42
Las licencias libres en la práctica Malcolm Bain Manuel Gallego Manuel Martínez Ribas Judit Rius P08/M2114/00348

libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

  • Upload
    others

  • View
    0

  • Download
    0

Embed Size (px)

Citation preview

Page 1: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

Las licenciaslibres en lapraacutectica Malcolm BainManuel GallegoManuel Martiacutenez RibasJudit Rius P08M211400348

copy FUOC bull P08M211400348 Las licencias libres en la praacutectica

Iacutendice

Los efectos praacutecticos de las licencias de software libre 5

Objetivos 6

1 Unos mitos legales para desmitificar 7

2 Algunos temas legales relacionados con las licencias 12

21 Seleccionar una licencia libre 13

22 Las licencias sobre las contribuciones y autoriacutea 15

23 La compatibilidad entre licencias 16

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple

licensing) 18

25 Licencias libres y la divisioacuten de software libre (forking) 19

3 Licencias libres y otras ramas del derecho 21

31 Licencias libres y el derecho de la competencia 21

32 Licencias libres y licencias de patente 23

33 Licencias libres y secreto comercial 24

34 Licencias y marcas 24

35 Licencias y estaacutendares 25

4 Los datos personales y la proteccioacuten de la intimidad 27

41 Introduccioacuten y marco legal 27

42 El reacutegimen legal de proteccioacuten de datos personales 27

421 Principios generales 28

422 Derechos y obligaciones 29

423 Cesiones y acceso a los datos por terceros y

transferencias internacionales 30

424 Obligaciones de seguridad 31

425 Sanciones 31

43 Marco legal en otras jurisdicciones 32

44 Datos personales y software libre la seguridad 32

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario 34

442 Conclusiones 35

5 El software libre y los controles sobre los productos de

seguridad 36

51 Sociedad de la informacioacuten y seguridad 36

52 Los controles sobre los productos de seguridad 37

53 Controles de exportacioacuten y software libre 39

copy FUOC bull P08M211400348 Las licencias libres en la praacutectica

6 Conclusiones 41

copy FUOC bull P08M211400348 5 Las licencias libres en la praacutectica

Introduccioacuten

En los moacutedulos anteriores hemos presentado el marco legal del software en

general y del software libre en particular junto con un anaacutelisis y una discu-

sioacuten de las licencias de software propietarias y las licencias de software libres

Ahora ya armados con el conocimiento correspondiente queremos cerrar este

moacutedulo con una discusioacuten sobre algunos mitos que han surgido alrededor del

software libre y una reflexioacuten sobre las consecuencias praacutecticas de las licencias

libres (y de los aspectos legales del software libre en general) para los diferentes

actores relacionados con eacutel

Asimismo consideramos importante poner las licencias de software en rela-

cioacuten con otras ramas del derecho desde un punto de vista praacutectico

Por lo tanto en el primer apartado desmitificaremos algunas creencias muy

difundidas sobre diversos aspectos legales del software libre y las licencias aso-

ciadas Luego en el segundo apartado comentaremos algunos temas y efec-

tospraacutecticosrelativosa las licencias libres tales como la compatibilidad

entre licencias la gestioacuten de las contribuciones a proyectos libres y las licen-

cias duales

En el tercer apartado reflexionaremos sobre algunos aspectoslegalesdelsoft-

warelibre que no hemos visto hasta ahora la relacioacuten entre estas licencias

y otras ramas del derecho especialmente el derecho de la competencia y las

licencias de patentes y marcas y la interrelacioacuten entre licencias libres y el pro-

ceso de estandarizacioacuten formal

Asimismo para cerrar el moacutedulo estudiaremos muy brevemente dos impor-

tantes aacutereas del derecho relacionadas con el software libre que no se han de-

sarrollado hasta ahora por un lado la proteccioacuten de datospersonales y de la

privacidad y por otro el control de la exportacioacuten de materiales y productos

de criptografiacutea o cifrado

copy FUOC bull P08M211400348 6 Las licencias libres en la praacutectica

Objetivos

Con el aprendizaje de este moacutedulo los estudiantes podreacuteis alcanzar los obje-

tivos siguientes

1 Comprobar la validez legal de varios mitos que se han establecido alrede-

dor del software libre

2 Discernir consecuencias praacutecticas y los aspectos relacionados con las licen-

cias libres como son

bull la seleccioacuten de una licencia libre

bull la compatibilidad entre las licencias

bull licencias duales o muacuteltiples

bull la bifurcacioacuten o divisioacuten de coacutedigo (forking)

3 Conocer la relacioacuten entre las licencias de software libre y otras ramas del

derecho como las marcas la competencia leal y el proceso formal de es-

tandarizacioacuten

4 Conocer las obligaciones y los derechos relativos a la privacidad (bajo el

reacutegimen europeo) y su viacutenculo con el software libre sobre todo en el aacutem-

bito de la seguridad

5 Conocer la regulacioacuten de productos de seguridad y su relacioacuten con la dis-

tribucioacuten de software libre

copy FUOC bull P08M211400348 7 Las licencias libres en la praacutectica

1 Unos mitos legales para desmitificar

Despueacutes de realizar el anaacutelisis de las licencias libres del moacutedulo 6 iniciamos

este moacutedulo con un comentario y una aclaracioacuten sobre varios mitos o concep-

tos equivocados relativos a diversos aspectos legales del software libre

Ejemplo

Hay otros mitos relativos a los aspectos tecnoloacutegicos o comerciales del software libre queno trataremos aquiacute la falta de soporte y mantenimiento la falta de seguridad el riesgode la bifurcacioacuten (forking) la posibilidad de introducir elementos dantildeinos en softwarelibre la carencia de modelos de negocio viables basado en software libre etc

1)Elcopyleftestaacuteencontradelderechodeautor

Este mito se basa en la creencia de que el copyleft (y las licencias libres en

general) crea un nuevo marco de derecho de la propiedad intelectual el copyleft

en vez del copyright Al contrario tal como se ha visto en los moacutedulos 2 y 6

las licencias libres se fundamentan directamente en el derecho de propiedad

intelectual vigente ya sea el derecho de autor al estilo continental o el copyright

anglosajoacuten Los autores de software libre usan los derechos establecidos por

este marco legal (la exclusividad de explotar yo autorizar la explotacioacuten de su

obra) para conceder a los licenciatarios los derechos no exclusivos establecidos

en las licencias libres y defender estos derechos de vulneraciones

Caso MySQL AB contra Progress Software

MySQL AB defiende su titularidad en la aplicacioacuten de bases de datos MySQL y los derechosasociados Inicioacute un juicio contra Progress Software por violacioacuten de derechos de autory de la licencia GPL sobre el programa MySQL En Alemania el Tribunal de PrimeraInstancia de Muacutenich ha considerado y apoyado ya dos veces acciones legales respectoa la licencia GPL (fundamentadas en el derecho de la propiedad intelectual) para hacercumplir sus condiciones por empresas que las habiacutean vulnerado (una distribucioacuten sincoacutedigo fuente y sin una copia de la licencia)

Consideremos por ejemplo dos caracteriacutesticas importantes del software libre

las libertades de uso y las condiciones de copyleft

bull En relacioacuten a la primera el marco legal permite a los titulares de una obra

definir el alcance de los derechos de explotacioacuten cedidos a terceros En

lugar de restringir los usos del licenciante (como hacen la mayoriacutea de las

licencias propietarias) una licencia libre los ampliacutea al maacuteximo permitido

Ello no va contra los derechos de autor sino que es un ejercicio de los

mismos

bull Respecto del copyleft un desarrollador puede crear y distribuir una obra

derivada de software libre porque se lo permite en ciertas condiciones el

titular de la obra original en que se basa Si estas condiciones ndashpor ejemplo

la de distribuir la obra derivada con la misma licencia (el copyleft)ndash no

Lectura recomendada

Para profundizar sobre estetema se recomienda leer Dis-pelling myths about the GPLand free software de J Vie-ga y B Fleco (en bibliogra-fiacutea)

copy FUOC bull P08M211400348 8 Las licencias libres en la praacutectica

se cumplen se resolveraacute la licencia original y la distribucioacuten de la obra

derivada seraacute una violacioacuten de los derechos originales El copyleft actuacutea

legalmente como claacuteusula resolutoria

Por lo tanto no hay contradiccioacuten ni oposicioacuten entre los derechos de autor

legislados y los derechos concedidos o reservados con una licencia libre Es

maacutes se puede argumentar que mientras una licencia libre respete las excep-

ciones y los usos permitidos del usuario en nuestro marco legal se ajustaraacute

maacutes a derecho que muchas licencias propietarias

La licencia GPL no agrega nada al derecho de autor [como por ejemplo restriccionesde uso] El derecho de autor otorga a los titulares los poderes de prohibir el ejercicio dederechos de copia modificacioacuten y distribucioacuten derechos de los que nosotros considera-mos que los usuarios deben beneficiarse Por lo tanto la GPL elimina las restriccionespermitidas por el sistema de propiedad intelectual

E Moglen Enforcing the GNU GPL Linux User 12082001 en liacutenea en httpnoglenlawcolumbiaedupublicationslu_12html

2)Elsoftwarelibrenotienetitularesopropietarios

No hay nada maacutes equivocado desde el punto de vista legal El marco juriacutedico

de la propiedad intelectual confiere derechos de autor automaacuteticamente a los

creadores del software Y la uacutenica obligacioacuten ndasho casindash compartida por todas

las licencias libres es la de mantener los avisos de titularidad de los creadores

iniciales del software (el famoso copyright notice) Por lo tanto siempre hay

un titular de los derechos sobre el software y en el caso de software libre la

titularidad estaacute claramente indicada en los ficheros

3)Laslicenciaslibresobliganacedersusderechosdeautor

Con la excepcioacuten de los derechos morales que son intransferibles los dere-

chos de autor se pueden ceder pero uacutenicamente con el consentimiento expliacute-

cito del titular Las licencias libres son no exclusivas y no pueden quitar

la titularidad del software a sus creadores Las licencias libres con copyleft siacute

que obligan a los licenciatarios a usar la misma licencia (no exclusiva) para la

eventual distribucioacuten de cualquier modificacioacuten u obra derivada de software

original con estas licencias y a publicar el correspondiente coacutedigo fuente ndashco-

mo condicioacuten del derecho de redistribuir la modificacioacutenndash pero no los obli-

gan a ceder el software (o sus derechos sobre eacutel)

4)Nosepuedehacerunusocomercialdelsoftwarelibre

Otra creencia equivocada como hemos visto no hay liacutemites sobre el uso del

software libre (libertad 0) solamente a veces se imponen condiciones a su

modificacioacutenydistribucioacuten posteriores Las licencias libres no afectan a los

usuarios finales

5)Elsoftwarelibreyelsoftwarepropietariosonincompatibles

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 2: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 Las licencias libres en la praacutectica

Iacutendice

Los efectos praacutecticos de las licencias de software libre 5

Objetivos 6

1 Unos mitos legales para desmitificar 7

2 Algunos temas legales relacionados con las licencias 12

21 Seleccionar una licencia libre 13

22 Las licencias sobre las contribuciones y autoriacutea 15

23 La compatibilidad entre licencias 16

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple

licensing) 18

25 Licencias libres y la divisioacuten de software libre (forking) 19

3 Licencias libres y otras ramas del derecho 21

31 Licencias libres y el derecho de la competencia 21

32 Licencias libres y licencias de patente 23

33 Licencias libres y secreto comercial 24

34 Licencias y marcas 24

35 Licencias y estaacutendares 25

4 Los datos personales y la proteccioacuten de la intimidad 27

41 Introduccioacuten y marco legal 27

42 El reacutegimen legal de proteccioacuten de datos personales 27

421 Principios generales 28

422 Derechos y obligaciones 29

423 Cesiones y acceso a los datos por terceros y

transferencias internacionales 30

424 Obligaciones de seguridad 31

425 Sanciones 31

43 Marco legal en otras jurisdicciones 32

44 Datos personales y software libre la seguridad 32

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario 34

442 Conclusiones 35

5 El software libre y los controles sobre los productos de

seguridad 36

51 Sociedad de la informacioacuten y seguridad 36

52 Los controles sobre los productos de seguridad 37

53 Controles de exportacioacuten y software libre 39

copy FUOC bull P08M211400348 Las licencias libres en la praacutectica

6 Conclusiones 41

copy FUOC bull P08M211400348 5 Las licencias libres en la praacutectica

Introduccioacuten

En los moacutedulos anteriores hemos presentado el marco legal del software en

general y del software libre en particular junto con un anaacutelisis y una discu-

sioacuten de las licencias de software propietarias y las licencias de software libres

Ahora ya armados con el conocimiento correspondiente queremos cerrar este

moacutedulo con una discusioacuten sobre algunos mitos que han surgido alrededor del

software libre y una reflexioacuten sobre las consecuencias praacutecticas de las licencias

libres (y de los aspectos legales del software libre en general) para los diferentes

actores relacionados con eacutel

Asimismo consideramos importante poner las licencias de software en rela-

cioacuten con otras ramas del derecho desde un punto de vista praacutectico

Por lo tanto en el primer apartado desmitificaremos algunas creencias muy

difundidas sobre diversos aspectos legales del software libre y las licencias aso-

ciadas Luego en el segundo apartado comentaremos algunos temas y efec-

tospraacutecticosrelativosa las licencias libres tales como la compatibilidad

entre licencias la gestioacuten de las contribuciones a proyectos libres y las licen-

cias duales

En el tercer apartado reflexionaremos sobre algunos aspectoslegalesdelsoft-

warelibre que no hemos visto hasta ahora la relacioacuten entre estas licencias

y otras ramas del derecho especialmente el derecho de la competencia y las

licencias de patentes y marcas y la interrelacioacuten entre licencias libres y el pro-

ceso de estandarizacioacuten formal

Asimismo para cerrar el moacutedulo estudiaremos muy brevemente dos impor-

tantes aacutereas del derecho relacionadas con el software libre que no se han de-

sarrollado hasta ahora por un lado la proteccioacuten de datospersonales y de la

privacidad y por otro el control de la exportacioacuten de materiales y productos

de criptografiacutea o cifrado

copy FUOC bull P08M211400348 6 Las licencias libres en la praacutectica

Objetivos

Con el aprendizaje de este moacutedulo los estudiantes podreacuteis alcanzar los obje-

tivos siguientes

1 Comprobar la validez legal de varios mitos que se han establecido alrede-

dor del software libre

2 Discernir consecuencias praacutecticas y los aspectos relacionados con las licen-

cias libres como son

bull la seleccioacuten de una licencia libre

bull la compatibilidad entre las licencias

bull licencias duales o muacuteltiples

bull la bifurcacioacuten o divisioacuten de coacutedigo (forking)

3 Conocer la relacioacuten entre las licencias de software libre y otras ramas del

derecho como las marcas la competencia leal y el proceso formal de es-

tandarizacioacuten

4 Conocer las obligaciones y los derechos relativos a la privacidad (bajo el

reacutegimen europeo) y su viacutenculo con el software libre sobre todo en el aacutem-

bito de la seguridad

5 Conocer la regulacioacuten de productos de seguridad y su relacioacuten con la dis-

tribucioacuten de software libre

copy FUOC bull P08M211400348 7 Las licencias libres en la praacutectica

1 Unos mitos legales para desmitificar

Despueacutes de realizar el anaacutelisis de las licencias libres del moacutedulo 6 iniciamos

este moacutedulo con un comentario y una aclaracioacuten sobre varios mitos o concep-

tos equivocados relativos a diversos aspectos legales del software libre

Ejemplo

Hay otros mitos relativos a los aspectos tecnoloacutegicos o comerciales del software libre queno trataremos aquiacute la falta de soporte y mantenimiento la falta de seguridad el riesgode la bifurcacioacuten (forking) la posibilidad de introducir elementos dantildeinos en softwarelibre la carencia de modelos de negocio viables basado en software libre etc

1)Elcopyleftestaacuteencontradelderechodeautor

Este mito se basa en la creencia de que el copyleft (y las licencias libres en

general) crea un nuevo marco de derecho de la propiedad intelectual el copyleft

en vez del copyright Al contrario tal como se ha visto en los moacutedulos 2 y 6

las licencias libres se fundamentan directamente en el derecho de propiedad

intelectual vigente ya sea el derecho de autor al estilo continental o el copyright

anglosajoacuten Los autores de software libre usan los derechos establecidos por

este marco legal (la exclusividad de explotar yo autorizar la explotacioacuten de su

obra) para conceder a los licenciatarios los derechos no exclusivos establecidos

en las licencias libres y defender estos derechos de vulneraciones

Caso MySQL AB contra Progress Software

MySQL AB defiende su titularidad en la aplicacioacuten de bases de datos MySQL y los derechosasociados Inicioacute un juicio contra Progress Software por violacioacuten de derechos de autory de la licencia GPL sobre el programa MySQL En Alemania el Tribunal de PrimeraInstancia de Muacutenich ha considerado y apoyado ya dos veces acciones legales respectoa la licencia GPL (fundamentadas en el derecho de la propiedad intelectual) para hacercumplir sus condiciones por empresas que las habiacutean vulnerado (una distribucioacuten sincoacutedigo fuente y sin una copia de la licencia)

Consideremos por ejemplo dos caracteriacutesticas importantes del software libre

las libertades de uso y las condiciones de copyleft

bull En relacioacuten a la primera el marco legal permite a los titulares de una obra

definir el alcance de los derechos de explotacioacuten cedidos a terceros En

lugar de restringir los usos del licenciante (como hacen la mayoriacutea de las

licencias propietarias) una licencia libre los ampliacutea al maacuteximo permitido

Ello no va contra los derechos de autor sino que es un ejercicio de los

mismos

bull Respecto del copyleft un desarrollador puede crear y distribuir una obra

derivada de software libre porque se lo permite en ciertas condiciones el

titular de la obra original en que se basa Si estas condiciones ndashpor ejemplo

la de distribuir la obra derivada con la misma licencia (el copyleft)ndash no

Lectura recomendada

Para profundizar sobre estetema se recomienda leer Dis-pelling myths about the GPLand free software de J Vie-ga y B Fleco (en bibliogra-fiacutea)

copy FUOC bull P08M211400348 8 Las licencias libres en la praacutectica

se cumplen se resolveraacute la licencia original y la distribucioacuten de la obra

derivada seraacute una violacioacuten de los derechos originales El copyleft actuacutea

legalmente como claacuteusula resolutoria

Por lo tanto no hay contradiccioacuten ni oposicioacuten entre los derechos de autor

legislados y los derechos concedidos o reservados con una licencia libre Es

maacutes se puede argumentar que mientras una licencia libre respete las excep-

ciones y los usos permitidos del usuario en nuestro marco legal se ajustaraacute

maacutes a derecho que muchas licencias propietarias

La licencia GPL no agrega nada al derecho de autor [como por ejemplo restriccionesde uso] El derecho de autor otorga a los titulares los poderes de prohibir el ejercicio dederechos de copia modificacioacuten y distribucioacuten derechos de los que nosotros considera-mos que los usuarios deben beneficiarse Por lo tanto la GPL elimina las restriccionespermitidas por el sistema de propiedad intelectual

E Moglen Enforcing the GNU GPL Linux User 12082001 en liacutenea en httpnoglenlawcolumbiaedupublicationslu_12html

2)Elsoftwarelibrenotienetitularesopropietarios

No hay nada maacutes equivocado desde el punto de vista legal El marco juriacutedico

de la propiedad intelectual confiere derechos de autor automaacuteticamente a los

creadores del software Y la uacutenica obligacioacuten ndasho casindash compartida por todas

las licencias libres es la de mantener los avisos de titularidad de los creadores

iniciales del software (el famoso copyright notice) Por lo tanto siempre hay

un titular de los derechos sobre el software y en el caso de software libre la

titularidad estaacute claramente indicada en los ficheros

3)Laslicenciaslibresobliganacedersusderechosdeautor

Con la excepcioacuten de los derechos morales que son intransferibles los dere-

chos de autor se pueden ceder pero uacutenicamente con el consentimiento expliacute-

cito del titular Las licencias libres son no exclusivas y no pueden quitar

la titularidad del software a sus creadores Las licencias libres con copyleft siacute

que obligan a los licenciatarios a usar la misma licencia (no exclusiva) para la

eventual distribucioacuten de cualquier modificacioacuten u obra derivada de software

original con estas licencias y a publicar el correspondiente coacutedigo fuente ndashco-

mo condicioacuten del derecho de redistribuir la modificacioacutenndash pero no los obli-

gan a ceder el software (o sus derechos sobre eacutel)

4)Nosepuedehacerunusocomercialdelsoftwarelibre

Otra creencia equivocada como hemos visto no hay liacutemites sobre el uso del

software libre (libertad 0) solamente a veces se imponen condiciones a su

modificacioacutenydistribucioacuten posteriores Las licencias libres no afectan a los

usuarios finales

5)Elsoftwarelibreyelsoftwarepropietariosonincompatibles

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 3: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 Las licencias libres en la praacutectica

6 Conclusiones 41

copy FUOC bull P08M211400348 5 Las licencias libres en la praacutectica

Introduccioacuten

En los moacutedulos anteriores hemos presentado el marco legal del software en

general y del software libre en particular junto con un anaacutelisis y una discu-

sioacuten de las licencias de software propietarias y las licencias de software libres

Ahora ya armados con el conocimiento correspondiente queremos cerrar este

moacutedulo con una discusioacuten sobre algunos mitos que han surgido alrededor del

software libre y una reflexioacuten sobre las consecuencias praacutecticas de las licencias

libres (y de los aspectos legales del software libre en general) para los diferentes

actores relacionados con eacutel

Asimismo consideramos importante poner las licencias de software en rela-

cioacuten con otras ramas del derecho desde un punto de vista praacutectico

Por lo tanto en el primer apartado desmitificaremos algunas creencias muy

difundidas sobre diversos aspectos legales del software libre y las licencias aso-

ciadas Luego en el segundo apartado comentaremos algunos temas y efec-

tospraacutecticosrelativosa las licencias libres tales como la compatibilidad

entre licencias la gestioacuten de las contribuciones a proyectos libres y las licen-

cias duales

En el tercer apartado reflexionaremos sobre algunos aspectoslegalesdelsoft-

warelibre que no hemos visto hasta ahora la relacioacuten entre estas licencias

y otras ramas del derecho especialmente el derecho de la competencia y las

licencias de patentes y marcas y la interrelacioacuten entre licencias libres y el pro-

ceso de estandarizacioacuten formal

Asimismo para cerrar el moacutedulo estudiaremos muy brevemente dos impor-

tantes aacutereas del derecho relacionadas con el software libre que no se han de-

sarrollado hasta ahora por un lado la proteccioacuten de datospersonales y de la

privacidad y por otro el control de la exportacioacuten de materiales y productos

de criptografiacutea o cifrado

copy FUOC bull P08M211400348 6 Las licencias libres en la praacutectica

Objetivos

Con el aprendizaje de este moacutedulo los estudiantes podreacuteis alcanzar los obje-

tivos siguientes

1 Comprobar la validez legal de varios mitos que se han establecido alrede-

dor del software libre

2 Discernir consecuencias praacutecticas y los aspectos relacionados con las licen-

cias libres como son

bull la seleccioacuten de una licencia libre

bull la compatibilidad entre las licencias

bull licencias duales o muacuteltiples

bull la bifurcacioacuten o divisioacuten de coacutedigo (forking)

3 Conocer la relacioacuten entre las licencias de software libre y otras ramas del

derecho como las marcas la competencia leal y el proceso formal de es-

tandarizacioacuten

4 Conocer las obligaciones y los derechos relativos a la privacidad (bajo el

reacutegimen europeo) y su viacutenculo con el software libre sobre todo en el aacutem-

bito de la seguridad

5 Conocer la regulacioacuten de productos de seguridad y su relacioacuten con la dis-

tribucioacuten de software libre

copy FUOC bull P08M211400348 7 Las licencias libres en la praacutectica

1 Unos mitos legales para desmitificar

Despueacutes de realizar el anaacutelisis de las licencias libres del moacutedulo 6 iniciamos

este moacutedulo con un comentario y una aclaracioacuten sobre varios mitos o concep-

tos equivocados relativos a diversos aspectos legales del software libre

Ejemplo

Hay otros mitos relativos a los aspectos tecnoloacutegicos o comerciales del software libre queno trataremos aquiacute la falta de soporte y mantenimiento la falta de seguridad el riesgode la bifurcacioacuten (forking) la posibilidad de introducir elementos dantildeinos en softwarelibre la carencia de modelos de negocio viables basado en software libre etc

1)Elcopyleftestaacuteencontradelderechodeautor

Este mito se basa en la creencia de que el copyleft (y las licencias libres en

general) crea un nuevo marco de derecho de la propiedad intelectual el copyleft

en vez del copyright Al contrario tal como se ha visto en los moacutedulos 2 y 6

las licencias libres se fundamentan directamente en el derecho de propiedad

intelectual vigente ya sea el derecho de autor al estilo continental o el copyright

anglosajoacuten Los autores de software libre usan los derechos establecidos por

este marco legal (la exclusividad de explotar yo autorizar la explotacioacuten de su

obra) para conceder a los licenciatarios los derechos no exclusivos establecidos

en las licencias libres y defender estos derechos de vulneraciones

Caso MySQL AB contra Progress Software

MySQL AB defiende su titularidad en la aplicacioacuten de bases de datos MySQL y los derechosasociados Inicioacute un juicio contra Progress Software por violacioacuten de derechos de autory de la licencia GPL sobre el programa MySQL En Alemania el Tribunal de PrimeraInstancia de Muacutenich ha considerado y apoyado ya dos veces acciones legales respectoa la licencia GPL (fundamentadas en el derecho de la propiedad intelectual) para hacercumplir sus condiciones por empresas que las habiacutean vulnerado (una distribucioacuten sincoacutedigo fuente y sin una copia de la licencia)

Consideremos por ejemplo dos caracteriacutesticas importantes del software libre

las libertades de uso y las condiciones de copyleft

bull En relacioacuten a la primera el marco legal permite a los titulares de una obra

definir el alcance de los derechos de explotacioacuten cedidos a terceros En

lugar de restringir los usos del licenciante (como hacen la mayoriacutea de las

licencias propietarias) una licencia libre los ampliacutea al maacuteximo permitido

Ello no va contra los derechos de autor sino que es un ejercicio de los

mismos

bull Respecto del copyleft un desarrollador puede crear y distribuir una obra

derivada de software libre porque se lo permite en ciertas condiciones el

titular de la obra original en que se basa Si estas condiciones ndashpor ejemplo

la de distribuir la obra derivada con la misma licencia (el copyleft)ndash no

Lectura recomendada

Para profundizar sobre estetema se recomienda leer Dis-pelling myths about the GPLand free software de J Vie-ga y B Fleco (en bibliogra-fiacutea)

copy FUOC bull P08M211400348 8 Las licencias libres en la praacutectica

se cumplen se resolveraacute la licencia original y la distribucioacuten de la obra

derivada seraacute una violacioacuten de los derechos originales El copyleft actuacutea

legalmente como claacuteusula resolutoria

Por lo tanto no hay contradiccioacuten ni oposicioacuten entre los derechos de autor

legislados y los derechos concedidos o reservados con una licencia libre Es

maacutes se puede argumentar que mientras una licencia libre respete las excep-

ciones y los usos permitidos del usuario en nuestro marco legal se ajustaraacute

maacutes a derecho que muchas licencias propietarias

La licencia GPL no agrega nada al derecho de autor [como por ejemplo restriccionesde uso] El derecho de autor otorga a los titulares los poderes de prohibir el ejercicio dederechos de copia modificacioacuten y distribucioacuten derechos de los que nosotros considera-mos que los usuarios deben beneficiarse Por lo tanto la GPL elimina las restriccionespermitidas por el sistema de propiedad intelectual

E Moglen Enforcing the GNU GPL Linux User 12082001 en liacutenea en httpnoglenlawcolumbiaedupublicationslu_12html

2)Elsoftwarelibrenotienetitularesopropietarios

No hay nada maacutes equivocado desde el punto de vista legal El marco juriacutedico

de la propiedad intelectual confiere derechos de autor automaacuteticamente a los

creadores del software Y la uacutenica obligacioacuten ndasho casindash compartida por todas

las licencias libres es la de mantener los avisos de titularidad de los creadores

iniciales del software (el famoso copyright notice) Por lo tanto siempre hay

un titular de los derechos sobre el software y en el caso de software libre la

titularidad estaacute claramente indicada en los ficheros

3)Laslicenciaslibresobliganacedersusderechosdeautor

Con la excepcioacuten de los derechos morales que son intransferibles los dere-

chos de autor se pueden ceder pero uacutenicamente con el consentimiento expliacute-

cito del titular Las licencias libres son no exclusivas y no pueden quitar

la titularidad del software a sus creadores Las licencias libres con copyleft siacute

que obligan a los licenciatarios a usar la misma licencia (no exclusiva) para la

eventual distribucioacuten de cualquier modificacioacuten u obra derivada de software

original con estas licencias y a publicar el correspondiente coacutedigo fuente ndashco-

mo condicioacuten del derecho de redistribuir la modificacioacutenndash pero no los obli-

gan a ceder el software (o sus derechos sobre eacutel)

4)Nosepuedehacerunusocomercialdelsoftwarelibre

Otra creencia equivocada como hemos visto no hay liacutemites sobre el uso del

software libre (libertad 0) solamente a veces se imponen condiciones a su

modificacioacutenydistribucioacuten posteriores Las licencias libres no afectan a los

usuarios finales

5)Elsoftwarelibreyelsoftwarepropietariosonincompatibles

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 4: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 5 Las licencias libres en la praacutectica

Introduccioacuten

En los moacutedulos anteriores hemos presentado el marco legal del software en

general y del software libre en particular junto con un anaacutelisis y una discu-

sioacuten de las licencias de software propietarias y las licencias de software libres

Ahora ya armados con el conocimiento correspondiente queremos cerrar este

moacutedulo con una discusioacuten sobre algunos mitos que han surgido alrededor del

software libre y una reflexioacuten sobre las consecuencias praacutecticas de las licencias

libres (y de los aspectos legales del software libre en general) para los diferentes

actores relacionados con eacutel

Asimismo consideramos importante poner las licencias de software en rela-

cioacuten con otras ramas del derecho desde un punto de vista praacutectico

Por lo tanto en el primer apartado desmitificaremos algunas creencias muy

difundidas sobre diversos aspectos legales del software libre y las licencias aso-

ciadas Luego en el segundo apartado comentaremos algunos temas y efec-

tospraacutecticosrelativosa las licencias libres tales como la compatibilidad

entre licencias la gestioacuten de las contribuciones a proyectos libres y las licen-

cias duales

En el tercer apartado reflexionaremos sobre algunos aspectoslegalesdelsoft-

warelibre que no hemos visto hasta ahora la relacioacuten entre estas licencias

y otras ramas del derecho especialmente el derecho de la competencia y las

licencias de patentes y marcas y la interrelacioacuten entre licencias libres y el pro-

ceso de estandarizacioacuten formal

Asimismo para cerrar el moacutedulo estudiaremos muy brevemente dos impor-

tantes aacutereas del derecho relacionadas con el software libre que no se han de-

sarrollado hasta ahora por un lado la proteccioacuten de datospersonales y de la

privacidad y por otro el control de la exportacioacuten de materiales y productos

de criptografiacutea o cifrado

copy FUOC bull P08M211400348 6 Las licencias libres en la praacutectica

Objetivos

Con el aprendizaje de este moacutedulo los estudiantes podreacuteis alcanzar los obje-

tivos siguientes

1 Comprobar la validez legal de varios mitos que se han establecido alrede-

dor del software libre

2 Discernir consecuencias praacutecticas y los aspectos relacionados con las licen-

cias libres como son

bull la seleccioacuten de una licencia libre

bull la compatibilidad entre las licencias

bull licencias duales o muacuteltiples

bull la bifurcacioacuten o divisioacuten de coacutedigo (forking)

3 Conocer la relacioacuten entre las licencias de software libre y otras ramas del

derecho como las marcas la competencia leal y el proceso formal de es-

tandarizacioacuten

4 Conocer las obligaciones y los derechos relativos a la privacidad (bajo el

reacutegimen europeo) y su viacutenculo con el software libre sobre todo en el aacutem-

bito de la seguridad

5 Conocer la regulacioacuten de productos de seguridad y su relacioacuten con la dis-

tribucioacuten de software libre

copy FUOC bull P08M211400348 7 Las licencias libres en la praacutectica

1 Unos mitos legales para desmitificar

Despueacutes de realizar el anaacutelisis de las licencias libres del moacutedulo 6 iniciamos

este moacutedulo con un comentario y una aclaracioacuten sobre varios mitos o concep-

tos equivocados relativos a diversos aspectos legales del software libre

Ejemplo

Hay otros mitos relativos a los aspectos tecnoloacutegicos o comerciales del software libre queno trataremos aquiacute la falta de soporte y mantenimiento la falta de seguridad el riesgode la bifurcacioacuten (forking) la posibilidad de introducir elementos dantildeinos en softwarelibre la carencia de modelos de negocio viables basado en software libre etc

1)Elcopyleftestaacuteencontradelderechodeautor

Este mito se basa en la creencia de que el copyleft (y las licencias libres en

general) crea un nuevo marco de derecho de la propiedad intelectual el copyleft

en vez del copyright Al contrario tal como se ha visto en los moacutedulos 2 y 6

las licencias libres se fundamentan directamente en el derecho de propiedad

intelectual vigente ya sea el derecho de autor al estilo continental o el copyright

anglosajoacuten Los autores de software libre usan los derechos establecidos por

este marco legal (la exclusividad de explotar yo autorizar la explotacioacuten de su

obra) para conceder a los licenciatarios los derechos no exclusivos establecidos

en las licencias libres y defender estos derechos de vulneraciones

Caso MySQL AB contra Progress Software

MySQL AB defiende su titularidad en la aplicacioacuten de bases de datos MySQL y los derechosasociados Inicioacute un juicio contra Progress Software por violacioacuten de derechos de autory de la licencia GPL sobre el programa MySQL En Alemania el Tribunal de PrimeraInstancia de Muacutenich ha considerado y apoyado ya dos veces acciones legales respectoa la licencia GPL (fundamentadas en el derecho de la propiedad intelectual) para hacercumplir sus condiciones por empresas que las habiacutean vulnerado (una distribucioacuten sincoacutedigo fuente y sin una copia de la licencia)

Consideremos por ejemplo dos caracteriacutesticas importantes del software libre

las libertades de uso y las condiciones de copyleft

bull En relacioacuten a la primera el marco legal permite a los titulares de una obra

definir el alcance de los derechos de explotacioacuten cedidos a terceros En

lugar de restringir los usos del licenciante (como hacen la mayoriacutea de las

licencias propietarias) una licencia libre los ampliacutea al maacuteximo permitido

Ello no va contra los derechos de autor sino que es un ejercicio de los

mismos

bull Respecto del copyleft un desarrollador puede crear y distribuir una obra

derivada de software libre porque se lo permite en ciertas condiciones el

titular de la obra original en que se basa Si estas condiciones ndashpor ejemplo

la de distribuir la obra derivada con la misma licencia (el copyleft)ndash no

Lectura recomendada

Para profundizar sobre estetema se recomienda leer Dis-pelling myths about the GPLand free software de J Vie-ga y B Fleco (en bibliogra-fiacutea)

copy FUOC bull P08M211400348 8 Las licencias libres en la praacutectica

se cumplen se resolveraacute la licencia original y la distribucioacuten de la obra

derivada seraacute una violacioacuten de los derechos originales El copyleft actuacutea

legalmente como claacuteusula resolutoria

Por lo tanto no hay contradiccioacuten ni oposicioacuten entre los derechos de autor

legislados y los derechos concedidos o reservados con una licencia libre Es

maacutes se puede argumentar que mientras una licencia libre respete las excep-

ciones y los usos permitidos del usuario en nuestro marco legal se ajustaraacute

maacutes a derecho que muchas licencias propietarias

La licencia GPL no agrega nada al derecho de autor [como por ejemplo restriccionesde uso] El derecho de autor otorga a los titulares los poderes de prohibir el ejercicio dederechos de copia modificacioacuten y distribucioacuten derechos de los que nosotros considera-mos que los usuarios deben beneficiarse Por lo tanto la GPL elimina las restriccionespermitidas por el sistema de propiedad intelectual

E Moglen Enforcing the GNU GPL Linux User 12082001 en liacutenea en httpnoglenlawcolumbiaedupublicationslu_12html

2)Elsoftwarelibrenotienetitularesopropietarios

No hay nada maacutes equivocado desde el punto de vista legal El marco juriacutedico

de la propiedad intelectual confiere derechos de autor automaacuteticamente a los

creadores del software Y la uacutenica obligacioacuten ndasho casindash compartida por todas

las licencias libres es la de mantener los avisos de titularidad de los creadores

iniciales del software (el famoso copyright notice) Por lo tanto siempre hay

un titular de los derechos sobre el software y en el caso de software libre la

titularidad estaacute claramente indicada en los ficheros

3)Laslicenciaslibresobliganacedersusderechosdeautor

Con la excepcioacuten de los derechos morales que son intransferibles los dere-

chos de autor se pueden ceder pero uacutenicamente con el consentimiento expliacute-

cito del titular Las licencias libres son no exclusivas y no pueden quitar

la titularidad del software a sus creadores Las licencias libres con copyleft siacute

que obligan a los licenciatarios a usar la misma licencia (no exclusiva) para la

eventual distribucioacuten de cualquier modificacioacuten u obra derivada de software

original con estas licencias y a publicar el correspondiente coacutedigo fuente ndashco-

mo condicioacuten del derecho de redistribuir la modificacioacutenndash pero no los obli-

gan a ceder el software (o sus derechos sobre eacutel)

4)Nosepuedehacerunusocomercialdelsoftwarelibre

Otra creencia equivocada como hemos visto no hay liacutemites sobre el uso del

software libre (libertad 0) solamente a veces se imponen condiciones a su

modificacioacutenydistribucioacuten posteriores Las licencias libres no afectan a los

usuarios finales

5)Elsoftwarelibreyelsoftwarepropietariosonincompatibles

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 5: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 6 Las licencias libres en la praacutectica

Objetivos

Con el aprendizaje de este moacutedulo los estudiantes podreacuteis alcanzar los obje-

tivos siguientes

1 Comprobar la validez legal de varios mitos que se han establecido alrede-

dor del software libre

2 Discernir consecuencias praacutecticas y los aspectos relacionados con las licen-

cias libres como son

bull la seleccioacuten de una licencia libre

bull la compatibilidad entre las licencias

bull licencias duales o muacuteltiples

bull la bifurcacioacuten o divisioacuten de coacutedigo (forking)

3 Conocer la relacioacuten entre las licencias de software libre y otras ramas del

derecho como las marcas la competencia leal y el proceso formal de es-

tandarizacioacuten

4 Conocer las obligaciones y los derechos relativos a la privacidad (bajo el

reacutegimen europeo) y su viacutenculo con el software libre sobre todo en el aacutem-

bito de la seguridad

5 Conocer la regulacioacuten de productos de seguridad y su relacioacuten con la dis-

tribucioacuten de software libre

copy FUOC bull P08M211400348 7 Las licencias libres en la praacutectica

1 Unos mitos legales para desmitificar

Despueacutes de realizar el anaacutelisis de las licencias libres del moacutedulo 6 iniciamos

este moacutedulo con un comentario y una aclaracioacuten sobre varios mitos o concep-

tos equivocados relativos a diversos aspectos legales del software libre

Ejemplo

Hay otros mitos relativos a los aspectos tecnoloacutegicos o comerciales del software libre queno trataremos aquiacute la falta de soporte y mantenimiento la falta de seguridad el riesgode la bifurcacioacuten (forking) la posibilidad de introducir elementos dantildeinos en softwarelibre la carencia de modelos de negocio viables basado en software libre etc

1)Elcopyleftestaacuteencontradelderechodeautor

Este mito se basa en la creencia de que el copyleft (y las licencias libres en

general) crea un nuevo marco de derecho de la propiedad intelectual el copyleft

en vez del copyright Al contrario tal como se ha visto en los moacutedulos 2 y 6

las licencias libres se fundamentan directamente en el derecho de propiedad

intelectual vigente ya sea el derecho de autor al estilo continental o el copyright

anglosajoacuten Los autores de software libre usan los derechos establecidos por

este marco legal (la exclusividad de explotar yo autorizar la explotacioacuten de su

obra) para conceder a los licenciatarios los derechos no exclusivos establecidos

en las licencias libres y defender estos derechos de vulneraciones

Caso MySQL AB contra Progress Software

MySQL AB defiende su titularidad en la aplicacioacuten de bases de datos MySQL y los derechosasociados Inicioacute un juicio contra Progress Software por violacioacuten de derechos de autory de la licencia GPL sobre el programa MySQL En Alemania el Tribunal de PrimeraInstancia de Muacutenich ha considerado y apoyado ya dos veces acciones legales respectoa la licencia GPL (fundamentadas en el derecho de la propiedad intelectual) para hacercumplir sus condiciones por empresas que las habiacutean vulnerado (una distribucioacuten sincoacutedigo fuente y sin una copia de la licencia)

Consideremos por ejemplo dos caracteriacutesticas importantes del software libre

las libertades de uso y las condiciones de copyleft

bull En relacioacuten a la primera el marco legal permite a los titulares de una obra

definir el alcance de los derechos de explotacioacuten cedidos a terceros En

lugar de restringir los usos del licenciante (como hacen la mayoriacutea de las

licencias propietarias) una licencia libre los ampliacutea al maacuteximo permitido

Ello no va contra los derechos de autor sino que es un ejercicio de los

mismos

bull Respecto del copyleft un desarrollador puede crear y distribuir una obra

derivada de software libre porque se lo permite en ciertas condiciones el

titular de la obra original en que se basa Si estas condiciones ndashpor ejemplo

la de distribuir la obra derivada con la misma licencia (el copyleft)ndash no

Lectura recomendada

Para profundizar sobre estetema se recomienda leer Dis-pelling myths about the GPLand free software de J Vie-ga y B Fleco (en bibliogra-fiacutea)

copy FUOC bull P08M211400348 8 Las licencias libres en la praacutectica

se cumplen se resolveraacute la licencia original y la distribucioacuten de la obra

derivada seraacute una violacioacuten de los derechos originales El copyleft actuacutea

legalmente como claacuteusula resolutoria

Por lo tanto no hay contradiccioacuten ni oposicioacuten entre los derechos de autor

legislados y los derechos concedidos o reservados con una licencia libre Es

maacutes se puede argumentar que mientras una licencia libre respete las excep-

ciones y los usos permitidos del usuario en nuestro marco legal se ajustaraacute

maacutes a derecho que muchas licencias propietarias

La licencia GPL no agrega nada al derecho de autor [como por ejemplo restriccionesde uso] El derecho de autor otorga a los titulares los poderes de prohibir el ejercicio dederechos de copia modificacioacuten y distribucioacuten derechos de los que nosotros considera-mos que los usuarios deben beneficiarse Por lo tanto la GPL elimina las restriccionespermitidas por el sistema de propiedad intelectual

E Moglen Enforcing the GNU GPL Linux User 12082001 en liacutenea en httpnoglenlawcolumbiaedupublicationslu_12html

2)Elsoftwarelibrenotienetitularesopropietarios

No hay nada maacutes equivocado desde el punto de vista legal El marco juriacutedico

de la propiedad intelectual confiere derechos de autor automaacuteticamente a los

creadores del software Y la uacutenica obligacioacuten ndasho casindash compartida por todas

las licencias libres es la de mantener los avisos de titularidad de los creadores

iniciales del software (el famoso copyright notice) Por lo tanto siempre hay

un titular de los derechos sobre el software y en el caso de software libre la

titularidad estaacute claramente indicada en los ficheros

3)Laslicenciaslibresobliganacedersusderechosdeautor

Con la excepcioacuten de los derechos morales que son intransferibles los dere-

chos de autor se pueden ceder pero uacutenicamente con el consentimiento expliacute-

cito del titular Las licencias libres son no exclusivas y no pueden quitar

la titularidad del software a sus creadores Las licencias libres con copyleft siacute

que obligan a los licenciatarios a usar la misma licencia (no exclusiva) para la

eventual distribucioacuten de cualquier modificacioacuten u obra derivada de software

original con estas licencias y a publicar el correspondiente coacutedigo fuente ndashco-

mo condicioacuten del derecho de redistribuir la modificacioacutenndash pero no los obli-

gan a ceder el software (o sus derechos sobre eacutel)

4)Nosepuedehacerunusocomercialdelsoftwarelibre

Otra creencia equivocada como hemos visto no hay liacutemites sobre el uso del

software libre (libertad 0) solamente a veces se imponen condiciones a su

modificacioacutenydistribucioacuten posteriores Las licencias libres no afectan a los

usuarios finales

5)Elsoftwarelibreyelsoftwarepropietariosonincompatibles

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 6: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 7 Las licencias libres en la praacutectica

1 Unos mitos legales para desmitificar

Despueacutes de realizar el anaacutelisis de las licencias libres del moacutedulo 6 iniciamos

este moacutedulo con un comentario y una aclaracioacuten sobre varios mitos o concep-

tos equivocados relativos a diversos aspectos legales del software libre

Ejemplo

Hay otros mitos relativos a los aspectos tecnoloacutegicos o comerciales del software libre queno trataremos aquiacute la falta de soporte y mantenimiento la falta de seguridad el riesgode la bifurcacioacuten (forking) la posibilidad de introducir elementos dantildeinos en softwarelibre la carencia de modelos de negocio viables basado en software libre etc

1)Elcopyleftestaacuteencontradelderechodeautor

Este mito se basa en la creencia de que el copyleft (y las licencias libres en

general) crea un nuevo marco de derecho de la propiedad intelectual el copyleft

en vez del copyright Al contrario tal como se ha visto en los moacutedulos 2 y 6

las licencias libres se fundamentan directamente en el derecho de propiedad

intelectual vigente ya sea el derecho de autor al estilo continental o el copyright

anglosajoacuten Los autores de software libre usan los derechos establecidos por

este marco legal (la exclusividad de explotar yo autorizar la explotacioacuten de su

obra) para conceder a los licenciatarios los derechos no exclusivos establecidos

en las licencias libres y defender estos derechos de vulneraciones

Caso MySQL AB contra Progress Software

MySQL AB defiende su titularidad en la aplicacioacuten de bases de datos MySQL y los derechosasociados Inicioacute un juicio contra Progress Software por violacioacuten de derechos de autory de la licencia GPL sobre el programa MySQL En Alemania el Tribunal de PrimeraInstancia de Muacutenich ha considerado y apoyado ya dos veces acciones legales respectoa la licencia GPL (fundamentadas en el derecho de la propiedad intelectual) para hacercumplir sus condiciones por empresas que las habiacutean vulnerado (una distribucioacuten sincoacutedigo fuente y sin una copia de la licencia)

Consideremos por ejemplo dos caracteriacutesticas importantes del software libre

las libertades de uso y las condiciones de copyleft

bull En relacioacuten a la primera el marco legal permite a los titulares de una obra

definir el alcance de los derechos de explotacioacuten cedidos a terceros En

lugar de restringir los usos del licenciante (como hacen la mayoriacutea de las

licencias propietarias) una licencia libre los ampliacutea al maacuteximo permitido

Ello no va contra los derechos de autor sino que es un ejercicio de los

mismos

bull Respecto del copyleft un desarrollador puede crear y distribuir una obra

derivada de software libre porque se lo permite en ciertas condiciones el

titular de la obra original en que se basa Si estas condiciones ndashpor ejemplo

la de distribuir la obra derivada con la misma licencia (el copyleft)ndash no

Lectura recomendada

Para profundizar sobre estetema se recomienda leer Dis-pelling myths about the GPLand free software de J Vie-ga y B Fleco (en bibliogra-fiacutea)

copy FUOC bull P08M211400348 8 Las licencias libres en la praacutectica

se cumplen se resolveraacute la licencia original y la distribucioacuten de la obra

derivada seraacute una violacioacuten de los derechos originales El copyleft actuacutea

legalmente como claacuteusula resolutoria

Por lo tanto no hay contradiccioacuten ni oposicioacuten entre los derechos de autor

legislados y los derechos concedidos o reservados con una licencia libre Es

maacutes se puede argumentar que mientras una licencia libre respete las excep-

ciones y los usos permitidos del usuario en nuestro marco legal se ajustaraacute

maacutes a derecho que muchas licencias propietarias

La licencia GPL no agrega nada al derecho de autor [como por ejemplo restriccionesde uso] El derecho de autor otorga a los titulares los poderes de prohibir el ejercicio dederechos de copia modificacioacuten y distribucioacuten derechos de los que nosotros considera-mos que los usuarios deben beneficiarse Por lo tanto la GPL elimina las restriccionespermitidas por el sistema de propiedad intelectual

E Moglen Enforcing the GNU GPL Linux User 12082001 en liacutenea en httpnoglenlawcolumbiaedupublicationslu_12html

2)Elsoftwarelibrenotienetitularesopropietarios

No hay nada maacutes equivocado desde el punto de vista legal El marco juriacutedico

de la propiedad intelectual confiere derechos de autor automaacuteticamente a los

creadores del software Y la uacutenica obligacioacuten ndasho casindash compartida por todas

las licencias libres es la de mantener los avisos de titularidad de los creadores

iniciales del software (el famoso copyright notice) Por lo tanto siempre hay

un titular de los derechos sobre el software y en el caso de software libre la

titularidad estaacute claramente indicada en los ficheros

3)Laslicenciaslibresobliganacedersusderechosdeautor

Con la excepcioacuten de los derechos morales que son intransferibles los dere-

chos de autor se pueden ceder pero uacutenicamente con el consentimiento expliacute-

cito del titular Las licencias libres son no exclusivas y no pueden quitar

la titularidad del software a sus creadores Las licencias libres con copyleft siacute

que obligan a los licenciatarios a usar la misma licencia (no exclusiva) para la

eventual distribucioacuten de cualquier modificacioacuten u obra derivada de software

original con estas licencias y a publicar el correspondiente coacutedigo fuente ndashco-

mo condicioacuten del derecho de redistribuir la modificacioacutenndash pero no los obli-

gan a ceder el software (o sus derechos sobre eacutel)

4)Nosepuedehacerunusocomercialdelsoftwarelibre

Otra creencia equivocada como hemos visto no hay liacutemites sobre el uso del

software libre (libertad 0) solamente a veces se imponen condiciones a su

modificacioacutenydistribucioacuten posteriores Las licencias libres no afectan a los

usuarios finales

5)Elsoftwarelibreyelsoftwarepropietariosonincompatibles

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 7: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 8 Las licencias libres en la praacutectica

se cumplen se resolveraacute la licencia original y la distribucioacuten de la obra

derivada seraacute una violacioacuten de los derechos originales El copyleft actuacutea

legalmente como claacuteusula resolutoria

Por lo tanto no hay contradiccioacuten ni oposicioacuten entre los derechos de autor

legislados y los derechos concedidos o reservados con una licencia libre Es

maacutes se puede argumentar que mientras una licencia libre respete las excep-

ciones y los usos permitidos del usuario en nuestro marco legal se ajustaraacute

maacutes a derecho que muchas licencias propietarias

La licencia GPL no agrega nada al derecho de autor [como por ejemplo restriccionesde uso] El derecho de autor otorga a los titulares los poderes de prohibir el ejercicio dederechos de copia modificacioacuten y distribucioacuten derechos de los que nosotros considera-mos que los usuarios deben beneficiarse Por lo tanto la GPL elimina las restriccionespermitidas por el sistema de propiedad intelectual

E Moglen Enforcing the GNU GPL Linux User 12082001 en liacutenea en httpnoglenlawcolumbiaedupublicationslu_12html

2)Elsoftwarelibrenotienetitularesopropietarios

No hay nada maacutes equivocado desde el punto de vista legal El marco juriacutedico

de la propiedad intelectual confiere derechos de autor automaacuteticamente a los

creadores del software Y la uacutenica obligacioacuten ndasho casindash compartida por todas

las licencias libres es la de mantener los avisos de titularidad de los creadores

iniciales del software (el famoso copyright notice) Por lo tanto siempre hay

un titular de los derechos sobre el software y en el caso de software libre la

titularidad estaacute claramente indicada en los ficheros

3)Laslicenciaslibresobliganacedersusderechosdeautor

Con la excepcioacuten de los derechos morales que son intransferibles los dere-

chos de autor se pueden ceder pero uacutenicamente con el consentimiento expliacute-

cito del titular Las licencias libres son no exclusivas y no pueden quitar

la titularidad del software a sus creadores Las licencias libres con copyleft siacute

que obligan a los licenciatarios a usar la misma licencia (no exclusiva) para la

eventual distribucioacuten de cualquier modificacioacuten u obra derivada de software

original con estas licencias y a publicar el correspondiente coacutedigo fuente ndashco-

mo condicioacuten del derecho de redistribuir la modificacioacutenndash pero no los obli-

gan a ceder el software (o sus derechos sobre eacutel)

4)Nosepuedehacerunusocomercialdelsoftwarelibre

Otra creencia equivocada como hemos visto no hay liacutemites sobre el uso del

software libre (libertad 0) solamente a veces se imponen condiciones a su

modificacioacutenydistribucioacuten posteriores Las licencias libres no afectan a los

usuarios finales

5)Elsoftwarelibreyelsoftwarepropietariosonincompatibles

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 8: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 9 Las licencias libres en la praacutectica

Otro mito es que el software libre es incompatible con el software propietario

si se ejecutan en un mismo sistema o plataforma informaacutetica Si esto fuera

cierto ninguna aplicacioacuten propietaria como las bases de datos de Oracle po-

driacutea ejecutarse sobre GNULinux OpenBSD o los servidores web Apache Y vi-

ceversa aplicaciones libres como MySQL no podriacutean ejecutarse sobre sistemas

operativos propietarios como Solaris de Oracle o AIX de IBM Lo que siacute que

puede suscitar incompatibilidades es la integracioacuten o la mezcla de software

con copyleft y software propietario tal como comentaremos a continuacioacuten

6)Nosepuedenintegraromezclarsoftwarelibreysoftwarepropietario

Esta afirmacioacuten sostiene que el software libre en general no puede mezclarse

o integrarse con software propietario en una misma aplicacioacuten sin afectarlo y

por lo tanto sin violar sus condiciones de uso Una manera maacutes fuerte de ex-

presar esto es afirmar que el software libre y el software con GPL en particular

es viacuterico e infecta a otras aplicaciones cualquier aplicacioacuten que integre soft-

ware GPL se convierte en software GPL Esta afirmacioacuten es parcialmente falsa

bull Integracioacutenporelusuariofinal Las licencias libres no restringen los usos

de un software con otras aplicaciones la posibilidad de modificacioacuten es

una condicioacuten de ser libre y no hay restricciones sobre su uso Por ello

es por lo que se ha de distribuir el coacutedigo fuente con el coacutedigo objeto o

ponerlo a disposicioacuten del destinatario Sin embargo cualquier integracioacuten

de software libre (permitida por la licencia libre) puede ser considerada

una modificacioacuten del software propietario integrado (si se tiene el coacutedigo

fuente para realizarla) Dependiendo de las restricciones contenidas en la

licencia propietaria dicha modificacioacuten puede constituir una infraccioacuten

de la misma independientemente de si el programa integrado es libre

propietario o redistribuido Eacuteste no es un problema del software libre sino

de la licencia de software propietario

bull Integracioacutenporunintermediario Donde siacute que puede haber restriccio-

nes relativas a la integracioacuten de software de distintos tipos ya sea libre o

propietario es respecto de su distribucioacuten posterior Las licenciaspermi-

sivas permiten mezclar y redistribuir su software con licencia propietaria

Sin embargo las licenciasconcopyleft prohiacuteben la redistribucioacuten con li-

cencia propietaria de la mezcla de software con estas licencias con soft-

ware propietario praacutectica que ha dado en llamarse privatizacioacuten del softwa-

re libre Ciertas licencias libres contienen claacuteusulas que tratan de permitir

de forma parcial esta integracioacuten como la LGPL o la MPL que hemos co-

mentado en el moacutedulo 6

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 9: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 10 Las licencias libres en la praacutectica

Software libre y software propietario

La relacioacuten y la integracioacuten entre software libre y software propietario depende en granmedida de las formas de interaccioacuten tecnoloacutegica entre las aplicaciones o los componen-tes de las mismas Seguacuten los disentildeos y los lenguajes de programacioacuten se deberaacuten con-siderar la compilacioacuten la interpretacioacuten la simple ejecucioacuten las llamadas a funcionesrutinas o bibliotecas los viacutenculos estaacuteticos y dinaacutemicos y las interfaces API entre otrosEn entornos distribuidos estas relaciones se complican por ejemplo con componentesCGI ASP y otras formas de interaccioacuten con programas a distancia

En algunos casos no se consideraraacute modificado el programa inicial y por lo tanto encaso de software con GPL no se aplicariacutea el copyleft sobre la distribucioacuten posterior Enotros esta interaccioacuten o integracioacuten implicaraacute una modificacioacuten permitida por el autororiginal del software libre en las condiciones de la licencia sin restricciones en el caso desoftware con la licencia BSD o con copyleft en el caso de la GPL

La comprensioacuten de estas relaciones es fundamental para analizar una propuesta teacutecnica ydecidir sobre las licencias posibles o los componentes libres con los que puede interactuaro integrarse un programa

7)Todoelsoftwarelibreesigual(enlosteacuterminosdelaGPL)

Hay variaciones sustanciales entre las maacutes de sesenta licencias libres reconoci-

das por la OSI para formar un criterio de lo que se considera libre Se debe ser

mucho maacutes cuidadoso en el uso del teacutermino software libre y distinguir entre

licencias libres en general licencias con copyleft y licencias que no son ni libres

ni abiertas Es importante manejar con claridad los teacuterminos fuentes abiertas

persistencia o reciprocidad y copyleft caracteriacutesticos de estas licencias libres

8)Laslicenciaslibresobliganapublicarsusmodificacionesparticulares

Eacutesta es una de las ideas falsas maacutes propagadas sobre el funcionamiento de

las licencias libres Distingamos la posicioacuten de los usuarios finales y de los

intermediarios (desarrolladores de programas para terceros)

bull Usuariosfinales La mayoriacutea de las licencias libres no obliga a los usuarios

ni a distribuir sus modificaciones o adaptaciones de software libre (obras

derivadas en lenguaje legal) ni a publicarlas o a contribuir con ellas al

desarrollo de la aplicacioacuten modificada Algunas licencias requieren esto

uacuteltimo en casos particulares soacutelo en relacioacuten con correcciones o modifi-

caciones del coacutedigo central o nuacutecleo del programa Como veremos estas

obligaciones no se aplican a elementos adicionales agregados al nuacutecleo ni

a cualquier extensioacuten de la aplicacioacuten Por lo tanto los usuarios finales no

tienen que publicar sus obras basadas en software libre

bull Losprofesionalesylasempresasquedesarrollanprogramas Las perso-

nas que realizan desarrollos para clientes tampoco tienen que distribuir al

puacuteblico (o a los autores originales) cualquier modificacioacuten de un software

libre Lo que siacute que tienen que hacer es respetar las licencias libres origina-

les muchas de las cuales obligan a proveer del coacutedigo fuente a los usuarios

o clientes destinatarios o si soacutelo se distribuye el coacutedigo objeto a ofrecer

el coacutedigo fuente a cualquier tercero (la GPLv2) o al destinatario (la MPL

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 10: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 11 Las licencias libres en la praacutectica

GPLv3) durante cierto periacuteodo Eacuteste es uno de los requisitos para utilizar

software libre con copyleft

La licencia Apple Public

La licencia Apple Public License 1x obligaba a remitir a Apple cualquier modificacioacutendel programa original y eacutesta era una de las razones por las que no se consideraba unalicencia libre

9)Elsoftwarelibrenotieneresponsablesnigarantiacuteas

Hay que admitir que esto puede ser cierto con las licencias actuales de soft-

ware libre sobre todo en condiciones de distribucioacuten gratuita del software

Sin embargo hay dudas legales sobre la efectividad de las claacuteusulas de exclu-

sioacuten de garantiacuteas y limitaciones de responsabilidad que no seriacutean vaacutelidas ante

consumidores por lo menos Esto ya se ha comentado con respecto al marco

juriacutedico en la Unioacuten Europea en los moacutedulos 4 y 5

El mito en realidad consiste en pensar que las licencias propietarias aceptan

mayor nivel de responsabilidad ya que muchas de ellas tambieacuten intentan en

teacuterminos muy similares limitar la responsabilidad del licenciante (autor o dis-

tribuidor)

Con los sistemas de distribucioacuten virtual en Internet se podriacutea argumentar tam-

bieacuten que es difiacutecil identificar a los licenciantes y con ello reclamar alguna in-

demnizacioacuten Muchos sitios de distribucioacuten de software libre como Source-

forge no son los titulares licenciantes ni siquiera los distribuidores oficiales

No obstante en algunos casos como en el de la FSF o en negocios basados en

la distribucioacuten de paquetes de software libre como Red Hat o Suse (Novell)

hay una entidad legal identificable contra quien se podriacutea intentar una accioacuten

por responsabilidades si fuera necesario Ademaacutes la obligacioacuten de mantener el

aviso de autoriacutea (copyright notice) permite identificar a los titulares de cualquier

componente que pudiera ser deficiente aunque eacutestos no sean necesariamente

los que han distribuido el programa al perjudicado

El mismo argumento se aplica a las garantiacuteas Las licencias libres en siacute mismas

no ofrecen garantiacuteas pero tampoco son de mucha utilidad las de las licencias

propietarias que tratan de limitar la garantiacutea contractual por ejemplo a la

devolucioacuten del precio de compra en caso de una averiacutea identificada dentro

de un liacutemite de noventa diacuteas Por un lado hay que considerar las garantiacuteas

obligatorias por ley que se aplican tanto al software libre como al software

propietario Por otro lado las licencias libres permiten a los distribuidores de

software libre agregar claacuteusulas de garantiacutea (con contraprestacioacuten econoacutemica

o no) algo que se hace con muchos paquetes de distribucioacuten comercial

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 11: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 12 Las licencias libres en la praacutectica

2 Algunos temas legales relacionados con las licencias

Despueacutes de repasar los mitos sobre la legalidad o los efectos legales de las li-

cencias libres en el apartado anterior este apartado tiene como objetivo pro-

porcionar unos comentarios praacutecticos sobre algunos aspectos legales de las

mismas

Cuando se quiere crear distribuir o usar software libre no se trata soacutelo de de-

cidir queacute software usar y descargarlo desde Internet o en el caso de su desa-

rrollo de empezar a proveer de coacutedigo al proyecto Aparte de los aspectos

teacutecnicos y econoacutemicos que intervienen en tal decisioacuten hay una multitud de

temas legales importantes que cabe considerar para asegurar el eacutexito de cual-

quier actividad que implique software libre ya sea su creacioacuten y distribucioacuten

o su implantacioacuten en organizaciones puacuteblicas o privadas y seraacute necesario es-

tablecer las estrategias legales pertinentes

La comprensioacuten de temas legales maacutes amplios relacionados con el software

libre como las consecuencias legales de las licencias o las interrelaciones entre

diferentes conceptos relevantes (copyleft compatibilidad regiacutemenes de licen-

cias etc) ayudaraacute a comprender casos particulares de aplicacioacuten del software

libre y a gestionar los proyectos basados en eacuteste Ademaacutes ayudaraacute a entender

los debates puacuteblicos la evolucioacuten de las licencias los contratos de distribucioacuten

e incluso los litigios pasados y futuros sobre el tema

Los temas que trataremos en este apartado los efectos praacutecticos de las licen-

cias libres tienen que ver sobre todo con la gestioacuten de las mismas y de la pro-

piedad intelectual e industrial en proyectos basados en software libre En con-

creto vamos a estudiar

bull Coacutemo seleccionar una licencia libre

bull Coacutemo gestionar las contribuciones a proyectos de software libre

bull La compatibilidad entre licencias

bull Las licencias duales o muacuteltiples (dual o multiple licensing)

bull El efecto de las licencias sobre la divisioacuten del software libre (forking)

Terminaremos el apartado con el repaso de algunos problemas legales que pue-

den surgir en el momento de usar una licencia libre

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 12: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 13 Las licencias libres en la praacutectica

21 Seleccionar una licencia libre

Las disposiciones incluidas en las licencias de software libre resultan normal-

mente del compromiso entre varios objetivos determinados por los autores

o los jefes de equipo (coordinadores) de los proyectos de desarrollo libre En

particular podemos citar los propoacutesitos siguientes que en cierta medida pue-

den contraponerse entre siacute

bull Garantizar ciertas libertades baacutesicas comunes a todo software libre (uso

copia modificacioacuten redistribucioacuten patentes etc)

bull Imponer algunas condiciones o restricciones (el reconocimiento de auto-

riacutea la falta de garantiacutea el uso de marcas etc)

bull Procurar que las modificaciones y las obras derivadas sean tambieacuten libres

bull Reservarse algunos derechos (por obligacioacuten o por voluntad propia)

bull Mantener el control sobre la evolucioacuten del programa

Cada proyecto tiene por lo tanto sus objetivos y criterios en cuanto a licencia

se refiere

Mientras que la FSF recomienda (casi exclusivamente) el uso de la GPL en

general se recomienda usar una licencia ya existente en lugar de escribir una

nueva Esto se hace cada vez maacutes difiacutecil con la proliferacioacuten de licencias li-

bres (hasta el punto de que la OSI estaacute tratando de reducir el nuacutemero de licen-

cias certificadas) Una tendencia general es limitarse a una de las licencias maacutes

comunes GPL LGPL BSD MPL Apache CPL etc Ello ofrece la ventaja de

que aumentan las probabilidades de compatibilidad entre programas y com-

ponentes Otra posibilidad es limitarse a una licencia de tercera generacioacuten

como la OSL (copyleftreciacuteproca) la Apache o la AFL (permisivas) o la CDDL

(intermedia) que cubren maacutes temas relevantes (patentes marcas etc) y que

pueden ser maacutes adecuadas al marco legal europeo por una voluntad de inter-

nacionalizacioacuten en el momento de su redaccioacuten

El principal criterio de diferenciacioacuten es la existencia o no de pactos de copy-

left o de reciprocidad la obligacioacuten de que los desarrollos basados en el softwa-

re original generalmente obras derivadas mantengan la misma licencia para

la redistribucioacuten La GPL por ejemplo intenta ampliar el pool (conjunto) de

software libre disponible y maximizar la libertad de los usuarios finales por lo

tanto impone la claacuteusula copyleft Asimismo la GPL tiene el efecto praacutectico de

restringir la evolucioacuten separada de un mismo software en diferentes proyectos

(forking) y de permitir que un equipo de coordinacioacuten mantenga cierto control

sobre el programa como veremos a continuacioacuten

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 13: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 14 Las licencias libres en la praacutectica

Otras licencias tienen un efecto copyleft reducido que se aplica uacutenicamente a

la obra (o componente) original y a cualquier modificacioacuten de la misma No

se extiende a aplicaciones que integran o usan el componente libre Hemos

visto en el moacutedulo 6 que la licencia LGPL es tiacutepica de esta serie donde tambieacuten

figuran otras como la MPL la CDDL y la OSL Eacutestas permiten la integracioacuten

o la vinculacioacuten de los componentes originales con otro coacutedigo para crear lo

que se llaman obras mayores

Reflexioacuten

Algunas preguntas que puede plantearse el estudiante son las siguientes

iquestQuiero permitir la privatizacioacuten de obras derivadas y modificaciones

iquestQuiero que los desarrolladores devuelvan sus modificaciones a la comunidad libre engeneral o a miacute como autor inicial en particular

iquestQuiero permitir que los licenciatarios fusionen o enlacen su programa con el miacuteo

iquestQuiero una mayor difusioacuten del programa y tratar de establecer un estaacutendar

iquestQuiero obtener beneficios de mi programa a partir de su uso comercial o de otro tipoal tiempo que permitir el desarrollo libre

iquestLa reputacioacuten es importante para miacute

iquestTengo obligaciones hacia terceros en relacioacuten con el coacutedigo incorporado a mi programa

iquestTengo un programa innovador uacutenico o es otro editor de textos por ejemplo cuandoya hay miles de ellos disponibles tanto libres como propietarios

iquestMi programa debe ejecutarse con otro en particular iquestTiene eacuteste restricciones

iquestQuiero incentivar a otros desarrolladores para que participen en mi proyecto y contri-buyan con coacutedigo u horas de pruebas

iquestMi aplicacioacuten ha sido disentildeada para ser integrada (embedded) en un dispositivo juntocon otro software propietario

iquestHay una licencia predominante en el sector de mi software en particular (por ejemploun lenguaje o bibliotecas)

iquestHay riesgo de que alguien tenga o pida una patente sobre un elemento o un aspectodel programa

La tabla siguiente que ya es claacutesica y aparece en casi todos los escritos sobre

el tema toma en consideracioacuten las principales licencias libres y asiste en la

seleccioacuten de una licencia

Licencia Se puede mezclar conotro software no libre

y redistribuir

Se pueden pri-vatizar las

obras agregadas

Se pueden pri-vatizar las

modificaciones

Hay que licenciar patentes

GPLv2v3 SI

LGPLv2v3 SI SI

MPL SI SI SI

BSD SI SI SI

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 14: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 15 Las licencias libres en la praacutectica

Otra opcioacuten es la eleccioacuten de una poliacutetica de doble licencia que comentare-

mos a continuacioacuten Este sistema en el cual se distribuye el programa con di-

ferentes licencias (normalmente una copyleft la otra restrictiva) permite ob-

tener ingresos a partir de la versioacuten propietaria y colaborar con una comu-

nidad para mejorar el programa libre Este sistema es el que usan MySQL y

TrolltechQt entre otras empresas Ademaacutes si el programa es modular se pue-

de prever el uso de diferentes licencias para diferentes componentes siempre

que sean compatibles entre ellas dependiendo del grado de integracioacuten y con

la licencia sobre el programa distribuido como un todo Otra estrategia para

sistemas clienteservidor es el uso de una licencia libre para el cliente y una

licencia propietaria para el servidor

Lecturas recomendadas

Lecturas que asisten en la eleccioacuten de una licencia

bull Z OWhielacronx Quick reference for choosing a free software license [en liacutenea]lthttpzookocomlicense_quick_refhtmlgt

bull B Perens The open source definition Open Sources (paacuteg 185) lthttporeillycomcatalogopensourcesbookperenshtml

bull D K Rosenberg Evaluation of public software licenses [en liacutenea visitado el 29032001] lthttpwwwstromiancomPublic_Licenseshtmlgt

bull F Hecker Setting up shop The business of open source software [en liacutenea] lthttpwwwheckerorgwritingssetting-up-shophtmlgt

bull M Perry Open source licenses [en liacutenea] lthttpfsckedorgwritingsOpenSourcehtmlgt

bull B Behlendorf Open source as business strategy Open Sources

bull R Brooks Open source licenses overview [en liacutenea] lthttpwwwvrmlorgTask-Groupsvrmlipropen_source_overviewhtmlgt

bull E Kidd A history of open source [en liacutenea 19 de agosto de 2000] lthttpdiscussuserlandcommsgReader$1984419889gt

bull Estudio POSS IDA Unysis para la Unioacuten Europea (paacuteg 60-65)

bull The Mitre Corporation Use of free and open source software (FOSS) in the US Departmentof Defense (versioacuten 12 28102002 paacuteg 15)

22 Las licencias sobre las contribuciones y autoriacutea

Un elemento esencial que se debe tener en cuenta a la hora de gestionar un

proyecto libre y las licencias implicadas es el de los autores y las contribuciones

al proyecto La historia de Netscape muestra las dificultades que uno puede

encontrar si decide liberar el software o pasar de una licencia libre a otra

Los problemas que se pueden presentar incluyen

bull Software proveniente de una fuente no segura (puede haber sido copiado)

bull Software aportado con otra licencia (una licencia incompatible)

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 15: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 16 Las licencias libres en la praacutectica

bull Software cubierto por obligaciones preexistentes ya sea por las licencias de

terceros o por compromisos que vinculan al autor-licenciante (el problema

de Netscape)

bull Restricciones en una licencia anterior que son incompatibles con una nue-

va licencia deseada Aunque el autor siempre pueda licenciar de nuevo su

coacutedigo (excepto si se ha comprometido a no hacerlo) esto puede provocar

problemas de divisioacuten de coacutedigo e incompatibilidad (el problema de Unix

hay tantas versiones que es difiacutecil saber cuaacutel es la licencia o el origen de

una parte de coacutedigo)

bull Patentes otorgadas sobre un elemento del coacutedigo

Para los responsables del proyecto es necesario realizar un seguimiento cuida-

doso del coacutedigo aportado y mantener un registro de autoriacutea y de versiones

para identificar y monitorizar cada componente del software Los contribui-

dores suelen aportar coacutedigo en diferentes formas la licencia del proyecto una

licencia compatible con la del proyecto o una cesioacuten maacutes individualizada (un

acuerdo sobre contribuciones) En este uacuteltimo caso los responsables del pro-

yecto podriacutean exigir que cualquier contribuidor otorgue una licencia total y

exclusiva a la entidad que coordine el proyecto (en el derecho anglosajoacuten esto

constituye una transferencia de titularidad lo que no es posible en relacioacuten

con los derechos morales sometidos a derecho continental) con garantiacuteas res-

pecto a la titularidad de los derechos sobre la contribucioacuten y eventualmente

una licencia de patente De esta manera el coordinador del proyecto podraacute

mantener un cierto control sobre el resultado del proyecto libre y cubrirse fren-

te al riesgo de que el coacutedigo provenga de fuentes no seguras (por ejemplo que

sea copiado de otro software) o de que cualquier autor original haya solicitado

una patente sobre el software o en derecho anglosajoacuten revoque su licencia

23 La compatibilidad entre licencias

Hemos hablado varias veces del tema de la compatibilidad de coacutedigo y de

licencias

Un programa es compatible con otro si se pueden mezclar o eventual-

mente interrelacionar sus coacutedigos para crear una obra derivada com-

puesta de elementos de cada uno de ellos y distribuir el resultado de la

integracioacuten sin infringir las licencias de uno y de otro de manera que

se pueda cumplir con las condiciones de ambas licencias a la hora de

redistribuir el resultado

Para distribuir de manera legal un software que integre varios componentes

de software libre es esencial que las licencias sobre los componentes (licencias

inbound) sean compatibles con la licencia seleccionada para la distribucioacuten del

Ejemplo

La FSF exige que cualquierprogramador que contribuyacon maacutes de diez liacuteneas de soft-ware a un proyecto GNU cedade manera exclusiva el coacutedigoa la FSF

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 16: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 17 Las licencias libres en la praacutectica

producto final (licencia outbound) Por ejemplo como la licencia BSD permite

casi cualquier accioacuten con el software con BSD se puede mezclar o integrar

software bajo BSD con otros programas con casi cualquier licencia (la GPL

por ejemplo) y distribuir el resultado con esta licencia sin infringir la BSD El

resultado se regiraacute por la licencia maacutes restrictiva

Las licencias con copyleft son incompatibles entre ellas salvo pacto expliacutecito

(como la EUPL comentada en el moacutedulo 6 o la MPL si el titular ha inclui-

do la posibilidad de usar otra licencia) a la hora de redistribuir un programa

que integre dos componentes con diferentes licencias con copyleft al usar una

de las licencias para la distribucioacuten del producto final se infringiraacute la otra

La FSF ha ofrecido una tabla muy compleja sobre la compatibilidad entre la

GPLv2 y la GPLv3 en diferentes casos (httpwwwfsforglicensinglicenses

gpl-faqhtmlAllCompatibility)

Reflexioacuten

Ya hemos clasificado las licencias compatibles con la GPL como criterio de anaacutelisis Entodos los casos de integracioacuten de coacutedigo con software con GPL la distribucioacuten del coacutedigoresultante deberaacute someterse a la GPL (si no no se podriacutea mezclar con el coacutedigo GPL dadoque sus obras derivadas tienen que distribuirse con la GPL)

Muchos exponentes del software libre recomiendan usar una licencia compa-

tible con la GPL sobre todo porque es la que usan casi un 75 de los proyec-

tos de software libre (no necesariamente el 75 del software libre disponible)

pero tambieacuten porque los proyectos GPL generalmente tienen mayor apoyo de

la comunidad de desarrollo libre En esto existe cierta poleacutemica porque hay

proyectos y desarrolladores que se niegan a aceptar coacutedigo con GPL y otros

que soacutelo aceptan el coacutedigo con GPL o una licencia compatible

Otro tema relevante es la compatibilidad por enlace aun si no se permite

mezclar o integrar software con diferentes licencias acaso se puedan enlazar

Ello puede hacerse de diferentes formas como hemos discutido en relacioacuten

con la GPLv2 por ejemplo insertando una API entre un componente y otro

o creando enlaces dinaacutemicos que se activan durante la ejecucioacuten

Enlazar con software bajo la MPL

La MPL preveacute expresamente que se pueda enlazar una aplicacioacuten propietaria con unprograma con esta licencia El programa propietario debe vincularse con el software conMPL por medio de una API dentro del programa con MPL La API seraacute parte del programaoriginal o una modificacioacuten hecha a medida y por lo tanto estaraacute sometida a MPL

Compatibilidad con la GPL

Varios proyectos se han esfor-zado por hacerse compatiblescon la GPL por ejemplo Pyt-hon Qt y Vim e incluso Mozi-lla agregoacute la claacuteusula adicionalpara permitir la licencia dual

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 17: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 18 Las licencias libres en la praacutectica

24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiplelicensing)

Un programa puede ser distribuido por su titular con dos licencias libres o

maacutes o bien con una licencia libre y una licencia propietaria en un reacutegimen de

doble licencia El titular no tiene restringidas las formas de licenciar su coacutedigo

excepto si ha otorgado una licencia exclusiva o ha acordado compromisos de

confidencialidad

Distribucioacuten dual o muacuteltiple

Hay varios programas que se distribuyen de esta manera

a) MySQL es un motor de base de datos que se distribuye con la GPL para usos perso-nales y con una licencia propietaria para integrarlo en productos comerciales

b) eZ-publish es un programa de gestioacuten de contenidos en Internet que tambieacuten tieneuna licencia doble GPLpropietaria

c) LaMPL permite al titular establecer si el programa se distribuye con la MPL y otraslicencias (claacuteusula 13)

Desde el punto de vista del titular del software la posibilidad de usar una

segunda licencia permite ofrecer diferentes soluciones a diferentes grupos de

intereacutes colaboradores (licencia libre) o clientes (licencia propietaria o libre con

restricciones)

Para lograr esta estrategia en el caso de usar una licencia propietaria como se-

gunda licencia es esencial que el titular del software se asegure de ser tambieacuten

titular de los derechos en todos los componentes incorporados en el producto

Por ello se recomienda concentrar los derechos de autor sobre los componen-

tes en manos de una sola entidad como hacen la FSF y tambieacuten las empresas

MySQL AB y Trolltech Esto implica obligar a los contribuidores a ceder de

manera exclusiva sus derechos sobre su contribucioacuten establecer licencias ex-

clusivas con socios comerciales y controlar el riesgo de patentes Ello tambieacuten

permite controlar el precio la calidad y las responsabilidades sobre el software

y eventualmente liberarlo (como ha hecho Sun con las tecnologiacuteas Java)

El eacutexito de la estrategia depende inversamente del potencial de terceros (ya

sean comerciales o la comunidad libre) de crear un producto similar o fork que

constituiraacute una competencia para el producto con licencia no libre El uso de

una licencia copyleft para la licencia libre impide que terceros tomen el progra-

ma libre y lo privaticen para fines comerciales en competencia con la versioacuten

comercial con licencia no libre Otro elemento para controlar el software en el

contexto de esta estrategia es la marca una herramienta legal ya comentada

en el moacutedulo 3 Es utilizada por la Fundacioacuten Apache respecto a su software

(el servidor web Tomcat etc) por Sun en relacioacuten con Javatrade o Jinitrade y por

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 18: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 19 Las licencias libres en la praacutectica

varias empresas de software libre profesional como Sugar (CRM) Compiere

y Openbravo (ERP) Pentaho (Business Intelligence) Alfresco (gestioacuten docu-

mental) o Zimbra (correo y groupware)

25 Licencias libres y la divisioacuten de software libre (forking)

El concepto de forking o divisioacuten viene de la informaacutetica multitarea alude a la

divisioacuten de una tarea o proceso en dos En este caso por ejemplo una tarea

puede seguir activa mientras que la otra se detiene La divisioacuten o bifurcacioacuten

de un programa ocurre cuando el software se modifica y esta modificacioacuten se

desarrolla de manera separada con otro equipo de coordinacioacuten y se distri-

buye con otro nombre y quizaacutes otra licencia Son ejemplos de ello OpenBSD

y NetBSD divisiones de la Unix BSD original

Forking

MySQL define el forking como Divisioacuten [de MySQL] significa dividir el coacutedigo fuente dela base de datos MySQL en un repositorio mantenido separadamente de manera que cual-quier desarrollo sobre el coacutedigo original requiera una operacioacuten manual para ser transfe-rido al software dividido o que el software dividido empiece a tener funcionalidades queno estaacuten presentes en el software original

UNIX

El programa que maacutes ha padecido este fenoacutemeno es UNIX del que surgieron casi diezvariantes Algunas variantes de UNIX fueron creadas a medida que sus autores originales(ATampT y la Universidad de California Berkeley) iban cediendo licencias libres sobre elprograma que permitiacutean crear versiones nuevas (y propietarias) Unixware de NovellOpen Server SCO Solaris de Oracle AIX de IBM etc Esto ha dado lugar a problemaslegales por ejemplo en el caso original entre ATampT y la Universidad de California y maacutesrecientemente entre SCO e IBM y otros

La posibilidad de divisioacuten es relevante para los desarrolladores porque pro-

vee de una indicacioacuten de la posible evolucioacuten teacutecnica y legal o comercial del

software Desde el punto de vista teacutecnico las versiones divididas tienden a

ser incompatibles o no interoperables con los programas originales Desde el

punto de vista legal y comercial dichas versiones pueden erigirse como com-

petencia del producto original y distribuirse con una licencia diferente libre

o comercial lo que fomenta una incompatibilidad legal

Observamos que los desarrolladores dividen un software libre porque lo pue-

den hacer las licencias libres permiten modificar un software libre y redistri-

buir las modificaciones Por ejemplo la licencia BSD permite crear una obra de-

rivada del software original y privatizar el coacutedigo modificado Este nuevo pro-

grama podriacutea ser solamente una variante del original (por ejemplo OpenBSD

en relacioacuten con NetBSD) y por lo tanto se considerariacutea un fork

Hay varias causas de divisioacuten de un coacutedigo libre La principal reside en la ges-

tioacuten del equipo de desarrollo y en desacuerdos entre los programadores o los

titulares del software (MamboJoomla CompiereAdempiere son un ejemplo

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 19: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 20 Las licencias libres en la praacutectica

de ello) Por ejemplo si se identifica la necesidad de una extensioacuten o moacutedulo

nuevo y el coordinador no estaacute de acuerdo es muy probable que alguien cree

una versioacuten bifurcada para integrar ese moacutedulo

Las licencias libres tienen una influencia directa sobre la posibilidad de divi-

sioacuten

bull Las licencias libres fomentan los forks no se puede dividir el software con

licencia propietaria o el software compartido o shareware

bull El software con una licencia que no permite el uso comercial yo exige

devolver las modificaciones al autor original no se dividiraacute a causa del

control centralizador que ejerce el autor (por ejemplo Ghostscript y la

licencia Aladdin)

bull El software con GPL tenderaacute a no dividirse hay que mantener la libertad

de las obras derivadas y el proyecto original puede por lo tanto volver a

incorporar cualquier mejora y hacerla parte de su versioacuten

bull El software con licencias intermedias como la Artistic la MPL o la LGPL

podraacute dividirse con maacutes facilidad porque permite crear variantes propie-

tarias o libres por agregacioacuten

bull El software con licencia BSD o similar se dividiraacute con mucha facilidad

porque permite distribuciones binarias sin obligacioacuten de publicar el coacutedigo

fuente y por lo tanto la versioacuten original no tendraacute acceso a los cambios

para incorporarlos

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 20: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 21 Las licencias libres en la praacutectica

3 Licencias libres y otras ramas del derecho

El estudio de las licencias libres en elmoacutedulo 6 se ha centrado sobre todo en

el derecho de la propiedad intelectual y en algunos aspectos contractuales En

este apartado queremos presentar y comentar algunas dimensiones de estas

licencias en relacioacuten con otras ramas del derecho las relativas a la competen-

cia a las patentes y a las marcas (propiedad industrial) al secreto comercial

y a los estaacutendares

31 Licencias libres y el derecho de la competencia

Antes de asumir nuevas poliacuteticas maacutes abiertas frente al software libre algunas

grandes empresas de software alegaron que el software libre era anticompeti-

tivo Argumentaban que las licencias libres obligan a las empresas a revelar

sus secretos confidenciales que la licencia GPL infectaba a cualquier coacutedigo

privado y obligaba a distribuirlo con la misma licencia sin que el propieta-

rio pueda tener beneficios y que el software libre era una amenaza para las

empresas privadas que sustentan sus beneficios en el modelo tradicional de

desarrollo (regaliacuteas o caacutenones pagados por la licencia que remuneran la labor

de desarrollo y no uacutenicamente el coste de distribucioacuten fiacutesica)

Es importante comentar la relacioacuten entre software libre y el derecho de la

competencia Eacuteste restringe o prohiacutebe las actividades anticompetitivas de

una o maacutes empresas sobre todo con el objetivo de proteger a clientes y con-

sumidores Las reglas se aplican tambieacuten a las administraciones puacuteblicas en

sus relaciones con empresas puacuteblicas y a otras instituciones con derechos es-

peciales acordados por los gobiernos

Marco legal formal del derecho de la competencia

El marco legal formal del derecho de la competencia incluye

bull A nivel internacional las directrices de la OECD y las reglas de la OMC y de otrasorganizaciones econoacutemicas internacionales

bull A nivel regional en la Unioacuten Europea los artiacuteculos 81 y 82 del Tratado de la UnioacutenEuropea

bull A nivel nacional cada paiacutes miembro de la Unioacuten Europea ha instaurado versiones deesos dos artiacuteculos en el reacutegimen juriacutedico nacional Fuera de Europa muchos paiacutesesincorporan reglas similares (sobre todo Estados Unidos pero tambieacuten Ameacuterica LatinaJapoacuten etc)

La cuestioacuten principal es determinar si el uso de una licencia libre puede consi-

derarse una praacutectica anticompetitiva Brevemente podemos afirmar que exis-

ten dos tipos de actividades ilegales

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 21: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 22 Las licencias libres en la praacutectica

1) Los acuerdos entre empresas que tienen el efecto de distorsionar el comer-

cio

2) El abuso de una posicioacuten dominante en un mercado por parte de una o

maacutes empresas que reduzca la competencia en el mercado

Por un lado una licencia es un acuerdo vertical entre empresas o personas

Como el licenciante estaacute en una posicioacuten maacutes fuerte podriacutea intentar imponer

restricciones que tengan un efecto anticompetitivo sobre el licenciatario Las

siguientes claacuteusulas en una licencia de software podriacutean ser declaradas ilegales

bull Un pacto que prohibiese la descompilacioacuten o la correccioacuten de errores si

tuviese el efecto de distorsionar la competencia (por ejemplo impedir la

provisioacuten de servicios de soporte y mantenimiento)

bull Pactos que obligasen a comprar un tipo de software vinculado con un

hardware

Por otro lado los siguientes teacuterminos en una licencia de software podriacutean te-

ner efectos anticompetitivos cuando el licenciante tuviese una posicioacuten do-

minante

bull Una claacuteusula que obligase a devolver al autor inicial cualquier correccioacuten

o modificacioacuten del coacutedigo

bull Una claacuteusula que vinculase el software a la compra de otro producto

bull Una claacuteusula que prohibiese el uso de otro tipo de software

bull La negativa a proveer de una licencia a competidores o a revelar detalles

de una interfaz

bull La restriccioacuten del uso de un software a un solo equipo (sin provisioacuten de

maacutes licencias)

Ya hemos visto que este tipo de claacuteusulas no existe en las licencias libres Al

contrario la mayoriacutea de estas claacuteusulas figurariacutean casi exclusivamente en li-

cencias propietarias Sin embargo en la licencia pseudolibre de Apple (APSL

10) habiacutea una claacuteusula que ilustra el primer caso de la lista la obligacioacuten de

devolver las correcciones al autor original

En otro contexto las reglas del derecho de la competencia prohiacuteben cualquier

acuerdo que aplique a terceros (contratantes) condiciones desiguales para pres-

taciones equivalentes esto constituiriacutea discriminacioacuten Esto afectariacutea a las li-

citaciones puacuteblicas si la Administracioacuten puacuteblica intentara imponer uno u otro

tipo de software (propietario o libre) o maacutes auacuten si indicara una preferencia

por una licencia en particular salvo condiciones particulares (por ejemplo un

contrato de extensioacuten de un software GPL existente) La obligacioacuten de sumi-

nistrar software con una licencia libre podriacutea considerarse como un teacutermino

discriminatorio contra empresas de software propietario

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 22: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 23 Las licencias libres en la praacutectica

Sin embargo en dichos casos los gobiernos podriacutean beneficiarse de excepcio-

nes previstas por la ley argumentando que el software libre favorece el pro-

greso tecnoloacutegico asiacute como una participacioacuten maacutes equitativa de los consumi-

dores en el beneficio Esta excepcioacuten por ejemplo es uno de los fundamentos

del Sexto Programa de Investigacioacuten RTD de la Unioacuten Europea que favorece

la creacioacuten de software libre y el uso de licencias libres para la distribucioacuten de

los resultados de investigacioacuten y desarrollo Actualmente las administraciones

puacuteblicas tienden a insistir sobre el cumplimiento de normas y estaacutendares in-

ternacionales (libres) para obtener software interoperable y garantizar el acce-

so inmediato o condicional al coacutedigo fuente

Reflexioacuten

Como hemos visto en los uacuteltimos quince antildeos por los problemas legales de Microsoftante las autoridades responsables de la competencia la relacioacuten entre el derecho de lacompetencia y la propiedad intelectual (incluso las licencias) es muy compleja y discuti-da A pesar de ello lo que no hay que confundir son las praacutecticas anticompetitivas co-mo las restricciones y los abusos que hemos comentado brevemente con la competenciaentre dos modelos de desarrollo diferentes

32 Licencias libres y licencias de patente

Hemos visto en el moacutedulo 3 que una patente sobre un proceso o coacutedigo in-

formaacutetico impide no solamente su copia o modificacioacuten tal como hace el de-

recho de autor sino tambieacuten su recreacioacuten o reingenieriacutea (lo que los nortea-

mericanos llaman clean-room development es decir un desarrollo sin acceso a

versiones del coacutedigo original) y el uso y la comercializacioacuten del producto o el

proceso patentado

Para minimizar el riesgo que suponen las patentes las licencias libres maacutes mo-

dernas (MPL CPL ASL 20 GPLv3 etc) incluyen claacuteusulas para otorgar li-

cencias cruzadas de patentes entre contribuidores y desarrolladores y pactos

resolutorios para el caso en que se iniciara un litigio basado en una patente

contra otro contribuidor Esta praacutectica es comuacuten en el mundo del desarrollo

propietario como se ha indicado en el moacutedulo 3 y comentado en el moacutedulo

6 respecto de la GPLV3 y MPL por ejemplo

La licencia de patente otorgada debe cubrir todos los actos (reservados a los

titulares de la patente) concedidos en teacuterminos de derechos de autor por la

licencia libre la reproduccioacuten la distribucioacuten etc Eacutestos son muy amplios e

incluyen la fabricacioacuten el ofrecimiento la puesta en el comercio la utilizacioacuten

y la importacioacuten o la posesioacuten del objeto o el procedimiento patentado o el

fruto del procedimiento

Sin embargo estas claacuteusulas pueden tener sus problemas En ciertas jurisdic-

ciones no se puede limitar u obligar ciertos actos futuros Por lo tanto las claacuteu-

sulas que obligan a licenciar una eventual patente pueden no ser vaacutelidas Para

evitar el uso de patentes quizaacutes seriacutea mejor usar la limitacioacuten general de la

GPL que impide imponer sobre cualquier distribucioacuten o modificacioacuten restric-

ciones mayores que las incluidas en la misma GPL Esto tiene el efecto praacutectico

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 23: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 24 Las licencias libres en la praacutectica

de impedir el uso de patentes o si se obtiene una patente sobre un proceso

incorporado en el software o una obra derivada de eacutel se deberaacute otorgar una

licencia en teacuterminos no maacutes restrictivos que la GPL

33 Licencias libres y secreto comercial

Otra manera de proteger el software es con el derecho del secreto comercial

como se ha comentado en el moacutedulo 3 que permite proteger secretos de ne-

gocio e informacioacuten de las actividades comerciales como el coacutedigo fuente o

la documentacioacuten teacutecnica de un software

Un desarrollador de software al liberar un programa bajo licencia libre podriacutea

revelar (intencionalmente o con negligencia) a traveacutes de su programacioacuten in-

tencionada o negligentemente los secretos del negocio de la empresa donde

trabaja o en la que ha trabajado y con la que sigue relacionado por obliga-

ciones contractuales de confidencialidad Las obligaciones de secreto pueden

incluir no solamente informacioacuten de la empresa en cuestioacuten sino tambieacuten

informacioacuten obtenida por medio de una relacioacuten comercial con una empresa

tercera a la cual puede haber tenido acceso el desarrollador relativa por ejem-

plo a un software propietario comprado a un proveedor cuyo uso y ejecucioacuten

estaraacuten sometidos a obligaciones de confidencialidad relativas al disentildeo a las

especificaciones a la arquitectura etc En estos casos la aportacioacuten de coacutedigo

a un proyecto yo la distribucioacuten del software con licencia libre pueden cons-

tituir una vulneracioacuten de los derechos del secreto de terceros derechos que

luego afectaraacuten al uso del programa libre y a la distribucioacuten de coacutedigo fuente

abiertamente legible por terceros

Respecto a ello debemos comentar que es muy difiacutecil separar los conocimien-

tos del negocio que estaacuten efectivamente protegidos por el secreto comercial

de las competencias que son propias del programador y que eacutel mismo puede

usar libremente en el ejercicio de su profesioacuten o de otras actividades Asimis-

mo hay que considerar el efecto de las claacuteusulas de exclusioacuten de responsabi-

lidades contenidas en las licencias libres en relacioacuten con este tema

SCO versus IBM

SCO denuncioacute a IBM por haber incorporado sus secretos de negocio en la versioacuten 22 deLinux SCO alegoacute que dichos secretos fueron comunicados a IBM por medio de su accesoal sistema operativo SCO Unix con obligaciones contractuales de confidencialidad En sudefensa IBM argumentoacute en primer lugar que no habiacutea secretos para revelar ya que losprocesos del software provisto por SCO ya estaban abiertamente disponibles por mediodel coacutedigo libre de Unix y en segundo lugar que no habiacutea ninguna incorporacioacuten talcomo alegaba SCO IBM sostuvo que no hubo ninguacuten contacto entre el equipo de AIXque trabajaba con el software de SCO y el equipo libre de IBM que trabajaba sobre Linux

34 Licencias y marcas

Otra rama del derecho que puede relacionarse con el software libre y las licen-

cias es el derecho de marcas un aspecto muy relevante para cualquier perso-

na interesada en la comercializacioacuten o en la publicacioacuten de software libre Ya

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 24: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 25 Las licencias libres en la praacutectica

hemos visto en el moacutedulo 3 que este derecho protege las marcas registradas

que indican la conexioacuten entre una persona o empresa y sus bienes y servicios

y los diferencian de los productos de otra persona

Como los avisos de autoriacutea las marcas contribuyen a proteger la calidad del

software original y por lo tanto la reputacioacuten de los autores iniciales Por

ejemplo Linus Torvalds ha registrado la marca Linuxreg en relacioacuten con el soft-

ware que conocemos como Linux Nadie maacutes puede usar esta marca sin el con-

sentimiento de L Torvalds El registro de una marca sobre un software libre

sirve para sostener la autoriacutea y gestionar la evolucioacuten del software indepen-

dientemente de los permisos acordados por la licencia

Es importante considerar que la marca registrada es un bien intangible y un

derecho separado del software y que cualquier licencia debe incluir pactos al

respecto si un distribuidor intermediario quiere usar dicha marcha Las claacuteu-

sulas de las licencias libres suelen establecer un derecho o la prohibicioacuten de

uso en ciertas condiciones (por ejemplo si el software ha sido modificado)

El modelo de distribucioacuten y comercializacioacuten profesional del software libre

depende en gran medida de las marcas (Red Hatreg SuSereg Mandrakereg Zopereg

Apachereg Javareg Sugarreg Pentahoreg MySQLreg etc) y ciertas licencias libres in-

cluyen teacuterminos precisos sobre su uso Hemos visto que algunas licencias obli-

gan a los usuarios a indicar la autoriacutea y la marca (Apache) otras prohiacuteben su

uso sin el consentimiento expreso del titular de la marca (Zope) otras impiden

su uso sobre obras derivadas Se deberaacute consultar la licencia a la hora de indicar

puacuteblicamente el software utilizado en alguna aplicacioacuten (basada en Linux

programada con PHP con tecnologiacutea Apache extensiones para MySQL)

Hay que decir que las licencias libres no son tan completas como las licencias

comerciales de marca en cuanto al uso de las marcas su presentacioacuten el ta-

mantildeo del logotipo las condiciones de uso territorios productos y servicios

relacionados etc Las empresas de software libre (JBoss MySQL Alfresco Red

Hat Openbravo etc) suelen establecer poliacuteticas de uso o contratos accesorios

de comercializacioacuten que incluyen pactos completos sobre el uso de sus mar-

cas registradas Algunos ejemplos incluyen el uso de la marca Sunreg (o Javareg)

MySQLreg o Red Hatreg

35 Licencias y estaacutendares

Los estaacutendares van a ser otro campo de batalla del software libre junto con

las patentes y los sistemas de gestioacuten de derechos de autor (DRMS y trusted

computing)

El software libre se basa considerablemente en estaacutendares abiertos que permi-

ten la interoperabilidad y la interconexioacuten de los sistemas informaacuteticos Pen-

semos en los protocolos de Internet (HTTP TCPIP etc) las interfaces para

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 25: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 26 Las licencias libres en la praacutectica

perifeacutericos (como los controladores o drivers) y los algoritmos de cifrado (hash

MD-5 SSH etc) Por lo tanto mantener la apertura de los estaacutendares es muy

importante para el software libre

Hay una tensioacuten entre la estandarizacioacuten y la propiedad intelectual e indus-

trial que son casi opuestas aqueacutella abre mientras que eacutesta reserva Ha ha-

bido varias denuncias de tentativas de patentar o mantener derechos exclusi-

vos de autor sobre tecnologiacuteas o protocolos aceptados como estaacutendares por

la W3C Algunos actores comerciales hablan de licenciar en teacuterminos razo-

nables y no discriminatorios (RAND) cualquier tecnologiacutea que sea aceptada

como estaacutendar Pero RAND no tiene sentido para un desarrollador libre inde-

pendiente

Por otro lado se ha observado que el sistema de desarrollo libre es un proceso

de estandarizacioacuten no formal en el que al final del proceso un software o un

protocolo dado se erige en estaacutendar para el sector Asimismo el desarrollo

libre es un proceso maacutes raacutepido que el proceso formal de estandarizacioacuten lo que

ha fomentado por ejemplo un alto nivel de interoperabilidad en el contexto

de Internet SendMail BIND SMTP etc son programas o protocolos libres

cuya especificacioacuten ha resultado en un estaacutendar para la industria de Internet

Las licencias libres favorecen los estaacutendares abiertos Ya hemos observado que

las licencias maacutes flexibles como la LGPL o la BSD permiten la difusioacuten raacutepida

de una tecnologiacutea y su adopcioacuten como estaacutendar tanto en sectores propieta-

rios como en sectores libres Desafortunadamente tambieacuten permiten privati-

zar extensiones que pueden aplicarse o agregarse a los estaacutendares y hacerlos

no interoperables con el software original (por ejemplo la versioacuten Microsoft

de Kerberos)

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 26: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 27 Las licencias libres en la praacutectica

4 Los datos personales y la proteccioacuten de la intimidad

En este apartado consideraremos la relacioacuten entre el software libre y la protec-

cioacuten de datos personales Primero introduciremos el concepto de privacidad y

su marco legal luego comentaremos coacutemo el software libre puede estar afec-

tado por el derecho de la privacidad y viceversa y coacutemo los sistemas comer-

ciales y puacuteblicos pueden aprovechar el software libre para cumplir con este

derecho

41 Introduccioacuten y marco legal

Ya en los antildeos setenta se desarrollaron varias iniciativas para definir un sistema

de proteccioacuten de la privacidad que dieron lugar a la aprobacioacuten de diversos

textos legales en diferentes paiacuteses europeos el ConveniodeEuropa108 del

28 de enero de 1981 la DirectivaEuropea9546 relativa a la proteccioacuten de

las personas fiacutesicas en lo que respecta al tratamiento de datos personales y a la

libre circulacioacuten de estos datos (en adelante la Directiva) y su implementa-

cioacuten en Espantildea la LeyOrgaacutenica151999deProteccioacutendeDatosdeCaraacutec-

terPersonal (en adelante la LOPD) junto con otras disposiciones que desa-

rrollan aspectos particulares como el Real Decreto 9941999 (el Reglamento

deMedidasdeSeguridad actualmente en proceso de revisioacuten)

42 El reacutegimen legal de proteccioacuten de datos personales

La LOPD tiene por objeto garantizar y proteger los datos personales las liber-

tades puacuteblicas y los derechos fundamentales de las personas fiacutesicas especial-

mente su honor y su intimidad personal y familiar

Para entender el marco legal de la privacidad es importante considerar los

siguientes conceptos baacutesicos

bull Datospersonales cualquier informacioacuten concerniente a personas fiacutesicas

identificadas o identificables Hay un subgrupo de datos especialmente

protegidos (ideologiacutea religioacuten y creencias origen racial salud etc)

bull Ficheros todo conjunto organizado de datos de caraacutecter personal cual-

quiera que sea la forma o modalidad de su creacioacuten almacenamiento or-

ganizacioacuten y acceso Se extiende a ficheros no automatizados y a todo tipo

de dato personal susceptible de tratamiento

bull Tratamiento cualquier tipo de operaciones y procedimientos teacutecnicos

de caraacutecter automatizado o no que permitan la recogida la grabacioacuten la

conservacioacuten la elaboracioacuten la modificacioacuten el bloqueo y la cancelacioacuten

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 27: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 28 Las licencias libres en la praacutectica

asiacute como las cesiones de datos que resulten de comunicaciones consultas

interconexiones y transferencias

bull Interesado la persona fiacutesica titular de los datos que son objeto de trata-

miento Las personas juriacutedicas estaacuten excluidas de proteccioacuten

bull Responsabledefichero la persona fiacutesica o juriacutedica la autoridad puacuteblica

el servicio o cualquier otro organismo que decida sobre la finalidad el

contenido y el uso del tratamiento (queacute quieacuten coacutemo cuaacutendo y doacutende)

El responsable del fichero responde administrativa civil y penalmente de

las posibles infracciones de la LOPD

bull Encargadodetratamiento la persona que sola o juntamente con otras

trata datos por cuenta del responsable del tratamiento

bull LaAgenciaEspantildeoladeProteccioacutendeDatos (AEPD) se establece una

autoridad nacional con poderes de sancioacuten para garantizar la proteccioacuten

de datos personales y mantener los registros de ficheros notificados

Ficheros con datos personales

Como ejemplos podemos citar cualquier conjunto de datos como el historial de los pa-cientes de un meacutedico (a condicioacuten de que esteacuten ordenados seguacuten un criterio loacutegico) o elperfil de los usuarios de un sitio web (clientes personas registradas etc) No importa siel soporte de los datos tiene un formato fiacutesico o electroacutenico y tampoco es relevante enprincipio si los datos son objeto de un tratamiento automatizado o no

Aacutembitoobjetivo La LOPD se aplica al tratamiento de datos de caraacutecter per-

sonal registrados en soporte fiacutesico y a toda modalidad de uso posterior de es-

tos datos por los sectores puacuteblico y privado Estaacuten excluidos de proteccioacuten los

ficheros mantenidos por personas fiacutesicas en el ejercicio de actividades exclu-

sivamente personales o domeacutesticas (por ejemplo una agenda personal) y los

ficheros relacionados con la defensa nacional y la proteccioacuten del Estado el

terrorismo y formas graves de delincuencia organizada

Aacutembitogeograacutefico La LOPD se aplica cuando el tratamiento sea efectuado

en territorio espantildeol en el marco de las actividades de un establecimiento del

responsable del tratamiento en Espantildea o en la Unioacuten Europea o cuando el

responsable del tratamiento no estaacute establecido en territorio espantildeol pero es de

aplicacioacuten la legislacioacuten espantildeola seguacuten las normas del derecho internacional

puacuteblico

421 Principios generales

La LOPD establece varios principios generales que se deben respetar Los prin-

cipales son los siguientes

bull Lacalidaddelosdatosylafinalidaddesutratamiento Los datos de

caraacutecter personal soacutelo se podraacuten recoger y tratar cuando sean adecuados

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 28: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 29 Las licencias libres en la praacutectica

pertinentes y no excesivos en relacioacuten con el aacutembito y las finalidades para

las que se hayan obtenido Estos criterios se determinaraacuten en funcioacuten del

caso en concreto No podraacuten usarse para finalidades incompatibles con

aquella para la que se hubieran recogido y cuando se haya cumplido esa

finalidad han de ser cancelados o destruidos Asimismo los datos deben

ser actualizados y exactos

bull Informacioacutenen la recogidade losdatos Los interesados deberaacuten ser

previamente informados de modo expreso preciso e inequiacutevoco de que sus

datos van a ser incluidos en un fichero de la finalidad de su tratamiento

de los destinatarios de la informacioacuten y de varios otros datos pertinentes (la

obligatoriedad o no de dar los datos los derechos de acceso rectificacioacuten

cancelacioacuten y oposicioacuten la identidad y la direccioacuten del responsable del

tratamiento)

bull Consentimientodelinteresado El tratamiento de los datos de caraacutecter

personal requeriraacute el consentimiento inequiacutevoco expreso o taacutecito del in-

teresado salvo que la ley disponga otra cosa (es decir una autorizacioacuten le-

gal por ejemplo por orden judicial) El tratamiento de los datos especial-

mente protegidos requiere el consentimiento expreso y por escrito Hay

varias categoriacuteas de datos que no requieren el consentimiento (por ejem-

plo datos recogidos en fuentes accesibles al puacuteblico datos en contratos

comerciales o laborales y datos recogidos con la finalidad de proteger un

intereacutes vital del interesado)

bull Secreto Tanto el responsable del fichero como el encargado de tratamien-

to asiacute como cualquier persona que intervenga en cualquier fase del proce-

so estaacuten obligados al secreto profesional respecto de los datos y al deber

de guardarlos

bull Comunicacioacutenyaccesoalosdatos Aunque hay varias excepciones cual-

quier comunicacioacuten o cesioacuten de los datos a terceros requiere la autoriza-

cioacuten previa del interesado

422 Derechos y obligaciones

Como consecuencia de estos principios y de otras disposiciones de la Ley el

interesado se beneficia de varios derechos y el responsable estaacute sujeto a una

serie de obligaciones

El interesado tiene el derechoarecibirlainformacioacuten antes mencionada en

el momento de la recogida de datos y el derecho de accesorectificacioacuteny

cancelacioacutendelosmismos con el fin de mantener la exactitud de los datos

y de rectificarlos o cancelarlos cuando resulten incompletos o inexactos ina-

decuados o excesivos para la finalidad Asimismo puede oponerse a su trata-

miento cuando existan motivos fundados y legiacutetimos relativos a una situacioacuten

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 29: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 30 Las licencias libres en la praacutectica

personal concreta Por otro lado el interesado puede impugnar cualquier acto

administrativo o privado que implique una valoracioacuten de su comportamiento

sobre la base de un tratamiento automatizado de datos personales Finalmen-

te puede consultargratuitamente el registro general de la AEPD

El responsable de tratamiento estaacute sujeto a diversas obligaciones las principa-

les de las cuales son las de notificacioacuteneinscripcioacuten de los ficheros ante la

AEPD la de provisioacuten al interesado de la informacioacuten ya mencionada y la de

obtencioacuten de su consentimiento cuando sea necesario Ademaacutes debe asegu-

rarlosprocedimientos para permitir a los interesados el ejercicio de sus de-

rechos de acceso rectificacioacuten y cancelacioacuten Debe documentar las relaciones

con terceros que intervienen en el tratamiento y en particular designar al en-

cargadodetratamiento mediante contrato Por otro lado el responsable del

fichero debe instaurar las medidas de seguridad de iacutendole teacutecnica y organiza-

tiva necesarias para garantizar la seguridad de los datos objeto de tratamiento

Elencargadodetratamiento deberaacute tambieacuten cumplir con las obligaciones

incorporadas en el contrato de tratamiento desarrollaraacute su actividad por cuen-

ta del responsable del fichero y trataraacute los datos conforme a las instrucciones

que haya recibido En caso de incumplir las obligaciones que sobre eacutel hace

recaer la LOPD responderaacute de las infracciones cometidas personalmente

423 Cesiones y acceso a los datos por terceros y transferencias

internacionales

Una cesioacutendedatos es cualquier revelacioacuten de datos a una persona distinta

del interesado Los datos de caraacutecter personal soacutelo podraacuten ser cedidos para el

cumplimiento de fines directamente relacionados con las funciones legiacutetimas

del cedente y del cesionario y aunque con varias excepciones (como una au-

torizacioacuten legal) siempre con el previo consentimiento informado del intere-

sado

Como regla general la transferenciainternacionaldedatos estaacute permitida

uacutenicamente con destino a paiacuteses que proporcionen el nivel de proteccioacuten que

presta la LOPD (los miembros de la Unioacuten Europea y cualquier otro paiacutes apro-

bado por la Comisioacuten Europea y para Espantildea la AEPD) o en algunos otros

casos especiacuteficos por ejemplo cuando el destinatario haya firmado un con-

trato que garantice niveles similares de proteccioacuten de datos o transferencias

entre miembros de un grupo empresarial que establezca una poliacutetica interna

adecuada de proteccioacuten de la privacidad Las excepciones incluyen casos en-

tre estos en los que la transferencia serealiza para prevencioacuten o diagnoacutestico

meacutedicos la prestacioacuten de asistencia sanitaria o los tratamientos meacutedicos o en

los que se refiera a transferencias dinerarias o sea necesaria para la ejecucioacuten

de un contrato entre el interesado y el responsable del fichero

Ved tambieacuten

En la bibliografiacutea hay varias re-ferencias que aportan maacutes in-formacioacuten sobre la proteccioacutende datos personales

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 30: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 31 Las licencias libres en la praacutectica

Los paiacuteses aceptados

Los paiacuteses aceptados hasta hoy son Argentina Canadaacute Hungriacutea Suiza y la isla anglonor-manda Guernsey (y Estados Unidos con los principios de Safe Harbor)

424 Obligaciones de seguridad

El responsable del fichero y en su caso el encargado del tratamiento estaacuten

obligados a adoptar las medidas de seguridad para la proteccioacuten de datos per-

sonales La Directiva no predica ninguna medida en particular y los miembros

de la Unioacuten Europea han tomado distintas perspectivas sobre la cuestioacuten des-

de la autorregulacioacuten (Reino Unido) hasta las medidas detalladas obligatorias

(Espantildea)

Bajo la LOPD y el Reglamento de Medidas de Seguridad se establecen tres ni-

veles de proteccioacuten en funcioacuten de la informacioacuten tratada Elnivelbaacutesico se

aplica por defecto a cualquier fichero cubierto por la LOPD mientras que el

nivelmedio se aplica a ficheros que contengan datos relativos a la comisioacuten

de infracciones administrativas o penales a la Hacienda Puacuteblica a los servi-

cios financieros y a los de solvencia patrimonial y de creacutedito el nivelalto se

aplica a ficheros con datos sobre ideologiacutea la religioacuten las creencias el origen

racial la salud o la vida sexual y a los datos recabados para fines policiales sin

consentimiento del afectado

Los diferentes niveles de seguridad comportan obligaciones cada vez maacutes one-

rosas ser implementadas por la persona encargada de los datos (responsable de

seguridad) Las obligaciones baacutesicas incluyen la elaboracioacuten de un documento

de seguridad y un registro de incidencias y la definicioacuten de las funciones de

las personas con acceso a los datos Ademaacutes para los niveles medio y alto se

debe realizar perioacutedicamente una auditoriacutea (teacutecnico-legal) de las medidas de

seguridad implantadas y para el nivel alto es obligatoria la realizacioacuten de co-

pias de seguridad y el cifrado de las transmisiones de datos

425 Sanciones

La LOPD sistematiza los posibles incumplimientos de la Ley tipificando las

infracciones relativas a la proteccioacuten de datos personales No hay una lista ex-

haustiva sino unos criterios que incluyen baacutesicamente la vulneracioacuten de los

derechos del interesado (el consentimiento informado y derechos de acceso

rectificacioacuten y cancelacioacuten) la falta de colaboracioacuten con la Agencia la ausen-

cia de notificaciones preceptivas (como las de creacioacuten de fichero) o la crea-

cioacuten el tratamiento la comunicacioacuten la cesioacuten y el mantenimiento de fiche-

ros sin la observancia de las prescripciones de la Ley

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 31: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 32 Las licencias libres en la praacutectica

Hay tres categoriacuteas de sanciones leves (con multas de 600 a 60000 euros)

graves (con multas de 60000 a 300000 euros) y muy graves (con multas de

300000 a 600000 euros) Se han dado a conocer varias sanciones en aplica-

cioacuten de la LOPD a pesar de su supuesto secreto

bull En 2000 180 millones de pesetas (11 milloacuten de euros) a Zeppelin (Tele 5)

por revelar datos de candidatos al programa Gran hermano (recurrido)

bull En 2001 Telefoacutenica de Espantildea y Telefoacutenica Data fueron sancionadas por

un importe de 841420 euros por intercambiarse datos de clientes

bull En 2002 la empresa Inlander tuvo que pagar 300000 euros por tener ins-

talado el servidor en Estados Unidos

43 Marco legal en otras jurisdicciones

Aunque hayamos comentado con detalle el marco legal espantildeol debemos re-

saltar que la mayoriacutea de esos derechos y obligaciones desarrollados existen con

pequentildeas variaciones en todos los paiacuteses de la Unioacuten Europea por efecto de

la Directiva de Proteccioacuten de Datos Personales La mayor diferencia reside en

las medidas de seguridad como las que se han explicado para Espantildea

Fuera de la Unioacuten Europea notamos que por efecto de estas obligaciones y

sobre todo de la transferencia internacional de datos la mayoriacutea de socios

comerciales de los paiacuteses europeos se ven casi obligados a establecer marcos

legales similares para la proteccioacuten de la privacidad Mencionemos Canadaacute

Suiza y Argentina que han sido aprobados por la Comisioacuten Europea pero

tambieacuten Japoacuten o Australia

Un caso particular es el de los Estados Unidos que tiene un nivel de proteccioacuten

de privacidad muy inferior al marco europeo y con una organizacioacuten sectorial

sobre todo para los bancos los servicios financieros y el sector de la salud

Para permitir la transferencia de datos desde la Unioacuten Europea Estados Uni-

dos ha establecido un reacutegimen cuasiprivado por medio del acuerdo de Safe

Harbor de julio de 2000 Cualquier empresa que se comprometa a cumplir las

obligaciones establecidas por el Gobierno norteamericano (el Department of

Commerce) y acordadas por la Comisioacuten Europea puede recibir transferencias

de datos de caraacutecter personal desde la Unioacuten Europea Hasta la fecha unas

cincuenta empresas americanas han firmado el acuerdo Otras han firmado

contratos estaacutendares obligaacutendose a la proteccioacuten adecuada

44 Datos personales y software libre la seguridad

Este breve resumen del marco legal europeo de la proteccioacuten de datos indica

que la mayoriacutea de las obligaciones y derechos relativos al procesamiento de

datos personales no tiene una relacioacuten inmediata con el software libre No

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 32: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 33 Las licencias libres en la praacutectica

por tener software libre o software propietario una persona cumple o viole

esa normativa sino que son los procesos de negocio y de tratamiento los que

influyan sobre el cumplimiento si se ha obtenido el consentimiento si se da

una oportunidad de revisioacuten y modificacioacuten de los datos o si se respetan las

poliacuteticas declaradas de privacidad

El aacutembito en el que siacute que hay un viacutenculo importante con el software libre (o

propietario) estaacute en el aacuterea de la seguridad A nivel Europeo la Directiva de

1995 obliga a los responsables de tratamiento a implantar medidas tecnoloacute-

gicas y organizativas para garantizar la proteccioacuten de datos y el respeto de los

derechos otorgados Aunque existan diferencias en la aplicacioacuten nacional de

la Directiva en este sentido se puede decir que hay un acuerdo general acer-

ca de que estas medidas deben cumplirse por medio de poliacuteticas de seguridad

adecuadas (en lo organizativo) y de aplicaciones informaacuteticas seguras (en lo

tecnoloacutegico)

Los riesgos de violar estas obligaciones de proteccioacuten tecnoloacutegica son grandes

Una lista no exhaustiva incluiraacute

bull Los accesos no autorizados a partes protegidas de sistemas corporativos

que contienen y procesan datos personales (por ejemplo directorios del

personal listas de clientes o de pacientes datos de cuentas bancarias y de

tarjetas de creacutedito etc)

bull La intercepcioacuten de flujos de datos en las redes puacuteblicas (y a veces en las

VPN)

bull La vulnerabilidad a ataques externos por troyanos u otras formas de pro-

gramas dantildeinos

bull El robo de identidad (spoofing) por medio de la cosecha de datos en comu-

nicaciones no seguras

bull La diseminacioacuten involuntaria de datos personales (por error de programa-

cioacuten o por fallo del sistema)

Las consecuencias de un fallo de seguridad que implique la violacioacuten de la

proteccioacuten de datos personales son igualmente graves en teacuterminos de multas

o dantildeos a la reputacioacuten de la sociedad en cuestioacuten

Error en la seguridad

En septiembre de 2003 debido a un fallo de seguridad yacom permitioacute el acceso a susfacturas con datos personales que incluiacutean nombres NIF cuentas bancarias nuacutemeros deteleacutefono etc Fue penalizada por la AEPD

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 33: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 34 Las licencias libres en la praacutectica

441 Seguridad informaacutetica iquestsoftware abierto o software

propietario

En la esfera de la seguridad existe un gran debate entre los defensores del soft-

ware libre y los del software propietario Ambos grupos argumentan que su

proceso de desarrollo y el resultado final ndashabierto o compiladondash llevan a ma-

yores niveles de seguridad

No vamos a entrar en ese debate Nos limitaremos a resumir sus argumentos

bull A favor del software propietario se argumenta que el secreto del coacutedigo

fuente impide que los atacantes descubran de manera sencilla los defectos

(bugs) de seguridad Asimismo es relevante que el proceso de subsanacioacuten

del coacutedigo es una tarea difiacutecil e ingrata Las empresas propietarias tienen la

ventaja de poder pagar a expertos para realizar este trabajo mientras que

el desarrollo libre no tenderaacute a incentivar este tipo de tareas Tambieacuten se

argumenta que una empresa con responsabilidades se hace cargo del soft-

ware propietario y coordina y concentra el trabajo del buen disentildeo origi-

nal (referente a la seguridad) y la correccioacuten de errores No hay ninguna

garantiacutea de este cuidado en el software libre ni para la distribucioacuten de

parches La mera publicacioacuten de coacutedigo en Internet no implica que sea

examinado desde la perspectiva de la seguridad Finalmente nada garan-

tiza la calidad del coacutedigo aportado a un proyecto libre que no tenga un

coordinador de alto nivel

bull A favor del software libre se argumenta que el desarrollo libre se beneficia

de muchos ojos para descubrir los fallos Los programas abiertos no uti-

lizan a sus usuarios como probadores Sin embargo hay pocos proyectos

libres con excepciones como Linux o Apache que tengan muchos desa-

rrolladores el promedio para la mayoriacutea de proyectos es de cuatro a seis

personas Pese a ello una vez descubierto un defecto se arregla en muy

poco tiempo (horas o diacuteas) mientras que con el software propietario puede

transcurrir un tiempo largo entre el descubrimiento del fallo y la distribu-

cioacuten de su correccioacuten Se alega incluso que solamente la presioacuten mediaacutetica

hace que las empresas propietarias se esfuercen en corregir errores Y se

argumenta que el meacutetodo de disentildeo abierto es maacutes seguro que el meacutetodo

propietario al citar los RFC (requests for comments propuestas de estaacutendares

en forma de sugerencia de disentildeo como IPsec o SMIME) de las organiza-

ciones de estaacutendares como W3C e IETF

bull Por lo que respecta al usuario se argumenta que el coacutedigo abierto permite

a los administradores de sistemas abiertos eliminar coacutedigo indeseado o

inseguro disentildear e incorporar sus propios parches y procesos de seguridad

e integrar extensiones de seguridad de terceros

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 34: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 35 Las licencias libres en la praacutectica

En teacuterminos de estadiacutesticas tanto Windows como GNULinux sufren fallos

de seguridad seguacuten la organizacioacuten CERT que monitoriza e investiga estas

cuestiones No hay ventaja numeacuterica a pesar de los alegatos de la comuni-

dad libre Desde un punto de vista cientiacutefico se argumenta que a igualdad

de condiciones los riesgos de un modelo y del otro son iguales Todaviacutea no

hay ninguna investigacioacuten que lleve a una conclusioacuten fehaciente a favor o en

contra de uno u otro tipo de software

Web recomendada

Para un comentario sobre el informe CERT podeacuteis ver Study Linux security pro-blems outstrip Microsofts de JMacGuire (en httpwwwnewsfactorcomperlstory19996html)

RAndersen argumenta que las simetriacuteas teoacutericas entre software abierto y software pro-pietario frente a la seguridad estaacuten rotas por varios factores que pueden favorecer a unmodelo u otro Podeacuteis ver Security in open systems v closed systems The dance of Boltz-mann Coase and Moore en la bibliografiacutea

442 Conclusiones

En conclusioacuten es importante resaltar que las obligaciones impuestas sobre las

personas que procesan datos personales hacen que se tome la seguridad muy

en serio en el momento de elegir disentildear desarrollar yo implementar una

plataforma informaacutetica Uno de los argumentos de mayor fuerza de OpenBSD

por ejemplo es que es el sistema Unix es maacutes seguro y fiable no solamente por

las herramientas de cifrado y proteccioacuten de comunicaciones que incorpora

sino tambieacuten porque tiene un equipo dedicado que se ha especializado en

resolver los problemas de seguridad Por lo tanto un anaacutelisis de los aspectos

de la seguridad es fundamental en la consideracioacuten de la implementacioacuten de

nuevos sistemas informaacuteticos

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 35: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 36 Las licencias libres en la praacutectica

5 El software libre y los controles sobre los productosde seguridad

Otra aacuterea de derecho relevante para el software en general es la de los controles

de la exportacioacuten de productos de seguridad y sobre todo los sistemas de

cifrado En este uacuteltimo apartado queremos presentar el porqueacute de la regulacioacuten

de estos productos y coacutemo se ve afectado el software libre por ella

51 Sociedad de la informacioacuten y seguridad

En la actual sociedad de la informacioacuten con la multiplicacioacuten de las operacio-

nes diarias que se efectuacutean por medio de las redes informaacuteticas y su potencial

para la invasioacuten de la vida privada existe una necesidad creciente de mante-

ner los datos comerciales y privados seguros y confidenciales Sin embargo

la infraestructura de comunicaciones de nuestra sociedad se basa en redes y

ordenadores inseguros y estaacute plagada de problemas de seguridad ya sea por

los protocolos poco fiables en teacuterminos de seguridad en los que se fundamenta

(como TCPIP SMTP o HTTP) por varios programas perjudiciales (como los

virus y otras aplicaciones dantildeinas) o por los errores de codificacioacuten de los pro-

gramas de mayor uso que dejan nuestros equipos y archivos abiertos a ataques

e intrusiones de terceros

Web recomendada

Podeacuteis ver por ejemplo el informe CyberInsecurity The cost of monopoly de Com-puter and Communications Industry Association en httpwwwccianetorgpaperscyberinsecuritypdf (visitado el 24092003) Este informe ha suscitado un debate ferozsobre los white papers y otros informes patrocinados econoacutemicamente

Para paliar estas deficiencias se ha desarrollado una serie de tecnologiacuteas de

seguridad la mayoriacutea de las cuales se basan en la criptografiacutea o cifrado que

aparece como el uacutenico sistema de proteccioacuten viable Estas tecnologiacuteas impi-

den la intercepcioacuten de la comunicacioacuten y el acceso no autorizado es decir

preservan la confidencialidad Asimismo favorecen la certeza juriacutedica (por

ejemplo para un contrato electroacutenico seguro)

bull La integridad asegurar que los datos no hayan sido modificados

bull La autenticacioacuten establecer la identidad de las partes de una comunica-

cioacuten

bull El norepudio garantizar que una parte no pueda negar la existencia o la

recepcioacuten de un mensaje

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 36: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 37 Las licencias libres en la praacutectica

El cifrado asimeacutetrico de alto nivel basado en el sistema PKI (public-key infras-

tructure) es una de estas tecnologiacuteas que garantiza la seguridad de una comu-

nicacioacuten entre dos personas con claves diferentes (puacuteblica y privada) por cifra-

do asimeacutetrico Lo que se considera cifrado de alto nivel (strong encryption) va-

riaraacute seguacuten los avances tecnoloacutegicos Hasta una eacutepoca reciente el cifrado con

40 bits se consideraba suficientemente alto como para justificar restricciones

sobre la exportacioacuten de los productos que lo incluiacutean Hoy el cifrado a 128

bits se considera el miacutenimo para garantizar una comunicacioacuten segura

Web recomendada

El cifrado de alto nivel se usaen los servicios bancarios enliacutenea Podeacuteis consultar co-mo ejemplo wwwbanestoesbanestohome2informacion_ssl128htm (vi-sitado el 24092008)

En cuanto a tecnologiacuteas para asegurar la confidencialidad y la seguridad de las

comunicaciones mencionemos brevemente losalgoritmosdecifrado (RSA

inventados en los laboratorios del MIT en 1978 y protegidos por patente ndashen

Estados Unidosndash hasta septiembre de 2000 Triple DES IDEA y Blowfish) tec-

nologiacuteas de seguridad para el correoelectroacutenico (SMIME PGP y OpenPGP el

estaacutendar actual de cifrado para correo basado en PGP de Phil Zimmermann)

la proteccioacuten de las transferenciaspor Internet (SSH y SSL que permiten

crear canales de comunicacioacuten seguros entre el servidor y los navegadores) y

tecnologiacuteas de seguridad en redesprivadasopuacuteblicasdetipoVPN (IPSec

point to point tunelling protocol etc)

52 Los controles sobre los productos de seguridad

Web recomendada

PGP tiene una historia muyinteresante que merece unalectura Para ver una histo-ria de PGP podeacuteis consultarhttpwwwcypherspaceorg~adamtimeline (visitado el24092008)

El cifrado no solamente protege la confidencialidad de los datos contra el ro-

bo la intercepcioacuten y el acceso no autorizado sino que tambieacuten impide que

las autoridades gubernamentales (policiacutea aduana) intercepten y accedan a las

comunicaciones Argumentando que se necesita controlar estas comunicacio-

nes para mantener el orden puacuteblico y para la lucha contra el terrorismo va-

rios gobiernos han impuesto distintos tipos de controles sobre el uso de los

productos de cifrado

Interpretacioacuten de la revista Internautas

Interpretacioacuten de la revista Internautas El Gobierno quiere controlar la criptografiacutea paramantener sus posibilidades de escuchas (esa intencioacuten ha sido traicionada por las pro-puestas fallidas de adopcioacuten del chip Clipper por la Administracioacuten) La posicioacuten delGobierno de los Estados Unidos es que las teacutecnicas criptograacuteficas pueden ser usadas pormalhechores para madurar sus planes ilegales y la policiacutea tendriacutea mucho maacutes difiacutecil se-guir sus huellas Terroristas internacionales podriacutean usar correo electroacutenico cifrado paraplanear alguna mala jugada en territorio norteamericano y el FBI ni se enterariacutea Acce-sible en liacutenea enhttpwwwinternautasorgNOTICIASDIC9811htm

Los instrumentos de mayor importancia relativos al control de la distribucioacuten

de productos de cifrado son

bull Las DirectricesdelaOCDEde1997 que no son vinculantes enfatizan

la necesidad de mantener disponibles productos de cifrado para la priva-

cidad y la confidencialidad de los datos sujetos a medidas proporcionales

y efectivas para mantener el orden puacuteblico

Lectura recomendada

No tratamos aquiacute la cuestioacutendel acceso a las claves (key re-covery) porque no es directa-mente relevante para el soft-ware libre Podeacuteis consultaren la bibliografiacutea los textossobre el tema HAbelsonyotros Los riesgos del cifrado yUnioacutenEuropea Green Papersobre servicios de cifrado enel mercado interno

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 37: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 38 Las licencias libres en la praacutectica

bull El AcuerdoWaasenaarde1995 (modificado en 1998 y 2000) un trata-

do internacional ratificado por treinta y tres paiacuteses para la imposicioacuten de

controles sobre la exportacioacuten de armas convencionales y bienes y tecno-

logiacuteas de doble uso El acuerdo determina una lista de productos y tecno-

logiacuteas controlados entre los cuales figuran tecnologiacuteas de criptografiacutea (en

el General Software Note) En 1998 debido a varias campantildeas a favor de

la privacidad y la criptografiacutea se eliminaron de la lista algunos productos

relativos a la autenticacioacuten (para la firma digital) y los algoritmos de ci-

frado de menos de 56 bits Sin embargo se amplioacute la lista con cualquier

producto de hardware y software con algoritmos de maacutes de 64 bits En

2000 se eliminoacute el liacutemite de 64 bits para el software y el hardware para

gran puacuteblico El Acuerdo Waasenaar no es derecho directamente aplicable

cada paiacutes lo implanta como quiere

bull El ConvenioEuropeosobreelCibercrimen del Consejo de Europa de

2001

bull Los reglamentosdelaUnioacutenEuropea que implementan los acuerdos de

Waasenaar (el 13342000 sobre los materiales de doble uso modificado

por los reglamentos 4582001 y 24322001) Permiten el libre movimien-

to de productos de criptografiacutea dentro de la Unioacuten Europea e imponen

restricciones sobre su exportacioacuten a terceros paiacuteses (con licencia general o

especiacutefica) Se mantiene la misma exencioacuten que en el Acuerdo de Waase-

naar para productos en el dominio puacuteblico y en 1999 se eliminaron los

liacutemites sobre software de cifrado para el gran puacuteblico

Dentro de la Unioacuten hay un debate importante entre los defensores de la liber-

tad y la privacidad que quieren eliminar los controles y los gobiernos ndashsobre

todo los de Reino Unido y Franciandash que quieren mantener ciertas posibilidades

de acceso a las comunicaciones

Web recomendada

Para maacutes informacioacuten sobre la posicioacuten de la Unioacuten Europea podeacuteis ver el Green Papersobre servicios de cifrado COM(96)76 06031996 en httpeuropa eudocumentscommgreen_paperspdfcom96_76_enpdf (visitado el 24092008)

A nivel nacional hay varios regiacutemenes establecemos una tabla que resume de

manera breve la regulacioacuten de productos de cifrado en algunos paiacuteses

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

EEUU Interno + Waasenaar(v antes de 1998)

EAR -Licencias o notifica-ciones obligatorias

Dominio puacuteblicoy otros (ver abajo)

Gran puacuteblico

Previa notificacioacuten al Go-bierno (BIS) (ver adelante)

Cana-daacute

Waasenaar (vantes de 1998)

Paralelo con EEUU Cifrado hasta 56 bitsExportacioacuten a EEUU

Dominio puacuteblicoGran puacuteblico

Control de la reexporta-cioacuten de productos de EEUU

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 38: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 39 Las licencias libres en la praacutectica

Reacutegimen Controles sobre exportacioacuten Exenciones Condiciones para exencioacuten

Fran-cia

Waasenaar (v an-tes de 1998) + UE

Licencia obligatoria Gran puacuteblicoCifrado hasta 40 bits

ReinoUnido

Waasenaar + UE + internos Licencia obligatoria Cifrado hasta 56 bitsDominio puacuteblico

Gran puacuteblico

Espa-ntildea

Waasenaar + UE Licencia obligatoria (verrecuadro maacutes adelante)

Dominio puacuteblicoGran puacuteblico

Cifrado hasta 56 bits

Web recomendada

Para ver maacutes detalles hay un anaacutelisis detallado en Crypto law survey en httprechtenuvtnlkoopscryptolawindexhtm

Los Estados Unidos han presenciado a un gran debate puacuteblico sobre los con-

troles de la diseminacioacuten de la criptografiacutea frente a la proteccioacuten constitucio-

nal de la libertad de expresioacuten Tres decisiones judiciales Bernstein I II y III

relativas a un programa que usaba criptografiacutea snuffle declararon inconstitu-

cionales algunas partes del sistema de control de exportaciones (ITAR) de en-

tonces La Administracioacuten de Clinton finalmente instauroacute el reacutegimen actual

de EAR (export Administration regulations) que manteniacutea controles similares

En enero y octubre de 2000 para implementar Waasenaar se relajaron varios

requerimientos El reacutegimen actual es el siguiente

bull La exportacioacuten de cualquier producto de criptografiacutea a usuarios no guber-

namentales se debe realizar con licencia excepto a siete paiacuteses terroristas

adonde se prohiacutebe la exportacioacuten Libia Corea del Norte Cuba Iraacuten Irak

Sudaacuten y Siria

bull Se permite la exportacioacuten de productos para gran puacuteblico despueacutes de

una revisioacuten teacutecnica del Gobierno Para la Unioacuten Europea y otros estados

amigos no hace falta esperar a la revisioacuten

bull Se permite la exportacioacuten de software con coacutedigo fuente a disposicioacuten del

puacuteblico (open source y community source) sin restricciones y sin revisioacuten teacutec-

nica Solamente se debe notificar al Bureau of Industry and Security (BIS)

incluyendo una copia del coacutedigo fuente (o su URL) Los paiacuteses terroristas

quedan prohibidos Se puede colgar el coacutedigo en Internet sin tener que

controlar quieacuten lo descarga

53 Controles de exportacioacuten y software libre

En relacioacuten con el software libre el reacutegimen de proteccioacuten de los productos

llamados de seguridad tiene varias implicaciones

Web recomendada

Para maacutes detalles sobre el reacute-gimen norteamericano po-deacuteis ver Commercial Encryp-tion Export Controls httpwwwbisdocgovencryption

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 39: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 40 Las licencias libres en la praacutectica

Por un lado queda sujeta a un control gubernamental la distribucioacuten de tec-

nologiacuteas de cifrado de alto nivel (mayor de 56 bits) fuera de su paiacutes incluyendo

la distribucioacuten de software por Internet Pero por otro lado la definicioacuten de

dominio puacuteblico en estos acuerdos no es una definicioacuten legal desde el punto de

vista de la propiedad intelectual sino que alcanza a tecnologiacuteas o software que

han sido puestos a disposicioacuten del puacuteblico (divulgados) sin restricciones para

su diseminacioacuten posterior (las restricciones que implica el derecho de propie-

dad intelectual no se consideran restricciones) Esto conlleva que gran parte

del software libre se considere en el dominio puacuteblico y exento de control

Asimismo aunque el reacutegimen norteamericano se haya liberalizado parcial-

mente sigue siendo suficientemente complejo y peligroso como para que los

desarrolladores de software libre y los responsables de su distribucioacuten sigan

restringiendo la disponibilidad de productos de cifrado de alto nivel desarro-

llados en Estados Unidos o exigiendo que se desarrollen fuera de dicho paiacutes

(ni siquiera se permite la contribucioacuten de coacutedigo de desarrolladores de Esta-

dos Unidos) Ademaacutes una lectura pesimista del reglamento indica que cual-

quier programa notificado al BIS ysusversionessiguientesmodificacionesy

obrasderivadas caeraacuten bajo las reglas de exportacioacuten EAR para siempre Por lo

tanto corren el riesgo de una modificacioacuten de las reglas por parte del gobierno

de los Estados Unidos a favor de controles maacutes restrictivos Esto afectariacutea a to-

das las copias del programa distribuidas y a sus modificaciones y derivados y a

cualquier aplicacioacuten tercera que incorpore el programa No es de extrantildear que

no haya proyectos de software libre con criptografiacutea de alto nivel distribuidos

desde Estados Unidos El OpenBSD por ejemplo se distribuye desde Canadaacute

Web recomendada

La interpretacioacuten de la FSFsobre el Acuerdo de Waase-naar es interesante Se puedeconsultar en wwwgnuorgphilosophywassenaarhtml

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 40: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en

copy FUOC bull P08M211400348 41 Las licencias libres en la praacutectica

6 Conclusiones

Aquiacute termina el tercer bloque del moacutedulo de aspectos legales del software libre

ndashel bloque de las licencias libres En este moacutedulo hemos tratado de situar los

aspectos legales de las mismas y del software libre en general en un contexto

maacutes praacutectico asiacute como de vincularlas con otras aacutereas del derecho no vistas

hasta ahora (como los datos personales)

En relacioacuten con la vida profesional del estudiante nos parece importante que

pueda evaluar las consecuencias comerciales y tecnoloacutegicas de los elementos

legales que venimos describiendo y comentando queacute se puede hacer en rela-

cioacuten con la eficacia o la ineficacia legal de las licencias coacutemo se pueden apro-

vechar las posibilidades de licencias muacuteltiples queacute documentacioacuten o checklist

podriacutea ser de utilidad queacute estrategia o taacutectica hay que adoptar frente a una

duda legal sobre el software libre y queacute proceso de decisioacuten es el maacutes adecuado

Seraacute interesante para el estudiante retomar las preguntas formuladas y los

ejemplos dados en el moacutedulo 1 para ver cuaacutentos puede contestar y resolver

asiacute como en cuaacutentos de ellos es capaz de identificar la dificultad legal y de

establecer una estrategia para superarla Asimismo en los estudios de caso que

analizaremos en los moacutedulos siguientes veremos un cierto nuacutemero de situa-

ciones en las que el conocimiento adquirido aquiacute seraacute de gran utilidad

  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones
Page 41: libres en la Las licencias prácticaopenaccess.uoc.edu/webapps/o2/bitstream/10609/229/9... · general) crea un nuevo marco de derecho de la propiedad intelectual: el copyleft "en
  • Las licencias libres en la praacutectica
    • Introduccioacuten
    • Objetivos
    • Iacutendice
    • 1 Unos mitos legales para desmitificar
    • 2 Algunos temas legales relacionados con las licencias
      • 21 Seleccionar una licencia libre
      • 22 Las licencias sobre las contribuciones y autoriacutea
      • 23 La compatibilidad entre licencias
      • 24 Regiacutemenes de licencia duales o muacuteltiples (dual o multiple licensing)
      • 25 Licencias libres y la divisioacuten de software libre (forking)
        • 3 Licencias libres y otras ramas del derecho
          • 31 Licencias libres y el derecho de la competencia
          • 32 Licencias libres y licencias de patente
          • 33 Licencias libres y secreto comercial
          • 34 Licencias y marcas
          • 35 Licencias y estaacutendares
            • 4 Los datos personales y la proteccioacuten de la intimidad
              • 41 Introduccioacuten y marco legal
              • 42 El reacutegimen legal de proteccioacuten de datos personales
                • 421 Principios generales
                • 422 Derechos y obligaciones
                • 423 Cesiones y acceso a los datos por terceros y transferencias internacionales
                • 424 Obligaciones de seguridad
                • 425 Sanciones
                  • 43 Marco legal en otras jurisdicciones
                  • 44 Datos personales y software libre la seguridad
                    • 441 Seguridad informaacutetica iquestsoftware abierto o software propietario
                    • 442 Conclusiones
                        • 5 El software libre y los controles sobre los productos de seguridad
                          • 51 Sociedad de la informacioacuten y seguridad
                          • 52 Los controles sobre los productos de seguridad
                          • 53 Controles de exportacioacuten y software libre
                            • 6 Conclusiones