De organisatie Linux Foundation heeft een analyse gepubliceerd over de toepasbaarheid van sancties op open source software, samengevat de opkomende risico's en heeft aanbevelingen gegeven aan degenen die open projecten beheren die verband houden met de deelname van gesanctioneerde personen aan de ontwikkeling.
De Linux Foundation blijft pleiten voor internationale samenwerking en een open ecosysteem voor iedereen die dat wenst, ongeacht nationaliteit, woonland, politieke systemen, culturele waarden en ideologie. Daarbij opereert de organisatie binnen het juridische kader van de VS en moet zij voldoen aan wetten en regels, waarbij het begrip van neutraliteit en gelijkheid in open source software kan afwijken van de interpretatie van veel mensen.
Onzekerheid bestaat met betrekking tot de sancties die worden opgelegd door het Office of Foreign Assets Control (OFAC) van de VS. OFAC-sancties zijn van toepassing op personen, organisaties of bedrijven die op een speciale sanctielijst (SDN, Specially Designated Nationals and Blocked Persons) zijn geplaatst, en ook op verbonden partijen (bijvoorbeeld bedrijven waarvan 50 procent of meer direct of indirect eigendom is van iemand op de sanctielijst).
Het is opgemerkt dat tijdens de ontwikkeling van de recente beperkende wetten, zoals de Cyber Resilience Act, belangenbehartigers van open source software hebben gepleit voor uitzonderingen die de toepassing van deze wetten op open projecten verlichten. De wettelijke basis voor OFAC-sancties is lange tijd geleden ontwikkeld, hield geen rekening met de specifics van gezamenlijke internationale ontwikkeling van open source software en heeft tot voor kort geen problemen voor ontwikkelaars van open source software veroorzaakt, aangezien OFAC-sancties alleen in zeldzame uitzonderlijke situaties werden toegepast.
Er zijn geen officiƫle aanwijzingen gepubliceerd over de toepassing van de OFAC-sanctie-eisen op open projecten, waardoor juristen de eisen moeten interpreteren aan de hand van eerdere toepassing van sancties in vergelijkbare contexten en voorzichtig moeten handelen door een balans te vinden tussen de wens om de wereldwijde aard van de ontwikkeling te behouden en de opkomende risico's, zoals hoge boetes en strafrechtelijke vervolging. Naast de OFAC-sancties gelden in de VS exportbeperkingen die zijn opgelegd door het Ministerie van Handel van de VS op basis van de wetgeving voor exportcontrole. Deze beperkingen zijn niet van toepassing op openbare ontwikkelingen en vormen daarom geen probleem voor open projecten.
De OFAC-sanctie-eisen zijn niet alleen van toepassing op bedrijven uit de VS en Amerikaanse staatsburgers, maar ook op buitenlandse bedrijven die handelsrelaties hebben met bedrijven uit de VS of financiƫle transacties uitvoeren in Amerikaanse dollars. Voor personen die op de OFAC-sanctielijst zijn geplaatst, gelden beperkingen zoals een verbod op investeringen en financiƫle transacties (inclusief betaling voor diensten); een verbod op de import en export van goederen, technologieƫn en diensten; en een verbod op eigendomstransacties (inclusief die met betrekking tot intellectuele eigendom).
Bedrijven en organisaties die internationale open projecten ontwikkelen en onder Amerikaanse jurisdictie vallen of samenwerken met bedrijven uit de VS, krijgen de volgende aanbevelingen mee:
- In de OFAC-sancties is er een uitzondering opgenomen die van toepassing is op de verspreiding van informatiemateriaal. Broncode wordt doorgaans door de OFAC beschouwd als informatiemateriaal, wat een eenzijdige verstrekking van de broncode mogelijk maakt.
- Het is toegestaan om wijzigingen van personen die verbonden zijn aan gesanctioneerde bedrijven te accepteren, zolang deze wijzigingen zijn aangebracht op initiatief van de verzender (niet gevraagd) en algemene problemen van het project oplossen, en niet ten goede komen aan de producten of diensten van het gesanctioneerde bedrijf. Bijvoorbeeld, opname van een stuurprogramma voor hardware die wordt geproduceerd door een gesanctioneerd bedrijf in de Linux-kernel kan worden geĆÆnterpreteerd als een schending van de sancties, terwijl de acceptatie van een patch die een kwetsbaarheid oplost geen schending van de sancties vormt.
- Bij het ontvangen van correcties van een gesanctioneerd bedrijf wordt een eenzijdige communicatie aanbevolen, d.w.z. verdere aanpassingen aan de aangenomen patch moeten zelfstandig worden uitgevoerd, zonder betrokkenheid van het gesanctioneerde bedrijf. Betrokkenheid van het gesanctioneerde bedrijf bij de aanpassingen, goedkeuring of discussie kan worden opgevat als het verlenen van diensten die door sancties zijn verboden.
- Het is niet aan te raden om overeenkomsten voor de overdracht van eigendomsrechten (CLA) te ondertekenen met ontwikkelaars die verbonden zijn aan gesanctioneerde bedrijven, omdat een dergelijke overeenkomst kan worden opgevat als een schending van het verbod op overeenkomsten op het gebied van intellectuele eigendom.
- Het is vereist om niet alleen de directe connecties van ontwikkelaars met gesanctioneerde bedrijven te controleren, maar ook hun indirecte banden. Bijvoorbeeld, werk in andere bedrijven die voor 50% of meer in handen zijn van gesanctioneerde personen, of het uitvoeren van uitbestede werkzaamheden in opdracht van gesanctioneerde bedrijven.
Bron: opennet.ru
