Jak amerykańskie sankcje doprowadziły do zamknięcia włoskiego Autistici/Inventati

Zamknięcie Autistici/Inventati (A/I) pokazuje, jak amerykańska decyzja sankcyjna może w ciągu kilku dni przerodzić się w kryzys infrastrukturalny poza granicami USA. Po decyzji z 26 sierpnia włoski kolektyw technologiczny stracił kluczowe kanały finansowe i dostęp do domeny, a następnie zapowiedział wygaszenie usług obejmujących dziesiątki tysięcy kont i serwisów. 1749

Co oznaczało amerykańskie oznaczenie

Departament Stanu i Departament Skarbu USA zaklasyfikowały A/I jako Specially Designated Global Terrorist (SDGT), czyli podmiot objęty amerykańskimi sankcjami antyterrorystycznymi. Władze USA zarzuciły włoskiemu kolektywowi tworzenie i prowadzenie infrastruktury cyfrowej dla brutalnych komórek Antify oraz innych skrajnie lewicowych bojowników. Są to zarzuty rządu USA. 491

Taka decyzja blokuje majątek objęty jurysdykcją USA i co do zasady zakazuje osobom oraz firmom amerykańskim zawierania transakcji z wpisanym podmiotem. 491

W praktyce skutki nie ograniczają się do aktywów znajdujących się w Stanach Zjednoczonych. Firmy korzystające z amerykańskich usług, systemów płatniczych lub mające ekspozycję na amerykański system finansowy mogą uznać dalszą współpracę za ryzykowną z punktu widzenia zgodności z sankcjami.

Trzy punkty krytyczne: płatności, domena i bank

W przypadku A/I kluczowe okazały się trzy zależności:

• Płatności: PayPal zawiesił konto A/I wykorzystywane do przyjmowania darowizn. 2454
• Domena: Public Interest Registry (PIR), amerykański operator rejestru .org, nałożył na autistici.org status serverHold. Reuters podał, że domena stała się niedostępna dwa dni po oznaczeniu; techniczny komunikat A/I również wskazywał na blokadę na poziomie rejestru. 1731
• Bankowość: Banca Etica poinformował, że po wpisaniu przez OFAC tymczasowo zawiesił operacje na koncie stowarzyszenia i podniósł jego profil ryzyka. Reuters później podał, że konto zostało zamknięte. 2217

Szczególnie istotna była blokada domeny. Status serverHold działa na poziomie rejestru: może uniemożliwić rozwiązywanie domeny w publicznym internecie, niezależnie od tego, gdzie fizycznie działają serwery WWW czy pocztowe. Kontrola nad rejestrem domen może więc mieć skutki porównywalne z kontrolą nad samymi serwerami. 1731

Dlaczego A/I zapowiedziało zamknięcie usług

Kolektyw podał, że wygasi usługi po utracie domeny i konta bankowego. Według Reutersa decyzja dotyczyła około 16 tys. skrzynek pocztowych, 1,5 tys. stron internetowych, 5,5 tys. list mailingowych i 10 tys. blogów. 17

Nie była to zatem zwykła awaria hostingu. Utrata głównej domeny utrudnia działanie publicznie dostępnych usług i ich administrację, a utrata kanałów płatniczych oraz konta bankowego ogranicza bieżące funkcjonowanie. Liczyło się także ryzyko: po nałożeniu sankcji usługodawcy i kontrahenci mogą zerwać relacje, zamiast samodzielnie oceniać możliwą ekspozycję sankcyjną.

W efekcie dostępność usług cyfrowych zależała nie tylko od miejsca, w którym znajdowała się infrastruktura A/I, lecz także od polityki i ryzyka prawnego podmiotów kontrolujących kluczowe elementy tego ekosystemu.

Dlaczego organizacje broniące praw cyfrowych widzą w tym precedens

European Digital Rights (EDRi) określiła oznaczenie A/I jako atak na niezależną infrastrukturę internetową, bezpieczną komunikację i prawa podstawowe. Organizacja wskazuje, że jednostronna decyzja USA może wywołać realne skutki dla europejskiej organizacji non-profit za pośrednictwem scentralizowanych usług — rejestrów domen, operatorów płatności i banków. 28

Nie oznacza to, że każdy europejski usługodawca ma prawny obowiązek odcięcia podmiotu objętego amerykańskim oznaczeniem. Pokazuje jednak, jak szybko decyzje podejmowane w ramach zarządzania ryzykiem mogą doprowadzić do identycznego skutku operacyjnego. Dla niezależnych projektów hostingowych to przypomnienie o strukturalnej słabości: rozproszenie serwerów nie usuwa zależności od domen, finansów i innych scentralizowanych pośredników.

Czy pomóc może unijne rozporządzenie blokujące?

EDRi zaapelowała o reakcję UE opartą na tzw. rozporządzeniu blokującym — rozporządzeniu Rady (WE) nr 2271/96. Jego celem jest przeciwdziałanie wskazanym w załączniku skutkom eksterytorialnego stosowania przepisów i środków państw trzecich. W odniesieniu do przepisów objętych tym załącznikiem może ono zakazywać unijnym podmiotom stosowania się do sankcji bez zgody Komisji, ograniczać uznawanie w UE niektórych zagranicznych rozstrzygnięć oraz otwierać drogę do dochodzenia części odszkodowań. 3439

Nie jest to jednak automatyczne unieważnienie każdej amerykańskiej sankcji. Zastosowanie rozporządzenia zależy od tego, czy dane zagraniczne środki są objęte jego załącznikiem, oraz od okoliczności dotyczących konkretnego usługodawcy i transakcji. Dostępne materiały potwierdzają argument EDRi za zbadaniem sprawy i podjęciem działań, ale nie dowodzą, że rozporządzenie automatycznie zobowiązywało konkretny bank, rejestr domen lub operatora płatności do dalszej obsługi A/I. 3438

Najważniejszy wniosek

Sprawa A/I pokazuje, że sankcje mogą dotrzeć do organizacji cyfrowej przez zależności, których łatwo nie dostrzec: operatora płatności, konto bankowe czy rejestr domen najwyższego poziomu. Dla europejskich decydentów i dostawców infrastruktury pytanie nie dotyczy więc wyłącznie miejsca hostowania danych. Dotyczy także tego, które instytucje mogą uczynić organizację niedostępną albo finansowo niewydolną po wydaniu zagranicznej decyzji sankcyjnej.