想定事例 Ⅱ「SI開発」に関する法的諸問題及び留意点
1. 事案の概要(1)ユーザA社・ベンダB社が合意した開発方針(2)ユーザA社・ベンダB社が合意したWebｼｽﾃﾑの構成図(3)当事者の関係図（開発～米国販売開始まで）
2. 事件① 特許権侵害訴訟
3. 事件②③ OSSライセンス違反警告
4. 事件④ 個人情報漏洩、損害賠償請求

5. 事件のまとめ(1) 時間軸(2) 対象部分(3) 当事者の関係図
6. 再発防止、管理の改善(1) OSSの管理体制と管理プロセス(2) OSSの社内ポリシー、教育
7. その他の論点(1) OSSの活用状況の確認と対応(2) 過去の係争事例
1１．事案の概要
 日本企業であるユーザA社は、衣料品を製造販売するメーカーである。

 2015年10月、ユーザA社はWeb経由での衣料品販売を計画し、販売管理システム（以下、「Webシステム」）の開発を日本企業ベンダB社に委託した。
 2015年12月、ユーザA社とベンダB社は開発方針、Webシステムの構成図を合意、契約を締結。
ベンダB社は納期（2016年12月末日）どおりにWebシステムの納品を完了した。
 一方、ユーザA社は、米国での衣料品販売を計画し、米国子会社C社を設立、2017年４月より、衣料品販売を開始した。
米国子会社C社のWebシステムは、日本のWebシステムのミラーサーバーである。
※本想定事例では、商標の検討は対象外とします。
2

(1) ユーザA社・ベンダB社が合意した開発方針
１）開発期間、開発コスト、システムの将来性を考慮し、多数のOSSを活用する
２）OSSの活用方針は次のとおり
・米国X、欧州Yコミュニティのサイトから最新のバージョンをダウンロードする・OSSの改変や独自開発部分との結合を許可する・ライセンスGPLv2の適用を受けるOSSを独自開発部分と結合して利用する
場合は、GPLv2に従い、独自開発部分のソースコードを開示する

3

(2) ユーザA社・ベンダB社が合意したWebシステムの構成図(概念図)

アプリケーション[ ]：適用ライセンス
EC(商品販売系)サブシステム

会員サポート(問合せ管理)サブシステム

開発アプリケーション [非OSS]

問合せ管理アプリケーション
OTRS [AGPLv3]

アプリケーションフレームワーク
Struts2 [Apache v2.0]

AGPL: GNU Affero General Public License

Java言語OpenJDK [GPLv2(リンク例外)]

ミドルウェアアプリケーションサーバ
Tomcat [Apache v2.0(※)]★サービス仕様に合わせてアプリを改変

データベース
PostgreSQL[PostgreSQL License]

メールサーバPostfix[IBM Public License]

WebサーバApache HTTP Server [Apache v2.0(※)]

オペレーティングシステム

Linux [GPLv2](※)Apache HTTP Server、Tomcat等には中に含まれるOSSに異なるライセンスもありますが、本事例では主となるライセンスを対象としています。

4

(3) 当事者の関係図（開発~米国販売開始まで）
米国
A社米国子会社
C社

日本
OSS
コミュニティ Y

ミラーサーバー

ユーザA社
OSS
コミュニティ X

ベンダB社

OSSの流れ開発成果物の流れ
開発委託契約の関係

Webサーバー
5

２．事件① 特許権侵害訴訟
2017年10月、米国Z社が、WebシステムはZ社が保有する特許権（日本と米国において権利化済）を侵害するとして、ユーザA社、ベンダB社を提訴してきました。

ベンダB社が提訴内容を確認したところ、特許侵害しているのは、開発アプリケーションに利用されていたOSSであることが判明しました。元々開発アプリケーションにはOSSを活用しない方針でしたが、開発の過程で意図せずにOSSが混入していたことが確認されました。
【Question】
特許権者Z社から、ユーザA社、ベンダB社への提訴に対して、ベンダB社はどのような対応策が考えられますか？

6

３．事件②③ OSSライセンス違反警告
 2017年1１月、OSSコミュニティXは、ユーザA社、米国子会社C社に対して、 OSSであるOTRSのWebシステムへの利用について、ライセンスAGPLv3に違反しているとして、ソースコードを提供するように警告してきました。（②OSSライセンス違反）
 2017年12月、SNSで「ユーザＡ社がstrutsのWebシステム利用について、Apache
License2.0に違反しており、ソースコードを公開していない」という著名なOSSの開発者の書き込みがあり、話題になっていることを知りました。（③OSSライセンス違反）
 これらに対して、ユーザＡ社は、ベンダＢ社に相談し、詳細を確認した結果、次のことが判明しました。
 ライセンスのAGPLv3の内容の不知・不理解により、提供が必要なことを担当者が理解していなかった strutsの利用はApache License2.0に準拠している【Question】
ユーザＡ社は、上記警告、書き込みに対してどのように対応すれば良いでしょうか？

7

４．事件④ 個人情報漏洩、損害賠償請求 2017年12月、ユーザA社は、A社の顧客情報※が漏洩した模様であるとして、ベンダB社に詳細の調査を依頼。
B社が詳細を確認した結果、次のことが判明しました。
流出の原因はstrutsの脆弱性への対策をB社が怠っていたこと
strutsの脆弱性への対策方法はWebシステムの開発時には公開されていた内容であったこと※日本国内の顧客5万人の購買履歴や決済に要するクレジットカード番号情報等 2018年3月、ユーザA社は、ベンダB社に対して、A社の顧客情報の漏洩によりA社に生じた損害について、賠償を請求してきました。
【Question】
ユーザA社からベンダB社への損害賠償請求は認められるでしょうか？
8５．事件のまとめ (1) 時間軸
年月

イベント、事件事件

2015年 10月 ユーザA社→ベンダB社システム開発委託
12月 ユーザA社・ベンダB社システム開発委託契約締結
2016年 12月 Webシステム納品
2017年 1月
4月

Webシステム稼働、日本でのWeb販売開始
米国子会社C社でのWeb販売開始

10月 特許権者Z社→ユーザA社、ベンダB社を特許権侵害で提訴

事件①：特許権侵害

11月 コミュニティX→ユーザＡ社、米国子会社Ｃ社をAGPLv3のライセンス違反の警告

事件②、事件③：ライセンス違反

12月 個人(OSS開発者)→ユーザＡ社に対し、SNSでApacheV2.0のライセンス違反を書き込み

2018年 3月

ユーザA社→ベンダB社に対し、個人情報の漏洩調査依頼、 事件④：個人情
原因はB社にあることが判明
報漏洩、損害賠償請求
ユーザA社→ベンダB社に対し、損害賠償請求

9５．事件のまとめ(2) 対象部分
[ ]：適用ライセンス事件①

アプリケーション

EC(商品販売系)サブシステム

会員サポート(問合せ管理)サブシステム

開発アプリケーション [非OSS]

問合せ管理アプリケーション
OTRS [AGPLv3]

アプリケーションフレームワーク
Struts2 [Apache v2.0] ＋改変あり？

AGPL: GNU Affero General Public License

Java言語OpenJDK [GPLv2(リンク例外)]

事件③、事件④

アプリケーションサーバ
Tomcat [Apache v2.0]

データベース
PostgreSQL[PostgreSQL License]

ミドルウェア★サービス仕様に合わせてアプリを改変

事件②
メールサーバPostfix[IBM Public License]

WebサーバApache HTTP Server [Apache v2.0]

オペレーティングシステム

Linux [GPLv2]
10

５．事件のまとめ (3)当事者の関係図
米国
個人
OSS
コミュニティ Y日本事件③

事件①ユーザA社

Z社

A社米国
子会社C社

ミラーサーバー

事件②
OSS
コミュニティ X

事件④
ベンダB社

事件関係

OSSの流れ開発成果物の流れ
開発委託契約の関係

Webサーバー11

６．再発防止、管理の改善(1)ベンダB社は、事件①~事件④の再発防止のため、OSSを利用する場合の管理体制と管理プロセスを構築しようとしています。

【Question】 OSSの管理体制と管理プロセス
OSSの管理体制、管理プロセス※を構築する際に留意すべきポイントを解説してください。 ※OSSの導入、製品への活用、製品の販売
OSSの管理の手段の一つとして、チェックツールを活用することが考えられます。
想定事例１の[第3事件]（納入品の欠陥に因る損害賠償請求事件）、想定事
例2の[事件①]（特許権侵害の原因が、意図しないOSSの混入）、[事件④]（脆弱性による個人情報漏洩）はチェックツールを活用することにより、事件を防ぐことができた可能性があります。チェックツールの概要や活用のポイントを解説してください。

12

６．再発防止、管理の改善(2)ベンダB社は、事件①~事件④の再発防止のため、OSSの利用ポリシー（社内規程）を定め、ソフトウェア開発部門向けの教育を計画しています。

【Question】 OSSの社内利用ポリシー、教育
OSSを適切に取り扱うためのOSS利用ポリシー（社内規程）には、どのような内容を定めればいいですか。
ソフトウェア開発部門に向けて、OSS利用ポリシー等の周知、意識向上のために、どのような教育を行えばいいですか？
ポイントを解説してください。

13

7．その他の論点(1)【Question】 OSSの活用状況の確認と対応
OSSの活用状況を確認し、次のことが判明した場合、それぞれどのように対応すべきでしょうか？正しい対応のポイントを解説してください。
（１）両立しないOSSのライセンスがあった。
（２）新種のOSSのライセンスがあった。FAQがなく内容がわかりにくい。
（３）「非営利」目的の利用のみが認められているソフトが混入していた。
（４）ライセンスが未添付で確認できないものがあった。

14

7．その他の論点(2)【Question】 過去の係争事例
OSSについてトラブルになりそうな要因としてどのようなものがありますか？
ポイントを解説してください。
過去に実際にあった係争事例についてポイントを解説してください。

15