La Linux Foundation ha pubblicato un'analisi dell'applicabilità alle restrizioni imposte dalle sanzioni al codice aperto, riassumendo i rischi emergenti e fornendo raccomandazioni a chi supporta progetti open source che coinvolgono persone soggette a sanzioni.
La Linux Foundation continua a promuovere la cooperazione internazionale e un ecosistema aperto per tutti, indipendentemente dalla nazionalità, dal paese di residenza, dal sistema politico, dai valori culturali e dalle ideologie. Tuttavia, l'organizzazione opera nel rispetto della legge statunitense e deve conformarsi alle normative in cui la concezione di neutralità e parità nel software open source può differire dall'interpretazione di molte persone.
L'incertezza si presenta riguardo alle sanzioni imposte dall'Ufficio per il Controllo dei Beni Stranieri degli Stati Uniti (OFAC). Le sanzioni OFAC si applicano a cittadini, organizzazioni o aziende presenti nella lista delle sanzioni speciali (SDN, Specially Designated Nationals and Blocked Persons), nonché a persone affiliate a queste (ad esempio, aziende di cui il 50% o più è direttamente o indirettamente di proprietà di una persona nella lista di sanzioni).
Si osserva che durante lo sviluppo delle leggi restrittive approvate negli ultimi anni, come il Cyber Resilience Act, i gruppi di interesse che difendono il software open source hanno ottenuto l'introduzione di eccezioni che mitigano l'applicazione di queste leggi nei confronti dei progetti aperti. La base legale per le sanzioni OFAC è stata sviluppata molto tempo fa, non considerando le specificità dello sviluppo internazionale congiunto del software open source e fino a tempi recenti non ha creato problemi per gli sviluppatori di software open source, poiché le sanzioni OFAC venivano applicate solo in rare situazioni eccezionali.
Non sono state pubblicate spiegazioni ufficiali sull'applicazione dei requisiti delle sanzioni OFAC ai progetti aperti, quindi gli avvocati devono interpretare i requisiti alla luce delle applicazioni passate delle sanzioni in contesti simili e agire con cautela, bilanciando il desiderio di mantenere una natura globale dello sviluppo e i rischi emergenti, come ingenti multe e azioni penali. Oltre alle sanzioni OFAC, negli Stati Uniti sono in vigore restrizioni all'esportazione imposte dal Dipartimento del Commercio degli Stati Uniti in conformità con le normative sul controllo delle esportazioni. Queste restrizioni non si applicano agli sviluppi pubblici e quindi non creano problemi per i progetti aperti.
I requisiti sanzionatori dell'OFAC si applicano non solo alle aziende statunitensi e ai cittadini statunitensi, ma anche alle aziende straniere che hanno relazioni commerciali con aziende statunitensi o che effettuano operazioni finanziarie in dollari statunitensi. Per le persone inserite nella lista delle sanzioni OFAC, sono previste restrizioni come il divieto di investimenti e operazioni finanziarie (inclusi il pagamento di servizi); il divieto di importazione ed esportazione di beni, tecnologie e servizi; il divieto di transazioni patrimoniali (inclusi quelli legati alla proprietà intellettuale).
Alle aziende e organizzazioni che sviluppano progetti internazionali open source e che ricadono sotto la giurisdizione statunitense o che interagiscono con aziende statunitensi sono state fornite le seguenti raccomandazioni:
- Nelle sanzioni OFAC è prevista un'eccezione che si applica alla diffusione di materiali informativi. Il codice sorgente viene generalmente considerato dall'OFAC come materiale informativo, il che consente la sua fornitura unilaterale.
- È consentito accettare modifiche da parte di persone collegate a aziende soggette a sanzioni, se tali modifiche sono state fatte per iniziativa del mittente (non richieste) e risolvono problemi comuni al progetto, piuttosto che apportare benefici ai prodotti o ai servizi dell'azienda sanzionata. Ad esempio, l'accettazione nel kernel Linux di un driver per un dispositivo prodotto da un'azienda sanzionata potrebbe essere considerata una violazione delle sanzioni, mentre l'accettazione di una patch per risolvere una vulnerabilità non violerebbe le sanzioni.
- In caso di accettazione di correzioni da parte di un'azienda sanzionata, si consiglia di mantenere una comunicazione unilaterale, ossia tutte le ulteriori modifiche alla patch accettata dovrebbero essere effettuate autonomamente, senza il coinvolgimento dell'azienda sanzionata. Il coinvolgimento di un'azienda sanzionata nel processo di modifica, approvazione o discussione potrebbe essere interpretato come un servizio vietato dalle sanzioni.
- Non è consigliabile firmare accordi di trasferimento di diritti di proprietà (CLA) con sviluppatori legati a aziende sanzionate, poiché tale accordo potrebbe essere considerato una violazione delle restrizioni sugli accordi nel campo della proprietà intellettuale.
- È necessario verificare non solo il collegamento diretto degli sviluppatori con le aziende sottoposte a sanzioni, ma anche il loro legame indiretto. Ad esempio, il lavoro in altre aziende di proprietà per il 50% o più di persone sanzionate, o l'esecuzione di lavori in subappalto per ordine di aziende sanzionate.
Fonte: opennet.ru
