Arriva una citazione per uno dei tuoi utenti: cosa deve davvero consegnare un operatore di annunci negli Stati Uniti

La telefonata che non è una citazione

Arriva un'email da un dipartimento di polizia che chiede conto dell'account di un inserzionista: nome, indirizzo IP, i messaggi legati a un annuncio. Nel messaggio non c'è scritto quale legge imponga una risposta, solo che chi scrive è un detective e il caso è vero. La maggior parte degli operatori a quel punto fa una di due cose, ed entrambe sono un errore. Consegna tutto quello che mostra il pannello di controllo perché rifiutare sembra far apparire l'azienda complice, oppure rifiuta tutto perché consegnare qualcosa sembra un rischio senza alcun vantaggio. Nessuna delle due risposte dipende da ciò che la legge richiede davvero, ed è in quel vuoto che una directory altrimenti ben gestita finisce nei guai.

Un distintivo, una telefonata e un'email da un indirizzo governativo non sono, da soli, un atto legale. Nessuna legge statunitense obbliga un fornitore a divulgare i dati di un utente perché un agente lo ha chiesto, e trattare ogni richiesta come automaticamente valida è esattamente l'istinto che porta a divulgare più di quanto un tribunale abbia effettivamente autorizzato. A imporre la divulgazione è uno strumento specifico: una citazione (subpoena), un'ordinanza del tribunale emessa ai sensi di una precisa disposizione della legge federale, oppure un mandato. Ognuno raggiunge una fetta diversa e precisamente definita di ciò che una directory conserva, e nessuno è intercambiabile con gli altri.

L'unica situazione in cui consegnare dati senza nessuno di questi strumenti è lecita è ristretta, e vale la pena conoscerla con esattezza, perché gli operatori o dimenticano che esiste o la estendono a casi per cui non è mai stata pensata. Ai sensi del 18 U.S.C. § 2702(b), un fornitore può divulgare volontariamente i dati, e persino il contenuto delle comunicazioni, a un ente governativo se ritiene in buona fede che un'emergenza che comporta pericolo di morte o lesioni fisiche gravi richieda una divulgazione senza ritardo. È un'eccezione per emergenze vere: un annuncio che si legge come una minaccia imminente alla sicurezza di qualcuno, non un'indagine che potrebbe benissimo aspettare una settimana per le carte.

Fuori da questo unico caso, la prima mossa giusta è la stessa indipendentemente da chi fa la richiesta: farsela mettere per iscritto, verificare che indichi lo strumento legale effettivo che la sostiene, e farla arrivare a una sola persona dentro l'azienda, idealmente la stessa persona o lo stesso legale che già gestisce gli altri obblighi di conformità della piattaforma, invece che a chiunque abbia aperto l'email per caso. Tutto quello che segue dipende dal sapere quale strumento si ha in mano prima di decidere a cosa dia effettivamente diritto chi lo presenta.

Cosa può raggiungere una citazione da sola, e cosa no

Una citazione è lo strumento più debole di questa gerarchia, ed è anche quello a cui gli operatori si adeguano più spesso in eccesso. Ai sensi del 18 U.S.C. § 2703(c)(2), una citazione può imporre la divulgazione di quelle che la legge chiama informazioni di base sull'abbonato: nome, indirizzo, i registri delle sessioni e delle connessioni o la loro durata, durata e tipo di servizio, qualunque identificativo dell'abbonato o del dispositivo compreso un indirizzo di rete assegnato temporaneamente, e il mezzo o la fonte del pagamento del servizio, compreso il numero di una carta di credito o di un conto bancario. Questo è l'intero elenco. Non comprende il contenuto di un messaggio, la descrizione di un annuncio o una fotografia, indipendentemente da come è formulata la richiesta.

Questo conta perché una citazione è relativamente facile da ottenere: non richiede che un giudice valuti le prove come avviene per un mandato, ed è lo strumento che compare più spesso nel corso ordinario di un'indagine, non solo in quelle più gravi. Una directory che tratta una citazione come un'autorizzazione a consegnare i log dei messaggi o i documenti di verifica sta cedendo più di quanto la legge abbia chiesto, e ogni documento in più consegnato è una cosa in più di cui l'azienda dovrà rispondere in seguito, se un utente, un regolatore o un tribunale chiederanno mai perché è uscito dai suoi archivi.

Il contenuto, cioè la sostanza di ciò che un utente ha effettivamente scritto o inviato e non il semplice fatto che un account esista, si trova dietro una soglia molto più alta. Ai sensi del § 2703(a), il contenuto conservato per 180 giorni o meno può essere imposto solo con un mandato, ottenuto con lo stesso standard di causa probabile usato in qualunque altro caso penale. Il testo della legge tratta diversamente il contenuto conservato più a lungo, in teoria permettendo una citazione o un'ordinanza minore una volta data comunicazione all'utente, ma questo scarto sulla carta non riflette come la richiesta arriverà davvero.

In seguito a una sentenza di una corte d'appello federale del 2010 e a un cambio di prassi che ne è seguito, i pubblici ministeri federali statunitensi hanno adottato una prassi nazionale che consiste nell'ottenere un mandato per il contenuto indipendentemente da quanto a lungo sia stato conservato, trattando di fatto la distinzione dei 180 giorni prevista dalla legge come superata, anche se il testo non è mai stato riscritto. Nella pratica, se arriva una richiesta per qualcosa che somiglia al contenuto di un messaggio senza un mandato allegato, è il segnale per chiedere quale strumento ci sia davvero dietro prima di produrre alcunché, non per dare per scontato che chi la invia abbia già controllato.

Tra una citazione e un mandato si colloca un altro strumento, un'ordinanza del tribunale ai sensi del § 2703(d), che un giudice può emettere con una soglia più bassa della causa probabile: fatti specifici e articolabili che mostrino ragionevoli motivi per ritenere che i dati richiesti siano rilevanti e pertinenti a un'indagine in corso. Richiede comunque di rivolgersi a un giudice, il che la distingue da una citazione emessa senza controllo giudiziario, ma non raggiunge il contenuto che solo un mandato può imporre. Sapere quale dei tre strumenti si trova sulla scrivania, citazione, ordinanza o mandato, decide cosa una directory deve consegnare e cosa no.

La lettera di conservazione che arriva per prima

Prima di qualunque citazione o mandato, la maggior parte delle indagini che toccano una directory comincia con qualcosa di più silenzioso: una richiesta di conservazione ai sensi del 18 U.S.C. § 2703(f). Non è coinvolto alcun tribunale. Un ente governativo chiede al fornitore di conservare dati specifici, e il fornitore deve congelare ciò che detiene perché non venga sovrascritto, cancellato o eliminato dal proprio calendario di conservazione mentre il governo decide se richiedere una citazione, un'ordinanza o un mandato.

La richiesta in sé non impone alcuna divulgazione: conservazione e produzione sono due passaggi distinti, e una directory che legge una lettera di conservazione come una richiesta di consegnare subito i dati sta facendo più di quanto la legge abbia chiesto, nella stessa direzione dell'eccesso di zelo davanti a una semplice citazione. Ciò che la richiesta impone è la conservazione: la legge fissa il blocco a 90 giorni, prorogabile una volta per altri 90 giorni se il governo rinnova la richiesta prima che scada il primo periodo.

Questo è il momento in cui le pratiche sui dati di una directory rendono la richiesta semplice, oppure la trasformano in una corsa contro il tempo. Decidere in anticipo per quanto tempo tenere i documenti di verifica dell'identità, i dati di pagamento e i log degli account è ciò che determina se un blocco di 90 giorni sia banale, perché quei dati sarebbero comunque rimasti lì, oppure impossibile, perché il normale calendario di cancellazione della piattaforma li ha già eliminati prima che arrivasse la lettera. Una richiesta di conservazione non può far risorgere dati che una politica di conservazione ha già distrutto, e un fornitore che non riesce a rispettare un blocco per via delle proprie abitudini di cancellazione si è creato da solo un problema, indipendente da qualunque cosa abbia fatto il governo.

La risposta pratica è avere un processo documentato pronto prima che arrivi la prima lettera: una casella o un contatto unico a cui indirizzare le richieste di conservazione, una persona che verifichi che la richiesta provenga davvero da un ente governativo, e un modo per contrassegnare l'account indicato perché le normali routine di cancellazione lo saltino per la durata del blocco. Niente di tutto questo richiede un legale per essere eseguito una volta progettato, ma progettarlo senza aver mai gestito una richiesta reale è molto più facile che improvvisarlo sotto scadenza.

L'obbligo che non ha nulla a che vedere con una richiesta

Tutto quanto detto finora riguarda cosa succede quando è il governo a chiedere. Un obbligo va nella direzione opposta: un dovere di segnalazione, innescato da ciò che la piattaforma stessa trova, senza che sia coinvolta alcuna richiesta. Ai sensi del 18 U.S.C. § 2258A, un fornitore che ottiene conoscenza effettiva di materiale che appare pedopornografico presente sulla propria piattaforma deve segnalarlo alla CyberTipline gestita dal National Center for Missing & Exploited Children non appena ragionevolmente possibile.

La legge è precisa su cosa fa scattare l'obbligo e cosa no: richiede una segnalazione una volta che il fornitore ha conoscenza effettiva, non un obbligo generale di cercare, scansionare o sorvegliare gli annunci per trovarlo. Una directory non deve gestire un proprio programma di rilevamento per essere conforme a questa legge, ma se un moderatore, una richiesta di assistenza o una segnalazione da parte di un fornitore di pagamenti o di verifica fa emergere qualcosa che sembra tale, il termine "non appena ragionevolmente possibile" comincia a decorrere subito, non quando il team trova il tempo di esaminarlo.

La conseguenza per aver sbagliato questo passaggio è cambiata in modo sostanziale nel 2024. Il REPORT Act ha portato il periodo di conservazione richiesto per una segnalazione e per il materiale a essa collegato dai precedenti 90 giorni a un anno intero, e ha alzato le sanzioni civili per la mancata segnalazione consapevole e volontaria fino a 600.000 dollari per una prima violazione e 850.000 dollari per una successiva, per un fornitore con meno di 100 milioni di utenti mensili, categoria che copre praticamente ogni directory di annunci. Le note di conformità più datate che citano ancora un blocco di 90 giorni o le cifre delle sanzioni precedenti al 2024 descrivono una legge che non esiste più in quella forma.

Questo obbligo si affianca, ma resta giuridicamente distinto, alla questione della responsabilità della piattaforma che determina se un operatore possa essere ritenuto penalmente responsabile per aver facilitato la tratta attraverso i propri annunci. Una directory può essere scrupolosa sul primo punto e comunque fallire sul secondo se non dispone di un percorso funzionante e testato che vada da chi nota qualcosa a chi effettivamente presenta la segnalazione, ed è un percorso che vale la pena testare prima che serva, invece di scoprire che non funziona nel bel mezzo di un caso reale.

Cosa fare, in ordine

Affida a una sola persona o ruolo ogni contatto con le forze dell'ordine, allo stesso modo in cui una directory designerebbe una sola persona responsabile della coda dei chargeback o del calendario di cancellazione dei dati. Chiunque riceva la prima telefonata dovrebbe avere un modo diretto per passarla a quella persona, invece di rispondere sul momento.

Pretendi lo strumento per iscritto prima di produrre qualunque cosa oltre alla conferma che un account esiste, e leggilo per quello che è davvero: una citazione, una richiesta di conservazione, un'ordinanza ai sensi del § 2703(d), oppure un mandato, ciascuno dei quali autorizza una fetta di dati diversa e non sovrapposta. Se arriva una richiesta per il contenuto di messaggi o per documenti di verifica senza un mandato allegato, è il segnale per chiedere cosa ci sia dietro, non per presumere che chi la invia abbia già le carte giuste.

Registra ogni richiesta in arrivo, che porti o meno alla consegna di qualcosa: la data, l'ente richiedente, lo strumento allegato, cosa è stato conservato o consegnato, e chi ha dato l'approvazione. È la stessa disciplina che trasforma una contestazione di pagamento o un reclamo sull'accesso ai dati da un ricordo vago in un registro su cui l'azienda può davvero contare in seguito.

Sistema il percorso di segnalazione alla CyberTipline prima che serva davvero: sapere chi in azienda ha effettivamente l'autorità e le credenziali per presentare una segnalazione, e verificare che il periodo di conservazione da cui il team parte sia quello attuale, un anno intero, e non i 90 giorni ormai superati copiati da un vecchio documento di policy.

Fissa il contatto di un legale prima del giorno in cui arriva una citazione, non dopo. Niente in questo articolo sostituisce una consulenza legale su una richiesta reale, e il valore di tutto quanto sopra sta nel fatto che indica a quel legale, e all'operatore, quale di questi strumenti si trovi davanti prima che uno dei due debba indovinare.