Hosting offshore "DMCA ignored": cosa compra davvero un sito di annunci per adulti, e cosa no

La ricerca che segue una email di terminazione

Lo schema e' familiare a chiunque gestisca un sito di annunci da abbastanza tempo: un host mainstream manda una email di terminazione, citando una clausola di uso accettabile che vieta del tutto i contenuti per adulti, e il sito ha giorni o ore per trovare un altro posto dove stare. L'operatore cerca un'alternativa e atterra, di solito in pochi clic, su una societa' di hosting che si pubblicizza in modo diverso da tutto il resto della pagina: "contenuti per adulti benvenuti", "DMCA ignorato", "nessun reclamo di abuso preso in considerazione", a volte con un prezzo in euro e una nota che accetta pagamenti in criptovaluta. Il rischio dell'infrastruttura e' il motivo per cui questa ricerca avviene, e questi fornitori esistono proprio perche' gli host mainstream continuano a creare la domanda per loro.

Queste societa' sono una categoria di prodotto reale, pubblicizzata apertamente, non una voce che gira tra operatori. La loro proposta e' costruita attorno a un problema specifico: un host che tratta ogni reclamo di copyright, ogni segnalazione informale di abuso e ogni minaccia vaga da uno sconosciuto come qualcosa su cui agire immediatamente, di solito sospendendo prima l'account e facendo domande dopo. Un host offshore che dice di non farlo offre qualcosa di concreto e genuinamente utile a un'azienda che continua a essere segnalata per contenuti interamente legali.

Il problema non e' che questa offerta sia falsa. Il problema e' cio' che silenziosamente si allarga a coprire nella testa di un operatore, nel momento in cui il sollievo di trovare un host che non va nel panico per un reclamo di copyright si trasforma in sollievo anche per tutto il resto. "Non agiscono sui reclami di rimozione" diventa, da qualche parte tra la pagina di vendita e la prima fattura, "mi proteggono dall'esposizione legale". Non sono la stessa frase, e nel divario tra le due un'azienda puo' farsi male senza che nessuno dei due coinvolti abbia mentito all'altro.

Di cosa e' davvero una politica il "DMCA ignorato"

Il safe harbor del DMCA, al 17 U.S.C. § 512, e' un meccanismo sul copyright. Da' a un host protezione dalla responsabilita' per la violazione di copyright commessa dai suoi utenti, se segue una procedura di notice-and-takedown quando un titolare di diritti si lamenta. Un host che si presenta come "DMCA ignorato" sta descrivendo la sua posizione rispetto a quella singola procedura: ti sta dicendo che non sospendera' un account o rimuovera' contenuti solo sulla base di un reclamo di copyright informale, e che generalmente aspetta qualcosa con piu' peso legale, come un vero ordine del tribunale, prima di agire.

Quella posizione risolve un problema reale, specifico per gli annunci per adulti. Foto legittime e completamente autorizzate vengono colpite di continuo da reclami di copyright falsi, presentati da concorrenti che cercano di far sparire un annuncio, da persone senza alcun diritto reale sull'immagine, o tramite bot automatici che segnalano qualunque cosa mostri pelle, indipendentemente dalla proprieta'. Un host mainstream, preoccupato per il proprio status di safe harbor, tende a sospendere prima e a capire la verita' dopo, a volte molto dopo. Una falsa denuncia DMCA puo' far sparire un annuncio pagato con la stessa efficacia di una vera, quando l'host che la riceve reagisce allo stesso modo a entrambe.

Un host offshore disposto ad assorbire quel rischio e a non reagire a ogni reclamo sta risolvendo un problema di processo legato al copyright. Non sta risolvendo, e non puo' farlo per contratto, nulla al di la' di quello. Nessun accordo di hosting, per quanto aggressivo nel linguaggio, puo' rinunciare per conto dell'operatore a un dovere federale di segnalazione o a una legge penale federale, perche' nessuna di quelle leggi passa attraverso il meccanismo del DMCA, in primo luogo. Hanno i propri trigger, i propri regolatori e le proprie definizioni di chi e' coperto, del tutto separati dal fatto che un host risponda o meno a un avviso di copyright.

Il dovere che non ha nulla a che fare con il copyright

L'esempio piu' chiaro e' il dovere di segnalare materiale apparente di sfruttamento sessuale minorile al National Center for Missing & Exploited Children, previsto dal 18 U.S.C. § 2258A. E' una legge diversa, applicata da una parte diversa del governo, innescata da qualcosa di diverso: non un reclamo di copyright, ma la conoscenza effettiva di fatti o circostanze che indicano una violazione di leggi federali specifiche sullo sfruttamento minorile. Una volta che un fornitore ha quella conoscenza effettiva, il dovere di segnalare scatta, indipendentemente da cosa dica la sua politica sui reclami di copyright, e indipendentemente da dove si trovino fisicamente i suoi server.

Vale la pena dirlo chiaramente perche' i due regimi si confondono esattamente nella direzione che fa comodo al discorso di vendita di una societa' di hosting e che danneggia l'operatore che ci crede. La disponibilita' di un host a ignorare reclami di copyright informali e' un'affermazione sul 17 U.S.C. § 512. Non dice nulla sul § 2258A, che corre su un binario legale separato, con conseguenze separate per il fornitore e, di conseguenza, per chi gestisce davvero gli annunci sopra quell'infrastruttura. Cosa va segnalato, e cosa e' cambiato nella procedura negli ultimi anni, non cambia perche' il contratto di hosting usa la parola "ignorato" nel suo materiale pubblicitario.

Il punto pratico per un operatore e' che spostare l'hosting offshore verso un fornitore che non agisce sui reclami di copyright non cambia nulla nel flusso di moderazione e segnalazione di cui l'azienda ha bisogno, indipendentemente da dove sia ospitata. Quel flusso esiste perche' esiste il dovere legale sottostante, indipendente dall'indirizzo postale del server, e nessuna ricerca di un contratto di hosting piu' permissivo cambia quale dovere si applica a quale contenuto.

Spostare il server non sposta chi gestisce l'azienda

Lo stesso divario si presenta con il reato federale che FOSTA ha creato al 18 U.S.C. § 2421A, che raggiunge chiunque, usando una struttura o un mezzo di commercio interstatale o estero, possieda, gestisca o faccia funzionare un servizio informatico interattivo con l'intento di promuovere o facilitare la prostituzione. Il testo stesso della norma si basa sull'uso del commercio, commercio estero incluso, non sulla posizione fisica di un server. Una corte d'appello federale ha gia' confermato la costituzionalita' della norma senza ritagliare alcuna eccezione per infrastrutture situate fuori dagli Stati Uniti.

I doveri di verifica dell'eta', gli obblighi di conservazione dei registri e il dovere di rimozione creato dal TAKE IT DOWN Act funzionano con una logica simile: generalmente si applicano in base a chi gestisce il sito e a chi il sito raggiunge, non a quale paese alimenta elettricamente il disco rigido. Un'azienda costituita negli Stati Uniti, gestita da qualcuno negli Stati Uniti, che serve un pubblico in gran parte americano, non esce da nessuno di questi obblighi cambiando quale societa' emette la fattura dell'hosting. Gli obblighi viaggiano con l'operatore e con il pubblico, non con lo scaffale su cui si trovano i dati.

Dove diventa davvero piu' difficile da prevedere e' l'applicazione della legge contro un operatore che non si limita a ospitare offshore ma e' anche personalmente e finanziariamente basato fuori dagli Stati Uniti, senza alcuna entita' statunitense, nessun conto bancario statunitense, nessun proprietario con base negli Stati Uniti in nessun punto della catena. Tribunali e commentatori stanno ancora chiarendo fino a dove arrivino esattamente alcune di queste leggi in quello scenario piu' completo, e alcune battaglie legali recenti sulle norme statali di verifica dell'eta' si sono giocate in parte proprio su questo tipo di questione di giurisdizione. Quell'incertezza non e' una scappatoia su cui un operatore possa pianificare; e' un segnale che la risposta onesta e' "non chiaro", non "sicuro".

Cosa aggiunge la scelta dell'hosting, in piu' e non al posto di

Una rete di distribuzione di contenuti mainstream posta davanti a un server di origine offshore, soluzione che molti di questi siti adottano per le prestazioni e la protezione DDoS, applica la propria politica di uso accettabile indipendentemente da cosa dica la pagina di marketing dell'host sottostante. Il contratto della CDN e' con l'operatore, non con l'host offshore, e le sue condizioni si applicano a cio' che passa attraverso la sua rete. Un sito che presume che la politica permissiva del backend si estenda in avanti attraverso la CDN sta operando su una convinzione che il proprio stesso insieme di fornitori non sostiene davvero; la CDN puo' sospendere il servizio di propria autorita', secondo i propri tempi, indipendentemente da cosa abbia accettato l'host di origine.

Le societa' di hosting dietro questa categoria di marketing non sono esse stesse immuni dalle forze dell'ordine, e il fatto che un fornitore ignori reclami informali non rende la sua infrastruttura permanente. I fornitori che si costruiscono una reputazione per aver resistito a richieste di rimozione attirano un tipo diverso di attenzione: diverse operazioni di questo tipo hanno avuto i propri server fisici sequestrati dalla polizia, in operazioni internazionali congiunte degli ultimi anni, mettendo offline all'istante tutti i siti su quei server, senza preavviso, indipendentemente dal fatto che il contenuto di un dato cliente avesse qualcosa a che fare con cio' che ha innescato il raid. Un'azienda il cui unico piano di hosting e' un fornitore offshore pubblicizzato in modo aggressivo ha un singolo punto di guasto che puo' sparire in un pomeriggio per ragioni che non hanno nulla a che fare con cio' che l'azienda stessa ha fatto.

Il pagamento per questi servizi e' spesso solo in criptovaluta, il che toglie una protezione a cui gli operatori non sempre pensano di dare un prezzo: un pagamento con carta che va storto da' a chi paga un percorso di chargeback; un pagamento in criptovaluta che va storto, perche' il fornitore e' sparito o ha avuto i server sequestrati, generalmente non lo da'. Mesi di hosting pagati in anticipo in questo modo non sono recuperabili come lo sarebbe una contestazione con la carta.

Nulla di tutto questo significa che l'hosting offshore sia la scelta sbagliata per ogni operatore; per molti e' l'unica opzione rimasta, una volta che gli host mainstream hanno gia' detto no. Significa che la decisione va valutata con il prezzo di qualunque altra decisione su un fornitore: cosa risolve davvero questo fornitore, quali singoli punti di guasto introduce, e cosa deve ancora fare l'azienda da sola, indipendentemente da quale host scelga.

Cosa fare davvero

Trattare la posizione sul copyright di un fornitore di hosting esattamente per quello che e': una posizione sul copyright. Appartiene alla stessa valutazione dell'uptime, della qualita' del supporto e del prezzo, non alla stessa categoria di un programma di conformita'. Tenere separato il ragionamento legale sulla scelta dell'hosting da quello su tutto il resto che l'azienda deve fare, perche' confondere le due cose e' il modo in cui un operatore finisce per credere che un problema sia risolto quando lo e' solo una fetta stretta di esso.

Costruire e far girare il flusso di segnalazione CSAM, il processo di conservazione dei registri e le procedure di verifica dell'eta' e di rimozione come se il contratto di hosting non esistesse, perche' legalmente, in gran parte, non li tocca. Questi doveri si applicano all'azienda e al suo operatore, e serve un processo reale dietro, indipendentemente dal paese in cui si trovano i server.

Chiedersi cosa succede il giorno in cui il fornitore di hosting sparisce, non perche' sia probabile domani ma perche' la categoria di fornitore che pubblicizza resistenza alle rimozioni e', per la natura stessa di quella proposta, una categoria che attira attenzione. Tenere backup altrove, sapere quanto velocemente il sito potrebbe spostarsi su un altro fornitore, e non lasciare che il metodo di pagamento tolga silenziosamente l'unica forma di tutela che una carta avrebbe dato.

Se l'azienda ha un vero legame con gli Stati Uniti, che sia la costituzione societaria, la proprieta', i conti bancari, o un pubblico in gran parte americano, trattare le leggi federali che si basano sul commercio e sul pubblico come pienamente in vigore indipendentemente da dove si trovi il server, e farsi dare da un avvocato una lettura di fino a dove arrivi davvero quel legame prima di presumere che la distanza dal server equivalga a distanza dalla legge.