O recém-autorizado regulador de conteúdos da Internet do Reino Unido publicou o primeiro conjunto de projectos de Códigos de Prática ao abrigo do Lei de Segurança Online (OSA) que tornou-se lei no final do mês passado.

Mais códigos se seguirão, mas este primeiro conjunto – que se concentra em como se espera que os serviços de usuário para usuário (U2U) respondam a diferentes tipos de conteúdo ilegal – oferece uma orientação sobre como o Ofcom pretende moldar e fazer cumprir a ampla lei do Reino Unido. novo conjunto de regras da Internet numa área fundamental.

Ofcom afirma que sua primeira prioridade como “regulador de segurança online” será proteger as crianças.

O projeto de recomendações sobre conteúdo ilegal inclui sugestões de que plataformas maiores e de maior risco devem evitar apresentar às crianças listas de amigos sugeridos; não deve permitir que usuários infantis apareçam nas listas de conexão de outras pessoas; e não deve tornar as listas de conexões das crianças visíveis para outras pessoas.

Também propõe que contas fora da lista de conexões de uma criança não possam enviar-lhes mensagens diretas; e as informações de localização das crianças não devem ser visíveis para outros usuários, entre uma série de mitigações de risco recomendadas destinadas a manter as crianças seguras online.

“A regulamentação está aqui e não perdemos tempo em definir como esperamos que as empresas de tecnologia protejam as pessoas de danos ilegais online, ao mesmo tempo que defendem a liberdade de expressão. As crianças nos contaram sobre os perigos que enfrentam e estamos determinados a criar uma vida online mais segura para os jovens em particular”, disse Melanie Dawes, presidente-executiva do Ofcom, em comunicado.

“Os nossos números mostram que a maioria das crianças do ensino secundário foi contactada online de uma forma que potencialmente as deixa desconfortáveis. Para muitos, isso acontece repetidamente. Se estas abordagens indesejadas ocorressem com tanta frequência no mundo exterior, a maioria dos pais dificilmente quereria que os seus filhos saíssem de casa. No entanto, de alguma forma, no espaço online, eles se tornaram quase rotineiros. Isso não pode continuar.”

A OSA impõe aos serviços digitais, grandes e pequenos, o dever legal de proteger os utilizadores dos riscos representados por conteúdos ilegais, como CSAM (material de abuso sexual infantil), terrorismo e fraude. Embora a lista de crimes prioritários na legislação seja longa – incluindo também o abuso de imagem íntima; perseguição e assédio; e cyberflashing, para citar mais alguns.

As etapas exatas que os serviços e plataformas abrangidos precisam de tomar para cumprir não estão definidas na legislação. O Ofcom também não prescreve como as empresas digitais devem agir em relação a todos os tipos de riscos de conteúdo ilegal. Mas os Códigos de Prática detalhados que está a desenvolver destinam-se a fornecer recomendações para ajudar as empresas a tomar decisões sobre como adaptar os seus serviços para evitar o risco de serem consideradas em violação de um regime que as autoriza a cobrar multas de até 10% do volume de negócios anual global para violações.

O Ofcom está evitando uma abordagem única – com algumas recomendações mais caras no projeto de código sendo propostas apenas para serviços maiores e/ou mais arriscados.

Ele também escreve que é “provável que tenha as relações de supervisão mais próximas” com “os maiores e mais arriscados serviços” – uma linha que deve trazer um certo alívio para as startups (que geralmente não deverão implementar tantas das recomendações recomendadas). mitigações como serviços mais estabelecidos). Está a definir serviços “grandes” no contexto da OSA como aqueles que têm mais de 7 milhões de utilizadores mensais (ou cerca de 10% da população do Reino Unido).

“As empresas serão obrigadas a avaliar o risco de os utilizadores serem prejudicados por conteúdos ilegais nas suas plataformas e a tomarem as medidas adequadas para os proteger. É dada especial atenção aos «crimes prioritários» definidos na legislação, como o abuso de crianças, o aliciamento e o incentivo ao suicídio; mas pode ser qualquer conteúdo ilegal”, escreve num comunicado de imprensa, acrescentando: “Dada a gama e diversidade de serviços no âmbito das novas leis, não estamos a adoptar uma abordagem de ‘tamanho único’. Estamos propondo algumas medidas para todos os serviços abrangidos e outras medidas que dependem dos riscos que o serviço identificou na sua avaliação de risco de conteúdo ilegal e do tamanho do serviço.”

O regulador parece estar a agir de forma relativamente cautelosa no desempenho das suas novas responsabilidades, com o projecto de código sobre conteúdos ilegais a citar frequentemente a falta de dados ou provas que justifiquem decisões preliminares para não recomendar certos tipos de mitigação de risco – como o Ofcom não propor correspondência de hash para detectar conteúdo terrorista; nem recomendar o uso de IA para detectar conteúdo ilegal anteriormente desconhecido.

Embora observe que tais decisões poderão mudar no futuro à medida que forem reunindo mais evidências (e, sem dúvida, à medida que as tecnologias disponíveis mudarem).

Também reconhece a novidade do esforço, ou seja, a tentativa de regulamentar algo tão abrangente e subjetivo como a segurança/danos online, dizendo que deseja que os seus primeiros códigos sejam uma base sobre a qual se baseia, inclusive através de um processo regular de revisão – sugerindo que a orientação irá mudam e se desenvolvem à medida que o processo de supervisão amadurece.

“Reconhecendo que estamos a desenvolver um novo e inovador conjunto de regulamentos para um setor sem regulamentação direta anterior deste tipo, e que a nossa base de evidências existente é atualmente limitada em algumas áreas, estes primeiros Códigos representam uma base sobre a qual construir, através de ambos iterações subsequentes de nossos Códigos e nossa próxima consulta sobre a Proteção das Crianças”, escreve Ofcom. “Neste sentido, os nossos primeiros Códigos propostos incluem medidas destinadas a uma governação adequada e à responsabilização pela segurança online, que visam incorporar uma cultura de segurança no design organizacional e iterar e melhorar os sistemas e processos de segurança ao longo do tempo.”

No geral, este primeiro passo de recomendações parece razoavelmente incontroverso – com, por exemplo, o Ofcom inclinado a recomendar que todos os serviços U2U devem ter “sistemas ou processos concebidos para eliminar rapidamente conteúdos ilegais de que tenha conhecimento” (observe as advertências); enquanto os serviços U2U “multirriscos” e/ou “grandes” são apresentados com uma lista mais abrangente e específica de requisitos destinados a garantir que tenham um sistema de moderação de conteúdo funcional e com recursos suficientes.

Outra proposta sobre a qual está consultando é que todos os serviços de pesquisa geral garantam que URLs identificados como hospedagem CSAM sejam desindexados. Mas ainda não é uma recomendação formal que os usuários que compartilham CSAM sejam bloqueados – citando a falta de evidências (e políticas de plataforma existentes inconsistentes sobre bloqueio de usuários) para não sugerir isso neste momento. Embora o rascunho diga que “visa explorar uma recomendação sobre o bloqueio de usuários relacionado ao CSAM no início do próximo ano”.

Ofcom também sugere que os serviços identificados como de médio ou alto risco devem fornecer aos usuários ferramentas que lhes permitam bloquear ou silenciar outras contas no serviço. (O que deveria ser incontroverso para quase todo mundo – exceto talvez o proprietário do X, Elon Musk.)

Também evita recomendar certas tecnologias mais experimentais e/ou imprecisas (e/ou intrusivas). Portanto, embora recomende que serviços maiores e/ou com maior risco de CSAM realizem detecção de URL para capturar e bloquear links para sites de CSAM conhecidos, é não está sugerindo que eles façam detecção de palavras-chave para CSAM, por exemplo.

Outras recomendações preliminares incluem que os principais mecanismos de pesquisa exibam avisos preditivos em pesquisas que possam estar associadas a CSAM; e fornecer informações de prevenção de crises para pesquisas relacionadas ao suicídio.

Ofcom também está propondo que os serviços usem detecção automatizada de palavras-chave para encontrar e remover postagens vinculadas à venda de credenciais roubadas, como cartões de crédito – visando a miríade de danos decorrentes de fraudes online. No entanto, não é recomendável usar a mesma tecnologia para detectar especificamente golpes de promoção financeira, pois teme que isso possa capturar muito conteúdo legítimo (como conteúdo promocional para investimentos financeiros genuínos).

Os observadores da privacidade e da segurança devem respirar aliviados ao ler o projeto de orientação, já que o Ofcom parece estar se afastando do elemento mais controverso da OSA – ou seja, seu impacto potencial na criptografia de ponta a ponta (E2EE).

Este tem sido um dos principais pontos de discórdia com a legislação de segurança online do Reino Unido, com grande resistência – inclusive por parte de vários gigantes da tecnologia e empresas de mensagens seguras. Mas, apesar das fortes críticas públicas, o governo não alterou o projeto de lei para remover o E2EE do âmbito das medidas de detecção de CSAM – em vez disso, um ministro ofereceu uma garantia verbalno final da aprovação do projeto de lei no parlamento, dizendo que o Ofcom não poderia ser obrigado a ordenar a digitalização a menos que exista “tecnologia apropriada”.

No rascunho do código, a recomendação do Ofcom de que serviços maiores e mais arriscados usem uma técnica chamada correspondência de hash para detectar CSAM evita a controvérsia, pois só se aplica “em relação ao conteúdo comunicado publicamente no U2U [user-to-user] serviços, onde for tecnicamente viável implementá-los” (ênfase).

“Consistente com as restrições da Lei, elas não se aplicam a comunicações privadas ou comunicações criptografadas de ponta a ponta”, também estipula.

O Ofcom irá agora consultar os rascunhos de códigos lançados hoje, solicitando comentários sobre suas propostas.

A sua orientação para empresas digitais sobre como mitigar os riscos de conteúdos ilegais não será finalizada até ao próximo outono – e a conformidade com estes elementos não é esperada até pelo menos três meses depois disso. Portanto, há um período de introdução bastante generoso para dar aos serviços e plataformas digitais tempo para se adaptarem ao novo regime.

Também está claro que o impacto da lei será escalonado à medida que o Ofcom fizer mais essa “sombreamento” de detalhes específicos (e à medida que qualquer legislação secundária necessária for introduzida).

Embora alguns elementos da OSA – como os avisos informativos que o Ofcom pode emitir sobre o serviço dentro do escopo – já sejam deveres executáveis. E os serviços que não cumprirem os avisos informativos do Ofcom podem ser punidos.

Há também um prazo definido na OSA para que os serviços abrangidos realizem a avaliação de risco das suas primeiras crianças, um passo fundamental que ajudará a determinar que tipo de mitigações poderão ter de implementar. Portanto, há muito trabalho que as empresas digitais já deveriam estar fazendo para preparar o terreno para o regime completo que está por vir.

“Queremos ver os serviços agindo para proteger as pessoas o mais rápido possível e não vemos razão para adiar a ação”, disse um porta-voz do Ofcom ao TechCrunch. “Achamos que as nossas propostas hoje são um bom conjunto de medidas práticas que os serviços poderiam tomar para melhorar a segurança dos utilizadores. No entanto, estamos a realizar consultas sobre estas propostas e notamos que é possível que alguns dos seus elementos possam mudar em resposta às evidências fornecidas durante o processo de consulta.”

Questionado sobre como será determinado o risco de um serviço, o porta-voz disse: “O Ofcom determinará quais serviços supervisionamos, com base na nossa própria visão sobre o tamanho da sua base de utilizadores e os riscos potenciais associados às suas funcionalidades e modelo de negócio. Dissemos que informaremos esses serviços nos primeiros 100 dias após o Royal Assent, e também manteremos isso sob revisão à medida que nossa compreensão da indústria evoluir e novas evidências forem disponibilizadas.”

Sobre o cronograma do código de conteúdo ilegal, o regulador também nos disse: “Depois de finalizarmos os nossos códigos na nossa declaração regulatória (atualmente prevista para o próximo outono, sujeita às respostas da consulta), iremos apresentá-los ao Secretário de Estado para serem estabelecidos no parlamento. Entrarão em vigor 21 dias depois de terem sido aprovados no parlamento e poderemos tomar medidas de execução a partir de então e esperamos que os serviços comecem a tomar medidas para entrar em conformidade o mais tardar nessa altura. No entanto, algumas das mitigações podem levar algum tempo para serem implementadas. Adotaremos uma abordagem razoável e proporcional às decisões sobre quando tomar medidas de execução, tendo em conta as restrições práticas que impõem mitigações.”

“Adotaremos uma abordagem razoável e proporcional ao exercício dos nossos poderes de execução, em linha com a nossa abordagem geral à aplicação e reconhecendo os desafios enfrentados pelos serviços à medida que se adaptam às suas novas funções”, escreve também o Ofcom na consulta.

“No que diz respeito aos conteúdos ilegais e aos deveres de segurança infantil, esperaríamos dar prioridade apenas às violações graves para medidas de aplicação nas fases iniciais do regime, para permitir aos serviços uma oportunidade razoável para entrarem em conformidade. Por exemplo, isto pode incluir situações em que parece existir um risco muito significativo de danos graves e contínuos para os utilizadores do Reino Unido e, em particular, para as crianças. Embora consideremos o que é razoável caso a caso, todos os serviços devem esperar ser mantidos em total conformidade no prazo de seis meses após a entrada em vigor do dever de segurança relevante.”