O dever de reportar ao CyberTipline: o que um operador de classificados precisa reportar, e o que mudou em 2024

O anuncio que um moderador nao pode simplesmente apagar

Um moderador revisando a fila abre um anuncio em que algo nao bate: um rosto que parece mais jovem do que a idade declarada, um numero de telefone que apareceu em anuncios de tres cidades diferentes na mesma semana, uma conta que parece publicar por varias pessoas diferentes ao mesmo tempo. O instinto, aquele sobre o qual todo fluxo de moderacao e construido, e agir rapido: retirar o anuncio, suspender a conta, passar ao proximo item da fila. Para quase toda categoria de anuncio problematico, esse instinto esta correto e o trabalho termina ali.

Essa categoria e diferente, e a diferenca nao e obvia ate alguem verificar. A lei federal americana nao trata esse caso como uma decisao sobre conteudo que o site pode tomar sozinho. Ela o trata como o gatilho de um relatorio especifico e obrigatorio a um destinatario designado pela lei, com seu proprio dever de conservacao ligado ao que esta sendo relatado. Banir a conta e apagar o anuncio, feito por reflexo e sem mais nada, pode destruir por acidente exatamente aquilo que a lei exige manter.

Nada disso tem a ver com o problema comum de moderacao, fotos falsas ou anuncios fraudulentos, que e um risco de negocio que um operador gerencia com o proprio julgamento e um botao de banimento, tratado em o que realmente impede um anuncio falso de ir ao ar. Este e um dever legal unico e delimitado, criado por uma lei especifica, que existe independentemente de o operador ja ter ouvido falar dele. O objetivo deste artigo e garantir que a primeira vez que isso acontecer nao seja tambem a primeira vez que alguem na empresa le a lei.

Tambem e uma questao diferente da exposicao criminal que o FOSTA-SESTA criou para conteudo ligado ao trafico sexual: aquela lei decide se a propria plataforma pode ser processada ou responsabilizada criminalmente pelo que um anuncio diz. Este dever decide apenas se um relatorio chegou ao endereco federal correto, e se aplica independentemente de como essa outra questao de responsabilidade se resolva.

A lei em questao e o 18 U.S.C. § 2258A, e uma emenda de 2024 chamada REPORT Act mudou o suficiente para que qualquer orientacao escrita antes daquele ano esteja desatualizada nos numeros que mais importam: o que precisa ser relatado, por quanto tempo o material precisa ser conservado, e quanto pode custar nao relatar.

O que a lei realmente exige

A Section 2258A se aplica a um "provider" de um servico de comunicacao eletronica ou de um servico de computacao remota oferecido ao publico, termos emprestados de leis mais antigas sobre interceptacoes e comunicacoes armazenadas. Nenhuma das duas definicoes menciona o tamanho da empresa, o faturamento ou o setor. Um servico que da contas aos usuarios, permite que eles enviem fotos ou troquem mensagens e exatamente o tipo de servico que essas definicoes foram escritas para descrever, e nada na lei exclui um pequeno marketplace de anuncios so por ele ser pequeno. Se todo site de classificados se encaixa nessa definicao em cada detalhe nunca foi testado em tribunal contra um negocio deste tipo, entao trate a questao como aberta, nao resolvida, e peca a um advogado para avaliar a configuracao especifica em vez de presumir uma resposta ou outra.

O que aciona o dever e restrito: o conhecimento efetivo. A lei afirma claramente que nada nela exige que um provider monitore um usuario, monitore o conteudo de uma comunicacao, ou busque, examine ou vasculhe ativamente em busca dos fatos que acionariam um relatorio. Nao ha obrigacao de sair procurando. A obrigacao comeca no momento em que alguem na empresa efetivamente sabe, e a partir desse momento a lei diz que o relatorio precisa chegar ao CyberTipline do National Center for Missing and Exploited Children (NCMEC) "assim que razoavelmente possivel".

Antes de 2024, as categorias que acionavam esse dever eram mais estreitas do que a maioria dos operadores imaginaria: material que aparentava retratar abuso sexual infantil. A suspeita de trafico sexual de menores e a suspeita de aliciamento online nao eram categorias de relato obrigatorio de forma alguma, mesmo que ambas possam surgir exatamente no tipo de comportamento de conta que a equipe de moderacao de um site de classificados esta melhor posicionada para notar primeiro: alguem administrando os anuncios de varias pessoas ao mesmo tempo, um menor induzido a se passar por adulto, padroes que parecem coordenados em vez de individuais.

Essa lacuna e o que o REPORT Act fechou, e e o motivo pelo qual uma politica escrita antes de maio de 2024 nao descreve mais a lei atual.

O que mudou com o REPORT Act

O presidente Biden sancionou o REPORT Act em 7 de maio de 2024. Ele alterou a § 2258A em quatro pontos que afetam diretamente como um operador constroi um processo, nao apenas como esse processo se chama.

Primeiro, acrescentou a suspeita de trafico sexual de menores e a suspeita de aliciamento online de um menor as categorias que um provider deve relatar, ao lado do material que aparenta retratar abuso sexual infantil. Essa e a mudanca que traz para dentro mais do que fotografias: um padrao em como os anuncios sao publicados e administrados pode agora ser, por si so, uma circunstancia a relatar, independentemente de uma foto especifica ser problematica.

Segundo, estendeu por quanto tempo um provider deve conservar o material ligado a um relatorio, de 90 dias para um ano. Um site que relata algo e depois apaga os dados da conta subjacente um mes depois, sob o raciocinio de que a conta esta banida e o assunto encerrado, ja nao esta dentro da janela de conservacao exigida por lei.

Terceiro, acrescentou uma exigencia de seguranca para o que e conservado: um provider que mantem material ligado a um relatorio ao CyberTipline precisa protege-lo de um modo consistente com o NIST Cybersecurity Framework atual, com prazo de conformidade fixado em um ano apos a entrada em vigor, ou seja, por volta de maio de 2025. Isso se soma a mesma pergunta que um operador ja precisa responder para os documentos de identidade que uma etapa de verificacao coleta e precisa guardar com seguranca: o material conservado de um relatorio precisa do mesmo tipo de armazenamento deliberado e com acesso restrito, nao uma pasta que qualquer pessoa na empresa pode abrir.

Quarto, e a mudanca mais provavel de chamar a atencao de um operador, elevou muito a multa por deixar de relatar de forma consciente e deliberada.

Qual e a sancao, e o que ela nao e

Antes do REPORT Act, deixar de relatar de forma consciente e deliberada trazia uma multa civil de ate 150.000 dolares por uma primeira infracao e ate 300.000 por uma reincidencia. A nova estrutura vincula o teto ao tamanho do provider: uma primeira falha consciente e deliberada em relatar agora pode ser multada em ate 600.000 dolares para um provider com menos de 100 milhoes de usuarios ativos mensais, ou ate 850.000 para um que atinja ou supere esse numero. Uma segunda infracao ou posterior sobe para 850.000 ou 1.000.000 de dolares na mesma divisao. Um pequeno site de classificados fica na faixa inferior em ambos os casos, e essa faixa inferior sozinha ainda e quatro vezes o antigo maximo.

Duas coisas moderam como isso deve ser lido. E uma multa civil, nao uma pena de prisao ligada a esta disposicao, e so se aplica a uma falha consciente e deliberada em relatar, ou seja, quando a empresa sabia e escolheu nao relatar, nao a um caso em que um relatorio provavelmente deveria ter sido feito e nao foi por uma falha honesta no processo. Um descuido negligente nao e o que essa sancao foi construida para punir.

A outra coisa a saber, porque muda a urgencia com que se deve ler esse numero, e que a cobertura publica nao identificou um caso em que o Department of Justice tenha de fato imposto essa multa especifica a um provider. Essa ausencia nao e motivo para tratar o dever como decorativo. Padroes de aplicacao de leis de relato como esta tendem a mudar no momento em que um caso se torna visivel o suficiente para virar exemplo, e uma empresa sem processo algum e a mais propensa a se tornar esse exemplo, porque uma constatacao de falha consciente e deliberada e muito mais facil de sustentar contra uma empresa que foi informada da lei e nao fez nada do que contra uma que tinha um processo real e tomou uma decisao defensavel dentro dele.

O risco mais imediato, na pratica, nao e a multa. E o que acontece com a conta e seu conteudo nas horas depois que alguem percebe que algo esta errado, antes de qualquer pessoa ter pensado no dever de relatar.

O processo a ter antes do primeiro caso real

A solucao nao e uma ferramenta de monitoramento. A lei e explicita ao dizer que nenhuma e exigida, e construir uma traz seus proprios problemas de privacidade e custo que este dever nao pede. A solucao e um procedimento curto e escrito que existe antes do dia em que for necessario, porque o dia em que for necessario e o pior momento possivel para improvisar um.

Nomeie uma unica pessoa, ou uma funcao claramente definida, que recebe uma escalada como essa, em vez de deixa-la para quem estiver moderando naquele dia. Essa pessoa precisa da autoridade para agir sem esperar uma reuniao, porque "assim que razoavelmente possivel" e o padrao legal, nao "depois de discutirmos internamente".

Escreva o que a equipe nao deve fazer no momento em que algo parece errado: nao tentar verificar por conta propria a idade da pessoa por meio de contato adicional, nao confrontar o anunciante, nao dar sinais de que a conta esta sob revisao, e nao apagar a conta ou seu conteudo antes de o relatorio ser feito e o material conservado. Cada um desses instintos parece protetor no momento, e cada um pode enfraquecer o relatorio ou destruir o que a lei diz que precisa ser mantido.

Saiba com antecedencia como um relatorio realmente e feito: o CyberTipline do NCMEC aceita relatorios por meio de um formulario web construido para esse fim, e plataformas maiores usam uma API de relato para o mesmo envio. Um pequeno operador nao precisa da API. Precisa que a pessoa nomeada acima ja saiba que o formulario web existe e o que ele pede, em vez de descobrir isso no meio de um incidente.

Decida, por escrito, onde o material conservado vai ficar durante o ano exigido e quem pode acessa-lo, seguindo a mesma abordagem de acesso restrito que o site ja deve aos seus dados de verificacao de identidade. Mantenha um breve registro do que foi relatado e quando, nao para o NCMEC, mas para que a empresa possa mostrar, se algum dia for perguntada, que seu processo funcionou como estava escrito para funcionar.

Nada disso exige software novo ou um grande orcamento. Exige uma pagina escrita, uma pessoa nomeada, e uma decisao tomada agora, nao no meio de um incidente, de que um relatorio sera feito e o material sera conservado, antes que qualquer pessoa toque no botao de apagar.