CyberTipline 报告义务：分类广告运营者必须报告什么，2024 年又发生了哪些变化

审核员无法简单删除的那条广告

一名审核员在处理队列时打开一条广告,发现有些地方不对劲:照片上的人脸看起来比标注年龄小,同一个电话号码在同一周内出现在三个不同城市的广告里,一个账号看起来在同时为好几个不同的人发布信息。每一套审核流程都建立在同一个本能反应之上:尽快处理,下架广告,封停账号,处理队列里的下一项。对绝大多数问题广告类别来说,这个本能是对的,处理到这一步就算完成了。

但这一类情况不同,而且不查清楚根本看不出区别在哪里。美国联邦法律不把这种情况当作平台可以自行决定的内容问题来处理。它把这种情况定为触发一项特定强制报告的条件,报告对象由法律指定,而且附带一项与所报告内容直接挂钩的保存义务。仅凭本能封号删帖,不做别的任何事情,反而可能意外销毁法律恰好要求保留的东西。

这与常见的审核难题,例如虚假照片或欺诈广告,完全不是一回事:那类问题属于运营者用自己的判断和封号按钮就能处理的商业风险,详见究竟是什么真正阻止了一条虚假广告上线。而这里说的是一项单一且范围明确的法定义务,由一部具体法律创设,不论运营者此前是否听说过它,这项义务都客观存在。写这篇文章的目的,就是让这种情况第一次出现的时候,不会正好也是公司里第一次有人去读这部法律的时候。

这也和FOSTA-SESTA 为人口贩卖相关内容设定的刑事责任是两回事:那部法律决定的是平台本身是否会因为一条广告的内容而被起诉或追究刑事责任。而这里讨论的义务,决定的只是一份报告有没有送达正确的联邦机构,不论那个单独的责任问题最终如何裁定,这项义务都照样适用。

这里说的法律是《美国法典》第18编第2258A条,而2024年一项名为REPORT Act的修正案改动幅度之大,使得那一年之前写成的任何指南在最关键的几个数字上都已经过时:必须报告什么、材料要保存多久,以及不报告可能付出什么代价。

这部法律实际要求什么

第2258A条适用于向公众提供电子通信服务或远程计算服务的"provider",这两个术语借用自更早的窃听和存储通信相关法律。这两个定义都没有提到公司规模、营收或所属行业。一项让用户拥有账号、允许他们上传照片或互相发消息的服务,正是这些定义原本要描述的服务类型,法律里没有任何一处仅仅因为一个分类广告市场规模小就把它排除在外。至于每一家分类广告网站是否在每个细节上都符合这个定义,从未在法庭上针对这类规模的企业得到过检验,所以应当把这个问题当作悬而未决而非已有定论来对待,应当请律师评估自身具体情况,而不是预先假定某一个答案。

触发这项义务的条件很窄:实际知情。法律明确写明,其中任何内容都不要求provider监控任何用户、监控任何通信的内容,或主动搜索、审查、扫描以寻找可能触发报告的事实。没有主动去查的义务。义务始于公司内部有人真正知情的那一刻,从那一刻起,法律要求报告必须"在合理可行的最快时间内"送达美国失踪与受剥削儿童中心(NCMEC)的CyberTipline。

在2024年之前,触发这项义务的类别比大多数运营者想象的要窄:仅限于疑似描绘儿童性虐待的材料。疑似儿童性贩卖和疑似网络诱拐当时根本不属于强制报告类别,尽管这两者恰恰可能出现在分类广告网站审核团队最有可能率先注意到的那类账号行为中:一个人同时操控多人的广告、一名未成年人被诱导冒充成年人、看起来经过协调而非各自独立的行为模式。

REPORT Act 补上的正是这个空白,这也是为什么2024年5月之前写成的政策已经无法反映现行法律的原因。

REPORT Act 带来了哪些改变

拜登总统于2024年5月7日签署了REPORT Act。它在四个方面修订了第2258A条,这四点直接关系到运营者如何搭建流程,而不只是这个流程叫什么名字。

第一,它把疑似儿童性贩卖和疑似网络诱拐未成年人,加入到provider必须报告的类别之中,与疑似儿童性虐待材料并列。这一变化把不仅仅是照片的内容也纳入进来:广告发布和管理方式中的某种模式,现在本身就可以构成一项应报告的情形,不管某一张具体照片是否有问题。

第二,它把provider保存与某份报告相关材料的时长,从90天延长到一年。一个网站在报告了某个情况之后,一个月后就以账号已封、事情已了结为由删除了相关账号数据,这样已经不再处于法律要求的保存期限之内。

第三,它为所保存的材料增加了一项安全要求:持有与CyberTipline报告相关材料的provider,必须以符合现行NIST网络安全框架的方式加以保护,合规截止日期设定在法律生效后一年,也就是大约2025年5月。这和运营者已经要面对的另一个问题并列在一起,就是核验环节收集且必须安全保存的身份证件:被保存的报告材料需要同样有意设计、访问受限的存储方式,而不是一个公司里任何人都能打开的文件夹。

第四,也是最可能引起运营者注意的变化,它大幅提高了对明知且故意不报告行为的罚款。

这项处罚是什么,又不是什么

在REPORT Act之前,明知且故意不报告最高可处以15万美元的民事罚款,初犯为限,再犯最高可达30万美元。新的结构把上限与provider的规模挂钩:月活跃用户低于1亿的provider,初次明知且故意不报告现在最高可处以60万美元罚款;达到或超过这一数字的provider,最高可处以85万美元。第二次或后续违规,按同样的划分上升到85万或100万美元。小型分类广告网站在这两项数字上都落在较低档,而仅这一较低档就已经是旧上限的四倍。

有两点可以缓和对这个数字的解读。这是一项民事罚款,而不是与这条规定挂钩的监禁刑罚,而且它只适用于明知且故意的不报告,也就是公司明明知道却选择不报告的情况,而不适用于本应大概率提交报告,却因为流程中一个诚实的疏漏而未能提交的情况。这项处罚的设计目标不是惩罚过失性疏忽。

另一件值得了解的事,因为它会改变解读这个数字时应有的紧迫感,是公开报道中没有发现过司法部真正对某个provider实际处以这项具体罚款的案例。这种缺失并不是把这项义务当作摆设的理由。类似报告法律的执法方式,往往会在某个案件变得足够引人注目、可以拿来杀一儆百的那一刻突然转向,而完全没有任何流程的公司,最有可能成为那个被树立的典型,因为要证明一家公司明知法律却什么都没做,远比证明一家有真实流程、并在流程内部做出了可辩护判断的公司故意违规要容易得多。

实际上,更紧迫的风险并不是罚款。而是在有人发现情况不对之后的那几个小时里,在还没有任何人想到报告义务之前,账号及其内容会发生什么。

遇到第一起真实案例之前应当建立的流程

解决办法不是监控工具。法律明确说明不需要任何监控工具,而建立一套监控工具本身会带来隐私和成本方面的问题,这项义务并没有提出这样的要求。解决办法是一份简短的书面流程,在需要用到它的那一天到来之前就已经存在,因为需要用到它的那一天,恰恰是临时拼凑一套流程的最糟糕时机。

指定一个人,或者一个明确界定的职责,来接收此类升级事项,而不是随便交给当天恰好在做审核的人。这个人需要有权在不等待开会的情况下立即行动,因为"在合理可行的最快时间内"是法律标准,而不是"等我们内部讨论完再说"。

把团队在发现异常那一刻不应该做的事情写下来:不要试图通过进一步联系自行核实当事人的年龄,不要与发布广告的人正面对质,不要透露账号正在被审查,也不要在报告提交、材料保存之前删除账号或其内容。这些本能反应在当下都会让人觉得是在保护公司,但每一种都可能削弱报告的效力,或者销毁法律要求保留的东西。

提前弄清楚报告实际上是怎么提交的:NCMEC的CyberTipline通过专门为此设计的网页表单接受报告,规模更大的平台则使用报告API提交同样的内容。小型运营者不需要那个API。需要的只是上面指定的那个人事先就知道这个网页表单的存在,以及它要求填写什么信息,而不是在事件发生当中才第一次发现。

以书面形式确定被保存的材料在要求的一年内存放在哪里、谁可以访问,遵循与网站已经在身份核验数据上采用的相同的访问受限方式。保留一份简短的记录,记下报告了什么、什么时候报告的,这不是为了NCMEC,而是为了让公司在日后被问起时,能够证明自己的流程确实按照书面规定运作过。

这一切都不需要新软件,也不需要一大笔预算。需要的是一页书面文件、一个被指定的人,以及一个现在就做出、而不是在事件发生当中才做出的决定:在任何人碰删除键之前,报告会被提交,材料会被保存。