आपके किसी उपयोगकर्ता के बारे में समन आ जाता है: अमेरिका में एक क्लासिफाइड्स ऑपरेटर को असल में क्या सौंपना पड़ता है

वह कॉल जो समन नहीं है

किसी पुलिस विभाग से एक ईमेल आता है, जिसमें एक विज्ञापनदाता के खाते के बारे में पूछा जाता है: नाम, आईपी पता, किसी लिस्टिंग से जुड़े संदेश। संदेश में यह नहीं लिखा होता कि कौन सा कानून जवाब देने के लिए बाध्य करता है, बस इतना कि भेजने वाला जासूस है और मामला असली है। इस मोड़ पर ज़्यादातर ऑपरेटर दो में से एक काम करते हैं, और दोनों ही गलत हैं। या तो डैशबोर्ड पर दिखने वाला सब कुछ सौंप देते हैं क्योंकि मना करना कंपनी को मिलीभगत में दिखा सकता है, या फिर सब कुछ मना कर देते हैं क्योंकि कुछ भी सौंपना बिना किसी फायदे का जोखिम लगता है। इनमें से कोई भी प्रतिक्रिया इस बात पर निर्भर नहीं करती कि कानून असल में क्या मांगता है, और इसी खाली जगह में एक वरना अच्छी तरह चलाई जा रही डायरेक्टरी मुसीबत में पड़ जाती है।

एक बैज, एक फोन कॉल और सरकारी पते से आया ईमेल, अपने आप में कानूनी प्रक्रिया नहीं है। कोई भी अमेरिकी कानून किसी प्रदाता को यह बाध्य नहीं करता कि किसी अधिकारी के पूछने भर से वह उपयोगकर्ता का डेटा उजागर कर दे, और हर अनुरोध को अपने आप वैध मान लेना ठीक वही प्रवृत्ति है जो अदालत द्वारा असल में अनुमति दी गई सीमा से ज़्यादा उजागर करने की ओर ले जाती है। उजागर करने के लिए बाध्य करने वाला एक निश्चित कानूनी उपकरण होता है: समन, संघीय कानून के किसी खास प्रावधान के तहत जारी अदालती आदेश, या तलाशी वारंट। इनमें से हर एक डायरेक्टरी के पास मौजूद डेटा के एक अलग, सटीक रूप से परिभाषित हिस्से तक पहुंचता है, और कोई भी दूसरे की जगह नहीं ले सकता।

एक ही स्थिति है जहां इनमें से किसी भी उपकरण के बिना डेटा सौंपना कानूनी है, वह दायरा बहुत संकीर्ण है, और इसे ठीक से जानना ज़रूरी है, क्योंकि ऑपरेटर या तो इसके अस्तित्व को भूल जाते हैं या इसे उन मामलों तक खींच लेते हैं जिनके लिए यह कभी बनाया ही नहीं गया था। 18 U.S.C. § 2702(b) के तहत, एक प्रदाता स्वेच्छा से रिकॉर्ड, यहां तक कि संचार की सामग्री भी, किसी सरकारी संस्था को उजागर कर सकता है, अगर उसे सद्भावपूर्वक यह विश्वास हो कि मृत्यु या गंभीर शारीरिक क्षति के खतरे वाली किसी आपात स्थिति के लिए बिना देरी के जानकारी उजागर करना ज़रूरी है। यह असली आपात स्थितियों के लिए एक अपवाद है: एक लिस्टिंग जो किसी की सुरक्षा के लिए तात्कालिक खतरे जैसी लगे, न कि कोई ऐसी जांच जो आराम से कागज़ी कार्रवाई के लिए एक हफ्ता इंतज़ार कर सकती हो।

इस एक मामले के अलावा, सही पहला कदम हमेशा एक जैसा रहता है, चाहे पूछने वाला कोई भी हो: अनुरोध लिखित में मांगें, यह पुष्टि करें कि उसमें असल कानूनी उपकरण का नाम है जो उसके पीछे है, और इसे कंपनी के भीतर एक ही व्यक्ति तक पहुंचाएं, आदर्श रूप से वही व्यक्ति या वकील जो पहले से ही प्लेटफॉर्म के बाकी अनुपालन दायित्व संभालता है, न कि जिसने भी संयोग से वह ईमेल खोला हो। आगे जो कुछ भी है वह इस बात पर निर्भर करता है कि यह पहले से पता हो कि हाथ में कौन सा उपकरण है, इससे पहले कि यह तय किया जाए कि वह मांगने वाले को असल में किस चीज़ का हक देता है।

अकेला समन किस तक पहुंच सकता है, और किस तक नहीं

इस पदानुक्रम में समन सबसे कमज़ोर उपकरण है, और यही वह उपकरण भी है जिसके साथ ऑपरेटर सबसे ज़्यादा बार ज़रूरत से ज़्यादा सहयोग करते हैं। 18 U.S.C. § 2703(c)(2) के तहत, समन उस चीज़ को उजागर करने के लिए बाध्य कर सकता है जिसे कानून बुनियादी सब्सक्राइबर जानकारी कहता है: नाम, पता, सत्र और कनेक्शन रिकॉर्ड या उनकी अवधि, सेवा की अवधि और प्रकार, कोई भी सब्सक्राइबर या डिवाइस पहचानकर्ता जिसमें अस्थायी रूप से सौंपा गया नेटवर्क पता भी शामिल है, और सेवा के भुगतान का साधन या स्रोत, जिसमें क्रेडिट कार्ड या बैंक खाता संख्या शामिल है। बस यही पूरी सूची है। इसमें किसी संदेश की सामग्री, लिस्टिंग का विवरण, या कोई तस्वीर शामिल नहीं है, चाहे अनुरोध किसी भी तरह से लिखा गया हो।

यह मायने रखता है क्योंकि समन तुलनात्मक रूप से हासिल करना आसान है: इसके लिए किसी जज को सबूत तौलने की ज़रूरत नहीं होती जैसा तलाशी वारंट के लिए होती है, और यह वह उपकरण है जो किसी जांच के सामान्य क्रम में सबसे ज़्यादा बार सामने आता है, न कि सिर्फ सबसे गंभीर मामलों में। जो डायरेक्टरी समन को संदेश लॉग या सत्यापन दस्तावेज़ सौंपने की अनुमति मानती है, वह कानून की मांग से ज़्यादा दे रही होती है, और हर अतिरिक्त सौंपा गया दस्तावेज़ एक और चीज़ है जिसका हिसाब कंपनी को बाद में देना पड़ेगा, अगर कभी कोई उपयोगकर्ता, कोई नियामक, या कोई अदालत पूछे कि वह अभिलेखागार से बाहर क्यों गया।

सामग्री, यानी वह असल पाठ जो एक उपयोगकर्ता ने वाकई लिखा या भेजा, न कि सिर्फ यह तथ्य कि कोई खाता मौजूद है, कहीं ज़्यादा ऊंची सीमा के पीछे रखी होती है। § 2703(a) के तहत, 180 दिन या उससे कम समय तक रखी गई सामग्री केवल तलाशी वारंट से ही मांगी जा सकती है, जो किसी भी दूसरे आपराधिक मामले में इस्तेमाल होने वाले उसी संभावित कारण के मानक पर हासिल किया जाता है। कानून का पाठ इससे ज़्यादा समय तक रखी गई सामग्री के साथ अलग व्यवहार करता है, सिद्धांत रूप में उपयोगकर्ता को सूचना दिए जाने के बाद समन या कमतर अदालती आदेश की अनुमति देता है, लेकिन कागज़ पर यह अंतर इस बात को नहीं दर्शाता कि अनुरोध असल में कैसे आएगा।

2010 में एक संघीय अपील अदालत के फैसले और उसके बाद हुए नीतिगत बदलाव के बाद, अमेरिकी संघीय अभियोजकों ने देशभर में यह प्रथा अपना ली कि सामग्री के लिए, चाहे वह जितने भी समय से रखी गई हो, तलाशी वारंट ही लिया जाए, और कानून में तय 180 दिन के अंतर को व्यावहारिक रूप से खत्म मान लिया, भले ही कानून का पाठ कभी दोबारा नहीं लिखा गया। व्यवहार में, अगर संदेश की सामग्री जैसी किसी चीज़ के लिए अनुरोध बिना तलाशी वारंट के साथ आता है, तो यह संकेत है कि कुछ भी सौंपने से पहले पूछा जाए कि असल में इसके पीछे कौन सा उपकरण है, यह मान लेने के बजाय कि भेजने वाले ने पहले ही जांच कर ली है।

समन और तलाशी वारंट के बीच एक और उपकरण होता है, § 2703(d) के तहत अदालती आदेश, जिसे जज संभावित कारण से कम मानक पर जारी कर सकता है: विशिष्ट और स्पष्ट रूप से बताए जा सकने वाले तथ्य जो यह उचित आधार दिखाते हों कि मांगा गया डेटा किसी चल रही जांच के लिए प्रासंगिक और महत्वपूर्ण है। इसके लिए भी जज के सामने जाना ज़रूरी होता है, जो इसे बिना न्यायिक समीक्षा के जारी किए गए समन से अलग करता है, लेकिन यह उस सामग्री तक नहीं पहुंचता जिसे केवल तलाशी वारंट ही मांग सकता है। यह जानना कि मेज़ पर तीनों में से कौन सा उपकरण है, समन, आदेश, या तलाशी वारंट, यह तय करता है कि डायरेक्टरी को क्या सौंपना है और क्या नहीं।

सबसे पहले आने वाला संरक्षण पत्र

किसी भी समन या तलाशी वारंट से पहले, डायरेक्टरी से जुड़ी ज़्यादातर जांचें कुछ ज़्यादा शांत चीज़ से शुरू होती हैं: 18 U.S.C. § 2703(f) के तहत एक संरक्षण अनुरोध। इसमें कोई अदालत शामिल नहीं होती। एक सरकारी संस्था प्रदाता से विशिष्ट रिकॉर्ड सुरक्षित रखने के लिए कहती है, और प्रदाता को अपने पास मौजूद डेटा को इस तरह फ्रीज़ करना होता है कि जब तक सरकार यह तय न कर ले कि समन, आदेश, या तलाशी वारंट मांगना है, वह ओवरराइट, डिलीट, या प्लेटफॉर्म के अपने संरक्षण कार्यक्रम से हट न जाए।

अनुरोध खुद किसी भी चीज़ को उजागर करने के लिए बाध्य नहीं करता: संरक्षण और प्रस्तुतीकरण दो अलग-अलग चरण हैं, और जो डायरेक्टरी संरक्षण पत्र को तुरंत डेटा सौंपने की मांग मान लेती है, वह कानून की मांग से ज़्यादा कर रही होती है, ठीक उसी दिशा में जैसे एक साधारण समन के आगे ज़रूरत से ज़्यादा सहयोग करना। अनुरोध असल में जिस चीज़ के लिए बाध्य करता है वह है रोक कर रखना: कानून यह अवधि 90 दिन तय करता है, जिसे एक बार और 90 दिन के लिए बढ़ाया जा सकता है अगर सरकार पहली अवधि खत्म होने से पहले अनुरोध का नवीनीकरण कर दे।

यही वह पल है जब डायरेक्टरी की अपनी डेटा प्रथाएं या तो अनुरोध को आसान बना देती हैं, या उसे समय के खिलाफ एक दौड़ में बदल देती हैं। पहचान सत्यापन रिकॉर्ड, भुगतान डेटा, और खाता लॉग को कितने समय तक रखना है, यह पहले से तय कर लेना यही तय करता है कि 90 दिन की रोक मामूली बात हो, क्योंकि डेटा वैसे भी वहीं रहता, या असंभव, क्योंकि प्लेटफॉर्म के सामान्य डिलीट शेड्यूल ने पत्र आने से पहले ही उसे मिटा दिया था। एक संरक्षण अनुरोध उस डेटा को वापस नहीं ला सकता जिसे रिटेंशन नीति पहले ही नष्ट कर चुकी है, और जो प्रदाता अपनी ही डिलीट करने की आदतों के कारण रोक का पालन नहीं कर पाता, वह सरकार ने जो भी किया हो उससे अलग, अपने लिए खुद एक समस्या खड़ी कर चुका होता है।

व्यावहारिक जवाब यह है कि पहला पत्र आने से पहले ही एक दस्तावेज़ीकृत प्रक्रिया तैयार रखी जाए: एक इनबॉक्स या संपर्क जहां संरक्षण अनुरोध जाएं, एक व्यक्ति जो जांच करे कि अनुरोध वाकई किसी सरकारी संस्था से आया है, और नामित खाते को इस तरह चिह्नित करने का तरीका ताकि सामान्य डिलीट रूटीन रोक की अवधि के दौरान उसे छोड़ दें। एक बार डिज़ाइन हो जाने के बाद इनमें से किसी को भी लागू करने के लिए वकील की ज़रूरत नहीं होती, लेकिन किसी असली अनुरोध को कभी संभाले बिना इसे डिज़ाइन करना, समय सीमा के दबाव में इसे तुरंत बना लेने से कहीं आसान है।

वह दायित्व जिसका किसी अनुरोध से कोई लेना-देना नहीं

अब तक जो कुछ भी कहा गया वह इस बारे में है कि जब सरकार पूछती है तो क्या होता है। एक दायित्व इसके उलट दिशा में चलता है: रिपोर्ट करने का कर्तव्य, जो प्लेटफॉर्म खुद जो पाता है उससे शुरू होता है, बिना किसी अनुरोध के शामिल हुए। 18 U.S.C. § 2258A के तहत, जो प्रदाता अपने प्लेटफॉर्म पर स्पष्ट रूप से बाल यौन शोषण सामग्री जैसी दिखने वाली किसी चीज़ की वास्तविक जानकारी हासिल करता है, उसे यथासंभव जल्द से जल्द National Center for Missing & Exploited Children द्वारा संचालित CyberTipline को इसकी रिपोर्ट करनी होगी।

यह कानून इस बारे में सटीक है कि क्या इस दायित्व को शुरू करता है और क्या नहीं: यह तभी रिपोर्ट की मांग करता है जब प्रदाता को वास्तविक जानकारी हो, न कि उसे ढूंढने के लिए लिस्टिंग खोजने, स्कैन करने, या निगरानी करने का कोई सामान्य दायित्व। इस कानून का पालन करने के लिए डायरेक्टरी को अपना खुद का पहचान कार्यक्रम चलाने की ज़रूरत नहीं है, लेकिन अगर कोई मॉडरेटर, कोई सपोर्ट टिकट, या किसी भुगतान या सत्यापन वेंडर की तरफ से आया कोई फ्लैग ऐसी किसी चीज़ को सामने लाता है, तो "यथासंभव जल्द से जल्द" की घड़ी तुरंत शुरू हो जाती है, न कि तब जब टीम को इसकी समीक्षा करने का समय मिले।

इस पर गलती करने का नतीजा 2024 में काफी हद तक बदल गया। REPORT Act ने किसी रिपोर्ट और उससे जुड़ी सामग्री के लिए ज़रूरी संरक्षण अवधि को पहले के 90 दिनों से बढ़ाकर पूरे एक साल कर दिया, और जानबूझकर व जानते हुए रिपोर्ट न करने पर सिविल जुर्माने को बढ़ाकर पहली बार के उल्लंघन के लिए 600,000 डॉलर और उसके बाद के उल्लंघन के लिए 850,000 डॉलर तक कर दिया, उन प्रदाताओं के लिए जिनके मासिक उपयोगकर्ता 10 करोड़ से कम हैं, यह श्रेणी लगभग हर क्लासिफाइड्स डायरेक्टरी को कवर करती है। जो पुराने अनुपालन नोट अब भी 90 दिन की रोक या 2024 से पहले के जुर्माने के आंकड़ों का हवाला देते हैं, वे एक ऐसे कानून का वर्णन कर रहे हैं जो अब उस रूप में मौजूद ही नहीं है।

यह दायित्व उस प्लेटफॉर्म जवाबदेही के सवाल के साथ-साथ रहता है जो यह तय करता है कि क्या किसी ऑपरेटर को उसकी लिस्टिंग के ज़रिए तस्करी में मदद पहुंचाने के लिए आपराधिक रूप से ज़िम्मेदार ठहराया जा सकता है, लेकिन कानूनी रूप से इससे अलग बना रहता है। एक डायरेक्टरी पहले वाले के मामले में सावधान हो सकती है और फिर भी दूसरे में असफल हो सकती है, अगर उसके पास किसी चीज़ को नोटिस करने वाले व्यक्ति से लेकर असल में रिपोर्ट दाखिल करने वाले व्यक्ति तक एक काम करने वाला, परखा हुआ रास्ता न हो, और यह रास्ता ज़रूरत पड़ने से पहले परखने लायक है, बजाय इसके कि किसी असली मामले के बीचोंबीच पता चले कि यह काम ही नहीं करता।

क्रम में क्या करना है

कानून प्रवर्तन के साथ हर संपर्क की ज़िम्मेदारी एक ही व्यक्ति या भूमिका को सौंपें, ठीक वैसे ही जैसे कोई डायरेक्टरी चार्जबैक कतार या डेटा-डिलीशन शेड्यूल के लिए एक ही व्यक्ति नामित करेगी। पहली कॉल जो भी उठाए, उसके पास उस व्यक्ति तक इसे सीधे पहुंचाने का तरीका होना चाहिए, बजाय इसके कि वह मौके पर ही जवाब दे दे।

किसी खाते के अस्तित्व की पुष्टि से आगे कुछ भी सौंपने से पहले उपकरण को लिखित में मांगें, और इसे वैसे ही पढ़ें जैसा यह असल में है: एक समन, एक संरक्षण अनुरोध, § 2703(d) के तहत एक आदेश, या एक तलाशी वारंट, इनमें से हर एक डेटा का एक अलग, बिना ओवरलैप वाला हिस्सा अधिकृत करता है। अगर संदेश की सामग्री या सत्यापन दस्तावेज़ों के लिए कोई अनुरोध बिना तलाशी वारंट के साथ आता है, तो यह संकेत है कि पूछा जाए कि इसके पीछे क्या है, यह मान लेने के बजाय कि भेजने वाले के पास पहले से सही कागज़ात हैं।

आने वाले हर अनुरोध का रिकॉर्ड रखें, चाहे उसका नतीजा कुछ सौंपने में निकले या नहीं: तारीख, अनुरोध करने वाली एजेंसी, संलग्न उपकरण, क्या संरक्षित या सौंपा गया, और किसने मंज़ूरी दी। यह वही अनुशासन है जो किसी भुगतान विवाद या डेटा-पहुंच शिकायत को एक धुंधली याद के बजाय ऐसे रिकॉर्ड में बदल देता है जिस पर कंपनी बाद में असल में भरोसा कर सके।

CyberTipline को रिपोर्ट करने का रास्ता इसकी असल ज़रूरत पड़ने से पहले ठीक कर लें: जानें कि कंपनी के भीतर असल में किसके पास रिपोर्ट दाखिल करने का अधिकार और लॉगिन है, और पुष्टि करें कि टीम जिस संरक्षण अवधि पर काम कर रही है वह मौजूदा है, पूरा एक साल, न कि किसी पुराने नीति दस्तावेज़ से नकल किए गए पुराने पड़ चुके 90 दिन।

जिस दिन समन आए उससे पहले, बाद में नहीं, किसी वकील का संपर्क तय कर लें। इस लेख में कुछ भी किसी असली अनुरोध पर कानूनी सलाह की जगह नहीं लेता, और ऊपर बताई गई हर बात की कीमत इसी में है कि यह उस वकील और ऑपरेटर दोनों को पहले से बता देती है कि उनके सामने इनमें से कौन सा उपकरण है, इससे पहले कि दोनों में से किसी को अंदाज़ा लगाना पड़े।