Guía de Microsoft Law Enforcement Data Request para policía y gobierno

Microsoft Corporation opera algunos de los servicios de consumo más utilizados en internet: los servicios de correo electrónico Outlook.com, Hotmail, Live y MSN, el servicio de almacenamiento en la nube OneDrive, la red de juegos Xbox y Xbox Live, e históricamente Skype (Microsoft retiró el servicio de consumo de Skype en 2025 y migró a los usuarios a la versión de consumo de Microsoft Teams, aunque los registros heredados aún pueden estar sujetos a procesos legales). Estos servicios representan cientos de millones de cuentas de consumo activas en todo el mundo, razón por la cual aparecen tan a menudo en investigaciones penales. Los agentes encuentran cuentas de consumo de Microsoft en esquemas de compromiso de correo electrónico empresarial (BEC) y fraude de facturas enrutados a través de bandejas de entrada de Outlook.com, en casos de apropiación de cuentas, en el almacenamiento y distribución de material de abuso sexual infantil (CSAM) a través de OneDrive y chat, y en casos de acoso y captación (grooming) en Xbox Live. Microsoft es una empresa de Estados Unidos con sede en Redmond, Washington, por lo que la divulgación de registros de cuentas de consumo se rige principalmente por la ley federal Stored Communications Act (18 U.S.C. § 2701 et seq.). Microsoft también dio forma al panorama transfronterizo moderno: su litigio en United States v. Microsoft Corp. (el caso “Microsoft Ireland”) sobre correos electrónicos almacenados en el extranjero solo quedó sin efecto cuando el Congreso aprobó la CLOUD Act en 2018, que ahora enmarca cómo los proveedores estadounidenses responden a las demandas de datos almacenados en el extranjero.

¿No puede iniciar sesión en el Microsoft Law Enforcement Portal?

• Usted inicia sesión con una cuenta personal de Microsoft (Outlook o Hotmail), no con su correo electrónico gubernamental. Esta es la causa más común de errores de inicio de sesión. Su correo electrónico gubernamental solo se utiliza una vez, para recibir un código de verificación de 7 dígitos.
• Portal: v2.leportal.microsoft.com. Utilice una versión reciente de un navegador compatible, permita las cookies de *.live.com y solicite a su departamento de TI que permita leportal.microsoft.com, login.live.com y login.microsoftonline.com.
• Demasiados códigos de verificación incorrectos bloquean la cuenta temporalmente.
• ¿Sigue bloqueado? Soporte de inicio de sesión de Microsoft: [email protected] (EE. UU.), [email protected] (UE), [email protected] (Brasil), [email protected] (otros países), o +1 425-722-1299, opción 2.

Identificadores para una solicitud de datos

Antes de que Microsoft pueda preservar o divulgar registros, las fuerzas del orden deben identificar la cuenta objetivo con precisión. El identificador principal es la cuenta de Microsoft (a menudo abreviada como MSA): la dirección de correo electrónico con la que el usuario inicia sesión, que para los servicios de consumo suele ser una dirección @outlook.com, @hotmail.com, @live.com o @msn.com. Una cuenta de Microsoft también puede estar registrada con una dirección de correo electrónico de terceros o un número de teléfono, así que proporcione el identificador de inicio de sesión que tenga. Para asuntos relacionados con juegos, el gamertag de Xbox es un identificador reconocido que Microsoft trata como datos de suscriptor que no son contenido. Para un asunto heredado de Skype, el nombre de Skype (el identificador único, no el nombre para mostrar que se puede cambiar) es el identificador de localización.

Los identificadores complementarios ayudan a Microsoft a confirmar una cuenta: la dirección IP de registro o de último inicio de sesión con una fecha y hora precisas, el número de teléfono de la cuenta (con el código de llamada internacional para números que no son de EE. UU.) y cualquier identificador de facturación. Indique claramente el rango de fechas objetivo, escriba el mes completo y tenga en cuenta que Microsoft devuelve los datos de registro en Tiempo Universal Coordinado (UTC). Evite confiar únicamente en un nombre para mostrar o un nombre de pila, ya que estos no son únicos y no pueden localizar una cuenta.

Qué datos proporciona Microsoft

Microsoft opera un modelo de divulgación escalonado basado en los estándares de proceso legal de la ley U.S. Stored Communications Act. Cuanto mayor sea el interés de privacidad en los datos, mayor será el estándar legal requerido para obligar a su entrega:

Proceso legal	Estándar	Datos producidos
Citación (Subpoena) (incluyendo gran jurado)	Relevancia	Información básica del suscriptor: nombre, dirección de correo electrónico, estado, país y código postal proporcionados en el registro, fecha de creación de la cuenta, dirección IP de registro y datos de la cuenta que no son contenido, como el historial de conexión IP, el gamertag de Xbox y la tarjeta de crédito u otra información de facturación archivada
Orden judicial (18 U.S.C. § 2703(d))	Hechos específicos y articulables	Toda la información del suscriptor de nivel de citación más registros transaccionales que no son contenido: registros detallados de inicio de sesión y conexión, encabezado de mensaje y metadatos de enrutamiento (remitente, destinatario, fecha y hora, sin el cuerpo del mensaje) y otros registros del uso de los servicios por parte de la cuenta
Orden de registro (causa probable)	Causa probable	Todo lo anterior más contenido almacenado: los cuerpos de los correos electrónicos, archivos y fotografías almacenados en OneDrive, y otro contenido creado por el usuario mantenido en o a través de los servicios. Microsoft no divulgará contenido en respuesta a una citación por sí sola

El contenido requiere una orden judicial. Microsoft traza una línea firme entre el contenido y lo que no es contenido. Tras la decisión del Sexto Circuito en el caso United States v. Warshak, que sostuvo que los usuarios de correo electrónico tienen una expectativa razonable de privacidad en el contenido de sus mensajes, Microsoft requiere una orden de registro (o su equivalente local) antes de producir la sustancia de las comunicaciones o archivos almacenados. Las citaciones que buscan contenido son rechazadas.

Lo que no está disponible a través de Microsoft. Los datos empresariales y comerciales son la excepción crítica. Cuando un objetivo utiliza un servicio de Microsoft 365, Azure o Dynamics 365 proporcionado a través de una organización, esa organización —no Microsoft— es generalmente la controladora de los datos. La práctica establecida de Microsoft es redirigir a las fuerzas del orden para que obtengan la información directamente del cliente empresarial y notificar a dicho cliente sobre la solicitud, a menos que esté legalmente prohibido. Planifique notificar a la organización que administra el inquilino, no a Microsoft. Otros dos servicios propiedad de Microsoft ejecutan procesos totalmente separados: LinkedIn publica sus propias Directrices para solicitudes de datos de las fuerzas del orden, y GitHub publica directrices separadas para solicitudes legales de datos de usuarios. Dirija las solicitudes de LinkedIn o GitHub a esos servicios, no a través del portal de consumidores de Microsoft.

Retención. Microsoft no conserva los registros de los consumidores indefinidamente; la disponibilidad de registros y contenido antiguos varía según el servicio y el uso que se haya hecho de la cuenta, y es posible que algunos datos se hayan eliminado o hayan caducado antes de que llegue una solicitud. Debido a que la retención no está garantizada, una solicitud de preservación presentada a tiempo es la única forma fiable de evitar que se pierdan los registros pertinentes mientras se prepara el proceso legal.

Notificación al usuario. La política predeterminada de Microsoft es notificar previamente a los usuarios consumidores cuyos datos son solicitados por una agencia de las fuerzas del orden, a menos que la ley o una orden judicial lo prohíban, o a menos que la notificación sea contraproducente —por ejemplo, en casos que involucren explotación infantil, una amenaza inminente de daño o una cuenta comprometida (hackeada). Cuando necesite que se suprima la notificación, obtenga una orden de no divulgación (bajo 18 U.S.C. § 2705(b) para procesos de EE. UU.) y preséntela junto con su demanda. Para datos empresariales, Microsoft notifica a la organización afectada, a menos que esté prohibido.

Cómo enviar una solicitud

1. Regístrese en el portal. Cree una cuenta en el Portal de solicitudes de las fuerzas del orden de Microsoft en leportal.microsoft.com utilizando un dominio de correo electrónico oficial del gobierno o de las fuerzas del orden. Microsoft verifica a los solicitantes antes de conceder el acceso, y tanto la solicitud como la respuesta de Microsoft se intercambian a través de este canal seguro.
2. Presente primero una solicitud de preservación. Envíe una solicitud de preservación bajo 18 U.S.C. § 2703(f) lo antes posible, antes de que su proceso legal formal esté listo. Una solicitud 2703(f) ordena a Microsoft que preserve una instantánea de los registros existentes durante 90 días, renovables por un período adicional de 90 días mediante una solicitud de extensión claramente marcada. La preservación congela la evidencia mientras se obtiene una orden judicial o mandato.
3. Presente su proceso legal. Cargue la citación, la orden judicial 2703(d) o la orden de registro como un documento firmado y fechado que nombre a Microsoft Corporation como custodio de los registros, identifique la cuenta objetivo mediante un identificador válido y especifique los datos precisos solicitados y el rango de fechas. El equipo de cumplimiento de Microsoft rechaza los procesos que son inválidos, presentados incorrectamente, jurisdiccionalmente demasiado amplios o sin firmar, así que sea específico y preciso.
4. Asuntos de CSAM y NCMEC. Microsoft informa sobre la aparente explotación sexual infantil a la CyberTipline del National Center for Missing & Exploited Children (NCMEC) y fue pionero en la tecnología de detección PhotoDNA. Si su investigación se originó a partir de un informe de CyberTipline, haga referencia al número de informe para que Microsoft pueda determinar el alcance de su producción con precisión, y marque el asunto como explotación infantil para que se aplique la excepción pertinente a la notificación al usuario.

Solicitudes de divulgación de emergencia

Cuando exista una emergencia de buena fe que implique una amenaza inminente de muerte o lesiones físicas graves, Microsoft puede divulgar voluntariamente los registros de la cuenta sin un proceso legal formal, de conformidad con 18 U.S.C. § 2702(b)(8) para contenido y 2702(c)(4) para registros que no son de contenido. Microsoft considera las solicitudes de emergencia de agencias de las fuerzas del orden de todo el mundo; ejemplos comunes son amenazas de suicidio, secuestros y otras amenazas de violencia inminente.

Una solicitud de emergencia debe provenir de un funcionario jurado de las fuerzas del orden que utilice un dominio de correo electrónico oficial de las fuerzas del orden, debe enviarse con membrete oficial y estar firmada, y debe:

• identificar la cuenta objetivo mediante un identificador válido (el correo electrónico de la cuenta de Microsoft, el gamertag de Xbox o el nombre de Skype), junto con cualquier número de teléfono asociado;
• describir la naturaleza y la actualidad de la emergencia de la manera más específica posible, incluyendo quién está en riesgo;
• especificar la información solicitada y explicar cómo ayudará a prevenir o resolver la emergencia.

Microsoft divulga solo los datos limitados necesarios para abordar la emergencia; cualquier cosa más allá de eso requiere el proceso legal apropiado. Suplantar a un funcionario de las fuerzas del orden para obtener datos es un delito en los Estados Unidos y en otros lugares.

Para la India: base legal y proceso

Microsoft es una entidad de EE. UU., por lo que las autoridades indias no pueden presentar procesos legales de EE. UU. directamente ante ella. Los instrumentos nacionales establecen la autoridad para exigir datos; el mecanismo transfronterizo determina si Microsoft los producirá.

• IT Act, 2000 — Sección 69: Autoriza al Gobierno Central o Estatal a ordenar la interceptación, el monitoreo o el descifrado de información en interés de la soberanía, la seguridad, el orden público o la prevención de delitos. Dichas directrices vinculan a los intermediarios que operan en la India; el cumplimiento para el contenido almacenado en EE. UU. sigue sujeto a la ruta transfronteriza.
• IT Rules, 2021 — Regla 3 (Directrices para intermediarios): Los intermediarios de redes sociales significativos deben designar una persona de contacto nodal disponible las 24 horas para la coordinación con las fuerzas del orden y conservar ciertos registros durante al menos 180 días. Utilice este canal para la coordinación de primer nivel y escale a la ruta del tratado para los registros de suscriptores y el contenido almacenado en los Estados Unidos.
• BNSS, 2023 — Sección 94: Faculta a un tribunal o a un oficial a cargo de una estación de policía para emitir una citación (incluso en forma electrónica) para la producción de documentos y registros electrónicos. Este es el mecanismo de producción nacional, y se hace referencia a él dentro de una solicitud de tratado a un proveedor de EE. UU.
• Tratado de Asistencia Jurídica Mutua (MLAT): Para los registros de suscriptores y el contenido, el camino es: el oficial investigador redacta la solicitud, la Autoridad Central del Ministerio del Interior (MHA) la revisa y transmite, y la Oficina de Asuntos Internacionales (OIA) del Departamento de Justicia de EE. UU. obliga a Microsoft a través del proceso judicial de EE. UU. Un acuerdo ejecutivo de la Ley CLOUD o cartas rogatorias pueden estar disponibles como alternativas cuando corresponda.

Los investigadores indios deben presentar una solicitud de preservación a través del portal de inmediato, antes de que se inicie el proceso más lento del tratado, y pueden enviar una solicitud de divulgación de emergencia directamente cuando la vida esté en riesgo inminente.

Qué necesitará

• Un dominio de correo electrónico oficial del gobierno o de las fuerzas del orden para registrarse en el Portal de solicitudes de las fuerzas del orden de Microsoft (se rechazan los dominios privados);
• Al menos un identificador válido: el correo electrónico de la cuenta de Microsoft (Outlook.com, Hotmail, Live o MSN), el gamertag de Xbox o un nombre de Skype — nunca solo un nombre para mostrar;
• El rango de fechas objetivo, indicado claramente con el mes escrito, y el conocimiento de que los registros de logs se devuelven en UTC;
• El instrumento legal apropiado: una citación para información del suscriptor, una orden judicial 2703(d) para registros transaccionales o una orden de registro para contenido;
• Una solicitud de preservación presentada primero, bajo 18 U.S.C. § 2703(f), antes de que los registros caduquen o se eliminen;
• Para objetivos empresariales: proceso presentado ante la organización que administra el inquilino de Microsoft 365 o Azure, no ante Microsoft; para LinkedIn o GitHub: una solicitud a través de los canales separados de las fuerzas del orden de esos servicios;
• Para casos de CSAM: el número de referencia de la CyberTipline del NCMEC;
• Para agencias indias que buscan contenido: una solicitud MLAT a través de la Autoridad Central del MHA, además de una solicitud de preservación paralela presentada de inmediato.

Para obtener un directorio completo de los portales de solicitudes de las fuerzas del orden en las principales plataformas, visite nuestro centro de portales LERS o la guía LERS plataforma por plataforma.

Véase también: Microsoft Preservation and Emergency Requests: Police Template.