USA-sanktioner udløste en digital kædereaktion for Autistici/Inventati

USA's sanktionering af Autistici/Inventati (A/I) viser, hvordan en amerikansk beslutning hurtigt kan udvikle sig til en infrastrukturkrise uden for USA. Få dage efter udpegningen den 26. august mistede det italienske teknologikollektiv adgangen til centrale betalings-, domæne- og banktjenester. Kollektivet oplyste derefter, at det ville lukke tjenester, som omfattede titusindvis af brugerkonti og websites. 1749

Hvad indebar den amerikanske udpegning?

USA's udenrigsministerium og finansministerium udpegede A/I som en Specially Designated Global Terrorist. Myndighederne hævdede, at det italiensk-baserede kollektiv byggede og drev digital infrastruktur for voldelige Antifa-celler og andre militante grupper på den yderste venstrefløj. Det er amerikanske myndigheders påstande. Udpegningen medfører, at aktiver under amerikansk jurisdiktion blokeres, og at amerikanske personer og virksomheder som udgangspunkt ikke må handle med den udpegede organisation. 491

Virkningen var dog ikke begrænset til aktiver i USA. For virksomheder med amerikanske tjenester, betalingssystemer eller eksponering mod det amerikanske finanssystem skabte beslutningen straks et compliance-problem.

Tre afgørende flaskehalse

Kædereaktionen ramte især tre områder:

• Betalinger: A/I's PayPal-konto blev suspenderet, hvilket afskar en kanal for donationer. 2454
• Domæneadgang: Public Interest Registry (PIR), den USA-baserede operatør af .org-registret, satte autistici.org på serverHold. Reuters skrev, at domænet blev utilgængeligt to dage efter udpegningen, og A/I's egen tekniske meddelelse pegede ligeledes på et hold på registry-niveau. 1731
• Bank: Banca Etica oplyste, at den midlertidigt havde suspenderet kontoens aktiviteter efter OFAC-listningen og hævet risikoprofilen. Reuters rapporterede senere, at kontoen blev lukket. 2217

Domænesagen er særlig vigtig. Statussen serverHold ligger på registry-niveau og kan forhindre et domæne i at blive opløst i internettets navnesystem, DNS. Dermed kan et website eller en mailtjeneste blive utilgængelig på det offentlige internet, uanset hvor de bagvedliggende servere fysisk står. Kontrol over et domæneregister kan altså i praksis være lige så afgørende som kontrol over selve serverne. 1731

Derfor sagde A/I, at en lukning var nødvendig

A/I meddelte, at tjenesterne ville lukke efter tabet af domænet og bankadgangen. Lukningen berørte ifølge de rapporterede tal omkring 16.000 mailbokse, 1.500 websites, 5.500 maillister og 10.000 blogs. 17

Det var derfor mere end et almindeligt driftsnedbrud. Uden et hoveddomæne bliver både offentligt tilgængelige tjenester og administration vanskelige. Uden betalinger og bankforbindelse bliver den løbende drift tilsvarende svær. Den bredere udfordring var risikoen: Når en organisation står på en sanktionsliste, kan leverandører og samarbejdspartnere vælge at afbryde forbindelsen frem for selv at vurdere mulig sanktionsrisiko.

Sagen illustrerer dermed, at tilgængeligheden af digitale tjenester ikke alene afhænger af, hvor infrastrukturen er hostet. Den afhænger også af regler, forretningsbeslutninger og juridisk eksponering hos de aktører, der kontrollerer kritiske led i kæden.

Hvorfor digitale rettighedsgrupper ser et bredere fortilfælde

European Digital Rights (EDRi) beskrev udpegningen som et angreb på uafhængig internetinfrastruktur, sikker kommunikation og grundlæggende rettigheder. Organisationens bekymring er, at et ensidigt amerikansk tiltag kan få reelle konsekvenser for en europæisk nonprofitorganisation gennem centraliserede tjenester som domæneregistre, betalingsudbydere og banker. 28

Det betyder ikke, at alle europæiske leverandører automatisk er juridisk forpligtet til at afbryde en organisation, der er udpeget af USA. Men sagen viser, hvor hurtigt risikobaserede compliance-beslutninger kan føre til samme praktiske resultat. For uafhængige hostingprojekter er læringen klar: Decentraliserede servere fjerner ikke afhængigheden af domæner, finansielle tjenester og andre centraliserede mellemled.

Kan EU's Blocking Statute hjælpe?

EDRi har opfordret EU til at reagere med udgangspunkt i den såkaldte Blocking Statute, Rådets forordning (EF) nr. 2271/96. Forordningen skal modvirke bestemte tredjelandes ekstraterritoriale lovgivning og tiltag. For regler, der er opført i forordningens bilag, kan den forbyde EU-aktører at efterleve sanktionerne uden Kommissionens tilladelse, begrænse anerkendelsen i EU af visse udenlandske afgørelser og åbne mulighed for erstatningskrav. 3439

Forordningen er imidlertid ikke en generel tilsidesættelse af alle amerikanske sanktioner. Om den finder anvendelse, afhænger af, om de konkrete udenlandske tiltag er omfattet af bilaget, samt af forholdene omkring den enkelte leverandør og transaktion. Materialet understøtter EDRi's politiske argument for nærmere granskning og handling, men fastslår ikke, at Blocking Statute automatisk pålagde en bestemt bank, et register eller en betalingsudbyder at fortsætte betjeningen af A/I. 3438

Den varige læring

A/I-sagen viser, at sanktioner kan nå en digital organisation gennem afhængigheder, der let overses: en betalingsformidler, en bankkonto og et register for topdomæner. For europæiske politikere og infrastrukturudbydere handler spørgsmålet derfor ikke kun om, hvor data ligger. Det handler også om, hvilke institutioner der i praksis kan gøre en organisation usynlig på nettet eller økonomisk umulig at drive, når et udenlandsk sanktionsvedtagelse træffes.