Llega una citación por uno de tus usuarios: qué debe entregar realmente un operador de anuncios en Estados Unidos

La llamada que no es una citación

Llega un correo de un departamento de policía preguntando por la cuenta de un anunciante: nombre, dirección IP, los mensajes vinculados a un anuncio. En el mensaje no dice qué ley exige una respuesta, solo que quien escribe es un detective y el caso es real. La mayoría de los operadores hace entonces una de dos cosas, y ambas son un error. Entregan todo lo que muestra el panel porque negarse parece hacer ver a la empresa como cómplice, o se niegan a todo porque entregar algo parece un riesgo sin ninguna ventaja. Ninguna de las dos respuestas depende de lo que la ley realmente exige, y en ese vacío es donde un directorio por lo demás bien gestionado se mete en problemas.

Una placa, una llamada y un correo desde una dirección gubernamental no son, por sí solos, un proceso legal. Ninguna ley estadounidense obliga a un proveedor a divulgar los datos de un usuario porque un agente lo pidió, y tratar cada solicitud como automáticamente válida es exactamente el instinto que lleva a divulgar más de lo que un tribunal realmente autorizó. Lo que obliga a divulgar es un instrumento específico: una citación, una orden judicial emitida bajo una disposición concreta de la ley federal, o una orden de registro. Cada uno alcanza una porción distinta y precisamente definida de lo que guarda un directorio, y ninguno es intercambiable con los demás.

La única situación en la que entregar datos sin ninguno de estos instrumentos es legal es estrecha, y vale la pena conocerla con exactitud, porque los operadores o bien olvidan que existe o la estiran para cubrir casos para los que nunca se pensó. Según el 18 U.S.C. § 2702(b), un proveedor puede divulgar voluntariamente registros, incluso el contenido de comunicaciones, a una entidad gubernamental si cree de buena fe que una emergencia que implica peligro de muerte o lesión física grave requiere divulgación sin demora. Es una excepción para emergencias genuinas: un anuncio que se lee como una amenaza inminente a la seguridad de alguien, no una investigación que bien podría esperar una semana por el papeleo.

Fuera de ese único caso, el primer paso correcto es el mismo sin importar quién pregunte: pedir la solicitud por escrito, confirmar que nombra el instrumento legal real que la respalda, y dirigirla a una sola persona dentro de la empresa, idealmente la misma persona o abogado que ya gestiona las demás obligaciones de cumplimiento de la plataforma, en lugar de a quien haya abierto el correo por casualidad. Todo lo que sigue depende de saber qué instrumento se tiene en mano antes de decidir a qué da derecho realmente a quien lo presenta.

Lo que una citación por sí sola puede alcanzar, y lo que no

Una citación es el instrumento más débil de esta jerarquía, y también es el que los operadores cumplen en exceso con más frecuencia. Según el 18 U.S.C. § 2703(c)(2), una citación puede obligar a divulgar lo que la ley llama información básica del abonado: nombre, dirección, registros de sesión y conexión o su duración, duración y tipo de servicio, cualquier identificador del abonado o del dispositivo, incluida una dirección de red asignada temporalmente, y el medio o la fuente de pago del servicio, incluido el número de una tarjeta de crédito o de una cuenta bancaria. Esa es toda la lista. No incluye el contenido de un mensaje, la descripción de un anuncio ni una fotografía, sin importar cómo esté redactada la solicitud.

Esto importa porque una citación es relativamente fácil de obtener: no requiere que un juez valore pruebas como sí ocurre con una orden de registro, y es el instrumento que aparece más a menudo en el curso ordinario de una investigación, no solo en las más graves. Un directorio que trata una citación como autorización para entregar registros de mensajes o documentos de verificación está cediendo más de lo que la ley pidió, y cada documento extra entregado es una cosa más de la que la empresa tendrá que responder después, si un usuario, un regulador o un tribunal preguntan alguna vez por qué salió de sus archivos.

El contenido, es decir, la sustancia de lo que un usuario realmente escribió o envió y no el mero hecho de que exista una cuenta, está detrás de un umbral mucho más alto. Según el § 2703(a), el contenido almacenado 180 días o menos solo puede obligarse con una orden de registro, obtenida con el mismo estándar de causa probable usado en cualquier otro caso penal. El texto de la ley trata de forma distinta el contenido almacenado por más tiempo, en teoría permitiendo una citación o una orden menor una vez dado aviso al usuario, pero esa brecha sobre el papel no refleja cómo llegará realmente la solicitud.

Tras un fallo de un tribunal federal de apelaciones en 2010 y un cambio de política que le siguió, los fiscales federales de Estados Unidos adoptaron una práctica nacional de obtener una orden de registro para el contenido sin importar cuánto tiempo lleve almacenado, tratando de hecho la distinción de los 180 días prevista en la ley como retirada, aunque el texto nunca se reescribió. En la práctica, si llega una solicitud de algo parecido al contenido de un mensaje sin una orden de registro adjunta, esa es la señal para preguntar qué instrumento hay realmente detrás antes de entregar nada, no para asumir que quien la envía ya lo comprobó.

Entre una citación y una orden de registro se sitúa otro instrumento, una orden judicial bajo el § 2703(d), que un juez puede emitir con un umbral más bajo que la causa probable: hechos específicos y articulables que muestren motivos razonables para creer que los datos solicitados son relevantes y pertinentes para una investigación en curso. Sigue requiriendo acudir ante un juez, lo que la distingue de una citación emitida sin control judicial, pero no alcanza el contenido que solo una orden de registro puede obligar. Saber cuál de los tres instrumentos está sobre la mesa, citación, orden judicial u orden de registro, decide qué debe entregar un directorio y qué no.

La carta de conservación que llega primero

Antes de cualquier citación u orden de registro, la mayoría de las investigaciones que tocan a un directorio empiezan con algo más discreto: una solicitud de conservación bajo el 18 U.S.C. § 2703(f). No interviene ningún tribunal. Una entidad gubernamental pide al proveedor que conserve datos específicos, y el proveedor tiene que congelar lo que posee para que no se sobrescriba, borre o elimine por el propio calendario de conservación de la plataforma mientras el gobierno decide si solicita una citación, una orden judicial o una orden de registro.

La solicitud en sí no obliga a divulgar nada: conservación y entrega son dos pasos distintos, y un directorio que lee una carta de conservación como una exigencia de entregar los datos de inmediato está haciendo más de lo que la ley pidió, en la misma dirección que el exceso de celo ante una simple citación. Lo que la solicitud sí obliga es a conservar: la ley fija el bloqueo en 90 días, prorrogable una vez por otros 90 días si el gobierno renueva la solicitud antes de que venza el primer periodo.

Este es el momento en que las propias prácticas de datos de un directorio hacen que la solicitud sea sencilla, o la convierten en una carrera contrarreloj. Decidir de antemano cuánto tiempo se conservan los documentos de verificación de identidad, los datos de pago y los registros de cuenta es lo que determina si un bloqueo de 90 días es trivial, porque esos datos iban a seguir ahí de todos modos, o imposible, porque el calendario de borrado normal de la plataforma ya los eliminó antes de que llegara la carta. Una solicitud de conservación no puede resucitar datos que una política de retención ya destruyó, y un proveedor que no puede cumplir un bloqueo por sus propios hábitos de borrado se ha creado un problema por sí mismo, independiente de lo que haya hecho el gobierno.

La respuesta práctica es tener un proceso documentado listo antes de que llegue la primera carta: un buzón o contacto único al que dirigir las solicitudes de conservación, una persona que verifique que la solicitud viene realmente de una entidad gubernamental, y una forma de marcar la cuenta señalada para que las rutinas normales de borrado la salten durante el periodo de bloqueo. Nada de esto requiere un abogado para ejecutarse una vez diseñado, pero diseñarlo sin haber gestionado nunca una solicitud real es mucho más fácil que improvisarlo bajo presión de plazo.

La obligación que no tiene nada que ver con una solicitud

Todo lo anterior trata sobre qué ocurre cuando el gobierno pregunta. Una obligación va en el sentido contrario: un deber de reportar, activado por lo que la propia plataforma encuentra, sin que intervenga ninguna solicitud. Según el 18 U.S.C. § 2258A, un proveedor que obtiene conocimiento real de material que aparenta ser abuso sexual infantil en su plataforma debe reportarlo a la CyberTipline que gestiona el National Center for Missing & Exploited Children tan pronto como sea razonablemente posible.

La ley es precisa sobre qué activa la obligación y qué no: exige un reporte una vez que el proveedor tiene conocimiento real, no una obligación general de buscar, escanear o vigilar los anuncios para encontrarlo. Un directorio no tiene que operar su propio programa de detección para cumplir esta ley, pero si un moderador, un ticket de soporte o una alerta de un proveedor de pagos o de verificación hace aparecer algo que lo parece, el plazo de "tan pronto como sea razonablemente posible" empieza de inmediato, no cuando el equipo tenga tiempo de revisarlo.

La consecuencia de fallar en esto cambió de forma sustancial en 2024. La REPORT Act elevó el periodo de conservación exigido para un reporte y el material asociado de los anteriores 90 días a un año completo, y elevó las sanciones civiles por el incumplimiento consciente y deliberado del reporte hasta 600.000 dólares por una primera infracción y 850.000 dólares por una posterior, para un proveedor con menos de 100 millones de usuarios mensuales, categoría que cubre prácticamente a cualquier directorio de anuncios. Las notas de cumplimiento más antiguas que todavía citan un bloqueo de 90 días o las cifras de sanciones previas a 2024 describen una ley que ya no existe en esa forma.

Esta obligación se sitúa junto a, pero permanece legalmente distinta de, la cuestión de responsabilidad de la plataforma que determina si un operador puede ser considerado penalmente responsable por facilitar la trata a través de sus anuncios. Un directorio puede ser cuidadoso con lo primero y aun así fallar en lo segundo si no tiene un camino probado y funcional que vaya de quien detecta algo a quien realmente presenta el reporte, y es un camino que vale la pena probar antes de que se necesite, en lugar de descubrir que no funciona en medio de un caso real.

Qué hacer, en orden

Pon a una sola persona o rol a cargo de todo contacto con las fuerzas del orden, del mismo modo en que un directorio designaría a una sola persona responsable de la cola de contracargos o del calendario de borrado de datos. Quien reciba la primera llamada debería tener una forma directa de pasarla a esa persona, en lugar de responder en el momento.

Exige el instrumento por escrito antes de producir nada más allá de confirmar que existe una cuenta, y léelo por lo que realmente es: una citación, una solicitud de conservación, una orden bajo el § 2703(d), o una orden de registro, cada una autorizando una porción de datos distinta y sin solapamiento. Si llega una solicitud de contenido de mensajes o documentos de verificación sin una orden de registro adjunta, esa es la señal para preguntar qué hay detrás, no para asumir que quien la envía ya tiene el papeleo correcto.

Registra cada solicitud que llegue, resulte o no en la entrega de algo: la fecha, la agencia solicitante, el instrumento adjunto, qué se conservó o entregó, y quién dio la aprobación. Es la misma disciplina que convierte una disputa de pago o una queja de acceso a datos de un recuerdo vago en un registro sobre el que la empresa realmente puede apoyarse después.

Arregla el camino de reporte a la CyberTipline antes de que se necesite de verdad: saber quién dentro de la empresa tiene realmente la autoridad y las credenciales para presentar un reporte, y confirmar que el periodo de conservación con el que trabaja el equipo es el vigente, un año completo, y no los 90 días ya superados copiados de un documento de política antiguo.

Ten resuelto el contacto de un abogado antes del día en que llegue una citación, no después. Nada en este artículo sustituye el asesoramiento legal sobre una solicitud real, y el valor de todo lo anterior está en que le indica a ese abogado, y al operador, cuál de estos instrumentos tienen delante antes de que ninguno de los dos tenga que adivinarlo.