Så slog USA:s sanktioner ut Italiens Autistici/Inventati

USA:s sanktionering av Autistici/Inventati (A/I) visar hur ett amerikanskt sanktionsbeslut snabbt kan bli en infrastrukturkris långt utanför USA. Inom några dagar efter beslutet den 26 augusti förlorade det italienska teknikkollektivet centrala finans- och domäntjänster. Därefter meddelade A/I att verksamheten skulle avvecklas, vilket berörde tiotusentals konton och sajter. 1749

Vad den amerikanska stämplingen innebar

USA:s utrikesdepartement och finansdepartement klassade A/I som en Specially Designated Global Terrorist. Enligt den amerikanska regeringens anklagelser hade det Italienbaserade kollektivet byggt och drivit digital infrastruktur för våldsamma Antifa-celler och andra militanta grupper på yttersta vänsterkanten. Det är amerikanska myndigheters påståenden, inte ett konstaterande i denna rapportering. Klassningen innebär att egendom under amerikansk jurisdiktion blockeras och att amerikanska personer och företag i regel inte får genomföra transaktioner med den listade aktören. 491

Effekten begränsades dock inte till tillgångar i USA. Företag vars tjänster, betalningsflöden eller relation till det amerikanska finanssystemet kunde medföra sanktionsrisk fick omedelbart ett efterlevnadsproblem.

Kedjereaktionen: betalningar, domännamn och bank

Tre flaskhalsar blev särskilt avgörande:

• Betalningar: A/I:s PayPal-konto stängdes av efter stämplingen, vilket kapade en kanal för donationer. 2454
• Domänåtkomst: Public Interest Registry (PIR), den USA-baserade operatören av registret för .org, satte autistici.org i statusen serverHold. Reuters rapporterade att domänen blev oåtkomlig två dagar efter beslutet, och A/I:s egen tekniska information pekade också på en spärr på registernivå. 1731
• Banktjänster: Banca Etica uppgav att banken tillfälligt hade stoppat transaktioner på föreningens konto efter OFAC-listningen och höjt dess riskprofil. Reuters rapporterade senare att kontot stängdes. 2217

Domänspärren är särskilt betydelsefull. Statusen serverHold verkar på registrynivå och kan hindra en domän från att slå upp på det publika internet, oavsett var de underliggande webb- eller e-postservrarna finns. Kontroll över ett domänregister kan därmed bli lika avgörande som kontroll över själva servrarna. 1731

Därför uppgav A/I att tjänsterna måste stängas

A/I sade att man skulle avveckla sina tjänster efter att ha förlorat både domänen och bankkontot. Nedstängningen berörde omkring 16 000 e-postlådor, 1 500 webbplatser, 5 500 e-postlistor och 10 000 bloggar. 17

Det handlade alltså inte enbart om ett vanligt driftavbrott. Utan en primär domän blir publika tjänster och administration svåra att hantera, och utan betalningar och banktjänster begränsas den löpande verksamheten. Den större frågan var risken: när en organisation sanktioneras kan tjänsteleverantörer och andra motparter välja att bryta relationen i stället för att själva bedöma exponeringen mot sanktioner.

I praktiken blev A/I:s möjlighet att fortsätta erbjuda digitala tjänster därför beroende inte bara av var infrastrukturen stod, utan också av policyer och juridisk risk hos leverantörer i kritiska delar av den digitala kedjan.

Varför digitalrättsorganisationer ser ett större prejudikat

European Digital Rights (EDRi) beskrev stämplingen som ett angrepp på oberoende internetinfrastruktur, säkra kommunikationer och grundläggande rättigheter. Organisationens invändning är att en ensidig amerikansk åtgärd kan få direkta praktiska följder för en ideell organisation i Europa genom centraliserade tjänster som domänregister, betalleverantörer och banker. 28

Det betyder inte att alla europeiska leverantörer automatiskt är rättsligt skyldiga att koppla bort en sanktionerad organisation. Däremot visar fallet hur riskbaserade efterlevnadsbeslut snabbt kan ge samma praktiska resultat. För oberoende webbhotell och infrastrukturprojekt är lärdomen att decentraliserade servrar inte undanröjer beroendet av domäner, finansiella tjänster och andra centraliserade mellanhänder.

Kan EU:s blockeringsförordning hjälpa?

EDRi har efterlyst ett EU-svar med fokus på blockeringsförordningen, rådets förordning (EG) nr 2271/96. Förordningen är avsedd att motverka vissa uppräknade tredjeländers extraterritoriella lagar och åtgärder. För de regler som finns i dess bilaga kan den förbjuda EU-aktörer att följa sanktionerna utan kommissionens tillstånd, begränsa erkännandet i EU av vissa utländska beslut och öppna för ersättning för vissa skador. 3439

Men förordningen upphäver inte generellt alla amerikanska sanktioner. Om den kan tillämpas beror på om den aktuella utländska åtgärden omfattas av bilagan och på omständigheterna för den enskilda leverantören och transaktionen. Underlaget stöder EDRi:s krav på granskning och åtgärder, men fastslår inte att blockeringsförordningen automatiskt krävde att en viss bank, ett domänregister eller en betalleverantör skulle fortsätta ge A/I sina tjänster. 3438

Den bestående lärdomen

Fallet A/I visar hur sanktioner kan nå en digital organisation via beroenden som lätt förbises: en betaltjänst, ett bankkonto och ett toppdomänregister. För europeiska beslutsfattare och infrastrukturföretag är frågan därför inte bara var data lagras, utan också vilka institutioner som kan göra en organisation oåtkomlig eller ekonomiskt ohållbar när ett utländskt sanktionsbeslut fattas.