Juridische vraag: Wanneer software op basis van open source code wordt gemaakt, moet de broncode dan altijd worden gedeeld?
Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Wil je weten wat onder de AVG nu wel en niet is toegestaan of zit je met andere gerelateerde dilemma's? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Vraag: Bij mijn werkgever maken we software en gebruiken we daarvoor open source code, echter we verspreiden of verkopen onze software niet. De software wordt geïnstalleerd en draait alleen op onze eigen servers. Valt het gebruik dan onder de GPL 2.0 licentievoorwaarden? Moeten wij onze source code beschikbaar stellen? (Bron )
Antwoord: Wanneer software onder GPLv2 is verkregen, ben je verplicht om bij herdistributie daarvan de volledige broncode mee te leveren. Inclusief aanpassingen en uitbreidingen, als je die gemaakt zou hebben.
Waar precies de grens ligt van een 'uitbreiding' is al zo'n 20 à 30 jaar een hele forse discussie, waar je in de praktijk vaak wel uitkomt maar het levert elke keer een hele puzzel op. Maar gelukkig is dit in dit geval niet relevant.
Bij de vraagsteller wordt de software niet verspreid, zodat de voorwaarden uit de GPL niet van toepassing zijn. Er hoeft dus geen broncode beschikbaar gesteld te worden aan wie dan ook.
En ja, dit heeft als consequentie dat SaaS/cloudleveranciers open source in kunnen zetten en aanpassen zonder dat ze ook maar één letter hoeven te delen. Dat is in strijd met de geest van de GPL, want die zegt dat als je software nuttig vindt, je die moet delen ("bevrijden"). Dat klopt, maar was een bewuste keuze destijds.
Er is één alternatief voor de GPL die dit gat wel dicht, en dat is de AGPL of Affero GPL. Wie software onder deze licentie inzet in een publieke SaaS-oplossing, moet de broncode als download aanbieden. Het gebruik van deze licentie is vrij beperkt, maar enkele bekende SaaS-tools (zoals MongoDB) vallen er onder. Maar als software onder de 'gewone' GPL uitgebracht is, dan speelt dit niet.
Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Bijvoorbeeld als je een library aanroept die OS is het niet zo dat je direct je hele source van je applicatie moet publiceren. Pak je een library en modificeer je deze tot een nieuwe library, of kopieer je gedeeltelijke code van de OS variant naar je eigen source code, dan weer wel.
De GPL-FAQ suggereert zelfs een uitzonderingsclausule die de auteurs van JavaScript kunnen gebruiken om te voorkomen dat HTML-code in een pagina die hun JavaScript gebruikt verplicht onder de GPL valt en dat combinatie met LGPL'ed JavaScript-libraries is toegestaan:
https://www.gnu.org/licenses/old-licenses/gpl-2.0-faq.html#WMS
Dat men bij GNU die uitzondering nodig vindt maakt duidelijk dat men daar vindt dat het wel degelijk verspreiding is.
Bij Javascript is het al zo dat de website bezoeker/gebruiker de Javascript al ontvangen heeft dus as het GPL is, zou het fijn zijn om geen functienamen, etc. te verhaspelen en een comment regel toe te voegen wat de license is. Dan kunnen andere er ook nog wat mee.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?