Open source bidragsavtal (CLA)

Open source bidragsavtal (CLA) i Sverige är ett juridiskt avtal mellan en open source-projektägare och en bidragsgivare — privatperson eller bolag — som definierar de immateriella rättigheterna som överlåts eller licensieras när kod, dokumentation eller andra kreativa verk lämnas till projektet. CLA överför inte upphovsrätten i sig — det beviljar projektägaren en bred, oåterkallelig licens att använda, modifiera, sublicensiera och distribuera bidraget under projektets valda open source-licens.

Upphovsrättslagen (1960:729) § 2 ger upphovspersonen ensamrätt att förfoga över verket. Kap. 2 § 40a fastslår att arbetsgivaren automatiskt förvärvar upphovsrätten till datorprogram skapade av anställda inom ramen för anställningen — men denna regel gäller inte externa konsulter eller frivilliga bidragsgivare. Utan ett CLA kan ett open source-projekt hamna i juridisk osäkerhet om vem som äger rättigheterna till bidragslevererat material, vilket kan blockera kommersiell duallicensiering, M&A-processer och säkerhetsgranskningar.

Ett välformulerat CLA för Sverige täcker: (1) upphovsrättslicens inklusive rätt till sublicensiering och bearbetning; (2) patentlicens per Patentlagen (1967:837) för patent som täcks av bidraget; (3) ursprungsgaranti och Developer Certificate of Origin (DCO) enligt DCO 1.1; (4) arbetsgivarrelationens hantering per kap. 2 § 40a; (5) GDPR-reglering av bidragsgivarens personuppgifter per GDPR art. 6; (6) moraliska rättigheter per Upphovsrättslagen § 3. forms-legal.com erbjuder en juridiskt genomarbetad CLA-mall anpassad till svenska rättsliga krav och Apache CLA-standarden.

Open source bidragsavtal (CLA) i Sverige behövs i ett flertal situationer:

1. **Kommersiell duallicensiering.** Projektet distribueras under GPL v3 men säljs även under en proprietär licens till företagskunder (t.ex. MySQL, MongoDB Enterprise). Utan CLA kan projektägaren inte sublicensiera bidragsgivarens kod under den proprietära licensen — enbart bidragsgivaren kan det. CLA ger projektägaren rätt att sublicensiera.

2. **M&A och due diligence.** Vid förvärv eller investering granskar köparen IP-renheten i kodbasen. Utan CLA eller DCO-dokumentation kan bidragskod vara juridiskt oren — krav från okända upphovspersoner kan blocka transaktionen. CLA-registret dokumenterar samtycke från alla bidragsgivare.

3. **Patentriskreducering.** Om en bidragsgivare senare hävdar patentintrång mot användare av projektet, ger CLA:s patentlicens användarna ett skydd mot sådana krav. Utan CLA är användarnas patentskydd oklart.

4. **Corporate CLA — anställda bidragsgivare.** När ett bolag låter anställda bidra till open source-projekt måste bolaget underteckna en Corporate CLA för att förtydliga att bolaget (inte de enskilda anställda) beviljar licensen — och att kap. 2 § 40a-rättigheterna hanteras korrekt.

5. **Offentliga myndigheters open source-projekt.** Statliga och kommunala myndigheter som publicerar kod under öppen licens (t.ex. Digg-projekt) behöver CLA för att säkerställa att bidrag inte skapar immateriella konflikter med upphandlingslagstiftningen LOU (2016:1145).

6. **Stiftelse-hosting.** Projekt som söker hosting under Apache Software Foundation, Linux Foundation eller FSFE måste uppvisa CLA-processer som villkor för anslutning.

7. **Säkerhetskritiska projekt.** Open source-projekt inom kritisk infrastruktur, hälso- eller finanssektorn behöver CLA för att säkerställa att bidragsgivare inte inkluderar skadlig kod, bakdörrar eller patentbelagda algoritmer utan vetskap.

Open source bidragsavtal (CLA) i Sverige bör innehålla följande nyckelklausuler för att vara juridiskt heltäckande och operativt fungerande. forms-legal.com rekommenderar:

**Upphovsrättslicens med sublicensiering.** CLA:n ska bevilja projektägaren en bred, oåterkallelig, royaltyfri, icke-exklusiv licens att reproducera, modifiera, sublicensiera och distribuera bidraget. "Oåterkallelig" är kritisk — upphovsrätten kan inte återtaras efter att bidraget accepterats i kodbasen. Upphovsrättslagen (1960:729) § 2 styr ensamrätterna; CLA:n begränsar dessa genom licensbeviljande.

**Patentlicens och patent defense-klausul.** Följer Apache CLA-standarden: bidragsgivaren beviljar royaltyfri patentlicens för patent som täcks av bidraget. Patent defense-klausulen stipulerar att patentlicensen upphör om bidragsgivaren stämmer projektägaren eller användare för patentintrång. Patentlagen (1967:837) kap. 1 § 1 definierar patenterbara uppfinningar och § 13 reglerar licensgivning.

**Developer Certificate of Origin (DCO) och ursprungsgaranti.** DCO 1.1 är en enklare alternativ till CLA-signering: bidragsgivaren lägger till "Signed-off-by" i varje commit och intygar att koden är original eller korrekt licensierad. DCO räcker för mindre projekt men CLA är nödvändig för kommersiella projekt med duallicensiering. Kombinationen DCO + CLA ger starkast juridisk dokumentation.

**Arbetsgivarklausul och Corporate CLA.** Kap. 2 § 40a-klausulen hanterar risken att arbetsgivaren äger koden: bidragsgivaren intygar att bidraget faller utanför anställningens upphovsrättsliga sfär, eller att arbetsgivarens skriftliga godkännande finns. Corporate CLA kräver bolagets firmatecknare och lista över behöriga bidragsgivare.

**Moraliska rättigheter (namngivningsrätt).** Upphovsrättslagen (1960:729) § 3 ger upphovspersonen oförytterlig rätt att kräva namngivning (attribution). CLA:n ska klargöra om bidragsgivaren kräver individuell attribution i AUTHORS-fil eller om kollektiv attribution räcker. Moraliska rättigheter kan inte avtalas bort i Sverige, men bidragsgivaren kan avsäga sig aktivt krav på specifik attribution.

**GDPR-behandling av bidragsgivardata.** Projektägaren behandlar bidragsgivarens namn och e-post (från commit-metadata) som personuppgifter per GDPR art. 4.1. Behandlingen grundar sig på art. 6.1(b) (avtalets fullgörande) och art. 6.1(f) (legitima intressen av IP-dokumentation). IMY:s riktlinjer klargör att öppna kodoffer-databaser är tillåtna men måste informera bidragsgivare om behandlingen. CLA:n fyller denna informationsskyldighet.

**Open source-policy och SBOM.** CLA:n bör komplettera projektets open source-policy: krav på SBOM (Software Bill of Materials) i CycloneDX-format vid större bidrag, förbud mot inkludering av SSPL-licensierade komponenter utan granskning, och krav på att anmäla känt patentbelagda algoritmer.

**Exitplan och avtalets varaktighet.** CLA:n gäller tillsvidare för alla framtida bidrag men kan sägas upp med 30 dagars varsel — redan accepterade bidrag förblir licensierade. Projektägaren kan ändra CLA-villkoren med 60 dagars förvarning, vilket ger bidragsgivare möjlighet att acceptera eller avbryta deltagande.

**Tvistlösning och tillämplig lag.** Svensk rätt, exklusive lagvalsregler. Tvister kan hänvisas till Stockholms tingsrätt eller Stockholms Handelskammares Skiljedomsinstitut (SCC) beroende på projektets kommersiella karaktär.

Fyll i open source bidragsavtalet för Sverige steg för steg:

**Steg 1 — Projektinformation.** Ange projektets officiella namn, URL (GitHub/GitLab-repo), projektägarens firma och organisationsnummer (XXXXXX-XXXX) och registrerade adress. Välj projektets utgångslicens (Apache 2.0, MIT, GPL v3 etc.) — detta avgör vilka sublicensieringsrättigheter som beviljas.

**Steg 2 — Bidragsgivarens uppgifter.** Ange fullständigt juridiskt namn (privatperson) eller firma + org-nr (bolag). Ange den e-postadress som är kopplad till ditt Git-konto — denna används för att matcha commits mot CLA-registret. Välj om du bidrar som privatperson eller på uppdrag av ett bolag (Corporate CLA).

**Steg 3 — Arbetsgivarrelation.** Avgör om din arbetsgivare kan ha rättigheter till koden per kap. 2 § 40a. Om du är anställd och bidrar inom ditt ansvarsområde: inhämta skriftligt godkännande från arbetsgivaren och bifoga det till CLA:n. Om du är egenföretagare: ange bolagets firma och bidra i bolagets namn.

**Steg 4 — Licens- och rättighetsbeviljande.** Välj bred licens (rekommenderas för de flesta projekt) som inkluderar sublicensiering och kommersiell användning, eller begränsad licens enbart under projektets utgångslicens. Ange om patentlicens beviljas — nödvändigt för Apache-kompatibilitet och maximalt rättsskydd.

**Steg 5 — Ursprungsgaranti och DCO.** Bekräfta om bidraget är 100 % originalverk eller innehåller tredjepartskod. Lista eventuella open source-komponenter med licens och version. Välj om du använder Signed-off-by i commits (DCO) — rekommenderas som komplement till CLA-signeringen.

**Steg 6 — Sekretess och GDPR.** Bekräfta att bidraget inte innehåller personuppgifter (inga riktiga personnummer eller e-postadresser i testdata), och att ingen projektägarens konfidentiella information ingår.

**Steg 7 — Avtalstid och tvist.** Välj avtalets giltighetstid (tillsvidare rekommenderas). Välj tvistlösningsforum: Stockholms tingsrätt för enklare bidragsavtal, SCC för kommersiellt värdefulla projekt.

**Steg 8 — Signering.** Bidragsgivaren undertecknar med fullständigt namn och datum. Om Corporate CLA: bolagets behöriga firmatecknare undertecknar. Projektägaren kontra-signerar och registrerar CLA:n i det publika CLA-registret. Digitala signaturer (e.g. DocuSign, Signicat med BankID-verifiering) är juridiskt giltiga i Sverige per Lagen om elektroniska signaturer och E-signaturlagen (2000:832).

Open source bidragsavtal i Sverige regleras av ett flertal rättsliga regelverk:

**Upphovsrättslagen (1960:729).** § 2 ger upphovspersonen ensamrätt till exemplarframställning, bearbetning och tillgängliggörande. § 3 (moraliska rättigheter) ger oförytterlig rätt till namngivning och skydd mot kränkande bearbetning — dessa kan inte avtalas bort men kan specificeras i CLA:n. Kap. 2 § 40a reglerar arbetsgivarens automatiska förvärv av upphovsrätt till datorprogram skapade i anställning inom anställningens område. Sui generis databasskydd i kap. 5 § 49 skyddar databaser med significanta investeringar, relevant om projektet inkluderar datasetsbearbetning.

**Patentlagen (1967:837).** Kap. 1 § 1 definierar patenterbara uppfinningar. § 8 reglerar anmälningsskyldigheter. § 13 möjliggör licensgivning av patent. CLA:ns patentlicens kräver att bidragsgivaren identifierar känt patentbelagda algoritmer eller metoder i bidraget.

**Avtalslagen (1915:218).** §§ 1–9 styr erbjudande och accept. CLA fungerar som ett standardavtal (massa-avtal) som kan ingås elektroniskt per Lagen (2000:832) om kvalificerade elektroniska signaturer. Avtalets giltighet förutsätter att bidraget lämnas in — vilket utgör accept av CLA-villkoren.

**GDPR (EU 2016/679) och Dataskyddslagen (2018:218).** Art. 6 kräver rättslig grund för behandling av bidragsgivarens personuppgifter. Art. 15–17 ger bidragsgivaren rätt till tillgång, rättelse och radering. Art. 25 kräver Privacy by Design i CLA-systemet. IMY:s vägledning om open source-projekt (2024) klargör att commit-metadata (namn, e-post) är personuppgifter och kräver information till bidragsgivaren.

**Företagshemlighetslagen (2018:558).** §§ 2–3 skyddar projektägarens affärshemligheter. CLA:n ska förhindra att bidragsgivare inkluderar sekretessbelagd information från sin arbetsgivare i open source-koden — vilket annars kan leda till ansvar per §§ 7–9.

**Lagen (2020:914) om lagval för avtalsförpliktelser (Rom I).** CLA:ns lagvalsklausul som väljer svensk rätt är giltig per Rom I art. 3 när Projektägaren är etablerad i Sverige.

**EU Cyber Resilience Act (CRA, 2024).** Träder i full kraft 2027. CRA art. 16–18 ger open source-projektägare som placerar produkter på EU-marknaden ansvar för säkerhetskrav — CLA:ns krav på SBOM och säkerhetsdokumentation förbereder projektet för CRA-efterlevnad.

Vanliga misstag vid open source bidragsavtal (CLA) i Sverige:

**Misstag 1 — Inget CLA alls.** Det vanligaste misstaget: projektet accepterar bidrag utan CLA, med antagandet att git-commit räcker som samtycke. Utan CLA är rättigheterna oklara; vid kommersiell duallicensiering eller M&A saknas bevis på bidragsgivarens samtycke. Lösning: implementera CLA-assistent (CLA-bot) som blockerar merge av PR utan signerad CLA.

**Misstag 2 — CLA utan patentlicens.** CLA täcker enbart upphovsrätt men inte patent. Om en bidragsgivare har patent som täcks av koden och sedan stämmer användare, finns inget patentskydd. Apache CLA-standarden inkluderar alltid patentlicens — kopiera detta mönster.

**Misstag 3 — Ingen hantering av arbetsgivarrelationen.** Bidragsgivaren bidrar kod som faktiskt ägs av deras arbetsgivare per kap. 2 § 40a. Projektet inkluderar koden utan att fråga om arbetsgivarens godkännande. En IP due diligence vid förvärv avslöjar problemet — projektet tvingas ta bort koden. Kräv alltid bekräftelse av arbetsgivarrelationen i CLA:n.

**Misstag 4 — CLA gäller enbart ett bidrag.** Engångs-CLA för ett specifikt bidrag kräver ny signering vid varje bidrag, vilket skapar administrativt kaos. Tillsvidare-CLA med DCO-signoff per commit är standardmodellen i stora open source-projekt (Linux kernel, Apache).

**Misstag 5 — GDPR ignoreras i CLA-registret.** Projektägaren lagrar bidragsgivarnas namn och e-post i ett CLA-register utan att informera dem om behandlingen. IMY-tillsyn kan leda till böter. CLA:n ska inkludera GDPR-information om behandlingens ändamål, rättslig grund och datarättigheter.

**Misstag 6 — Moraliska rättigheter ohanterade.** CLA:n förutsätter att bidragsgivaren avsäger sig alla rättigheter inklusive attribution. Upphovsrättslagen (1960:729) § 3 gör moraliska rättigheter oförytterliga — de kan inte avtalas bort. CLA:n måste reglera attribution-kravet utan att påstå att upphovspersonen förlorar sina moraliska rättigheter.

**Misstag 7 — Copyleft-kontamination utan open source-policy.** CLA:n reglerar bidragsgivarens licens men inte de tredjepartskomponenter som bidragen inkluderar. GPL v3- eller AGPL-licensierade bibliotek kontaminerar hela kodbasen vid distribution. CLA:n bör kräva SBOM-deklaration för alla tredjepartskomponenter i bidraget.