Juridische vraag: Wanneer software op basis van open source code wordt gemaakt, moet de broncode dan altijd worden gedeeld?
Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Wil je weten wat onder de AVG nu wel en niet is toegestaan of zit je met andere gerelateerde dilemma's? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Vraag: Bij mijn werkgever maken we software en gebruiken we daarvoor open source code, echter we verspreiden of verkopen onze software niet. De software wordt geïnstalleerd en draait alleen op onze eigen servers. Valt het gebruik dan onder de GPL 2.0 licentievoorwaarden? Moeten wij onze source code beschikbaar stellen? (Bron )
Antwoord: Wanneer software onder GPLv2 is verkregen, ben je verplicht om bij herdistributie daarvan de volledige broncode mee te leveren. Inclusief aanpassingen en uitbreidingen, als je die gemaakt zou hebben.
Waar precies de grens ligt van een 'uitbreiding' is al zo'n 20 à 30 jaar een hele forse discussie, waar je in de praktijk vaak wel uitkomt maar het levert elke keer een hele puzzel op. Maar gelukkig is dit in dit geval niet relevant.
Bij de vraagsteller wordt de software niet verspreid, zodat de voorwaarden uit de GPL niet van toepassing zijn. Er hoeft dus geen broncode beschikbaar gesteld te worden aan wie dan ook.
En ja, dit heeft als consequentie dat SaaS/cloudleveranciers open source in kunnen zetten en aanpassen zonder dat ze ook maar één letter hoeven te delen. Dat is in strijd met de geest van de GPL, want die zegt dat als je software nuttig vindt, je die moet delen ("bevrijden"). Dat klopt, maar was een bewuste keuze destijds.
Er is één alternatief voor de GPL die dit gat wel dicht, en dat is de AGPL of Affero GPL. Wie software onder deze licentie inzet in een publieke SaaS-oplossing, moet de broncode als download aanbieden. Het gebruik van deze licentie is vrij beperkt, maar enkele bekende SaaS-tools (zoals MongoDB) vallen er onder. Maar als software onder de 'gewone' GPL uitgebracht is, dan speelt dit niet.
Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Bijvoorbeeld als je een library aanroept die OS is het niet zo dat je direct je hele source van je applicatie moet publiceren. Pak je een library en modificeer je deze tot een nieuwe library, of kopieer je gedeeltelijke code van de OS variant naar je eigen source code, dan weer wel.
De GPL-FAQ suggereert zelfs een uitzonderingsclausule die de auteurs van JavaScript kunnen gebruiken om te voorkomen dat HTML-code in een pagina die hun JavaScript gebruikt verplicht onder de GPL valt en dat combinatie met LGPL'ed JavaScript-libraries is toegestaan:
https://www.gnu.org/licenses/old-licenses/gpl-2.0-faq.html#WMS
Dat men bij GNU die uitzondering nodig vindt maakt duidelijk dat men daar vindt dat het wel degelijk verspreiding is.
Bij Javascript is het al zo dat de website bezoeker/gebruiker de Javascript al ontvangen heeft dus as het GPL is, zou het fijn zijn om geen functienamen, etc. te verhaspelen en een comment regel toe te voegen wat de license is. Dan kunnen andere er ook nog wat mee.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
