CyberTipline को रिपोर्ट करने का दायित्व: वर्गीकृत विज्ञापन साइट चलाने वाले को क्या रिपोर्ट करना है, और 2024 में क्या बदल गया

वह विज्ञापन जिसे मॉडरेटर बस मिटा नहीं सकता

कतार देख रहा मॉडरेटर एक ऐसा विज्ञापन खोलता है जिसमें कुछ गड़बड़ लगती है: एक चेहरा जो बताई गई उम्र से छोटा लगता है, एक फोन नंबर जो उसी हफ्ते तीन अलग-अलग शहरों के विज्ञापनों में घूम चुका है, एक अकाउंट जो एक साथ कई अलग-अलग लोगों के लिए पोस्ट करता दिखता है। जो सहज प्रवृत्ति हर मॉडरेशन प्रक्रिया की नींव है, वह है तेज़ी से काम करना: विज्ञापन हटाओ, अकाउंट रोको, कतार के अगले नंबर पर बढ़ो। लगभग हर तरह के समस्याग्रस्त विज्ञापन के लिए यह प्रवृत्ति सही है और काम वहीं खत्म हो जाता है।

यह श्रेणी अलग है, और यह फर्क तब तक साफ नहीं होता जब तक कोई इसे जांच नहीं लेता। अमेरिकी संघीय कानून इस मामले को ऐसा कंटेंट फैसला नहीं मानता जो साइट खुद अकेले ले सके। वह इसे एक खास, अनिवार्य रिपोर्ट का कारण बनाता है, जो कानून द्वारा तय किए गए एक पते पर भेजी जानी चाहिए, और जिस चीज़ की रिपोर्ट की जा रही है उससे जुड़ा अपना सामग्री सुरक्षित रखने का दायित्व भी साथ लाता है। बिना सोचे-समझे अकाउंट बैन कर देना और विज्ञापन मिटा देना, बिना कुछ और किए, गलती से ठीक वही चीज़ नष्ट कर सकता है जिसे कानून सुरक्षित रखने की मांग करता है।

इसका आम मॉडरेशन समस्या से कोई लेना-देना नहीं है, जैसे नकली फोटो या धोखाधड़ी वाले विज्ञापन, जो एक कारोबारी जोखिम है जिसे ऑपरेटर अपने निर्णय और बैन बटन से संभालता है, जिस पर असल में एक नकली विज्ञापन को ऑनलाइन आने से क्या रोकता है में बात की गई है। यह एक अकेला, संकीर्ण कानूनी दायित्व है, जो एक विशेष कानून से बना है, और यह तब भी मौजूद रहता है जब ऑपरेटर ने इसके बारे में कभी सुना ही न हो। इस लेख का मकसद यह सुनिश्चित करना है कि जिस दिन यह पहली बार सामने आए, वह वह दिन न हो जब कंपनी में कोई पहली बार यह कानून पढ़ रहा हो।

यह FOSTA-SESTA ने मानव तस्करी से जुड़े कंटेंट के लिए बनाई गई आपराधिक जिम्मेदारी से भी अलग सवाल है: वह कानून तय करता है कि क्या प्लेटफॉर्म पर खुद मुकदमा चलाया जा सकता है या किसी विज्ञापन में लिखी बात के लिए उस पर आपराधिक कार्रवाई हो सकती है। यह दायित्व केवल यह तय करता है कि रिपोर्ट सही संघीय पते तक पहुंची या नहीं, और यह उस अलग जिम्मेदारी वाले सवाल का नतीजा चाहे जो भी निकले, फिर भी लागू होता है।

यहां जिस कानून की बात हो रही है वह है 18 U.S.C. § 2258A, और 2024 में REPORT Act नाम के एक संशोधन ने इतना कुछ बदल दिया कि उस साल से पहले लिखा गया कोई भी मार्गदर्शन अब सबसे ज़रूरी आंकड़ों पर पुराना पड़ चुका है: क्या रिपोर्ट करना है, सामग्री कितने समय तक सुरक्षित रखनी है, और रिपोर्ट न करने पर कितना खर्च आ सकता है।

यह कानून असल में क्या मांगता है

Section 2258A ऐसे "provider" पर लागू होता है जो जनता को इलेक्ट्रॉनिक संचार सेवा या रिमोट कंप्यूटिंग सेवा उपलब्ध कराता है, ये शब्द पुराने वायरटैप और संग्रहीत संचार कानूनों से लिए गए हैं। दोनों में से किसी भी परिभाषा में कंपनी के आकार, कमाई या क्षेत्र का ज़िक्र नहीं है। ऐसी सेवा जो उपयोगकर्ताओं को अकाउंट देती है, उन्हें फोटो अपलोड करने देती है, या एक-दूसरे को संदेश भेजने देती है, ठीक वही तरह की सेवा है जिसे बताने के लिए ये परिभाषाएं लिखी गई थीं, और कानून में कहीं भी छोटे वर्गीकृत विज्ञापन बाज़ार को सिर्फ इसलिए बाहर नहीं रखा गया कि वह छोटा है। क्या हर वर्गीकृत विज्ञापन साइट हर बारीकी में इस परिभाषा में फिट बैठती है, यह इस तरह के व्यवसाय के खिलाफ कभी अदालत में परखा नहीं गया है, इसलिए इसे तय मान लेने के बजाय एक खुला सवाल मानना चाहिए, और खुद की स्थिति का आकलन किसी वकील से करवाना चाहिए, बजाय इसके कि कोई एक जवाब पहले से मान लिया जाए।

इस दायित्व को जगाने वाली चीज़ संकीर्ण है: वास्तविक जानकारी। कानून साफ कहता है कि इसमें कुछ भी किसी provider को किसी उपयोगकर्ता पर नज़र रखने, किसी संचार की सामग्री पर नज़र रखने, या रिपोर्ट को जगाने वाले तथ्यों की सक्रिय रूप से तलाश, जांच या स्कैनिंग करने के लिए बाध्य नहीं करता। ढूंढने जाने की कोई बाध्यता नहीं है। यह दायित्व उसी पल शुरू होता है जब कंपनी में किसी को वास्तव में इसकी जानकारी हो जाती है, और उस पल से कानून कहता है कि रिपोर्ट को नेशनल सेंटर फॉर मिसिंग एंड एक्सप्लॉइटेड चिल्ड्रन (NCMEC) के CyberTipline तक "जितनी जल्दी उचित रूप से संभव हो" पहुंचना चाहिए।

2024 से पहले, इस दायित्व को जगाने वाली श्रेणियां ज़्यादातर ऑपरेटरों की सोच से कहीं संकीर्ण थीं: ऐसी सामग्री जो बाल यौन शोषण दिखाती दिखे। संदिग्ध बाल यौन तस्करी और संदिग्ध ऑनलाइन बहकावा तब बिल्कुल भी अनिवार्य रिपोर्टिंग श्रेणियां नहीं थे, हालांकि दोनों ठीक उसी तरह के अकाउंट व्यवहार में सामने आ सकते हैं जिसे किसी वर्गीकृत विज्ञापन साइट की मॉडरेशन टीम सबसे पहले पहचानने की स्थिति में होती है: कोई एक साथ कई लोगों के विज्ञापन चला रहा हो, किसी नाबालिग को वयस्क बनकर पेश होने के लिए उकसाया जा रहा हो, ऐसे पैटर्न जो अलग-अलग नहीं बल्कि समन्वित लगते हों।

यही खाली जगह REPORT Act ने भरी, और यही वजह है कि मई 2024 से पहले लिखी गई कोई भी नीति अब मौजूदा कानून का सही वर्णन नहीं करती।

REPORT Act के साथ क्या बदला

राष्ट्रपति बाइडेन ने 7 मई 2024 को REPORT Act पर हस्ताक्षर किए। इसने § 2258A में चार बिंदुओं पर संशोधन किया जो सीधे इस बात से जुड़े हैं कि ऑपरेटर कैसे एक प्रक्रिया बनाता है, न कि सिर्फ उस प्रक्रिया का नाम क्या रखा जाता है।

पहला, इसने संदिग्ध बाल यौन तस्करी और किसी नाबालिग के संदिग्ध ऑनलाइन बहकावे को उन श्रेणियों में जोड़ा जिन्हें provider को रिपोर्ट करना है, उस सामग्री के साथ जो बाल यौन शोषण दिखाती दिखे। यह वह बदलाव है जो फोटो से आगे बढ़कर बहुत कुछ शामिल कर लेता है: विज्ञापनों के पोस्ट और प्रबंधन करने के तरीके में कोई पैटर्न अब खुद ही एक रिपोर्ट करने लायक स्थिति बन सकता है, चाहे कोई एक फोटो समस्याग्रस्त हो या न हो।

दूसरा, इसने provider को किसी रिपोर्ट से जुड़ी सामग्री सुरक्षित रखने की अवधि 90 दिन से बढ़ाकर एक साल कर दी। जो साइट कुछ रिपोर्ट करती है और फिर एक महीने बाद यह सोचकर अकाउंट का मूल डेटा मिटा देती है कि अकाउंट बैन हो चुका है और मामला खत्म हो गया, वह अब कानून द्वारा मांगी गई सुरक्षित रखने की समय-सीमा के भीतर नहीं रहती।

तीसरा, इसने सुरक्षित रखी जा रही सामग्री के लिए एक सुरक्षा शर्त जोड़ी: CyberTipline को की गई रिपोर्ट से जुड़ी सामग्री रखने वाले provider को उसे मौजूदा NIST साइबर सुरक्षा फ्रेमवर्क के अनुरूप तरीके से सुरक्षित रखना होगा, जिसकी पालन-सीमा कानून लागू होने के एक साल बाद, यानी लगभग मई 2025 तय की गई है। यह उसी सवाल के बगल में खड़ा है जिसका जवाब ऑपरेटर को पहले से ही पहचान सत्यापन के चरण में जुटाए गए और सुरक्षित रूप से रखे जाने वाले पहचान दस्तावेज़ों के लिए देना पड़ता है: रिपोर्ट की सुरक्षित रखी गई सामग्री को भी उसी तरह की सोच-समझकर बनाई गई, सीमित पहुंच वाली भंडारण व्यवस्था चाहिए, न कि ऐसा फोल्डर जिसे कंपनी में कोई भी खोल सके।

चौथा, और यह बदलाव सबसे ज़्यादा किसी ऑपरेटर का ध्यान खींचने वाला है, इसने जानबूझकर और इरादतन रिपोर्ट न करने पर लगने वाला जुर्माना काफी बढ़ा दिया।

जुर्माना असल में क्या है, और क्या नहीं है

REPORT Act से पहले, जानबूझकर और इरादतन रिपोर्ट न करने पर पहली बार उल्लंघन करने पर अधिकतम 150,000 डॉलर और दोबारा उल्लंघन करने पर अधिकतम 300,000 डॉलर तक का सिविल जुर्माना लगता था। नई व्यवस्था इस अधिकतम सीमा को provider के आकार से जोड़ती है: 10 करोड़ से कम मासिक सक्रिय उपयोगकर्ताओं वाले provider पर पहली बार जानबूझकर और इरादतन रिपोर्ट न करने पर अब अधिकतम 600,000 डॉलर तक का जुर्माना लग सकता है, और उस आंकड़े को छूने या पार करने वाले provider पर अधिकतम 850,000 डॉलर तक का। दूसरी या उसके बाद की गड़बड़ी पर यह वही बंटवारा बनाए रखते हुए 850,000 या 1,000,000 डॉलर तक बढ़ जाता है। एक छोटी वर्गीकृत विज्ञापन साइट दोनों गिनतियों में निचले दायरे में आती है, और अकेला वह निचला दायरा भी पुरानी अधिकतम सीमा से चार गुना है।

इस आंकड़े को सही ढंग से समझने के लिए दो बातें ध्यान में रखनी चाहिए। यह एक सिविल जुर्माना है, इस प्रावधान से जुड़ी कोई जेल की सज़ा नहीं है, और यह सिर्फ जानबूझकर और इरादतन रिपोर्ट न करने पर लागू होता है, यानी जब कंपनी को पता था और उसने रिपोर्ट न करने का फैसला किया, न कि उस स्थिति में जहां शायद रिपोर्ट करनी चाहिए थी लेकिन प्रक्रिया में हुई किसी ईमानदार चूक के कारण नहीं की गई। लापरवाही से चूक जाना वह चीज़ नहीं है जिसे सज़ा देने के लिए यह जुर्माना बनाया गया है।

एक और बात जानने लायक है, क्योंकि यह बदल देती है कि इस आंकड़े को कितनी तात्कालिकता से पढ़ा जाए: सार्वजनिक रिपोर्टिंग में ऐसा कोई मामला सामने नहीं आया जिसमें न्याय विभाग ने वाकई किसी provider पर यह विशेष जुर्माना लगाया हो। यह अनुपस्थिति इस दायित्व को महज़ दिखावा मानने की वजह नहीं है। इस तरह के रिपोर्टिंग कानूनों को लागू करने के तरीके अक्सर उसी पल बदल जाते हैं जब कोई मामला एक मिसाल बनाने लायक इतना दिखने लगता है, और बिना किसी प्रक्रिया वाली कंपनी के ही उस मिसाल में बदलने की सबसे ज़्यादा संभावना होती है, क्योंकि जिस कंपनी को कानून के बारे में बताया गया और उसने कुछ नहीं किया, उसके खिलाफ जानबूझकर और इरादतन उल्लंघन साबित करना उस कंपनी के मुकाबले कहीं आसान है जिसकी असली प्रक्रिया थी और जिसने उसके भीतर एक बचाव योग्य फैसला लिया।

व्यवहार में सबसे तात्कालिक जोखिम जुर्माना नहीं है। यह वह है कि किसी को कुछ गड़बड़ नज़र आने के बाद के घंटों में, इससे पहले कि किसी ने रिपोर्ट के दायित्व के बारे में सोचा भी हो, उस अकाउंट और उसकी सामग्री का क्या होता है।

पहला असली मामला आने से पहले तैयार रखने वाली प्रक्रिया

इसका हल कोई निगरानी उपकरण नहीं है। कानून साफ कहता है कि इसकी ज़रूरत नहीं है, और एक बनाना अपने खुद के प्राइवेसी और लागत के सवाल खड़े कर देगा जो यह दायित्व मांगता ही नहीं। हल है एक छोटी, लिखित प्रक्रिया जो उस दिन से पहले ही मौजूद हो जब इसकी ज़रूरत पड़े, क्योंकि जिस दिन इसकी ज़रूरत पड़ती है वही उसे तुरंत बना लेने के लिए सबसे बुरा समय होता है।

एक ही व्यक्ति, या एक साफ-साफ तय की गई भूमिका नामित करें, जो ऐसी किसी स्थिति की जानकारी सबसे पहले पाए, न कि यह उस पर छोड़ दें जो उस दिन मॉडरेशन कर रहा हो। उस व्यक्ति के पास बैठक का इंतज़ार किए बिना काम करने का अधिकार होना चाहिए, क्योंकि "जितनी जल्दी उचित रूप से संभव हो" कानूनी मानक है, न कि "जब हम इस पर आपस में बात कर लेंगे"।

यह लिख कर रखें कि कुछ गड़बड़ लगने के उसी पल टीम को क्या नहीं करना चाहिए: और संपर्क करके व्यक्ति की उम्र खुद पता लगाने की कोशिश न करें, विज्ञापन देने वाले से आमने-सामने बात न करें, यह भनक न लगने दें कि अकाउंट की समीक्षा हो रही है, और रिपोर्ट दाखिल होने और सामग्री सुरक्षित होने से पहले अकाउंट या उसकी सामग्री न मिटाएं। ये सभी सहज प्रवृत्तियां उस पल में सुरक्षा जैसी महसूस होती हैं, और इनमें से हर एक रिपोर्ट को कमज़ोर कर सकती है या वह चीज़ नष्ट कर सकती है जिसे कानून सुरक्षित रखने के लिए कहता है।

पहले से जान लें कि रिपोर्ट असल में कैसे दाखिल होती है: NCMEC का CyberTipline इसी मकसद के लिए बनाए गए एक वेब फॉर्म के ज़रिए रिपोर्ट स्वीकार करता है, और बड़े प्लेटफॉर्म उसी काम के लिए एक रिपोर्टिंग API इस्तेमाल करते हैं। एक छोटे ऑपरेटर को उस API की ज़रूरत नहीं है। उसे बस इतना चाहिए कि ऊपर नामित व्यक्ति को पहले से पता हो कि वह वेब फॉर्म मौजूद है और उसमें क्या पूछा जाता है, न कि किसी घटना के बीच में उसे यह पहली बार पता चले।

लिखित रूप में तय करें कि सुरक्षित रखी गई सामग्री तय की गई एक साल की अवधि तक कहां रहेगी और उस तक किसकी पहुंच होगी, वही सीमित पहुंच वाला तरीका अपनाते हुए जो साइट पहले से अपने पहचान सत्यापन डेटा के लिए अपनाती है। क्या रिपोर्ट किया गया और कब किया गया, इसका एक छोटा रिकॉर्ड रखें, यह NCMEC के लिए नहीं है, बल्कि इसलिए है ताकि कंपनी कभी पूछे जाने पर दिखा सके कि उसकी प्रक्रिया वैसे ही चली जैसी लिखी गई थी।

इनमें से किसी के लिए भी नए सॉफ्टवेयर या बड़े बजट की ज़रूरत नहीं है। ज़रूरत है एक लिखा हुआ पन्ना, एक नामित व्यक्ति, और अभी लिया गया फैसला, न कि किसी घटना के बीच में, कि कोई भी डिलीट बटन दबाने से पहले रिपोर्ट दाखिल की जाएगी और सामग्री सुरक्षित रखी जाएगी।