Näin Yhdysvaltain pakotteet ajoivat Autistici/Inventatin sulkemaan palvelunsa

Autistici/Inventatin (A/I) sulkeminen osoittaa, kuinka yhdysvaltalainen pakotepäätös voi muuttua nopeasti infrastruktuurikriisiksi Yhdysvaltain ulkopuolella. Vain muutamassa päivässä italialainen teknologiakollektiivi menetti keskeisiä maksu-, verkkotunnus- ja pankkipalveluja. Se ilmoitti lopettavansa palvelut, joiden piirissä oli kymmeniätuhansia käyttäjätilejä ja verkkosivustoja. 1749

Mitä Yhdysvaltain päätös tarkoitti

Yhdysvaltain ulkoministeriö ja valtiovarainministeriö nimesivät A/I:n 26. elokuuta erityisesti nimetyksi globaaliksi terroristiksi (Specially Designated Global Terrorist). Viranomaisten mukaan Italiassa toimiva kollektiivi oli rakentanut ja ylläpitänyt digitaalista infrastruktuuria väkivaltaisille Antifa-soluille ja muille äärivasemmistolaisille toimijoille. Kyse on Yhdysvaltain viranomaisten väitteistä. 491

Nimeäminen jäädyttää Yhdysvaltain lainkäyttövaltaan kuuluvan nimetyn tahon omaisuuden ja lähtökohtaisesti kieltää yhdysvaltalaisia henkilöitä ja yrityksiä tekemästä sen kanssa liiketoimia. 491

Vaikutukset eivät kuitenkaan rajoittuneet Yhdysvalloissa sijaitsevaan omaisuuteen. Yrityksille, joiden palveluihin, maksujärjestelmiin tai rahoitukseen liittyy yhdysvaltalainen kytkös, syntyi välittömästi pakotteiden noudattamiseen liittyvä riski.

Kolme kriittistä katkaisukohtaa

A/I:n toiminnan kannalta ratkaiseviksi osoittautuivat maksut, verkkotunnus ja pankkitili.

• Maksut: PayPal jäädytti A/I:n tilin, mikä katkaisi yhden lahjoituskanavan. 2454
• Verkkotunnus: Yhdysvalloissa toimiva Public Interest Registry (PIR), joka ylläpitää .org-verkkotunnusrekisteriä, asetti autistici.org-osoitteen serverHold-tilaan. Reutersin mukaan osoite muuttui saavuttamattomaksi kaksi päivää nimeämisen jälkeen. A/I:n tekninen tiedote vahvisti rekisteritason pidon. 1731
• Pankkipalvelut: Banca Etica ilmoitti keskeyttäneensä yhdistyksen tilin käytön väliaikaisesti OFAC-listauksen jälkeen ja nostaneensa sen riskiluokitusta. Reuters raportoi myöhemmin tilin sulkemisesta. 2217

Verkkotunnuksen tapaus on erityisen havainnollinen. serverHold on rekisteritason tila, joka voi estää verkkotunnusta toimimasta julkisessa internetissä, vaikka verkkosivujen tai sähköpostin varsinaiset palvelimet olisivat Euroopassa. Käytännössä verkkotunnusrekisterin hallinta voi olla yhtä ratkaisevaa kuin itse palvelinten hallinta. 1731

Miksi palvelut oli määrä sulkea

A/I ilmoitti lopettavansa palvelunsa menetettyään verkkotunnuksensa ja pankkitilinsä. Sulkeminen koski noin 16 000 sähköpostilaatikkoa, 1 500 verkkosivustoa, 5 500 postituslistaa ja 10 000 blogia. 17

Kyse ei siis ollut tavanomaisesta palvelinkatkosta. Pääverkkotunnuksen menetys vaikeuttaa sekä palvelujen julkista saavutettavuutta että niiden hallintaa. Maksujen ja pankkiyhteyksien menetys puolestaan hankaloittaa toiminnan rahoittamista.

Laajempi ongelma oli riskissä: kun organisaatio joutuu pakotelistalle, palveluntarjoajat ja muut sopimuskumppanit voivat katkaista suhteensa mieluummin kuin arvioida mahdollista pakotealtistustaan. Silloin digitaalisten palvelujen jatkuvuus ei riipu vain siitä, missä palvelimet sijaitsevat, vaan myös siitä, millaisia käytäntöjä ja oikeudellisia riskejä infrastruktuurin keskeisillä välittäjillä on.

Miksi digioikeusjärjestöt pitävät tapausta ennakkotapauksena

European Digital Rights (EDRi) kuvasi nimeämistä hyökkäykseksi riippumatonta internetin infrastruktuuria, suojattua viestintää ja perusoikeuksia vastaan. Järjestön huolena on, että yksipuolisella yhdysvaltalaisella toimella voi olla käytännön seurauksia eurooppalaiselle voittoa tavoittelemattomalle toimijalle keskitettyjen palvelujen, kuten verkkotunnusrekisterien, maksupalvelujen ja pankkien, kautta. 28

Tämä ei tarkoita, että jokaisella eurooppalaisella palveluntarjoajalla olisi automaattisesti oikeudellinen velvollisuus katkaista palvelu pakotelistalle joutuneelta toimijalta. Tapaus kuitenkin osoittaa, kuinka riskiperusteiset päätökset voivat johtaa samaan lopputulokseen.

Riippumattomille hosting- ja viestintähankkeille opetus on rakenteellinen: palvelinten hajauttaminen ei poista riippuvuutta verkkotunnuksista, rahoituksesta ja muista keskitetyistä välikäsistä.

Voisiko EU:n estostatuutti auttaa?

EDRi on vaatinut EU:n vastausta, jonka keskiössä olisi estostatuutti eli neuvoston asetus (EY) N:o 2271/96. Asetuksen tarkoitus on suojata EU:ssa toimivia tahoja tiettyjen kolmansien maiden lakien ja toimien ekstraterritoriaalisilta vaikutuksilta. 3439

Asetuksen liitteessä mainittujen lakien osalta se voi kieltää EU-toimijoita noudattamasta kyseisiä toimia ilman Euroopan komission lupaa, rajoittaa tiettyjen ulkomaisten päätösten tunnustamista EU:ssa sekä mahdollistaa joissakin tilanteissa vahingonkorvauksen hakemisen. 3439

Estostatuutti ei silti kumoa automaattisesti kaikkia Yhdysvaltain pakotteita. Sen soveltuminen riippuu siitä, kuuluvatko kyseiset ulkomaiset toimet asetuksen liitteeseen, sekä palveluntarjoajan ja liiketoimen yksityiskohdista. Saatavilla olevat tiedot tukevat EDRi:n vaatimusta asiasta tehtävästä tarkastelusta ja poliittisesta toiminnasta, mutta eivät osoita, että estostatuutti olisi automaattisesti velvoittanut yksittäisen pankin, rekisterin tai maksupalvelun jatkamaan A/I:n palvelemista. 3438

Tapaus paljastaa digitaalisen riippuvuuden

A/I:n tapaus osoittaa, että pakotteet voivat ulottua digitaaliseen organisaatioon helposti huomaamatta jäävien riippuvuuksien kautta: maksunvälittäjän, pankkitilin ja ylätason verkkotunnusrekisterin kautta.

Eurooppalaisille päättäjille ja infrastruktuuripalvelujen tarjoajille kysymys ei koske vain sitä, missä dataa säilytetään. Yhtä olennaista on, mitkä instituutiot voivat tehdä organisaatiosta verkossa saavuttamattoman tai taloudellisesti toimintakyvyttömän, kun ulkomainen pakotepäätös annetaan.