Apple aanklagen om iCloud te laten scannen op CSAM is een catastrofaal slecht idee

van de dit-zou-het-moeilijker-maken-om-criminelen-te-pakken afdeling

Er is een nieuwe rechtszaak aangespannen bij de federale rechtbank in Noord-Californië die de online veiligheid van kinderen wil verbeteren, maar die wel eens averechts zou kunnen uitpakken als het de gewenste oplossing krijgt. Hoewel de advocaten van de eiser het vast goed bedoelen, lijken ze niet te begrijpen dat ze met vuur spelen.

De klacht in de vermeende class action beweert dat Apple ervoor heeft gekozen om niet te investeren in preventieve maatregelen om te voorkomen dat zijn iCloud-service wordt gebruikt om kindermisbruikmateriaal (CSAM) op te slaan, terwijl de keuze cynisch wordt gerationaliseerd als pro-privacy. Deze beslissing zou de eiseres Jane Doe hebben geschaad, een kind dat door twee onbekende gebruikers op Snapchat werd gecontacteerd om haar iCloud-ID te vragen. Ze stuurden haar vervolgens CSAM via iMessage en lieten haar CSAM van zichzelf maken en terugsturen. Die iMessage-uitwisselingen bleven onopgemerkt, aldus de rechtszaak, omdat Apple ervoor koos om geen gebruik te maken van beschikbare CSAM-detectietools, waardoor iCloud willens en wetens “een veilige haven voor CSAM-overtreders” werd. De klacht beweert claims voor schendingen van de federale wet op sekshandel, de consumentenbeschermingswetten van twee staten en verschillende onrechtmatige daden, waaronder nalatigheid en productaansprakelijkheid.

Hier volgen de belangrijkste passages uit de klacht:

(Apple) kiest ervoor om geen industriestandaarden voor CSAM-detectie te hanteren… (D)itze rechtszaak … eist dat Apple investeert in en middelen inzet om de veiligheid van kindergebruikers uitgebreid te … garanderen. … (Ondanks de wetenschap dat CSAM op iCloud toeneemt, heeft Apple ervoor gekozen om “niet te weten” dat dit gebeurt … (Apple) scant niet … op CSAM in iCloud. … Zelfs als CSAM-oplossingen … zoals PhotoDNA() bestaan, heeft Apple ervoor gekozen om deze niet te hanteren. … Apple scant zijn producten of diensten, inclusief opslag (sic) of communicatie, niet proactief om wetshandhaving te helpen kindermisbruik te stoppen. …

Volgens het privacybeleid van Apple had Apple aan gebruikers verklaard dat het inhoud zou screenen en scannen om kinderpornografisch materiaal eruit te pikken. … Apple kondigde een CSAM-scantool aan, genaamd NeuralHash, die afbeeldingen zou scannen die waren opgeslagen op iCloud-accounts van gebruikers op CSAM … (maar al snel) stopte Apple met zijn CSAM-scanproject … het koos ervoor om de ontwikkeling van de iCloud CSAM-scanfunctie te staken … Apple’s keuze om geen CSAM-detectie te gebruiken … is een zakelijke keuze die Apple heeft gemaakt. … Apple … kan gemakkelijk scannen op illegale inhoud zoals CSAM, maar Apple kiest ervoor dit niet te doen. … Op basis van informatie en overtuiging geeft Apple … zichzelf toestemming om inhoud te screenen of scannen op CSAM-inhoud, maar heeft het geen actie ondernomen om CSAM op iCloud te detecteren en te melden. …

(Vragen die in deze zaak aan bod komen) zijn onder meer: ​​… of de gedaagde zijn plicht heeft vervuld om CSAM te detecteren en te melden aan het NCMEC (het National Center for Missing and Exploited Children). … Apple … wist of had moeten weten dat het geen waarborgen had om kinderen en minderjarigen te beschermen tegen CSAM. … Vanwege Apple’s zakelijke en ontwerpkeuzes met betrekking tot iCloud, is de service een populaire bestemming geworden voor … CSAM, wat resulteert in schade voor veel minderjarigen en kinderen (waarvoor Apple strikt aansprakelijk moet worden gesteld) … Apple is ook aansprakelijk … voor de verkoop van gebrekkig ontworpen services. … Apple had een zorgplicht … om geen wetten te schenden die de distributie van CSAM verbieden en om redelijke zorg te betrachten om voorzienbare en bekende schade door CSAM-distributie te voorkomen. Apple heeft deze plicht geschonden door gebrekkig ontworpen services te leveren … die minimale bescherming bieden tegen de bekende schade door CSAM-distributie. …

Eiser (en de veronderstelde klasse) … verzoeken om een ​​oordeel tegen de gedaagde als volgt: … Voor (een bevel) om een ​​declaratoir en gerechtelijk bevel te verlenen aan eiser zoals toegestaan ​​door de wet of billijkheid, waaronder: Het verbieden van gedaagde om de onrechtmatige praktijken zoals hierin uiteengezet voort te zetten, totdat Apple toestemming geeft op grond van het bevel van deze rechtbank om … (a) maatregelen te nemen om kinderen te beschermen tegen de opslag en distributie van CSAM op de iCloud … (en) (c) zich te houden aan driemaandelijkse monitoring door derden om ervoor te zorgen dat het iCloud-product redelijk veilige en gemakkelijk toegankelijke mechanismen heeft om CSAM te bestrijden….”

Waar het op neerkomt: Apple zou iCloud kunnen scannen op CSAM, en heeft in het verleden gezegd dat het dat zou doen en dat het dat ook doet, maar in werkelijkheid kiest het ervoor om dat niet te doen. Het niet scannen is een onrechtmatige daad waarvoor Apple aansprakelijk zou moeten worden gesteld. Apple heeft een wettelijke plicht om iCloud te scannen op CSAM, en de rechtbank zou Apple moeten dwingen om hiermee te beginnen.

Deze theorie is ronduit onjuist.

Het verhaal van de eiser Doe is hartverscheurend en het is waar dat Apple al lang kritiek krijgt op zijn aanpak om meerdere waarden in evenwicht te brengen, zoals privacy, beveiliging, veiligheid voor kinderen en bruikbaarheid. Het is begrijpelijk om aan te nemen dat het antwoord is dat de overheid, in de vorm van een gerechtelijk bevel, Apple dwingt om dat evenwicht anders te vinden. Dat is immers hoe de Amerikaanse samenleving vaak vermeende tekortkomingen in bedrijfspraktijken verhelpt.

Maar dit is geen zaak over antitrust, of gebrekkige smartphone-audio, of virtuele casino-apps (zoals in andere recente Apple-class actions). Eisen dat een rechtbank Apple dwingt om zijn praktijken te veranderen is uniek onhaalbaar, zelfs gevaarlijk, als het gaat om het detecteren van illegaal materiaal dat zijn gebruikers op zijn diensten opslaan. Dat komt omdat deze eis constitutionele problemen oplevert die andere consumentenbeschermingszaken niet hebben. Dankzij het Vierde Amendement kunnen de rechtbanken Apple niet dwingen om iCloud te scannen op CSAM; zelfs het onder druk zetten om dit te doen is riskant. Het afdwingen van de scans zou, pervers genoeg, maak het veel moeilijker om degene die de scans hebben gevangen te veroordelen. Dat maakt deze rechtszaak een catastrofaal slecht idee.

(De ongrondwettelijke remedie die het verzoekt is niet het enige dat er mis is met deze klacht, let wel. Laten we niet ingaan op de kwesties van Sectie 230 die het in twee afsluitende zinnen wegwuift. Of hoe het taalgebruik in Apple’s privacybeleid dat het “mag” de persoonlijke informatie van gebruikers gebruiken voor doeleinden zoals CSAM-scannen, vergist voor een afdwingbare belofte dat Apple zou dat doen. Of de onoprechte bewering dat dit geen aanval is op end-to-end encryptie. Of de feitelijk onjuiste bewering dat “Apple zijn producten of diensten niet proactief scant” op CSAM, terwijl het dat in feite wel doet voor sommige producten. Laten we dat allemaal even terzijde schuiven. Voor nu.)

Het vierde amendement van de Amerikaanse grondwet beschermt Amerikanen tegen onredelijke doorzoekingen en inbeslagnames van onze spullen, inclusief onze digitale apparaten en bestanden. “Redelijk” betekent over het algemeen dat er een bevel is voor de doorzoeking. Als een doorzoeking onredelijk is, is de gebruikelijke remedie wat de uitsluitingsregel wordt genoemd: elk bewijs dat via de ongrondwettelijke doorzoeking naar voren komt, kan niet in de rechtbank worden gebruikt tegen de persoon wiens rechten zijn geschonden.

Hoewel het Vierde Amendement alleen geldt voor de overheid en niet voor particuliere actoren, kan de overheid geen particuliere actor gebruiken om een ​​zoekopdracht uit te voeren die zij grondwettelijk gezien zelf niet kan uitvoeren. Als de overheid een particuliere actor dwingt of onder druk zet om te zoeken, of als de particuliere actor primair zoekt om de belangen van de overheid te dienen in plaats van haar eigen belangen, dan telt de particuliere actor als een overheidsagent voor de doeleinden van de zoekopdracht, die zich dan moet houden aan het Vierde Amendement, anders is de remedie uitsluiting.

Als de overheid – wetgevende, uitvoerende of rechterlijke macht – een cloudopslagprovider dwingt om de bestanden van gebruikers te scannen op CSAM, wordt de provider een overheidsagent, wat betekent dat de scans een bevelschrift vereisen, dat een cloudservicebedrijf niet kan krijgen, waardoor die scans ongrondwettelijke zoekopdrachten zijn. Alle CSAM die ze vinden (plus elk ander bewijs dat voortvloeit uit de oorspronkelijke onrechtmatige scan) zal waarschijnlijk worden uitgesloten, maar het is moeilijk om mensen te veroordelen voor CSAM zonder de CSAM als bewijs te gebruiken, waardoor vrijspraken waarschijnlijker worden. Wat het doel van het afdwingen van de scans in de eerste plaats tenietdoet.

Het Congres weet dit. Daarom staat er in de federale wet die vereist dat aanbieders CSAM melden aan NCMEC wanneer ze het op hun diensten vinden, een expliciete disclaimer dat de wet niet betekent dat ze actief moeten zoeken naar CSAM. Aanbieders van onlinediensten kunnen kiezen om te zoeken naar CSAM, en als ze het vinden, moeten ze het melden – maar ze kunnen niet gedwongen kijken.

Ziet u nu het probleem met de Jane Doe-rechtszaak tegen Apple?

Dit is geen nieuw probleem. Techdirt heeft het al eerder behandeld. Het is allemaal uiteengezet in een geweldig artikel uit 2021 van Jeff Kosseff. Ik heb dit onderwerp ook al keer op keer op keer op keer op keer besproken. Zoals mijn laatste publicatie (gebaseerd op interviews met tientallen mensen) beschrijft, zijn alle belanghebbenden die betrokken zijn bij de bestrijding van online CSAM – technologiebedrijven, wetshandhaving, aanklagers, NCMEC, etc. – pijnlijk bewust van het dilemma van de “overheidsagent”, en ze doen er allemaal alles aan om ver weg te blijven van het mogelijk overschrijden van die constitutionele grens. Iedereen houdt nauwgezet vast aan het vrijwillige, onafhankelijke karakter van de beslissingen van onlineplatforms over of en hoe er naar CSAM gezocht moet worden.

En nu komt deze rechtszaak als de spreekwoordelijke stier in een porseleinkast, die een federale rechtbank uitnodigt om die zorgvuldig onderhouden en uiterst kwetsbare dynamiek te vernietigen. De klacht lacht om Apple’s “zakelijke keuze” als een onrechtmatige daad die door de rechter moet worden teruggedraaid in plaats van iets dat absoluut cruciaal is om te respecteren.

De doctrine van overheidsinstanties van het vierde amendement is goed gevestigd en er zijn talloze gevallen waarin het wordt toegepast in de context van CSAM-detectiepraktijken van platforms. Toch lijken de advocaten van Jane Doe de wet niet te kennen. Ten eerste beweren ze in hun klacht dat “Apple zijn producten of diensten niet proactief scant … om wetshandhaving te helpen kinderuitbuiting te stoppen.” Scannen om wetshandhaving belangen Apple tot een overheidsagent zouden maken. Op dezelfde manier beweert de klacht dat Apple “geen actie heeft ondernomen om CSAM op iCloud te detecteren en te melden,” en vraagt ​​“of de gedaagde zijn plicht heeft vervuld om CSAM te detecteren en te melden aan NCMEC.” Dit verwart twee kritisch verschillende acties. Apple heeft geen en kan geen plicht hebben om detecteren CSAM, zoals uitdrukkelijk vermeld in de wet, die een plicht oplegt om rapport CSAM. Het is alsof deze advocaten niet eens de hele wet hebben gelezen, laat staan ​​de jurisprudentie van het Vierde Amendement die rechtstreeks op hun zaak van toepassing is.

Elke competente advocaat van de eiser had dit moeten bedenken voor een rechtszaak aanspannen om een ​​federale rechtbank te vragen Apple te dwingen iCloud te scannen op seksueel misbruik van kinderen. Daarmee zou Apple een overheidsagent worden en zouden de verplichte iCloud-scans ongrondwettelijke zoekopdrachten worden. Hierdoor zou de kans groter worden dat iCloud-gebruikers die betrapt worden, vrijuit gaan. Daarmee zouden ze zichzelf in de voet schieten, hun cliënt tekortdoen, de situatie verergeren en een grote tegenslag betekenen in de strijd voor de veiligheid van kinderen online.

De reden dat niemand tot nu toe een dergelijke rechtszaak tegen Apple heeft aangespannen, ondanks jarenlange klachten van links, rechts en het midden over Apple’s ogenschijnlijk lakse aanpak van CSAM-detectie in iCloud, is niet omdat niemand er eerder aan heeft gedacht. Het is omdat ze er zelf aan hebben gedacht en ze hebben eerst hun eigen juridische onderzoek gedaan. En toen liepen ze langzaam achteruit van de computer, dankbaar dat ze ternauwernood hadden kunnen voorkomen dat ze zichzelf in nuttige idioten voor pedofielen veranderden. Maar nu hebben deze advocaten blijkbaar besloten om zich vrijwillig aan te melden als eerbetoon. Als hun gok averechts uitpakt, zijn zij degenen die verantwoordelijk zijn voor de gevolgen.

Riana Pfefferkorn is beleidsmedewerker bij Stanford HAI en heeft uitgebreid geschreven over de toepassing van het Vierde Amendement op online veiligheid voor kinderen.

Gepost onder: 4e amendement, class action, csam, bewijs, proactief scannen, scannen

Bedrijven: apple