Unia kontra big techy

„Oszustwa internetowe zdarzają się dziś bardzo często i zbyt często skutkują stratami finansowymi konsumentów” — napisała we wtorek na X Henna Virkkunen, szefowa unijnej komisji ds. technologii, informując o piśmie wysłanym do trzech amerykańskich big techów i jednego z Europy. „Oszuści szeroko wykorzystują platformy internetowe i wyszukiwarki, aby znaleźć swoje ofiary — zarówno osoby prywatne, jak organizacje — i komunikować się z nimi” — wyjaśnił Thomas Regnier, rzecznik Komisji Europejskiej.

Według komisarz Henny Virkkunen cyberoszustwa — fałszywe oferty hoteli i fałszywe aplikacje bankowe, deepfejki z wykorzystaniem wizerunków osób publicznych promujących fałszywe inwestycje — kosztują Europejczyków ponad 4 mld EUR rocznie.

Pismo Komisji Europejskiej odbiło się szerokim echem, bo chociaż nie jest to pierwsza akcja podjęta przez Brukselę na podstawie Aktu o Usługach Cyfrowych (DSA), to po raz pierwszy dyrektywa została wykorzystana do walki z oszustwami finansowymi. Koszty działania cyberprzestępców ponosili dotychczas konsumenci i banki, a apele o rozciągnięcie odpowiedzialności na platformy internetowe przynosiło umiarkowane skutki. Rząd Australii nałożył na big techy obowiązek weryfikowania reklam inwestycji finansowych. W Wielkiej Brytanii Meta, operator Facebooka i Instagrama, zdecydował się dobrowolnie wprowadzić taką procedurę (reklamodawca produktów finansowych musi mieć licencję nadzoru finansowego). Efekty nie są jednoznaczne. Australia odnotowała 24-procentowy spadek liczby zgłoszonych oszustw, lecz o 26 proc. wzrosła wartość wyłudzeń. W Wielkiej Brytanii kolejny rok z rzędu przybyło ofiar oszustw — aż o 22 proc.

Przykład Australii jest ważny, ponieważ jest to kraj, który podejmuje skoordynowane działania na wielu poziomach zarządzania państwem — od administracji publicznej przez instytucje nadzorcze organy ścigania i podmioty rynkowe w celu ograniczenia oszustw. Przymuszenie platform internetowych do współpracy jest tylko jednym z elementów większego wysiłku.

Wielka Brytania od kilku lat jest w dialogu z big techami, które podpisały nawet specjalne porozumienie z poprzednim rządem o zwalczaniu oszustw. Na razie bez większych efektów.

UE poszła inną drogą i swoim zwyczajem przygotowała obszerną regulację opisującą zasady działania platform internetowych. Jak w przypadku każdej dyrektywy, była krytykowana za próby administrowania rynkiem. Głównym celem DSA było stworzenie bezpiecznej przestrzeni cyfrowej, w której chronione są podstawowe prawa i ustanowienie równych warunków działania dla innowacyjnych usług cyfrowych w całej UE. Pismo wysłane do big techów we wtorek pokazuje, że dyrektywa może być dobrym narzędziem do walki z cyberoszustwami. DSA zawiera bowiem wiele obowiązków, jakie muszą spełnić platformy internetowe.

1. Obowiązek identyfikacji i ograniczania ryzyk systemowych

Duże platformy (VLOP — very large online platforms) i wyszukiwarki muszą przeprowadzać ocenę ryzyka systemowego, w tym w zakresie oszustw finansowych. W praktyce oznacza to, że Apple, Google, Microsoft, Meta, TikTok, AliExpress, Booking.com czy Temu muszą udowodnić, że wiedzą, jak ich systemy mogą być wykorzystywane do scamów, i że wdrażają działania zaradcze.

1. Mechanizmy zgłaszania i działania (notice and action)

Platformy muszą mieć łatwy i skuteczny system zgłaszania nielegalnych treści, w tym oszukańczych reklam, aplikacji czy ofert inwestycyjnych. Są one też zobowiązane do usuwania takich treści szybko i skutecznie oraz informowania o podjętych działaniach.

1. Obowiązek know your business customer

Platformy handlowe, reklamowe i aplikacyjne muszą weryfikować swoich klientów biznesowych (np. sprzedawców, reklamodawców). Przepis ma ograniczyć możliwość zakładania fałszywych kont przez oszustów i publikowania scamów anonimowo.

1. Repozytoria reklam

VLOP muszą prowadzić publiczne bazy danych reklam z informacją, kto je zamówił, jak zostały targetowane i jakie treści promują. To ułatwia regulatorom i badaczom wykrywanie wzorów działań oszustów (np. powtarzających się kampanii inwestycyjnych scamów).

1. Transparentność algorytmów i rekomendacji

Platformy muszą ujawniać, jak działają ich systemy rekomendacyjne (np. App Store, Google Play, Booking.com). Jeśli algorytmy sprzyjają promocji nielegalnych ofert finansowych, może to być uznane za naruszenie DSA.

1. Dostęp dla badaczy i organów nadzoru

KE i regulatorzy krajowi mogą żądać danych od platform dotyczących np. tego, jak często pojawiają się oszukańcze reklamy czy fałszywe aplikacje. Zapis ten przesuwa ciężar dowodu na platformy — to one muszą wykazać, że działają skutecznie przeciwko scamom.

1. Egzekucja i sankcje

Jeśli platformy nie spełnią wymogów DSA, KE może wszcząć formalne postępowanie. Sankcje mogą wynosić do 6 proc. globalnego rocznego obrotu firmy — dla gigantów technologicznych to miliardy euro. Możliwe jest też nałożenie środków naprawczych, np. obowiązku zmiany systemów rekomendacji lub procedur dopuszczania aplikacji do App Store/Google Play.

Wykorzystując zapisy dyrektywy o usługach cyfrowych, KE wszczęła dotychczas pięć postępowań wobec dużych platform.

Lista postępowań wszczętych na podstawie DSA przez KE wobec big techów