于開源許可協(xié)議在法律上可以被視為附解除條件的許可合同，那么用戶由于違反了開源許可協(xié)議中的限制性條款，則視為著作權(quán)的許可前提條件已經(jīng)不復(fù)存在，權(quán)利人和用戶之間已經(jīng)達成的授權(quán)許可協(xié)議終止適用，用戶獲得的授權(quán)也將自動終止。此時用戶繼續(xù)使用開源軟件及代碼的行為構(gòu)成無權(quán)使用，屬于著作權(quán)侵權(quán)行為。在著作權(quán)侵權(quán)損害賠償程序中，權(quán)利人可以向公司主張停止侵權(quán)，即要求公司停止新開發(fā)商業(yè)軟件的下載、安裝和運營服務(wù)，同時可以要求公司賠償經(jīng)濟損失。需要說明的是，在知識產(chǎn)權(quán)侵權(quán)糾紛中，損害賠償?shù)挠嬎惴绞娇梢允嵌鄻拥摹８鶕?jù)《著作權(quán)法》第54條的規(guī)定“侵權(quán)人應(yīng)當(dāng)按照權(quán)利人因此受到的實際損失或者侵權(quán)人的違法所得給予賠償；權(quán)利人的實際損失或者侵權(quán)人的違法所得難以計算的，可以參照該權(quán)利使用費給予賠償。對故意侵犯著作權(quán)或者與著作權(quán)有關(guān)的權(quán)利，情節(jié)嚴重的，可以在按照上述方法確定數(shù)額的一倍以上五倍以下給予賠償；權(quán)利人的實際損失、侵權(quán)人的違法所得、權(quán)利使用費難以計算的，由人民法院根據(jù)侵權(quán)行為的情節(jié)，判決給予五百元以上五百萬元以下的賠償。賠償數(shù)額還應(yīng)當(dāng)包括權(quán)利人為制止侵權(quán)行為所支付的合理開支?！?br/>

由此可見，采用侵權(quán)救濟途徑時，賠償額的計算方式更為多樣，且能夠向作為侵權(quán)方的用戶主張律師費等維權(quán)合理開支，筆者認為應(yīng)當(dāng)是權(quán)利人維權(quán)的首選方案。

2、誰可以作為適格的起訴主體發(fā)起訴訟？

上文提到，開源軟件生態(tài)系統(tǒng)的優(yōu)勢在于通過向社會公眾免費開放軟件的源代碼，使得遍布世界各地的程序員都可以共同維護開發(fā)該開源軟件，極大的促進了軟件的協(xié)同開發(fā)。但同時也導(dǎo)致了一款開源軟件的作者并不唯一，甚至可能出現(xiàn)根本無法完全統(tǒng)計所有參與軟件開發(fā)的作者。這就導(dǎo)致了針對合作作品，當(dāng)存在多個主體共同享有著作權(quán)的情況下，如何確定適格的起訴主體。根據(jù)《北京市高級人民法院侵害著作權(quán)案件審理指南》第一章1.14中規(guī)定：“對于不可分割使用的合作作品，如果能夠查清權(quán)利人基本情況，以全部權(quán)利人作為共同原告。明確表示放棄實體權(quán)利的權(quán)利人，可不予追加；不愿意參加訴訟，又不放棄實體權(quán)利的，將其列為共同原告，其不參加訴訟，不影響對案件的審理。如果結(jié)合在案證據(jù)難以查清權(quán)利人基本情況，可以將已查清的部分權(quán)利人作為共同原告，但在判決論理部分為未參加訴訟的權(quán)利人保留相應(yīng)的權(quán)利份額?！?br/>

由此可見，對于像開源軟件這種無法查清所有權(quán)利人的情況，法院可以將已查清的部分權(quán)力人作為共同原告。同時，廣州知識產(chǎn)權(quán)法院在（2019）粵73知民初207號案的判決書中也認為：開源軟件項目的貢獻者往往人數(shù)眾多，互不相識且散布于全球各地，只要項目保持開源，則貢獻者數(shù)量會持續(xù)動態(tài)地增加。即使涉案軟件屬合作作品，就在案證據(jù)難以查清所有權(quán)利人的基本情況下，若開源項目要求必須經(jīng)過所有貢獻者的授權(quán)才能提起訴訟，那么將導(dǎo)致開源軟件維權(quán)無從提起。因此，作為提交了絕大部分代碼量的項目管理者，有權(quán)單獨提起訴訟。

5、企業(yè)在商業(yè)軟件開發(fā)過程中使用了開源軟件時，存在哪些潛在的侵權(quán)法律風(fēng)險？

此處筆者以執(zhí)業(yè)中處理的一起涉及Qt開源軟件潛在侵權(quán)風(fēng)險排查的案例，來具體探討下企業(yè)在使用開源軟件過程中需要注意哪些合規(guī)問題。

A企業(yè)為一家從事工業(yè)制造領(lǐng)域智能化改造相關(guān)技術(shù)研發(fā)和應(yīng)用的公司，產(chǎn)品涉及到軟件與硬件相結(jié)合的領(lǐng)域，擬進行科創(chuàng)板上市。其中，A企業(yè)的軟件部分均為自主研發(fā)，軟件的源代碼中包括多項自主研發(fā)的核心算法，因此其所有自研軟件均為閉源軟件，相應(yīng)的源代碼均是作為企業(yè)的核心商業(yè)秘密在進行保護。

A企業(yè)在軟件開發(fā)的過程中不可避免的需要用到一款著名的開源軟件Qt。Qt軟件是一款跨平臺圖形用戶界面應(yīng)用程序開發(fā)框架軟件，包括兩個版本，商業(yè)版本和開源版本。商業(yè)版本中采用的是商業(yè)協(xié)議，該協(xié)議中針對用戶基于Qt軟件自主開發(fā)閉源商業(yè)軟件不做任何限制，但商業(yè)版本需要收取價格不菲的授權(quán)使用費。開源版本則使用了LGPL開源許可協(xié)議。

此處先針對LGPL開源許可協(xié)議做簡要介紹，LGPL全稱LESSER GENERAL PUBLIC LICENSE，中文名稱為“較寬松公共許可證”或“函數(shù)庫公共許可證”。LGPL許可證是文章開頭提到的自由軟件基金會（FSF）創(chuàng)立的開源軟件許可證中的一種，是從GPL許可證的基礎(chǔ)上發(fā)展而來。前文提到，GPL（通用公共許可協(xié)議）許可證是最著名的開源許可協(xié)議，協(xié)議中對衍生軟件的開源做了非常嚴苛的要求，簡單來說就是凡是使用了帶有GPL許可證的軟件，衍生出的軟件必須也使用GPL許可證發(fā)布，也即是行業(yè)內(nèi)所說的GPL具備高傳染性。早期版本的Qt軟件使用的也是GPL許可證，那么針對在GPL許可證下的Qt軟件，用戶無論是使用了Qt中的程序代碼，還是修改了Qt類庫代碼，由此新開發(fā)出的軟件也必須使用GPL許可證來發(fā)布，即保持開源性。然而開源在很多情況下對商業(yè)軟件來說是不可接受的。因此Qt在后續(xù)的開源版本中增加了LGPL許可證。使用 LGPL許可證下的Qt軟件開發(fā)新的軟件時，用戶只要不修改Qt的源代碼或者定制Qt類庫，而僅使用Qt官方發(fā)布的動態(tài)鏈接庫時，是可以選擇不開源的。因此LGPL協(xié)議也被稱為商業(yè)友好型開源協(xié)議。

再回過頭來看A企業(yè)，由于在創(chuàng)業(yè)初期企業(yè)現(xiàn)金流緊張，不具備實力購買價格昂貴的Qt軟件商業(yè)版，因此企業(yè)選擇了使用LGPL許可協(xié)議下的開源版本。同時，隨著研發(fā)的不斷投入，基于Qt軟件開發(fā)的新的商業(yè)軟件中包含大量具備自主知識產(chǎn)權(quán)的核心算法，該算法以源代碼為載體，一旦源代碼被公開，其核心算法也會被隨之公開。因此企業(yè)將開發(fā)的幾十款商業(yè)軟件都定位為閉源軟件。那么隨之而來的問題就是，如果軟件選擇以閉源的形式發(fā)布，是否會存在潛在的侵權(quán)風(fēng)險。

筆者在詳細了解了A企業(yè)的商業(yè)模式以后認為，A企業(yè)所開發(fā)的數(shù)十款商業(yè)軟件是否構(gòu)成軟件著作權(quán)侵權(quán)，其核心就在于每一款軟件在開發(fā)過程中是否符合LGPL授權(quán)許可協(xié)議的要求。如前文所述，如果A企業(yè)在開發(fā)某一款軟件的過程中違背了LGPL授權(quán)許可協(xié)議的約定，例如：新開發(fā)的商業(yè)軟件修改了Qt軟件中的部分源代碼，但并沒有依據(jù)LGPL協(xié)議的約定針對新軟件進行開源發(fā)布，那么上述違約行為視為著作權(quán)的許可前提條件已經(jīng)不復(fù)存在，Qt軟件的權(quán)利人和A企業(yè)之間基于LGPL許可證已經(jīng)達成的授權(quán)許可協(xié)議終止適用，A企業(yè)獲得的授權(quán)也將自動終止。此時A企業(yè)針對新軟件提供復(fù)制、下載、安裝、運營等商業(yè)服務(wù)的行為即構(gòu)成著作權(quán)侵權(quán)行為。Qt軟件的權(quán)利人可以隨時起訴A企業(yè)，要求其停止侵權(quán)并賠償經(jīng)濟損失。

基于上述分析，我們?yōu)锳企業(yè)制定了詳細的侵權(quán)風(fēng)險排查計劃，其中包括：與A企業(yè)軟件開發(fā)人員詳細溝通，了解新開發(fā)軟件的架構(gòu)；了解A企業(yè)軟件與Qt軟件類庫調(diào)用關(guān)系；逐一梳理比對新開發(fā)軟件是否滿足LGPL授權(quán)許可協(xié)議中的要求；在此基礎(chǔ)上提供關(guān)于相關(guān)軟件或設(shè)備是否符合LGPL授權(quán)許可協(xié)議要求的法律指導(dǎo)，出具相應(yīng)的法律風(fēng)險評估報告等。

6、小結(jié)

隨著互聯(lián)網(wǎng)的普及，開源軟件迎來了前所未有的蓬勃發(fā)展，開源已經(jīng)成為分布式協(xié)作開發(fā)模式的典范和推動者。然而很多企業(yè)對開源軟件的認識存在誤區(qū)，認為開源軟件等于免費軟件，開源軟件是沒有著作權(quán)可以任意使用的軟件。事實上，開源軟件不但與上述概念不能等同，甚至也不能等同于其字面意思：開放源代碼的軟件。開源軟件更準確的定義應(yīng)該是：源代碼在一個開源協(xié)議下被公開，并且授予其他人修改和持續(xù)演進的自由。因此對修改后軟件再分發(fā)的規(guī)定上的差異，形成了不同的開源軟件許可體系。企業(yè)在使用開源軟件進行自主研發(fā)的過程中，需要尤其注意是否符合開源許可協(xié)議的規(guī)定，應(yīng)當(dāng)仔細閱讀相應(yīng)的許可條款，針對使用過程進行必要的合規(guī)審查，以規(guī)避潛在的侵權(quán)風(fēng)險。

（原標題：軟件開發(fā)過程中使用開源軟件的潛在侵權(quán)風(fēng)險分析——以Qt開源軟件為例）

來源：IPRdaily中文網(wǎng)（iprdaily.cn）

作者：范吳斌

編輯：IPRdaily趙甄          校對：IPRdaily縱橫君

注：原文鏈接：范吳斌：軟件開發(fā)過程中使用開源軟件的潛在侵權(quán)風(fēng)險分析（點擊標題查看原文）

「關(guān)于IPRdaily」

IPRdaily是全球領(lǐng)先的知識產(chǎn)權(quán)綜合信息服務(wù)提供商，致力于連接全球知識產(chǎn)權(quán)與科技創(chuàng)新人才。匯聚了來自于中國、美國、歐洲、俄羅斯、以色列、澳大利亞、新加坡、日本、韓國等15個國家和地區(qū)的高科技公司及成長型科技企業(yè)的管理者及科技研發(fā)或知識產(chǎn)權(quán)負責(zé)人，還有來自政府、律師及代理事務(wù)所、研發(fā)或服務(wù)機構(gòu)的全球近100萬用戶（國內(nèi)70余萬+海外近30萬），2019年全年全網(wǎng)頁面瀏覽量已經(jīng)突破過億次傳播。

（英文官網(wǎng)：iprdaily.com  中文官網(wǎng)：iprdaily.cn） 

本文來自IPRdaily中文網(wǎng)（iprdaily.cn）并經(jīng)IPRdaily.cn中文網(wǎng)編輯。轉(zhuǎn)載此文章須經(jīng)權(quán)利人同意，并附上出處與作者信息。文章不代表IPRdaily.cn立場，如若轉(zhuǎn)載，請注明出處：“http://jupyterflow.com”