Le devoir de signalement au CyberTipline : ce qu'un operateur de petites annonces doit signaler, et ce qui a change en 2024

L'annonce qu'un moderateur ne peut pas simplement supprimer

Un moderateur qui parcourt la file ouvre une annonce ou quelque chose cloche : un visage qui parait plus jeune que l'age declare, un numero de telephone qui a circule dans des annonces de trois villes differentes la meme semaine, un compte qui semble publier pour plusieurs personnes distinctes a la fois. Le reflexe, celui sur lequel repose tout circuit de moderation, est d'agir vite : retirer l'annonce, suspendre le compte, passer a l'element suivant de la file. Pour presque toute categorie d'annonce problematique, ce reflexe est le bon et le travail s'arrete la.

Cette categorie est differente, et la difference n'est pas evidente tant que personne ne verifie. Le droit federal americain ne traite pas ce cas comme une decision sur le contenu que le site pourrait prendre seul. Il en fait le declencheur d'un signalement specifique et obligatoire vers un destinataire designe par la loi, avec son propre devoir de conservation attache a ce qui est signale. Bannir le compte et supprimer l'annonce, fait par reflexe et sans plus, peut detruire par accident ce que la loi impose justement de conserver.

Rien de tout cela ne concerne le probleme ordinaire de moderation, photos falsifiees ou annonces frauduleuses, qui est un risque commercial qu'un operateur gere avec son propre jugement et un bouton de bannissement, traite dans ce qui empeche vraiment une fausse annonce d'etre mise en ligne. C'est un devoir juridique unique et circonscrit, cree par une loi precise, qui existe que l'operateur en ait deja entendu parler ou non. Le but de cet article est de faire en sorte que la premiere fois que cela se produit ne soit pas aussi la premiere fois que quelqu'un dans l'entreprise lit la loi.

C'est aussi une question distincte de l'exposition penale que le FOSTA-SESTA a creee pour les contenus lies a la traite sexuelle : cette loi decide si la plateforme elle-meme peut etre poursuivie civilement ou penalement pour ce que dit une annonce. Ce devoir determine seulement si un signalement a atteint la bonne adresse federale, et il s'applique quelle que soit l'issue de cette autre question de responsabilite.

La loi en question est le 18 U.S.C. § 2258A, et un amendement de 2024 appele REPORT Act a change assez de choses pour qu'un guide redige avant cette annee soit desormais perime sur les chiffres qui comptent le plus : ce qui doit etre signale, combien de temps le materiel doit etre conserve, et ce que peut couter un defaut de signalement.

Ce que la loi exige vraiment

La Section 2258A s'applique a un « provider » d'un service de communication electronique ou d'un service informatique a distance offert au public, des termes empruntes a des lois plus anciennes sur les ecoutes et les communications stockees. Aucune des deux definitions ne mentionne la taille de l'entreprise, le chiffre d'affaires ou le secteur. Un service qui donne des comptes aux utilisateurs, leur permet de televerser des photos ou de s'envoyer des messages est exactement le type de service que ces definitions ont ete redigees pour decrire, et rien dans la loi n'exclut une petite place d'annonces au seul motif qu'elle est petite. Que chaque site d'annonces entre dans cette definition dans tous ses details n'a jamais ete teste devant un tribunal contre une entreprise de ce type, il faut donc traiter la question comme ouverte plutot que tranchee, et faire evaluer sa configuration precise par un avocat plutot que de presumer une reponse ou l'autre.

Ce qui declenche le devoir est etroit : la connaissance effective. La loi indique clairement que rien en elle n'exige d'un provider qu'il surveille un utilisateur, surveille le contenu d'une communication, ou recherche, examine ou scrute activement les faits qui declencheraient un signalement. Il n'y a aucune obligation d'aller chercher. L'obligation demarre au moment ou quelqu'un dans l'entreprise en a effectivement connaissance, et a partir de ce moment la loi dit que le signalement doit atteindre le CyberTipline du National Center for Missing and Exploited Children (NCMEC) « des que raisonnablement possible ».

Avant 2024, les categories qui declenchaient ce devoir etaient plus etroites que la plupart des operateurs ne l'imagineraient : du materiel paraissant montrer un abus sexuel sur mineur. La suspicion de traite sexuelle de mineurs et la suspicion d'incitation en ligne n'etaient pas du tout des categories de signalement obligatoire, alors que toutes deux peuvent surgir exactement dans le type de comportement de compte que l'equipe de moderation d'un site d'annonces est la mieux placee pour remarquer en premier : quelqu'un qui gere les annonces de plusieurs personnes a la fois, un mineur pousse a se faire passer pour un adulte, des schemas qui paraissent coordonnes plutot qu'individuels.

Ce vide, c'est ce que le REPORT Act a comble, et c'est la raison pour laquelle une politique redigee avant mai 2024 ne decrit plus la loi actuelle.

Ce qui a change avec le REPORT Act

Le president Biden a signe le REPORT Act le 7 mai 2024. Il a modifie la § 2258A sur quatre points qui concernent directement la maniere dont un operateur construit un processus, pas seulement le nom de ce processus.

Premierement, il a ajoute la suspicion de traite sexuelle de mineurs et la suspicion d'incitation en ligne d'un mineur aux categories qu'un provider doit signaler, aux cotes du materiel paraissant montrer un abus sexuel sur mineur. C'est le changement qui fait entrer plus que des photographies : un schema dans la maniere dont des annonces sont publiees et gerees peut desormais constituer a lui seul une circonstance a signaler, independamment du fait qu'une photo precise pose probleme ou non.

Deuxiemement, il a prolonge la duree pendant laquelle un provider doit conserver le materiel lie a un signalement, de 90 jours a un an. Un site qui signale quelque chose puis supprime les donnees du compte sous-jacent un mois plus tard, au motif que le compte est banni et l'affaire close, ne se trouve plus dans la fenetre de conservation exigee par la loi.

Troisiemement, il a ajoute une exigence de securite pour ce qui est conserve : un provider detenant du materiel lie a un signalement au CyberTipline doit le proteger d'une maniere conforme au NIST Cybersecurity Framework en vigueur, avec une echeance de mise en conformite fixee a un an apres l'entree en vigueur, soit vers mai 2025. Cela rejoint la meme question qu'un operateur doit deja resoudre pour les pieces d'identite qu'une etape de verification recueille et doit conserver de maniere securisee : le materiel conserve d'un signalement a besoin du meme type de stockage deliberement controle, pas d'un dossier que n'importe qui dans l'entreprise peut ouvrir.

Quatriemement, et le changement le plus susceptible de retenir l'attention d'un operateur, il a fortement releve l'amende pour un defaut de signalement conscient et delibere.

Ce qu'est la sanction, et ce qu'elle n'est pas

Avant le REPORT Act, un defaut de signalement conscient et delibere entrainait une amende civile pouvant atteindre 150 000 dollars pour une premiere infraction et 300 000 pour une recidive. La nouvelle structure lie le plafond a la taille du provider : un premier defaut conscient et delibere peut desormais etre sanctionne jusqu'a 600 000 dollars pour un provider ayant moins de 100 millions d'utilisateurs actifs mensuels, ou jusqu'a 850 000 pour un provider atteignant ou depassant ce chiffre. Une seconde infraction ou plus monte a 850 000 ou 1 000 000 de dollars selon le meme partage. Un petit site d'annonces se situe dans la tranche inferieure sur les deux plans, et cette tranche inferieure a elle seule represente tout de meme quatre fois l'ancien maximum.

Deux points nuancent la lecture de ce chiffre. C'est une amende civile, pas une peine de prison attachee a cette disposition, et elle ne s'applique qu'a un defaut de signalement conscient et delibere, c'est-a-dire quand l'entreprise savait et a choisi de ne pas signaler, pas a un cas ou un signalement aurait sans doute du etre depose et ne l'a pas ete a cause d'une faille de bonne foi dans le processus. Un oubli par negligence n'est pas ce que cette sanction est concue pour punir.

L'autre chose a savoir, parce qu'elle change le degre d'urgence avec lequel lire ce chiffre, c'est qu'aucune information publique n'a identifie de cas ou le Department of Justice ait effectivement impose cette amende precise a un provider. Cette absence n'est pas une raison de traiter le devoir comme decoratif. Les schemas d'application de lois de signalement comme celle-ci ont tendance a evoluer des qu'une affaire devient assez visible pour servir d'exemple, et une entreprise sans aucun processus est celle qui a le plus de chances de devenir cet exemple, parce qu'un manquement conscient et delibere est bien plus facile a demontrer contre une entreprise informee de la loi qui n'a rien fait que contre une entreprise qui avait un processus reel et a pris une decision defendable en son sein.

Le risque le plus immediat, en pratique, n'est pas l'amende. C'est ce qui arrive au compte et a son contenu dans les heures qui suivent le moment ou quelqu'un remarque que quelque chose ne va pas, avant meme que quiconque ait pense au devoir de signalement.

Le processus a avoir avant le premier cas reel

La solution n'est pas un outil de surveillance. La loi precise explicitement qu'aucun n'est requis, et en construire un souleve ses propres problemes de vie privee et de cout que ce devoir ne demande pas. La solution est une procedure courte et ecrite qui existe avant le jour ou elle sera necessaire, parce que ce jour-la est le pire moment possible pour en improviser une.

Designez une seule personne, ou un role clairement defini, qui recoit une escalade de ce type, plutot que de la laisser a qui que ce soit moderant ce jour-la. Cette personne a besoin de l'autorite d'agir sans attendre une reunion, parce que « des que raisonnablement possible » est la norme legale, pas « une fois qu'on en aura discute en interne ».

Ecrivez ce que l'equipe ne doit pas faire au moment ou quelque chose semble anormal : ne pas essayer de verifier soi-meme l'age de la personne par un contact supplementaire, ne pas confronter l'annonceur, ne rien laisser transparaitre sur le fait que le compte est en cours d'examen, et ne pas supprimer le compte ou son contenu avant que le signalement ne soit depose et le materiel conserve. Chacun de ces reflexes parait protecteur sur le moment, et chacun peut affaiblir le signalement ou detruire ce que la loi impose de conserver.

Sachez a l'avance comment un signalement se depose vraiment : le CyberTipline du NCMEC accepte les signalements via un formulaire web concu a cet effet, et les grandes plateformes utilisent une API de signalement pour le meme depot. Un petit operateur n'a pas besoin de l'API. Il faut que la personne designee plus haut sache deja que le formulaire web existe et ce qu'il demande, plutot que de le decouvrir en plein incident.

Decidez, par ecrit, ou vivra le materiel conserve pendant l'annee exigee et qui peut y acceder, en suivant la meme approche a acces controle que le site doit deja a ses donnees de verification d'identite. Tenez un bref journal de ce qui a ete signale et quand, non pas pour le NCMEC, mais pour que l'entreprise puisse montrer, si on le lui demande un jour, que son processus a fonctionne comme prevu.

Rien de tout cela n'exige de nouveau logiciel ni un gros budget. Cela exige une page ecrite, une personne designee, et une decision prise maintenant, pas en plein incident, qu'un signalement sera depose et le materiel conserve, avant que quiconque ne touche au bouton de suppression.