Il dovere di segnalazione al CyberTipline: cosa deve segnalare un operatore di annunci, e cosa e' cambiato nel 2024

L'annuncio che un moderatore non puo' semplicemente cancellare

Un moderatore che scorre la coda apre un annuncio in cui qualcosa non torna: un volto che sembra piu' giovane dell'eta' dichiarata, un numero di telefono che e' comparso in annunci di tre citta' diverse nella stessa settimana, un account che sembra pubblicare per piu' persone diverse insieme. L'istinto, quello su cui e' costruito ogni flusso di moderazione, e' agire in fretta: rimuovere l'annuncio, sospendere l'account, passare all'elemento successivo. Per quasi ogni categoria di annuncio problematico, quell'istinto e' corretto e il lavoro finisce li'.

Questa categoria e' diversa, e la differenza non e' ovvia finche' qualcuno non va a controllare. La legge federale statunitense non tratta questo caso come una decisione sul contenuto che il sito puo' prendere da solo. Lo tratta come il presupposto per una segnalazione specifica e obbligatoria verso un destinatario designato dalla legge, con un proprio obbligo di conservazione legato a cio' che viene segnalato. Bandire l'account e cancellare l'annuncio, fatto d'istinto e senza altro, puo' distruggere per sbaglio proprio cio' che la legge impone di conservare.

Nulla di tutto questo riguarda il problema ordinario della moderazione, foto false o annunci truffa, che e' un rischio d'impresa che un operatore gestisce con il proprio giudizio e un pulsante per bandire, trattato in cosa impedisce davvero a un annuncio falso di andare online. Questo e' un dovere legale singolo e circoscritto, creato da una legge specifica, che esiste indipendentemente dal fatto che l'operatore ne abbia mai sentito parlare. Il punto di questo articolo e' fare in modo che la prima volta in cui capita non sia anche la prima volta che qualcuno in azienda legge la legge.

E' anche una questione diversa da l'esposizione penale che il FOSTA-SESTA ha creato per i contenuti legati al traffico sessuale: quella legge decide se la piattaforma stessa possa essere citata in giudizio o perseguita per cio' che dice un annuncio. Questo dovere decide solo se una segnalazione ha raggiunto l'indirizzo federale giusto, e si applica indipendentemente da come finisca quella diversa questione di responsabilita'.

La legge in questione e' il 18 U.S.C. § 2258A, e un emendamento del 2024 chiamato REPORT Act ha cambiato abbastanza da rendere superata una guida scritta prima di quell'anno sui numeri che contano di piu': cosa va segnalato, per quanto tempo va conservato il materiale, e quanto puo' costare non segnalare.

Cosa richiede davvero la legge

La Section 2258A si applica a un "provider" di un servizio di comunicazione elettronica o di un servizio di elaborazione remota offerto al pubblico, termini presi in prestito da leggi piu' vecchie sulle intercettazioni e sulle comunicazioni archiviate. Nessuna delle due definizioni menziona la dimensione dell'azienda, il fatturato o il settore. Un servizio che da' agli utenti un account, permette di caricare foto o di scambiarsi messaggi e' esattamente il tipo di servizio che quelle definizioni sono state scritte per descrivere, e niente nella legge esclude un piccolo mercato di annunci solo perche' e' piccolo. Se ogni sito di annunci rientri in quella definizione in ogni suo dettaglio non e' mai stato messo alla prova in tribunale contro un'attivita' come questa, quindi va trattata come una domanda aperta, non risolta, e conviene far valutare la propria configurazione specifica da un legale invece di dare per scontata una risposta o l'altra.

Cio' che fa scattare l'obbligo e' circoscritto: la conoscenza effettiva. La legge dice chiaramente che niente in essa richiede a un provider di monitorare un utente, monitorare il contenuto di una comunicazione, o cercare, esaminare o scandagliare attivamente alla ricerca dei fatti che farebbero scattare una segnalazione. Non c'e' alcun obbligo di andare a cercare. L'obbligo parte nel momento in cui qualcuno in azienda viene effettivamente a saperlo, e da quel momento la legge dice che la segnalazione deve raggiungere il CyberTipline del National Center for Missing and Exploited Children (NCMEC) "il prima ragionevolmente possibile".

Prima del 2024, le categorie che facevano scattare questo dovere erano piu' strette di quanto la maggior parte degli operatori immaginerebbe: materiale che sembrava ritrarre abuso sessuale su minori. Il sospetto traffico sessuale di minori e il sospetto adescamento online non erano affatto categorie di segnalazione obbligatoria, anche se entrambi possono emergere proprio nel tipo di comportamento dell'account che il team di moderazione di un sito di annunci e' nella posizione migliore per notare per primo: qualcuno che gestisce gli annunci di piu' persone insieme, un minore indotto a spacciarsi per adulto, schemi che sembrano coordinati piuttosto che individuali.

Quel vuoto e' cio' che il REPORT Act ha colmato, ed e' il motivo per cui una politica scritta prima di maggio 2024 non descrive piu' la legge attuale.

Cosa e' cambiato con il REPORT Act

Il presidente Biden ha firmato il REPORT Act il 7 maggio 2024. Ha modificato la § 2258A su quattro punti che riguardano direttamente il modo in cui un operatore costruisce un processo, non solo come si chiama quel processo.

Primo, ha aggiunto il sospetto traffico sessuale di minori e il sospetto adescamento online di un minore alle categorie che un provider deve segnalare, insieme al materiale che sembra ritrarre abuso sessuale su minori. Questo e' il cambiamento che porta dentro piu' delle fotografie: uno schema in come vengono pubblicati e gestiti gli annunci puo' ora essere di per se' una circostanza da segnalare, a prescindere dal fatto che una singola foto sia problematica o no.

Secondo, ha esteso per quanto tempo un provider deve conservare il materiale legato a una segnalazione, da 90 giorni a un anno. Un sito che segnala qualcosa e poi cancella i dati dell'account sottostante un mese dopo, ragionando che l'account e' bandito e la faccenda e' chiusa, non e' piu' dentro la finestra di conservazione che la legge richiede.

Terzo, ha aggiunto un requisito di sicurezza per cio' che viene conservato: un provider che detiene materiale collegato a una segnalazione al CyberTipline deve proteggerlo in un modo coerente con l'attuale NIST Cybersecurity Framework, con una scadenza di adeguamento fissata a un anno dall'entrata in vigore, cioe' circa maggio 2025. Questo si affianca alla stessa domanda a cui un operatore deve gia' rispondere per i documenti d'identita' che una fase di verifica raccoglie e deve conservare in modo sicuro: il materiale conservato di una segnalazione ha bisogno dello stesso tipo di archiviazione deliberata e ad accesso limitato, non di una cartella che chiunque in azienda puo' aprire.

Quarto, e il cambiamento che probabilmente attira di piu' l'attenzione di un operatore, ha alzato di molto la sanzione per chi non segnala consapevolmente e deliberatamente.

Qual e' la sanzione, e cosa non e'

Prima del REPORT Act, non segnalare consapevolmente e deliberatamente comportava una sanzione civile fino a 150.000 dollari per una prima violazione e fino a 300.000 per una recidiva. La nuova struttura lega il tetto massimo alla dimensione del provider: una prima mancata segnalazione consapevole e deliberata puo' ora essere sanzionata fino a 600.000 dollari per un provider con meno di 100 milioni di utenti attivi mensili, o fino a 850.000 per uno che raggiunge o supera quella cifra. Una seconda violazione o successiva sale a 850.000 o 1.000.000 di dollari con la stessa suddivisione. Un piccolo sito di annunci si colloca nella fascia inferiore su entrambi i conteggi, e quella fascia inferiore da sola e' comunque quattro volte il vecchio massimo.

Due cose vanno tenute presenti per leggere correttamente questo dato. E' una sanzione civile, non una pena detentiva legata a questa disposizione, e si applica solo a una mancata segnalazione consapevole e deliberata, cioe' quando l'azienda sapeva e ha scelto di non segnalare, non a un caso in cui una segnalazione andava probabilmente presentata e non lo e' stata per una falla onesta nel processo. Una svista negligente non e' cio' che questa sanzione e' costruita per punire.

L'altra cosa da sapere, perche' cambia con quanta urgenza leggere quel numero, e' che la cronaca pubblica non ha individuato un caso in cui il Dipartimento di Giustizia abbia effettivamente imposto questa sanzione specifica a un provider. Quest'assenza non e' un motivo per trattare il dovere come decorativo. Gli schemi di applicazione di leggi di segnalazione come questa tendono a spostarsi nel momento in cui un caso diventa abbastanza visibile da poterne fare un esempio, e un'azienda senza alcun processo e' quella con piu' probabilita' di diventare quell'esempio, perche' dimostrare una mancanza consapevole e deliberata e' molto piu' facile contro un'azienda a cui era stata segnalata la legge e non ha fatto nulla, che contro una che aveva un processo reale e ha preso una decisione difendibile al suo interno.

Il rischio piu' immediato, in pratica, non e' la sanzione. E' cio' che succede all'account e al suo contenuto nelle ore dopo che qualcuno nota che qualcosa non va, prima che chiunque abbia pensato al dovere di segnalazione.

Il processo da avere prima del primo caso vero

La soluzione non e' uno strumento di monitoraggio. La legge e' esplicita nel dire che non ne serve uno, e costruirne uno solleva propri problemi di privacy e di costo che questo dovere non chiede. La soluzione e' una procedura breve e scritta che esiste prima del giorno in cui serve, perche' il giorno in cui serve e' il peggior momento possibile per improvvisarne una.

Nomina una persona sola, o un ruolo chiaramente definito, che riceve un'escalation come questa, invece di lasciarla a chiunque stia moderando quel giorno. Quella persona ha bisogno dell'autorita' di agire senza aspettare una riunione, perche' "il prima ragionevolmente possibile" e' lo standard legale, non "dopo averne discusso internamente".

Metti per iscritto cosa il team non deve fare nel momento in cui qualcosa sembra sbagliato: non cercare di verificare autonomamente l'eta' della persona attraverso un contatto ulteriore, non affrontare l'inserzionista, non far trapelare che l'account e' sotto controllo, e non cancellare l'account o il suo contenuto prima che la segnalazione sia presentata e il materiale conservato. Ognuno di questi istinti sembra protettivo nel momento in cui capita, e ognuno puo' indebolire la segnalazione o distruggere cio' che la legge dice di conservare.

Sappi in anticipo come si presenta davvero una segnalazione: il CyberTipline dell'NCMEC accetta segnalazioni tramite un modulo web costruito per questo scopo, e le piattaforme piu' grandi usano un'API di segnalazione per lo stesso invio. Un piccolo operatore non ha bisogno dell'API. Ha bisogno che la persona nominata sopra sappia gia' che il modulo web esiste e cosa chiede, invece di scoprirlo nel mezzo di un incidente.

Decidi, per iscritto, dove vivra' il materiale conservato per l'anno richiesto e chi puo' accedervi, allineandoti allo stesso approccio ad accesso limitato che il sito deve gia' ai propri dati di verifica dell'identita'. Tieni un breve registro di cosa e' stato segnalato e quando, non per l'NCMEC, ma perche' l'azienda possa dimostrare, se mai le venisse chiesto, che il suo processo ha funzionato come era stato scritto per funzionare.

Niente di tutto questo richiede nuovo software o un grande budget. Richiede una pagina scritta, una persona nominata, e una decisione presa ora, non nel mezzo di un incidente, che una segnalazione venga presentata e il materiale venga conservato, prima che chiunque tocchi il pulsante di cancellazione.