L'organizzazione Linux Foundation ha pubblicato un'analisi dell'applicabilità alle limitazioni imposte dai sanzioni al codice open source, ha riassunto i rischi emergenti e ha fornito raccomandazioni per chi gestisce progetti open source coinvolti nello sviluppo di persone soggette a sanzioni.
Linux Foundation continua a sostenere la cooperazione internazionale e un ecosistema aperto per tutti, indipendentemente dalla nazionalità, dal paese di residenza, dal sistema politico, dai valori culturali e dall'ideologia. Tuttavia, l'organizzazione opera nel quadro legale degli Stati Uniti e deve rispettare leggi e regolamenti, le cui concezioni di neutralità e parità nel software open source possono differire dall'interpretazione di molte persone.
L'incertezza sorge riguardo alle sanzioni imposte dall'Ufficio per il Controllo dei Beni Stranieri degli Stati Uniti (OFAC). Le sanzioni OFAC si applicano a cittadini, organizzazioni o aziende aggiunti a un elenco speciale di sanzioni (SDN, Specially Designated Nationals and Blocked Persons), così come alle persone a loro collegate (ad esempio, aziende in cui il 50% o più è direttamente o indirettamente di proprietà di una persona dell'elenco delle sanzioni).
Si osserva che durante il processo di sviluppo delle leggi restrittive adottate negli ultimi anni, come il Cyber Resilience Act, i gruppi di interesse a favore del software open source hanno cercato di ottenere eccezioni che attenuassero l'applicazione di queste leggi riguardo ai progetti open source. Il quadro legislativo per le sanzioni OFAC è stato sviluppato molto tempo fa, non teneva conto delle specificità dello sviluppo internazionale collaborativo di software open source e fino a poco tempo fa non creava problemi per gli sviluppatori di software open source, poiché le sanzioni OFAC venivano applicate in rare eccezioni.
Non sono state pubblicate chiarimenti ufficiali sull'applicazione dei requisiti delle sanzioni OFAC ai progetti open source, pertanto gli avvocati sono costretti a interpretare i requisiti tenendo conto dell'applicazione passata delle sanzioni in contesti simili e ad agire con cautela, bilanciando il desiderio di mantenere la natura globale dello sviluppo e i rischi emergenti, come pesanti multe e procedimenti penali. Oltre alle sanzioni OFAC, negli Stati Uniti si applicano restrizioni all'esportazione imposte dal Dipartimento del Commercio degli Stati Uniti in conformità con la legislazione sul controllo delle esportazioni. Queste restrizioni non si applicano agli sviluppi pubblici e quindi non creano problemi per i progetti open source.
I requisiti delle sanzioni OFAC si estendono non solo alle aziende statunitensi e ai cittadini statunitensi, ma anche alle aziende straniere che intrattengono rapporti commerciali con aziende statunitensi o effettuano transazioni finanziarie in dollari statunitensi. Per le persone inserite nella lista delle sanzioni OFAC, vengono imposti vincoli come il divieto di investimenti e operazioni finanziarie (compresa, la remunerazione dei servizi); il divieto di importazione ed esportazione di beni, tecnologie e servizi; il divieto di operazioni patrimoniali (incluso, quelle relative alla proprietà intellettuale).
Alle aziende e alle organizzazioni che sviluppano progetti open source internazionali e sono soggette alla giurisdizione degli Stati Uniti o interagiscono con aziende statunitensi vengono fornite le seguenti raccomandazioni:
- Nelle sanzioni OFAC è previsto un'esenzione riguardante la diffusione di materiali informativi. Il codice sorgente è generalmente considerato dall'OFAC come materiale informativo, il che consente la fornitura unilaterale del codice sorgente.
- È consentito accettare modifiche da parte di soggetti legati a aziende sottoposte a sanzioni, se tali modifiche sono create su iniziativa del mittente (non richieste) e risolvono questioni comuni del progetto, piuttosto che apportare benefici ai prodotti o servizi dell'azienda sanzionata. Ad esempio, l'inclusione nel kernel Linux di un driver per hardware prodotto da un'azienda colpita da sanzioni potrebbe essere considerata una violazione delle sanzioni, mentre l'accettazione di una patch per correggere una vulnerabilità non viola le sanzioni.
- In caso di ricezione di correzioni da parte di una società sanzionata, si raccomanda un contatto unilaterale, ovvero tutte le ulteriori modifiche al patch accettato devono essere effettuate autonomamente, senza coinvolgere la società sanzionata. Coinvolgere la società sanzionata nella modifica, nella concordanza o nella discussione potrebbe essere interpretato come fornitura di servizi vietati dalle sanzioni.
- Non è consigliato firmare accordi di trasferimento di diritti patrimoniali (CLA) con sviluppatori collegati a società sanzionate, poiché un simile accordo potrebbe essere percepito come una violazione del divieto di accordi nel settore della proprietà intellettuale.
- È necessario controllare non solo il collegamento diretto degli sviluppatori con le società sanzionate, ma anche il loro rapporto indiretto. Ad esempio, lavorare in altre aziende di cui il 50% o più è di persone sanzionate, oppure svolgere lavori su commissione per aziende sanzionate.
Fonte: opennet.ru
