Non-Respect de la Licence GNU GPL V2 : Ce qu’il faut retenir de la Condamnation d’Orange

Comprendre les faits qui ont été reprochés à Orange dans le cadre du procès intenté par la société Entr’ouvert

Orange a été sévèrement condamnée pour avoir enfreint les conditions d’utilisation du logiciel Lasso. Ce logiciel est édité par la société Entr’ouvert, et est proposé aux utilisateurs sous une politique de "dual licensing" leur donnant le choix entre respecter les exigences de la licence open source GNU GPL V2 (considérée comme une licence à copyleft fort) ou une licence commerciale impliquant notamment de payer une redevance d’exploitation.

En 2005, Orange intègre le logiciel Lasso à sa plateforme "Identité Management Platform" (IDMP), dans le cadre d'un marché public lancé par l’ADAE visant à simplifier l'accès aux services publics en ligne français.

La société Entr’ouvert, propriétaire de Lasso, considère alors que l’intégration de Lasso à la plateforme IDMP et l’utilisation qu’en fait Orange ne respectent pas les conditions de la licence GNU GPL V2, notamment les obligations de partage et de transparence inhérentes à cette licence. Le point central de l’argument étant que le logiciel IDMP n’est pas indépendant de Lasso et qu’il a bien été distribué par Orange à l’ADAE.

Dix ans de procédures judiciaires contre Orange pour non-respect de la licence GPL

En 2011, Entr’ouvert engage donc des poursuites contre Orange, accusant cette dernière de contrefaçon et de parasitisme.

Le 21 juin 2019, le Tribunal de Grande Instance de Paris juge irrecevable l’accusation de contrefaçon émise par Entr’ouvert, argumentant que le litige relève uniquement de la responsabilité contractuelle.

Le 19 mars 2021 la cour d’appel confirme l’irrecevabilité de la contrefaçon mais valide la demande d’Entr’Ouvert au titre du parasitisme et condamne Orange à une amende de 150.000 euros.

En octobre 2022, la Cour de Cassation casse l’arrêt de la cour d’appel et considère que le recours pour contrefaçon est recevable et renvoie les parties devant la cour d’appel.

Le 14 février 2024, après 12 longues années de procédure judiciaire, la cour d'appel de Paris a finalement statué en faveur d'Entr’ouvert, reconnaissant que les agissements d'Orange constituaient une infraction aux droits de propriété intellectuelle d'Entr’ouvert et à la licence open source sous laquelle le logiciel Lasso était distribué.
La société Entr’ouvert réclamait 4 millions d’euros de réparation pour manque à gagner.

Toutefois, suite à la décision de justice de la cour d’appel de Paris, Orange est tenue de verser à Entr’Ouvert des dommages et intérêts s'élevant à un total de 800.000 euros. Cette somme se décompose en trois parties : 500.000 euros en réparation des dommages découlant de la violation des droits de propriété intellectuelle, 150.000 euros correspondant aux économies faites par Orange sur la R&D grâce à l'utilisation non autorisée du logiciel, et 150.000 euros destinés à compenser le préjudice moral subi par Entr’Ouvert.

Décrypter les termes non-respectés de la licence libre GNU GPL V2

Orange est condamnée pour avoir enfreint plusieurs dispositions de la licence GNU GPL V2.

Non-respect des conditions d’utilisation : modification du logiciel libre open source

Selon l'article 2 de la licence GNU GPL V2, si l’utilisateur modifie le logiciel open source ou en crée une dérivation, il doit respecter 3 conditions.

• Premièrement, indiquer dans le code source ce qui a été modifié et à quelle date
• Deuxièmement rendre le logiciel ainsi modifié disponible dans les mêmes conditions d’utilisation que la licence d’origine
• Troisièmement, afficher clairement lors de l’exécution du programme les mentions de droit d'auteur ainsi que les « disclaimers » de garantie

Entr’ouvert a estimé que Orange n’a pas respecté ces critères puisqu’elle a intégré Lasso dans sa plateforme IDMP sans les notifications requises et sans distribuer gratuitement le logiciel modifié.

La cour démontre un lien de dépendance entre le logiciel libre Lasso et la plateforme IDMP

Face à l’accusation d’Entr’ouvert, Orange se défend en mettant en avant l’indépendance entre le logiciel Lasso et sa Plateforme IDMP, une disposition qui permet de s’affranchir des obligations liées à l’utilisation de la licence GNU GPL V2.

En effet, si une partie du logiciel dérivé n'incorpore pas ou ne dépend pas du logiciel sous licence GNU GPL V2, ces parties spécifiques ne sont pas soumises à ces exigences.

La cour d’appel a toutefois retenu que l’expertise avait démontré qu’au contraire, Lasso et IDMP étaient fortement dépendants puisque d’une part le logiciel Lasso représentait 57% du code source du logiciel IDMP et d’autre part le logiciel Lasso était un élément central du fonctionnement de la plateforme IDMP sans lequel il ne pouvait fonctionner.

Non-respect des conditions d’utilisation : donner libre accès au code source

La cour d’appel considère que Orange a également enfreint les termes de la licence libre GNU GPL V2 en ne partageant pas l’intégralité du code source de sa plateforme IDMP. En effet, la licence GNU GPL, une licence dite à fort copyleft, stipule qu’en cas d’intégration, de modification ou de dérivation d’une brique de logiciel open source, l’intégralité du code source développé autour de cette brique doit respecter les termes de la licence, en l’occurrence ici, doit être fourni aux tiers. Orange arguait ne pas être assujettie à cette exigence, soutenant ne pas avoir "distribué" Lasso au sens strict de la licence.

La cour démontre que Orange a bien distribué le logiciel IDMP, contenant le logiciel Lasso, au sens strict de la licence GNU GPL V2

La cour d'appel de Paris a rejeté l'argument d'Orange. Elle démontre que la plateforme IDMP, qui intègre le logiciel Lasso modifié, ayant été vendue et livrée à l’ADAE, il y a bien eu distribution. Orange était donc tenue de ce fait de respecter les termes de la licence GNU GPL V2 et de mettre à la disposition des utilisateurs l’intégralité du code de sa plateforme.

Pour pouvoir distribuer le logiciel IDMP dans des conditions différentes que celles de la licence GNU GPL V2, Orange aurait dû se rapprocher de la société Entr’ouvert, auteur du logiciel Lasso, pour négocier des termes d’utilisation différents, comme par exemple payer une redevance.

Comment gérer le risque lié aux licences à copyleft fort, comme la GNU GPL V2 ?

L'arrêt qui condamne Orange met ainsi en lumière les dangers associés à l'intégration de composants de logiciel libre, comme la GNU GPL V2, dans un programme informatique, sans adhérer strictement aux conditions d’utilisation fixées par les propriétaires de ces licences. L’entreprise contrevenante risque alors d’être attaquée en justice pour contrefaçon mais peut également se voir interdire l’exploitation ou la distribution de son logiciel.

Parce qu’elle permet des gains de productivité importants, l'utilisation de logiciels open source est couramment favorisée pour le développement de projets logiciels. Cependant, il faut rester vigilant car logiciel libre ne signifie pas logiciel gratuit et ne signifie pas que l’on peut s’affranchir des restrictions posées par la licence libre applicable à la brique logicielle utilisée. Il est indispensable que l’entreprise utilisatrice prenne connaissance des restrictions potentielles qu'une licence peut imposer sur l'utilisation et la distribution ultérieures du logiciel.

L’audit de Propriété Intellectuelle : un allié majeur de la gestion du risque open source

Une bonne gouvernance interne des licences open source impliquera l’adoption dès le début du développement logiciel et tout au long de son cycle de vie, d’un processus rigoureux d'évaluation de la conformité des logiciels open source utilisés. Il est vivement conseillé d'effectuer un audit complet du code à l’aide d’un scanner, pour identifier l’ensemble des éléments open source utilisés, évaluer leur risque potentiel et élaborer un plan d'action correctif.

Ce plan peut inclure la modification des composants à risque ou la négociation d’une redevance permettant de distribuer le logiciel développé. Prudence, formation et vérification seront les alliées d’une utilisation optimale des logiciels en open source.

Sources

1. https://numeum.fr/actu-informatique/etude-lusage-de-lopen-source-en-france-open-source-monitor-2023