Когда реверс-инжиниринг законен: ст. 1280 ГК РФ для бизнеса

Реверс-инжиниринг законен в узком случае: когда вы правомерно владеете экземпляром программы и вам нужно подключить к ней собственную независимо разработанную программу, а нужных сведений нет ни в документации, ни у разработчика. Так устроена статья 1280 ГК РФ. Всё, что выходит за эти рамки, требует согласия правообладателя или вообще недопустимо. Ниже разбираю, что именно разрешено, где проходит граница и как я оформляю такую работу. Сразу оговорка: это инженерное разъяснение по тексту закона, юридической консультацией оно не является.

Когда вообще встаёт этот вопрос

Типовая картина: у компании работает программа, написанная давно, а разработчика, документации и исходников нет. Теперь к ней нужно подключить сайт, бота или учётную систему. Заказчик спрашивает: можно ли разобраться, как она устроена, и не будет ли это нарушением.

Короткий ответ зависит от трёх вещей: чьё это программное обеспечение, что написано в лицензии и договоре, и зачем нужен разбор. Я всегда начинаю с этих вопросов, а не с инструментов. Про смежную ситуацию, когда подрядчик пропал, есть отдельная статья: разработчик пропал, как забрать сайт.

Что разрешает статья 1280 ГК РФ

Текст статьи я открыл на consultant.ru. Пересказываю по пунктам и осторожно, точную формулировку проверяйте по актуальной редакции.

Пункт 1. Правомерный владелец экземпляра программы или базы данных может без разрешения правообладателя и без дополнительной платы выполнять действия, необходимые для её работы, вносить изменения, нужные для работы на своих технических средствах, и исправлять явные ошибки, если договор с правообладателем этого не запрещает. Он также может сделать архивную копию на случай утраты экземпляра.

Пункт 2. Такой владелец может изучать, исследовать и тестировать работу программы, чтобы понять идеи и принципы, лежащие в основе её элементов.

Пункт 3. Декомпилирование, то есть преобразование объектного кода в исходный текст, допускается, если оно нужно для совместимости самостоятельно разработанной вами программы с декомпилируемой. Закон сам разрешает поручить его другому лицу, то есть исполнителю. Условия: нужные сведения раньше не были доступны из других источников, разбираются только необходимые части, полученная информация не передаётся другим лицам без необходимости и не используется для создания программы, существенно схожей с исходной, или для иного нарушения исключительного права.

Пункт 4. Всё перечисленное не должно противоречить обычному использованию программы и необоснованно ущемлять законные интересы правообладателя.

Обратите внимание на слово «правомерный». Если экземпляр получен не по лицензии или лицензия закончилась, этот набор прав вам не принадлежит. На то же указывает и Верховный Суд в постановлении Пленума № 10 от 23.04.2019, но его текст я сам не открывал, поэтому здесь это только ориентир для юриста.

Чем это отличается от обхода защиты

Совместимость и обход защиты решают разные задачи. Первая задача: понять формат или протокол, чтобы ваша программа могла с ней обмениваться данными. Вторая: снять ограничение, которое правообладатель поставил сознательно.

По ст. 1299 ГК РФ (текст на zakonrf.info) техническими средствами защиты считаются технологии и устройства, которые контролируют доступ к произведению или не дают совершать действия, не разрешённые правообладателем. Без разрешения запрещено устранять ограничения использования, которые такие средства установили, а также продавать и распространять технологии для этого. За нарушение правообладатель может требовать убытки или компенсацию, в статье указан диапазон от 10 тысяч до 5 миллионов рублей.

Уголовные статьи стоят отдельно. По ст. 272 УК РФ ответственность наступает за неправомерный доступ к охраняемой законом компьютерной информации, если он повлёк уничтожение, блокирование, изменение или копирование (по тексту на garant.ru, страница читается местами плохо, сверяйте с официальным изданием). По ч. 1 ст. 273 УК РФ (consultant.ru) наказуемо создание, распространение или использование программ и иной компьютерной информации, заведомо предназначенных для незаконного уничтожения, блокировки, изменения, копирования данных или для нейтрализации средств защиты.

Практический вывод для владельца: если к задаче «понять формат» добавляется «снять ограничение», «обойти проверку лицензии» или «получить данные, к которым нет доступа», это уже другая история, и ст. 1280 здесь не помощник.

Что можно

Всё ниже относится к своей системе или к системе, на которую у вас есть права.

• Читать документацию, договоры и переписку с бывшим подрядчиком.
• Наблюдать, как программа работает: какие экраны и отчёты есть, какие файлы создаёт, как выглядит выгрузка. Это изучение работы по п. 2 ст. 1280.
• Запросить у разработчика или вендора спецификацию, формат обмена, экспорт данных. Это самый быстрый и самый безопасный путь.
• Подключаться через штатные интерфейсы: API, стандартный обмен, выгрузки, HTTP-сервисы.
• Если сведений больше нигде нет, поручить исполнителю ограниченный разбор для совместимости и записать это письменно, как описано ниже.

Свои данные принадлежат вам независимо от того, в каком формате их хранит программа. Но закрытый формат хранения не означает, что вы вправе вскрывать чужую защиту. Правильный порядок: сначала просите экспорт у владельца программы, потом думаете об остальном.

Чего я не делаю

• Не снимаю ограничения лицензии, ключи и проверки, не помогаю отключать срок действия и число пользователей.
• Не разбираю чужие сервисы, к которым у заказчика нет прав, и не перехватываю чужие данные.
• Не делаю копию чужой программы под другим названием. Условие п. 3 ст. 1280 о схожей программе я воспринимаю буквально.
• Не парсю чужие сайты в обход запретов владельца. Если нужны данные, договариваемся с владельцем, просим экспорт или используем его официальный API.

Если задача упирается в один из пунктов, я так и скажу и предложу законный путь: договориться с правообладателем, докупить лицензию, заказать доработку у вендора.

Лицензионное соглашение и договор: что смотреть до начала

Первым делом читаю два документа. В лицензионном соглашении смотрю, что сказано об изменении программы и об изучении её устройства. По п. 1 ст. 1280 часть прав действует, если договор не запрещает иное.

В договоре разработки смотрю, кому принадлежат исключительные права на программу, передавались ли исходники и документация. Если компания заказывала разработку и права перешли к ней, самый простой путь лежит вне реверса: потребовать передать исходники и описание. Как это закрепить заранее, написано в статье как не стать заложником подрядчика, а как принимать результат от исполнителя, в статье про приёмку работы подрядчика. Как именно записаны права в вашем договоре, лучше показать юристу.

Как я это делаю

Порядок у меня всегда один, и реверс в нём стоит последним.

1. Проверка прав. Прошу лицензионное соглашение, договор разработки, акты. Фиксирую в письменном виде: это система заказчика, у него правомерный экземпляр, цель разбора только подключение.
2. Официальные источники. Ищу документацию, спрашиваю у вендора, проверяю, есть ли стандартный интерфейс. Так я подключил ИИ-бухгалтера к демо-базе 1С: через стандартный OData, без расширения конфигурации и без разбора чужого кода. Подробности в кейсе ИИ-бухгалтер над 1С для стенда. Копию типовой базы я сначала поднял у себя и все проверки гонял на ней.
3. Наблюдение за своей системой. Описываю, что она делает: экраны, выгрузки, формат файлов. Результат оформляю как короткий паспорт: какие функции, какие данные, что неизвестно. Чужие системы без прав у заказчика я не разбираю вообще.
4. Ограниченный разбор для совместимости. Только если шаги 2 и 3 не дали ответа. Беру только нужные части, ничего не публикую, результат остаётся внутри проекта заказчика и не превращается в новую программу.
5. Передача. Заказчику уходят описание формата, код подключения и инструкция. Знание о системе должно остаться у владельца, а не у меня.

Когда нужна сама схема работы подключения, я провожу технический аудит: что есть, как работает, какие риски. Если нужно подключить систему к сайту, боту или учётной системе, возьму задачу по автоматизации. Про переход со старой системы на новую есть кейс перевод legacy-системы на low-code.

Как оформить поручение исполнителю письменно

Закон допускает поручить декомпилирование другому лицу, но выполнение условий придётся подтверждать вам, поэтому поручение лучше оформить документом. Примерное содержание, которое стоит согласовать с юристом:

• Какая программа, какая версия, на каком основании вы ею владеете (лицензия, договор).
• Цель: совместимость с вашей программой, которую вы разрабатываете самостоятельно. Название и назначение этой программы.
• Объём: какие части разбираются и почему сведений нет в других источниках. Что вы уже пробовали: запрос документации, обращение к вендору.
• Запрет передачи полученной информации третьим лицам и запрет использовать её для создания схожей программы.
• Что исполнитель передаёт в итоге и где хранятся материалы разбора, срок хранения и удаления.
• Оговорка, что обход защиты, снятие ограничений и доступ к чужим данным в работу не входят.

Сколько это стоит

Цены по моему прайсу, точная сумма считается после разбора задачи.

• Технический аудит: что за система, какие права, какие интерфейсы, какие риски, от 50 000 ₽, от 1 недели.
• Автоматизация процессов и документов, подключение системы к сайту, боту или учёту, от 60 000 ₽, от 2 недель.
• Разработка по часам, если задача небольшая и понятная, от 3 000 ₽/час.
• Поддержка после запуска: исправления, доработки, обновления, мониторинг, от 20 000 ₽/мес.

Юридическая часть в мои услуги не входит: договор, лицензию и права по ним проверяет юрист. Расчёт возможен в дирхамах по курсу на день оплаты.

Частые вопросы

Можно ли декомпилировать программу, которую купила компания?

По ст. 1280 ГК РФ правомерный владелец экземпляра вправе сделать это для совместимости своей независимо разработанной программы, если соблюдены условия статьи. Для других целей эта норма не подходит. Для вашего случая лучше получить заключение юриста.

А если программу писал бывший подрядчик и исходников нет?

Сначала смотрим договор: возможно, права и исходники положены вам, и достаточно их потребовать. Если нет, проверяем документацию и официальные интерфейсы. Разбор для совместимости остаётся запасным вариантом.

Можно ли разобрать формат файлов чужого сервиса, чтобы забрать свои данные?

Первый шаг: попросить экспорт у сервиса, в большинстве случаев он есть. Если ограничения установлены защитой, обходить их нельзя, это затрагивает ст. 1299 ГК РФ. Договариваемся с владельцем.

Нужна ли письменная фиксация?

Да. Поручение с целью, объёмом и запретом на передачу помогает показать, что разбор шёл только для совместимости.

Коротко о главном

Ст. 1280 ГК РФ даёт правомерному владельцу программы узкое право: изучать работу и, при условиях, декомпилировать для совместимости своей программы. Обход защиты по ст. 1299 ГК РФ и уголовные составы ст. 272, 273 УК РФ лежат за этой границей. Порядок простой: права, официальные источники, наблюдение, ограниченный разбор, письменное поручение. И ещё раз: юридической консультацией это не является, документы покажите юристу.

Если у вас есть система без документации и разработчика и её нужно подключить к другим сервисам, напишите мне в Telegram и укажите кодовое слово «СОВМЕСТИМОСТЬ»: разберу, что у вас на руках, и скажу, какой из законных путей подойдёт.