CyberTiplineへの報告義務:クラシファイド広告運営者が報告すべきこと、そして2024年に何が変わったか

モデレーターが単純に削除できない広告

キューを確認していたモデレーターが、何かがおかしい広告を開く。申告された年齢より若く見える顔、同じ週に三つの異なる都市の広告で使い回された電話番号、複数の異なる人物のために同時に投稿しているように見えるアカウント。あらゆるモデレーション業務の土台となっている本能は、素早く動くことだ。広告を削除し、アカウントを停止し、キューの次の項目に進む。ほとんど全ての問題広告のカテゴリーでは、この本能は正しく、それで仕事は終わる。

このカテゴリーは違う。調べてみるまでその違いは明らかにならない。米国連邦法は、この件をサイトが独自に判断できるコンテンツの問題として扱わない。法律で指定された特定の宛先への義務的な報告の引き金として扱い、報告対象に紐づく独自の保存義務が伴う。反射的に、それ以上の判断もなくアカウントを禁止し広告を削除することは、法律が保持を求めているものそのものを誤って破壊しかねない。

これは偽の写真や詐欺広告といった通常のモデレーションの問題とは無関係だ。それは運営者が自らの判断と禁止ボタンで管理する事業リスクであり、何が実際に偽の広告の掲載を阻止するのかで扱っている。ここで問題にしているのは、特定の法律によって作られた単一の限定的な法的義務であり、運営者がこれまで聞いたことがあるかどうかにかかわらず存在する。この記事の狙いは、初めてこの状況に直面する日が、会社の誰かが初めてこの法律を読む日と重ならないようにすることだ。

また、これはFOSTA-SESTAが人身取引に関連するコンテンツについて設けた刑事責任とは別の問題でもある。あの法律は、広告の内容についてプラットフォーム自体が訴えられたり刑事訴追されたりし得るかどうかを決める。この義務が決めるのは、報告が正しい連邦当局に届いたかどうかだけであり、その別個の責任問題の結論がどうであれ適用される。

問題となる法律は18 U.S.C. § 2258Aであり、2024年のREPORT Actと呼ばれる改正は、その年より前に書かれたガイダンスを、最も重要な数字、すなわち何を報告すべきか、資料をどれだけ保存すべきか、報告を怠るとどれだけの代償を払うことになるかという点で時代遅れにするほど大きく変更した。

法律が実際に求めていること

Section 2258Aは、公衆向けに電子通信サービスまたは遠隔コンピューティングサービスを提供する"provider"に適用され、これらは盗聴や保存通信に関するより古い法律から借用された用語だ。どちらの定義も企業規模、収益、業種に言及していない。ユーザーにアカウントを与え、写真のアップロードやメッセージのやり取りを可能にするサービスは、まさにこれらの定義が想定していた種類のサービスであり、小規模だからという理由だけで小さなマーケットプレイスを除外する規定は法律のどこにもない。あらゆるクラシファイド広告サイトがこの定義の細部まで該当するかどうかは、この種の規模の事業者に対して法廷で検証されたことがないため、この問いは決着済みではなく未解決として扱い、どちらかの答えを前提とするのではなく、具体的な構成を弁護士に評価してもらうべきだ。

義務を発動させるものは限定的だ。実際の認識である。法律は、providerに対してユーザーを監視すること、通信の内容を監視すること、あるいは報告を発動させる事実を積極的に探索、審査、スキャンすることを求める規定は一切ないと明記している。探しに行く義務はない。義務は、会社の誰かが実際にそれを知った瞬間に始まり、その瞬間から法律は、報告が全米行方不明・被搾取児童センター(NCMEC)のCyberTiplineに「合理的に可能な限り速やかに」届かなければならないとしている。

2024年以前、この義務を発動させるカテゴリーはほとんどの運営者が想像するより狭く、児童性的虐待を描写しているように見える資料に限られていた。児童の性的人身取引の疑いやオンライン誘引の疑いは、義務的な報告カテゴリーに全く含まれていなかった。両方とも、クラシファイド広告サイトのモデレーションチームが最初に気づくのに最も適した立場にいる、まさにその種のアカウントの挙動に現れうるにもかかわらずだ。一人が複数人の広告を運営している、未成年者が成人を装うよう仕向けられている、個々別々ではなく協調しているように見えるパターンなどだ。

この空白を埋めたのがREPORT Actであり、それが2024年5月以前に書かれたポリシーがもはや現行法を反映していない理由だ。

REPORT Actで何が変わったか

バイデン大統領は2024年5月7日にREPORT Actに署名した。この法律は§2258Aを四つの点で改正し、いずれも運営者がどうプロセスを構築するかに直接関わるものであり、そのプロセスの呼び名だけの問題ではない。

第一に、児童性的虐待を描写しているように見える資料と並んで、児童の性的人身取引の疑いと未成年者へのオンライン誘引の疑いを、providerが報告すべきカテゴリーに追加した。これは写真以上のものを取り込む変更だ。広告がどう投稿され管理されているかというパターン自体が、個々の写真に問題があるかどうかとは別に、今や単独で報告すべき状況となり得る。

第二に、報告に紐づく資料をproviderが保存すべき期間を90日から一年に延長した。何かを報告し、その一か月後にアカウントは禁止済みで話は終わったという理屈で基礎となるアカウントデータを削除してしまうサイトは、もはや法律が求める保存期間の内側にはいない。

第三に、保存されている内容に対するセキュリティ要件を追加した。CyberTiplineへの報告に関連する資料を保持するproviderは、最新版のNISTサイバーセキュリティフレームワークに適合する方法でそれを保護しなければならず、その遵守期限は施行から一年後、つまりおおむね2025年5月に設定されている。これは、運営者がすでに答えを出さなければならない、本人確認のステップで収集され安全に保存されなければならない身分証明書類という問いと並ぶものだ。保存される報告資料には、社内の誰もが開けるフォルダではなく、同じ種類の意図的でアクセス制限された保管が必要になる。

第四に、運営者の注意を最も引きそうな変更として、故意かつ意図的な報告の不履行に対する制裁金を大幅に引き上げた。

制裁金とは何であり、何でないか

REPORT Act以前は、故意かつ意図的な報告の不履行には、初回違反で最大15万ドル、再犯で最大30万ドルの民事制裁金が科されていた。新しい仕組みは上限をproviderの規模に連動させる。月間アクティブユーザー数が1億人未満のproviderによる初回の故意かつ意図的な不履行は、今や最大60万ドル、その数を満たすかそれを超えるproviderでは最大85万ドルの制裁金を科され得る。二回目以降の違反は、同じ区分で85万ドルまたは100万ドルまで上昇する。小規模なクラシファイド広告サイトは両方の数値で下位の区分に入るが、その下位の区分だけでも旧来の上限の四倍にあたる。

この数字の読み方を和らげる要素が二つある。これは民事制裁金であり、この規定に紐づく懲役刑ではない。そして、これは故意かつ意図的な報告の不履行、つまり会社が知っていながら報告しないことを選んだ場合にのみ適用され、報告すべきだったにもかかわらずプロセス上の正直な抜け落ちのために報告されなかったケースには適用されない。過失による見落としは、この制裁金が罰するために作られたものではない。

もう一つ知っておくべきことは、この数字をどれほど切迫したものとして読むべきかを左右する。公になっている情報の中には、司法省がこの具体的な制裁金を実際にあるproviderに科した事例は確認されていない。この不在は、義務を形式的なものとして扱ってよい理由にはならない。この種の報告法の運用パターンは、ある事案が見せしめにするのに十分目立つようになった瞬間に一変する傾向があり、何のプロセスも持たない会社こそ、その見せしめになる可能性が最も高い。法律を知らされていながら何もしなかった会社に対して故意かつ意図的な違反を立証する方が、実際のプロセスを持ちその中で弁護可能な判断を下した会社に対してよりもはるかに容易だからだ。

実際には、より差し迫ったリスクは制裁金ではない。誰かが何かがおかしいと気づいてから、報告義務のことを誰も考えていないうちの数時間の間に、そのアカウントとその内容に何が起きるかということだ。

最初の実際のケースの前に持っておくべきプロセス

解決策は監視ツールではない。法律は、それが不要であることを明確にしており、監視ツールを構築すること自体が、この義務が求めてもいないプライバシーとコストの独自の問題を引き起こす。解決策は、必要になる日より前から存在する短い書面の手順であり、必要になる日は、それを即興で作るには最悪のタイミングだからだ。

その日たまたまモデレーションを担当している人任せにするのではなく、こうしたエスカレーションを受け取る一人の人物、または明確に定義された役割を指名する。その人物には、会議を待たずに行動する権限が必要だ。「合理的に可能な限り速やかに」というのは法律上の基準であって、「社内で話し合った後に」ではないからだ。

何かがおかしいと感じた瞬間にチームがしてはならないことを書き留める。追加の接触を通じて本人の年齢を独自に確認しようとしないこと、広告主本人と対決しないこと、アカウントが審査中であることを悟らせないこと、そして報告が提出され資料が保存されるまではアカウントやその内容を削除しないこと。これらの本能はその瞬間には保護的に感じられるが、いずれも報告を弱めたり、法律が保存を求めるものを破壊したりしかねない。

報告が実際にどう提出されるかを事前に知っておく。NCMECのCyberTiplineはこの目的のために作られたウェブフォームを通じて報告を受け付けており、より大きなプラットフォームは同じ提出のために報告用のAPIを使う。小規模な運営者にAPIは必要ない。必要なのは、上で指名した人物が、事案の真っ最中に発見するのではなく、そのウェブフォームが存在すること、何を尋ねられるかをあらかじめ知っていることだ。

求められる一年間、保存された資料がどこに保管され、誰がアクセスできるかを書面で決めておき、サイトが本人確認データについてすでに負っているのと同じアクセス制限のあるアプローチに合わせる。何をいつ報告したかの簡潔な記録を残しておく。それはNCMECのためではなく、いつか尋ねられたときに、そのプロセスが書かれた通りに機能したことを会社が示せるようにするためだ。

これらのどれも新しいソフトウェアや大きな予算を必要としない。必要なのは書面一枚、指名された一人の人物、そして誰かが削除ボタンに触れる前に、報告書は提出され資料は保存されるという、事案の最中ではなく今下す決定だけだ。