DMCA safe harbor per un sito di annunci: cosa compra davvero la pratica da sei dollari

La foto che non è tua da perdere

Un inserzionista carica una foto presa dal profilo di qualcun altro, dal portfolio di un fotografo professionista, o da una banca immagini che non l'ha mai concessa in licenza per quell'uso. Settimane dopo arriva un'email, non indirizzata all'inserzionista, ma al sito: chi detiene il copyright, o un avvocato che lo rappresenta, dice che la foto è sua e minaccia causa contro la piattaforma che la ospita. È il momento in cui un operatore scopre che "l'ha pubblicata un utente, non noi" non è di per sé una difesa legale; secondo il diritto d'autore statunitense, un servizio che conserva e mostra ciò che un utente carica può essere ritenuto responsabile a sua volta, insieme a chi ha caricato il contenuto.

Una via d'uscita esiste, e non è automatica. È un'immunità specifica, il DMCA safe harbor previsto dal 17 U.S.C. §512(c), costruita esattamente per questa situazione: una piattaforma che ospita materiale fornito dagli utenti e non decide essa stessa cosa viene pubblicato. Ma è un'immunità su richiesta. Protegge solo una piattaforma che ha già fatto un elenco breve e specifico di cose, e una di queste, registrare un agente presso un ufficio federale, è il tipo di adempimento burocratico che si rimanda a "più avanti" all'infinito, perché niente lo impone finché qualcosa non lo impone davvero.

È un problema diverso da quello che il FOSTA-SESTA ritaglia fuori dall'immunità delle piattaforme, che riguarda specificamente i contenuti legati al traffico sessuale e modifica cosa copre un'altra legge, la Section 230. Una contestazione di copyright su una foto non ha nulla a che fare con cosa pubblicizza l'annuncio; la stessa contestazione arriverebbe allo stesso modo su un mercato dell'usato di mobili o su un sito di auto usate. È un problema di proprietà dell'immagine, non di legalità del contenuto, e richiede una risposta propria, separata.

Ciò che rende questo argomento degno dell'attenzione di un operatore ora, e non dopo la prima notifica, è che le condizioni del safe harbor guardano in avanti in modo specifico: la protezione copre ciò che il sito fa una volta impostato correttamente, e un sito che comincia la pratica solo dopo che è arrivata una contestazione sta cercando di chiudere una porta già aperta. Sistemare le cose costa sei dollari e richiede un quarto d'ora. Non farlo costa la possibilità di dire, con credibilità, che la contestazione andava indirizzata all'inserzionista invece che all'attività.

Un'immunità per cui bisogna fare domanda

La Section 512(c) stabilisce condizioni, non una promessa generica. Per qualificarsi, un fornitore di servizi non deve avere conoscenza effettiva che un materiale specifico violi il copyright, non deve essere a conoscenza di fatti che renderebbero la violazione evidente, non deve ricevere un beneficio finanziario diretto legato a materiale specifico che ha il diritto e la capacità di controllare, e, una volta che viene a conoscenza di un elemento specifico che viola il copyright, deve agire rapidamente per rimuoverlo o bloccarne l'accesso. Niente di tutto questo avviene automaticamente solo perché la piattaforma è un mercato di annunci degli utenti invece che un editore di contenuti propri.

La condizione che manda in difficoltà i piccoli operatori è un'altra: un fornitore di servizi deve designare un agente per ricevere le contestazioni di copyright, e da quando lo U.S. Copyright Office è passato a un sistema interamente elettronico, quell'agente deve essere registrato nella directory online dell'ufficio stesso. Un indirizzo email pubblicato nel piè di pagina del sito, da solo, non è più ciò che la legge cerca. Il vecchio approccio, presentare un modulo cartaceo o pubblicare semplicemente i contatti, ha smesso di contare da quando le registrazioni cartacee hanno perso validità alla fine del 2017; solo la voce nella directory elettronica fa il suo dovere oggi.

La registrazione in sé è un modulo breve: ragione sociale, il dominio o i domini del sito, e nome e contatti di chi deve ricevere una notifica. Il Copyright Office chiede sei dollari per la registrazione iniziale, per una modifica, o per una ripresentazione, senza alcun costo separato solo per aprire l'account che la presenta. Per un'attività che già paga molto di più per il fascicolo di sottoscrizione di un processore di pagamento o per la tariffa oraria di un avvocato, questa è una delle protezioni legali più economiche che comprerà mai, e una delle più facili da dimenticare di aver comprato.

La registrazione non è permanente. Scade tre anni dopo essere stata presentata, salvo che il fornitore la rinnovi, modificando la voce o ripresentandola senza modifiche, e in entrambi i casi parte un nuovo periodo di tre anni. Una registrazione scaduta non manda un avviso all'attività; smette semplicemente di essere valida, in silenzio, e il vuoto viene scoperto di solito da chi sta cercando di farvi affidamento, solo dopo che una contestazione è già arrivata. Chi gestisce la conformità del sito dovrebbe tenersi un promemoria in calendario per questo, allo stesso modo in cui ne tiene uno per il rinnovo di un dominio, perché i due mancati adempimenti sembrano identici dall'esterno e costano più o meno lo stesso da prevenire.

Ciò che arriva è un conto alla rovescia, non una cortesia

Una notifica di rimozione formalmente valida non chiede all'operatore di indagare o giudicare se la contestazione sia vera. Chiede una cosa sola: che il materiale venga rimosso o disabilitato rapidamente. La legge non fissa un numero preciso di ore o giorni per "rapidamente"; ciò che conta come sufficientemente veloce viene giudicato rispetto a ciò che un fornitore di quelle dimensioni e con quelle risorse potrebbe ragionevolmente gestire, il che per un piccolo sito di annunci significa avere un processo reale e funzionante, non una promessa che qualcuno se ne occuperà.

In pratica quel processo è semplice da costruire e facile da saltare: una casella email o un modulo monitorati che raggiungono una persona con l'autorità di rimuovere un annuncio o una foto specifica, una registrazione di quando è arrivata la notifica e di quando è stata gestita, e l'abitudine di trattare ogni notifica che contiene gli elementi richiesti (identificazione dell'opera, identificazione del materiale, contatti, una dichiarazione in buona fede, una firma) come una che fa partire il conto alla rovescia, indipendentemente dal fatto che la contestazione sembri solida a una prima lettura.

Quest'ultimo punto conta perché l'errore inverso, una contestazione di copyright falsa o esagerata usata per far sparire l'annuncio di un concorrente, è un rischio reale in un settore dove gli operatori si contendono già duramente lo stesso traffico di ricerca. La risposta del safe harbor a questo non è che la piattaforma faccia da giudice. È il counter-notice: un inserzionista che ritiene sbagliata una rimozione può presentarne uno, e una volta presentato un counter-notice valido, il fornitore è protetto se ripristina il materiale dopo aver atteso non meno di dieci e non più di quattordici giorni lavorativi, salvo che chi ha presentato la contestazione originale faccia causa in quella finestra di tempo.

Questa sequenza conta per un operatore proprio perché toglie la necessità di giudicare personalmente chi possieda una foto. È il processo, non il giudizio dell'operatore, a decidere l'esito: rimuovere rapidamente su una notifica valida, ripristinare su un counter-notice valido una volta trascorso il periodo di attesa senza che sia arrivata una causa, e documentare entrambi i passaggi. Un operatore che improvvisa questo la prima volta che accade, invece di averlo scritto in anticipo, è quello che finisce per lasciare giù per settimane l'annuncio di un inserzionista legittimo, oppure per perdere la finestra di tempo che avrebbe protetto la decisione di rimozione.

La politica che deve funzionare, non solo esistere sulla carta

Un'altra condizione sta sotto la meccanica di notifica e rimozione, ed è quella che è già costata a un grande fornitore il proprio safe harbor in tribunale: secondo la §512(i), il fornitore deve adottare, e ragionevolmente attuare, una politica per terminare gli account degli utenti recidivi in circostanze appropriate. Adottare una politica significa scriverla. Attuarla ragionevolmente significa che la politica deve davvero produrre terminazioni quando le sue condizioni sono soddisfatte, non esistere solo come pagina collegata dal piè di pagina.

Questa distinzione è esattamente ciò che è andato storto per il provider internet Cox Communications nel caso BMG Rights Management v. Cox Communications. Cox aveva una politica scritta che, sulla carta, prevedeva tredici avvisi prima della terminazione, ma la Corte d'Appello del Quarto Circuito ha accertato che la prassi interna di Cox non portava quasi mai a una chiusura effettiva dell'account, indipendentemente da quante notifiche valide si fossero accumulate contro di esso. La corte d'appello ha concordato che una politica che non porta a terminazioni reali equivale di fatto a nessuna politica, e su questa base Cox ha perso il safe harbor interamente, non solo per i file specifici in questione. Un primo verdetto della giuria sui danni contro Cox è stato successivamente annullato in appello per un errore, non collegato al merito, nelle istruzioni alla giuria, e le due aziende hanno raggiunto un accordo riservato prima che si tenesse un secondo processo, ma la perdita del safe harbor in sé è rimasta ferma.

La lezione non richiede di gestire l'infrastruttura su scala di un ISP per applicarsi. Un piccolo sito di annunci ha bisogno di una soglia semplice e scritta, per esempio, un account di un inserzionista che accumula un numero definito di notifiche di copyright valide e non risolte entro un periodo definito viene sospeso, e ha bisogno di sospendere davvero quell'account quando la soglia viene raggiunta, ogni volta, non solo quando è comodo. Ha bisogno anche dello standard che i tribunali cercano quando poi si chiedono se la politica fosse ragionevole: una base reale e credibile per trattare un account come recidivo, che non richiede che un tribunale si sia già pronunciato sulla contestazione di fondo, ma richiede più di una singola accusa non verificata lasciata da sola.

Ciò che rende tutto questo difendibile in seguito è la traccia documentale, non il numero esatto scelto per la soglia: quali notifiche sono arrivate, quando, contro quale account, e cosa è successo di conseguenza. Un foglio di calcolo di tre righe aggiornato ogni volta che una notifica viene gestita vale più, se la politica viene mai messa alla prova, di una pagina di regolamento scritta benissimo che nessuno ha mai confrontato con ciò che il sito ha effettivamente fatto l'ultima volta che è servito.

Cosa non copre, e cosa fare questa settimana

Il DMCA safe harbor è un meccanismo di copyright e nient'altro. Non ha alcun peso su una contestazione di marchio, una causa per diffamazione, o il ritaglio separato che il FOSTA-SESTA ha creato nella Section 230 per i contenuti legati al traffico sessuale, che segue un proprio criterio legale del tutto distinto da quanto discusso qui. Un operatore che ha registrato un agente DMCA e costruito una politica sui recidivi che funziona davvero ha risolto il problema della proprietà delle foto, e solo quello.

È anche un meccanismo puramente interno agli Stati Uniti. Una piattaforma che raggiunge utenti nell'Unione Europea porta con sé un obbligo separato e parallelo, il dovere di notice-and-action che il Digital Services Act europeo impone indipendentemente da dove ha sede l'azienda, che segue propri elementi richiesti e propri tempi. Nessuno dei due processi sostituisce l'altro; un operatore che serve entrambi i pubblici ha bisogno che entrambi funzionino fianco a fianco, con qualcuno che sappia davvero quale notifica fa partire quale conto alla rovescia.

Cosa cambia questa settimana, in concreto: verifica se il sito ha una registrazione dell'agente aggiornata nella directory online del Copyright Office, e se non è mai stata presentata, o è stata presentata con il vecchio sistema cartaceo prima del passaggio del 2017, presentala ora per sei dollari. Scrivi, anche solo in breve, la soglia sui recidivi che il sito applicherà davvero e chi ne è responsabile. Prepara la casella email o il modulo monitorati, e il registro semplice, prima che la prima notifica reale metta alla prova se esistono davvero.

Esegui una volta, in via di prova, il processo del counter-notice, così chi se ne occupa conosce la finestra di dieci-quattordici giorni lavorativi prima che ci sia davvero un inserzionista in attesa. Niente di tutto questo impedisce che arrivi una contestazione di copyright. Decide, in anticipo, se quella contestazione ricade sull'inserzionista che ha pubblicato una foto che non era mai stata sua, oppure sull'attività che gli ha dato un posto dove pubblicarla.