开源软件合规与法律指南

　　开源软件（Open Source Software）又称开放源代码软件，是一种源代码可以任意获取的计算机软件。这种软件的版权持有人在软件协议的约定之下保留一部分权利，允许用户学习、修改以及以任何目的向任何人分发该软件。纵观IT行业的发展，开源软件已经形成了推进行业不停进步的巨大力量。据相关数据平台统计，全球90%以上的云服务器操作系统和80%以上的移动操作系统都基于开源软件。
　　由于开源软件影响面广、影响程度深，本书从开源软件的基础概念、基本内容入手，梳理和总结开源软件的六大常见法律风险，介绍了国外开源政策及法律发展动态，并结合国内外的典型案例进行诉讼应对分析，提示实际风险点，从全生命周期阐述开源软件合规治理体系建设。同时，本书对开源软件的实务问题进行了专门的梳理和解答，并附有开源清单、图表索引，方便读者参考使用。

　　郭卫红
　　盈科全球数据合规服务中心主任、盈科全球ESG中心数据合规分中心主任、盈科上海数据合规法律服务团队负责人、盈科上海管委会委员。郭律师毕业于西南政法大学，具有海外留学背景，能够使用普通话、英语、日语、闽南语作为工作语言。同时担任国家市场监督管理总局发展研究中心反垄断领域外聘专家、复旦大学法学院实务课程导师、中国网络安全审查技术与认证中心CCRC-DSO数据安全官认证项目授课讲师。曾任上市互联网集团合规法务，担任律师期间为数十家国央企、外企、头部互联网及行业独角兽企业提供数据合规、数据出境、开源治理、爬虫合规与平台合规的法律服务及安全技术综合解决方案，具有丰富甲乙方合规落地经验及全球视野合规经验。曾发表《中国个人信息出境标准合同白皮书 （中英）》 （总主编）、《开源软件风险分析及合规建议书》、《开源软件法律分析报告》、《开源软件应用报告》、《开源软件合规指引》等专业报告。
　　姜斯勇
　　盈科上海数据合规法律服务团队执行负责人，中国法学会会员，毕业于福州大学，是国内较早深耕于数据领域的专业律师，擅长为互联网、大数据、人工智能等数字经济领域的公司提供数据合规、商业模式合规与数据安全治理方案，能够结合商业思维，为客户提供前瞻性、创造性的合规方案，具有服务大型企业的丰富经验。在专业研究领域曾发表《数据产权：互联网下半场不容回避的竞争焦点》 （腾讯研究院）、《全球视野下的数据跨境流动合规》等专业文章，并参著书籍《企业数据合规：基础实务与专题指南》。
　　葛若芸
　　盈科上海数据合规法律服务团队律师，毕业于华东理工大学、英国伦敦大学学院LLM，擅长开源合规与数据合规。　

第1部分 走进开源世界
第一章　开源软件相关名词释义
第二章　行业观察：开源的“前世今生”
第一节　开源的起源
第二节　开源组织与社区
第三节　开源产业
第三章　核心基石：开源许可证
第一节　什么是开源许可证
第二节　开源许可证的主要类别
第三节　常见开源许可证介绍
第2部分 开源软件之法律合规风险
第四章　风险雷区：开源软件常见风险
第一节　商誉风险
第二节　安全风险
第三节　许可证风险
第四节　知识产权风险
第五节　违约风险
第六节　诉讼风险
第五章　案例评析：法庭上的开源软件分析要点
第一节　中国开源软件案例评析
第二节　国外开源软件案例评析
第六章　争议解决：诉讼风险及应对措施
第一节　开源软件诉讼要点及对策分析
第二节　不同情形下的开源诉讼要点及对策分析
第三节　开源软件风险解决措施
第四节　开源软件合规要点分析
第七章　合规管控：开源全生命周期治理
第一节　我国对开源软件的现实规制
第二节　开源软件合规治理体系
第八章　国外开源政策及法律发展动态
第一节　英国开源政策及法律发展动态
第二节　澳大利亚开源政策及法律发展动态
第三节　美国开源政策及法律发展动态
第四节　新西兰开源政策及法律发展动态
第五节　印度开源政策及法律发展动态
第六节　欧盟开源政策及法律发展动态
第九章　开源常见问答实务
附录 开源相关清单/图表索引
附件一：许可证类型介绍表
附件二：常见开源许可证重点条款指引表
附件三：国内外开源组织与社区查询表
后　记

　　序　　一
　　我与郭卫红律师相识多年，郭律师一直在数据合规、信息安全等领域的法律实务工作中进行深耕。她不仅在实务工作上孜孜不倦地努力，也常常对法律问题进行深入地思考和总结。
　　这次恰逢郭律师的新书出版，很高兴能够为之作序。开源软件对于我国的科技发展，特别是对于芯片设计、操作系统、人工智能算法等关键领域的技术发展具有重大的推动作用。《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》中明确指出：支持数字技术开源社区等创新联合体发展，完善开源知识产权和法律体系。我本人的主要研究方向为知识产权法与科技创新政策，近年来也经常接触到开源软件的疑难法律问题，深知相关领域的法律规范还未成熟，尚有大量司法实务中的问题还未形成明确的标准和共识。因此，系统梳理和研究开源软件相关的知识产权和法律问题，对于产业发展和立法完善具有重要的理论和现实意义。
　　本书是少有专门针对开源产业的法律实务专著。本书作者基于在开源领域丰富的法律与合规工作经验，就目前实务界普遍遇到的重大问题进行了详细的论述，如开源许可证的法律性质、使用注意事项和指引、司法裁判规则、争议解决指导、合规管控治理等。
　　本书的出版填补了开源领域法律实务研究的空白，为集团企业规范使用开源软件提供了管控治理指引，为产业人士的研发工作提供了使用风险排查指南，为法律同仁提供了解决实务问题的观点与方案，同时也为开源产业的健康长远发展贡献了法律智慧。
　　本书将为我国开源领域的法律实务研究建立良好的开端，也期待郭律师在法律实务研究之路上撷取更多成果！
　　吕磊
　　中国科学院科技战略咨询研究院
　　中国科学院大学知识产权学院
　　2023年12月22日

　　序　　二
　　关于开源，国内是在2021年因开源首次被列入“十四五”规划纲要后，开始得到广泛的关注。但事实上，开源产业本身已经发展了数十年，自从有代码后不久就有了“开源”，一直发展到绝大部分的软件是建立在开源代码基础之上的。可以说，没有开源代码，就没有现在软件应用行业的繁荣。
　　笔者作为国内第一批从事网络与数据合规业务的法务和律师，基于系统和软件是数据的载体，使用开源代码的软件的安全与合规是网络数据合规的基石，因此在日常工作中经常需要对系统、软件进行合规评估。笔者自2018年起开始为客户提供开源软件法律咨询与争议解决服务，当时正值国内开源行业发展期，无论是初创企业还是千百亿体量的巨头纷纷在技术上全面拥抱开源，并越来越重视对上游开源社区和开源基金会的投入和贡献。
　　自2019年开始，随着数字经济的发展，中国作为数字化发展的大国，企业对开源软件的运用和依赖程度越来越高，但随之而来的是，“开源软件大部分为舶来品，因此存在被断源的风险”“企业有意或无意使用了受传染开源代码或者内部对开源软件不可控的情景引发了大量的争议”“开源协议的法律含义因各地立法和管辖的不同存在争议”等各种问题。在数字经济时代，数据离不开软件应用的驱动，软件的安全合规性决定了很多企业的立身之本。然而要解决开源安全合规问题与笔者在数字产业遇到的其他问题一样，都存在技术和法律的双维度理解差异，所以很多企业虽然意识到了开源软件应“可知、可管、可控”并发起相应项目，但受限于技术人员不了解法律，法律人员不了解技术的壁垒问题，在公司内部实际开展中并不顺利，监管部门在实际监管中也遇到同样的问题。
　　笔者所带领的团队可能是国内第一批具有开源软件实务经验的团队，有幸参与多个行业头部企业的开源软件治理以及立法、执法部门的专项研讨工作。目前由于开源行业的复杂性及法律法规尚未明确，市面上也缺乏从实务角度出发，而非纯理论探讨视角的，针对开源产业展开较为系统的法律解读以及能够为实务界带来较为清晰的合规指引。因此在多个开源行业从业者的提议和支持下，本人萌生了出版该书的想法，也吸纳了很多相关从业者的建议。希望本书能够为技术和法律人员提供一本开源软件合规的入门普及实务书籍，为法律和技术人员打破专业语言壁垒，并为企业及相关从业者在开展相关工作时提供实务参考。
　　目前开源行业法律法规有待完善，因此从业者之间存在对某些观点不一致的情况很正常，实务中有些做法也已经得到通识，希望本书的出版，能够为开源产业的健康有序发展提供助力，为产业人士以及法律同仁提供些许助益，如若能此，便不胜欣喜。
　　郭卫红
　　2023年12月27日
　　上海