Guía de Oracle Cloud para solicitudes de datos de fuerzas del orden

Esta guía ofrece una orientación general y práctica para agentes de las fuerzas del orden, fiscales e investigadores gubernamentales que necesiten datos almacenados por o a través de Oracle Cloud Infrastructure (OCI). No constituye asesoramiento legal. El proceso debe obtenerse y notificarse siempre bajo la autoridad legal de su propia jurisdicción, y los pasos a continuación son un marco de referencia inicial, no un sustituto del asesoramiento legal de su agencia ni de la propia guía actual de Oracle.

La distinción entre procesador y controlador

Al igual que AWS, Microsoft Azure y Google Cloud, Oracle Cloud Infrastructure es una plataforma empresarial de infraestructura como servicio. El cliente empresarial que opera el arrendamiento de OCI es el controlador de datos: decide qué datos recopilar, cómo se procesan y en qué región se almacenan. Oracle es el procesador de datos, que aloja esos datos siguiendo las instrucciones del cliente. Oracle declara que, como proveedor de nube, generalmente no tiene acceso al contenido que los clientes almacenan en sus servicios en la nube.

La consecuencia práctica para los investigadores: si busca el contenido que una organización cliente almacena en OCI (bases de datos, datos de aplicaciones, archivos, buzones de correo alojados en sus instancias), el cliente es casi siempre el objetivo correcto y mejor. La política declarada de Oracle es realizar esfuerzos razonables para redirigir a la autoridad solicitante hacia el cliente, ya que este es quien mejor puede identificar y producir sus propios datos. Cuando el sospechoso sea una persona u organización que es cliente de Oracle, notifique directamente a ese cliente.

Qué almacena Oracle directamente

Oracle conserva los registros creados por la relación comercial con el titular de la cuenta, en lugar del contenido almacenado por el cliente. En términos generales, esto significa:

• Cuenta en la nube / identidad del suscriptor: la organización o persona registrada, contactos y detalles del administrador.
• Registros de facturación y pago, e historial de suscripciones / pedidos de servicio.
• Ciertos registros de servicio y operativos vinculados al arrendamiento que Oracle genera como proveedor (la disponibilidad y retención varían según el servicio).

Oracle no publica un inventario de datos granular, campo por campo, para las fuerzas del orden, y su material público sobre el cumplimiento de la ley es comparativamente escaso. Considere las categorías anteriores como el alcance realista de lo que Oracle puede producir por sí mismo, y sea específico en su solicitud sobre los identificadores de cuenta (OCID del arrendamiento, correo electrónico de la cuenta, número de pedido) que pueda proporcionar.

Umbrales legales en EE. UU.

Oracle es una empresa estadounidense, por lo que la divulgación de registros a las fuerzas del orden se analiza generalmente bajo la Ley de Comunicaciones Almacenadas (SCA) de EE. UU. Como guía de trabajo, la SCA escala el instrumento legal según la sensibilidad de los datos:

• Citación (Subpoena) (administrativa o de un gran jurado): generalmente utilizada para registros básicos de suscriptor y facturación.
• Orden judicial (a menudo una orden "2703(d)"): para registros transaccionales y de registro que no sean contenido.
• Orden de registro (Search warrant) basada en causa probable: para contenido almacenado. En la práctica, Oracle normalmente redirigirá las solicitudes de contenido al cliente de todos modos.

Oracle afirma que evalúa cada solicitud caso por caso para confirmar que es legalmente válida y vinculante, y se resistirá o cuestionará las solicitudes que no lo sean. Las agencias nacionales de EE. UU. deben presentar un proceso válido; el instrumento preciso es un asunto para su fiscal.

Preservación vs. producción

La preservación y la producción son pasos distintos. Una solicitud de preservación pide a Oracle que retenga los registros existentes para que no se pierdan debido a la eliminación rutinaria mientras usted obtiene el proceso legal; por sí misma, no obliga a la divulgación. La producción es la entrega obligatoria de registros bajo una citación, orden u orden de registro. Los informes de transparencia de Oracle reconocen las solicitudes de preservación como una categoría. Envíe una solicitud de preservación con antelación, con identificadores de cuenta precisos y un alcance claro, y luego continúe con el instrumento obligatorio apropiado.

Política de notificación al cliente

La política declarada de Oracle es informar rápidamente al cliente afectado de una solicitud y, en el caso de contenido, redirigir a la autoridad hacia dicho cliente, a menos que la ley prohíba a Oracle dar aviso. Cuando necesite confidencialidad para proteger una investigación criminal, debe obtener la prohibición legal apropiada (por ejemplo, una orden de no divulgación que acompañe a su proceso). Oracle ha declarado que si tiene prohibido notificar al cliente, pedirá a la autoridad solicitante que renuncie a esa prohibición, así que establezca la base legal para el secreto en su solicitud en lugar de asumir la confidencialidad por defecto.

Fuerzas del orden extranjeras y MLAT

Debido a que Oracle tiene su sede en EE. UU., las agencias fuera de los Estados Unidos generalmente no pueden obligar a Oracle directamente. La vía tradicional es una solicitud de Tratado de Asistencia Legal Mutua (MLAT) o carta rogatoria canalizada a través del Departamento de Justicia de EE. UU., la cual es revisada por un tribunal estadounidense. Una alternativa más rápida existe solo cuando está en vigor un acuerdo de la CLOUD Act bilateral que cumpla los requisitos (por ejemplo, el acuerdo EE. UU.-Reino Unido, en vigor desde octubre de 2022). Oracle ha declarado que la CLOUD Act no cambia la forma en que maneja las solicitudes de divulgación. Para despliegues europeos, la EU Sovereign Cloud de Oracle cuenta con equipos legales dedicados en la UE que revisan cada solicitud de acceso bajo la ley de la UE aplicable. Los investigadores extranjeros aún deben considerar si la organización cliente relevante en su propia jurisdicción puede producir los datos directamente, lo que a menudo evita por completo el retraso del MLAT.

Flujo de trabajo sugerido

1. Identifique si necesita registros a nivel de cuenta (Oracle) o contenido almacenado (casi siempre el cliente). Siempre que sea posible, notifique directamente a la organización cliente.
2. Reúna identificadores precisos: OCID de arrendamiento/cuenta, correo electrónico registrado, nombre de la organización, números de pedido o factura, y los datos exactos y el rango de fechas buscado.
3. Envíe una solicitud de preservación inmediatamente para detener la eliminación rutinaria mientras obtiene el proceso.
4. Obtenga el instrumento legal correcto para la categoría de datos (citación, orden judicial u orden de registro), y una orden de no divulgación si se requiere secreto.
5. Notifique el proceso legal válido a Oracle a través de sus canales legales; las agencias extranjeras deben canalizarlo a través de MLAT o un acuerdo de la CLOUD Act que cumpla los requisitos.
6. Espere que Oracle valide la solicitud, notifique al cliente a menos que esté legalmente prohibido, y que, en caso de contenido, le redirija al cliente.

Quién almacena qué, y cómo obtenerlo

Preguntas frecuentes

¿Puedo obtener los datos de un cliente directamente de Oracle? Por lo general, no para el contenido almacenado. Oracle trata ese contenido como propiedad del cliente y, por lo general, le redirigirá al cliente, quien lo controla y puede acceder a él. Oracle proporcionará los registros de cuenta, facturación y suscripción que posee directamente bajo un proceso válido.

¿Oracle informará al cliente sobre mi solicitud? Sí, por defecto. La política de Oracle es notificar al cliente afectado a menos que esté legalmente prohibido. Si necesita confidencialidad, obtenga una orden de no divulgación y preséntela junto con su proceso.

Estoy fuera de los Estados Unidos. ¿Cómo puedo obligar a Oracle? Generalmente a través de una solicitud MLAT o carta rogatoria a través del Departamento de Justicia de EE. UU., o un acuerdo CLOUD Act válido donde esté vigente. A menudo, el camino más rápido es dirigirse a la organización cliente relevante en su propia jurisdicción.

¿Una solicitud de preservación significa que recibiré los datos? No. La preservación solo evita que se eliminen los registros. Aún necesita una citación, orden judicial u orden de registro para obligar a la entrega.

Guías relacionadas

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Microsoft 365 and Google Workspace: an investigator's guide to SaaS audit logs
• Cloudflare law enforcement data request: police & government guide

Para ver el directorio completo de portales de solicitudes de las fuerzas del orden de las plataformas, consulte nuestro centro de portales LERS.

Imagen principal: Un gran centro de datos empresarial. · Crédito: Hugovanmeijeren · Wikimedia Commons · CC BY-SA 3.0 · fuente