Detectas incumplimiento de licencia de un tercero en tu software: ¿qué debes hacer?

¿Tienes razón?

Tres elementos determinan si tienes un caso sólido frente a un incumplimiento de licencia de un tercero: 1) la naturaleza de la licencia del componente implicado; 2) la prueba de que ese componente está efectivamente en el software del tercero; y 3) el uso que el tercero hace del componente (distribución, servicio, modificación).

La licencia: las condiciones varían mucho entre licencias permisivas y copyleft. Una licencia permisiva permite usos amplios con obligaciones mínimas, de modo que la vulneración suele limitarse a omisiones formales (atribución, incluir el aviso). Una licencia copyleft impone obligaciones de redistribución bajo la misma licencia y puede convertir en ilegal la distribución si se ha incumplido. Sin conocer la licencia concreta no se puede anticipar el remedio.

La prueba técnica: la mera sospecha no basta. Necesitas evidencias reproducibles: binarios que contengan el código, árboles de dependencias, hashes, o un informe pericial que compare código y muestre identidad o derivación. Si usas herramientas automáticas, conserva los informes sin editarlos.

El uso: hay diferencia entre usar el software internamente y redistribuirlo. Muchos conflictos surgen cuando un tercero incorpora bibliotecas en un producto que vende o publica, o cuando presta un servicio en la nube con código que debería ser abierto según la licencia. Además, si el tercero está alterando los avisos de licencia o eliminando metadatos, tu posición es más fuerte.

Cómo se soluciona

1. Documenta todo (tú): descarga la versión del tercero que crees infractora, guarda instaladores, binarios, capturas de pantalla del sitio web, y cualquier comunicación pública. Extrae los ficheros que parezcan contener el componente y genera hashes. Exporta registros y metadatos de repositorios. No modifiques los archivos originales.

1. Genera una prueba técnica (puedes hacerlo solo o con ayuda): ejecuta herramientas de detección de dependencias y guarda los reportes. Si tienes capacidades limitadas, solicita a un desarrollador que haga una comparación básica y que documente su método. Si el caso va a judicializarse, esa comparación será parte de la prueba técnica.

1. Revisa la licencia exacta y sus obligaciones (tú o con abogado): copia literal de la licencia, el archivo LICENSE que acompañaba al componente y cualquier aviso de terceros. Identifica las obligaciones incumplidas (atribución, inclusión de licencia, obligación de compartir código modificado, etc.).

1. Contacto formal (tú primero, abogado si procede): envía una carta fehaciente identificando la infracción, la evidencia y la remedy request: por ejemplo, retirar el binario, publicar el código bajo la licencia correcta o incluir avisos. Si no tienes abogado, puedes preparar un requerimiento por correo certificado y conservar acuses; si hay una plataforma comercial implicada, usa los canales de notificación de infracciones que ofrezca.

1. Negociación o medidas técnicas: muchas veces se alcanza un acuerdo (incluir la atribución, retirar una versión, pagar una licencia). Si no se arregla, valora medidas formales: solicitud de cese y desistimiento, mediación especializada o demanda. Para una demanda necesitarás peritaje exhaustivo y la valoración de daños y medidas cautelares.

1. Acciones para protegerte a futuro (tú): mantén auditorías de dependencias, incluye archivos de licencia en tus builds, y gestiona control de versiones con trazabilidad clara de aportes externos.

Qué puede pasar

1) Se arregla con una carta. Es frecuente: el tercero corrige avisos, publica código o retira la distribución tras recibir una notificación bien documentada. Este resultado evita costes y suele ser el más rápido.

2) Acuerdo o conciliación. Pueden pactar condiciones: reconocimiento de la infracción, obligaciones de cumplimiento y, eventualmente, una compensación. Un acuerdo rápido puede ser preferible a litigios largos porque te da cumplimiento real y reduce riesgo de insolvencia del contrario.

3) Juicio. Si no hay acuerdo, puedes demandar por incumplimiento de licencia y pedir medidas para impedir la distribución. Si pierdes, el tribunal puede rechazar la pretensión y podrías quedar con los costes del proceso; si el otro es insolvente, ganar no garantiza cobro efectivo. Además, el proceso exige pericias técnicas y mayor documentación; y la definición de daños puede ser compleja.

Y si ganas, ¿cobras? Una sentencia que ordene indemnización es ejecutable, pero su eficacia depende de la solvencia del demandado. También existen remedios no pecuniarios como medidas de cese.

Errores que arruinan el caso

• No conservar la copia original del software presuntamente infractor: si sobrescribes o borras archivos, pierdes la prueba.
• Basarse en un único informe automático sin documentar el método o sin conservar el entorno de análisis.
• Enviar comunicaciones informales o admitir negociación oral sin dejar constancia escrita; no exportar mensajes de repositorios o chats.
• Ignorar la propia cadena de licencias: a veces el problema viene de un módulo anterior; acusar sin trazar la cadena debilita la demanda.
• Actuar públicamente (hacer escarnio en redes) antes de intentar una notificación formal: esto puede dificultar la negociación y dar pie a reclamaciones por daño a la reputación.