واجب الإبلاغ إلى CyberTipline: ما الذي يجب على مشغّل موقع إعلانات مبوّبة الإبلاغ عنه، وما الذي تغيّر في 2024

الإعلان الذي لا يستطيع المشرف حذفه ببساطة

يفتح مشرف يراجع قائمة الانتظار إعلاناً فيه شيء غير منطقي: وجه يبدو أصغر من العمر المذكور، رقم هاتف ظهر في إعلانات من ثلاث مدن مختلفة في نفس الأسبوع، حساب يبدو أنه ينشر لعدة أشخاص مختلفين في آن واحد. الغريزة، وهي التي يُبنى عليها أي مسار عمل للإشراف، هي التصرف بسرعة: سحب الإعلان، تعليق الحساب، الانتقال إلى العنصر التالي في القائمة. في أغلب فئات الإعلانات المشكلة، تكون هذه الغريزة صحيحة وتنتهي المهمة عند هذا الحد.

هذه الفئة مختلفة، والفرق ليس واضحاً حتى يتحقق أحد منه. القانون الفيدرالي الأمريكي لا يعامل هذه الحالة كقرار متعلق بالمحتوى يمكن للموقع اتخاذه بمفرده. بل يجعلها سبباً لتقرير محدد وإلزامي إلى جهة حددها القانون، مع واجب حفظ خاص بها مرتبط بما يتم الإبلاغ عنه. حظر الحساب وحذف الإعلان، بشكل تلقائي ودون أي شيء آخر، قد يدمّر بالخطأ بالضبط ما يفرض القانون الاحتفاظ به.

لا شيء من هذا يتعلق بمشكلة الإشراف المعتادة، الصور المزيفة أو الإعلانات الاحتيالية، وهي مخاطرة تجارية يديرها المشغّل بحكمه الخاص وزر الحظر، وهو موضوع تناولناه في ما الذي يمنع فعلياً إعلاناً مزيفاً من الظهور على الإنترنت. هذا واجب قانوني واحد ومحدد النطاق، أنشأه قانون محدد، وهو قائم سواء سمع به المشغّل من قبل أم لا. الهدف من هذا المقال هو ضمان ألا تكون المرة الأولى التي يحدث فيها هذا هي أيضاً المرة الأولى التي يقرأ فيها أحد في الشركة هذا القانون.

إنها أيضاً مسألة مختلفة عن المسؤولية الجنائية التي أنشأها قانون FOSTA-SESTA بشأن المحتوى المرتبط بالاتجار بالبشر: ذلك القانون يحدد ما إذا كانت المنصة نفسها يمكن مقاضاتها أو ملاحقتها جنائياً بسبب ما يقوله إعلان ما. هذا الواجب يحدد فقط ما إذا كان التقرير قد وصل إلى الجهة الفيدرالية الصحيحة، وينطبق بغض النظر عن كيفية حسم تلك المسألة المنفصلة الخاصة بالمسؤولية.

القانون المقصود هو 18 U.S.C. § 2258A، وتعديل صدر عام 2024 يُعرف باسم REPORT Act غيّر ما يكفي لجعل أي إرشادات كُتبت قبل ذلك العام قديمة فيما يخص الأرقام الأهم: ما الذي يجب الإبلاغ عنه، وما هي المدة التي يجب حفظ المواد خلالها، وما الذي قد تكلفه عدم الإبلاغ.

ما الذي يتطلبه القانون فعلياً

تنطبق المادة 2258A على "provider" يقدّم خدمة اتصال إلكتروني أو خدمة حوسبة عن بُعد متاحة للجمهور، وهي مصطلحات مستعارة من قوانين أقدم تتعلق بالتنصت والاتصالات المخزّنة. لا يذكر أي من التعريفين حجم الشركة أو إيراداتها أو قطاعها. الخدمة التي تمنح المستخدمين حسابات، وتتيح لهم رفع صور أو تبادل رسائل، هي بالضبط نوع الخدمة التي كُتبت هذه التعريفات لوصفها، ولا شيء في القانون يستثني سوقاً صغيراً للإعلانات لمجرد أنه صغير. وما إذا كان كل موقع إعلانات مبوّبة يقع ضمن هذا التعريف بكل تفاصيله لم يُختبر أمام محكمة ضد نشاط تجاري من هذا النوع، لذا يُستحسن معاملة المسألة على أنها مفتوحة لا محسومة، وطلب تقييم قانوني للتكوين المحدد بدلاً من افتراض إجابة معينة.

ما يفعّل الواجب محدود النطاق: العلم الفعلي. ينص القانون بوضوح على أن لا شيء فيه يُلزم provider بمراقبة أي مستخدم، أو مراقبة محتوى أي اتصال، أو البحث والفحص والمسح بشكل استباقي بحثاً عن الوقائع التي قد تُفعّل تقريراً. لا يوجد التزام بالبحث عن ذلك. يبدأ الالتزام في اللحظة التي يعلم فيها أحد في الشركة فعلياً، ومن تلك اللحظة يقول القانون إن التقرير يجب أن يصل إلى CyberTipline التابع للمركز الوطني للأطفال المفقودين والمستغَلين (NCMEC) "في أسرع وقت ممكن معقولاً".

قبل عام 2024، كانت الفئات التي تُفعّل هذا الواجب أضيق مما يتخيله معظم المشغّلين: المواد التي تبدو وكأنها تصوّر انتهاكاً جنسياً للأطفال. لم يكن الاشتباه بالاتجار الجنسي بالأطفال والاشتباه بالاستدراج عبر الإنترنت من فئات الإبلاغ الإلزامي على الإطلاق، رغم أن كليهما يمكن أن يظهر بالضبط في نوع سلوك الحسابات الذي يكون فريق الإشراف في موقع إعلانات مبوّبة في أفضل موقع لملاحظته أولاً: شخص يدير إعلانات عدة أشخاص في آن واحد، قاصر يُدفع إلى انتحال صفة شخص بالغ، أنماط تبدو منسقة وليست فردية.

هذه الفجوة هي ما سدّه قانون REPORT Act، وهذا هو السبب في أن أي سياسة كُتبت قبل مايو 2024 لم تعد تصف القانون الحالي.

ما الذي تغيّر مع REPORT Act

وقّع الرئيس بايدن على قانون REPORT في 7 مايو 2024. وقد عدّل المادة 2258A في أربع نقاط تؤثر مباشرة على كيفية بناء المشغّل لعملية عمل، وليس فقط على اسم هذه العملية.

أولاً، أضاف الاشتباه بالاتجار الجنسي بالأطفال والاشتباه باستدراج قاصر عبر الإنترنت إلى الفئات التي يجب على provider الإبلاغ عنها، إلى جانب المواد التي تبدو وكأنها تصوّر انتهاكاً جنسياً للأطفال. هذا هو التغيير الذي يُدخل ما هو أكثر من الصور: نمط في كيفية نشر الإعلانات وإدارتها يمكن أن يكون الآن، في حد ذاته، ظرفاً يستوجب الإبلاغ، بصرف النظر عمّا إذا كانت صورة معينة مشكلة أم لا.

ثانياً، مدّد المدة التي يجب على provider خلالها حفظ المواد المرتبطة بتقرير، من 90 يوماً إلى سنة كاملة. الموقع الذي يبلّغ عن شيء ثم يحذف بيانات الحساب الأساسية بعد شهر، بحجة أن الحساب محظور والمسألة انتهت، لم يعد ضمن نافذة الحفظ التي يفرضها القانون.

ثالثاً، أضاف متطلب أمان لما يُحفظ: provider يحتفظ بمواد مرتبطة بتقرير إلى CyberTipline يجب أن يؤمّنها بطريقة متوافقة مع النسخة الحالية من إطار NIST للأمن السيبراني، مع موعد نهائي للامتثال محدد بسنة واحدة بعد سريان القانون، أي حوالي مايو 2025. يقف هذا إلى جانب نفس السؤال الذي يجب على المشغّل الإجابة عنه بالفعل بخصوص وثائق الهوية التي تجمعها خطوة التحقق ويجب حفظها بأمان: المواد المحفوظة الخاصة بتقرير تحتاج إلى نفس نوع التخزين المتعمد ذي الوصول المقيّد، وليس مجلداً يمكن لأي موظف في الشركة فتحه.

رابعاً، والتغيير الأكثر احتمالاً لجذب انتباه المشغّل، رفع الغرامة المفروضة على الإخفاق المتعمد والمتعمّد في الإبلاغ رفعاً كبيراً.

ما هي العقوبة، وما هي ليست

قبل قانون REPORT، كان الإخفاق المتعمد والمتعمّد في الإبلاغ يستتبع غرامة مدنية تصل إلى 150,000 دولار عن مخالفة أولى وحتى 300,000 دولار عن مخالفة متكررة. الهيكل الجديد يربط السقف بحجم provider: يمكن الآن معاقبة إخفاق أول متعمد ومتعمّد في الإبلاغ بغرامة تصل إلى 600,000 دولار لمزوّد لديه أقل من 100 مليون مستخدم نشط شهرياً، أو حتى 850,000 دولار لمن يبلغ هذا الرقم أو يتجاوزه. يرتفع الإخفاق الثاني أو ما بعده إلى 850,000 أو 1,000,000 دولار وفق نفس التقسيم. يقع موقع إعلانات مبوّبة صغير في الفئة الأدنى في كلتا الحالتين، وتلك الفئة الأدنى وحدها لا تزال أربعة أضعاف الحد الأقصى القديم.

هناك أمران يخففان من طريقة قراءة هذا الرقم. إنها غرامة مدنية، وليست عقوبة سجن مرتبطة بهذا النص، ولا تنطبق إلا على إخفاق متعمد ومتعمّد في الإبلاغ، أي عندما تكون الشركة على علم واختارت عدم الإبلاغ، لا على حالة كان من المفترض فيها تقديم تقرير على الأرجح ولم يحدث ذلك بسبب ثغرة صادقة في العملية. الإهمال العرضي ليس ما صُممت هذه العقوبة لمعاقبته.

الأمر الآخر الجدير بالمعرفة، لأنه يغيّر مدى الإلحاح الذي ينبغي قراءة هذا الرقم به، هو أن التقارير العامة لم تحدد حالة فرضت فيها وزارة العدل فعلياً هذه الغرامة المحددة على أي provider. هذا الغياب ليس سبباً لمعاملة الواجب باعتباره شكلياً. أنماط تطبيق قوانين الإبلاغ من هذا النوع تميل إلى التحول في اللحظة التي تصبح فيها قضية بارزة بما يكفي لتصبح مثالاً رادعاً، وشركة بلا أي عملية عمل هي الأكثر احتمالاً لأن تصبح ذلك المثال، لأن إثبات الإخفاق المتعمد والمتعمّد أسهل بكثير ضد شركة أُبلغت بالقانون ولم تفعل شيئاً، مقارنة بشركة كانت لديها عملية عمل حقيقية واتخذت قراراً يمكن الدفاع عنه ضمنها.

الخطر الأكثر إلحاحاً، من الناحية العملية، ليس الغرامة. إنه ما يحدث للحساب ومحتواه في الساعات التي تعقب ملاحظة أحدهم أن هناك خطأ ما، قبل أن يفكر أي أحد أصلاً في واجب الإبلاغ.

العملية الواجب تجهيزها قبل أول حالة حقيقية

الحل ليس أداة مراقبة. القانون واضح في القول إن لا حاجة إلى أي أداة كهذه، وبناء واحدة يثير مشاكل خصوصية وتكلفة خاصة بها لا يطلبها هذا الواجب. الحل هو إجراء قصير ومكتوب موجود قبل اليوم الذي يُحتاج إليه فيه، لأن ذلك اليوم هو أسوأ لحظة ممكنة لارتجال إجراء.

عيّن شخصاً واحداً، أو دوراً محدداً بوضوح، يستقبل مثل هذا التصعيد، بدلاً من تركه لمن يكون يشرف على المحتوى في ذلك اليوم. يحتاج هذا الشخص إلى صلاحية التصرف دون انتظار اجتماع، لأن "في أسرع وقت ممكن معقولاً" هو المعيار القانوني، لا "بمجرد أن نناقش الأمر داخلياً".

اكتب ما يجب ألا يفعله الفريق في اللحظة التي يبدو فيها شيء خاطئاً: عدم محاولة التحقق بشكل مستقل من عمر الشخص عبر تواصل إضافي، وعدم مواجهة صاحب الإعلان، وعدم إعطاء أي إشارة بأن الحساب قيد المراجعة، وعدم حذف الحساب أو محتواه قبل تقديم التقرير وحفظ المواد. كل واحدة من هذه الغرائز تبدو حامية في تلك اللحظة، وكل واحدة يمكن أن تقوّض التقرير أو تدمّر ما يقول القانون إنه يجب حفظه.

اعرف مسبقاً كيف يُقدَّم التقرير فعلياً: يقبل CyberTipline التابع لـ NCMEC التقارير عبر نموذج ويب مُصمم لهذا الغرض، بينما تستخدم المنصات الكبرى واجهة برمجية للإبلاغ لتقديم نفس النوع من التقارير. لا يحتاج مشغّل صغير إلى تلك الواجهة البرمجية. يحتاج فقط إلى أن يكون الشخص المُعيّن أعلاه على علم مسبق بوجود نموذج الويب وما يطلبه، بدلاً من اكتشاف ذلك في خضم حادثة فعلية.

قرر كتابياً أين ستُحفظ المواد المحفوظة طوال السنة المطلوبة ومن يمكنه الوصول إليها، بما يتماشى مع نفس نهج الوصول المقيّد الذي يدين به الموقع بالفعل لبيانات التحقق من الهوية. احتفظ بسجل قصير لما تم الإبلاغ عنه ومتى، ليس من أجل NCMEC، بل حتى تتمكن الشركة من إثبات، إذا سُئلت يوماً ما، أن عمليتها سارت كما كُتب لها أن تسير.

لا شيء من هذا يتطلب برمجيات جديدة أو ميزانية كبيرة. يتطلب صفحة واحدة مكتوبة، وشخصاً واحداً معيّناً، وقراراً يُتخذ الآن، لا في خضم حادثة، بأن يُقدَّم تقرير وتُحفظ المواد، قبل أن يلمس أحد زر الحذف.