Guía de solicitudes de datos policiales y gubernamentales OVHcloud
Cómo la policía, fiscales e investigadores obtienen datos de OVHcloud, su ruta legal en la UE frente a proveedores de EE. UU. y qué instrumentos usar.
Esta guía ofrece orientación profesional general para agentes de las fuerzas del orden, fiscales e investigadores de ciberdelincuencia que soliciten datos a OVHcloud. No constituye asesoramiento jurídico. Supone que usted actúa bajo la autoridad legal adecuada en su propia jurisdicción y que utilizará el canal legal apropiado para su caso. Los procedimientos, los puntos de contacto y las prácticas de retención cambian, por lo que debe confirmar siempre los requisitos actuales directamente con OVHcloud y con sus propios asesores legales antes de confiar en ellos.
- OVHcloud tiene su sede en la UE (con sede central en Francia), por lo que la vía legal difiere de la de los proveedores estadounidenses: las solicitudes de datos alojados en la UE se rigen por la legislación francesa y de la UE, no por el marco del CLOUD Act de EE. UU.
- El formulario público de abuso es para denunciar contenido ilegal o abusivo, no para obtener datos de clientes; los datos de abonado y de tráfico requieren una solicitud legal formal.
- La divulgación formal generalmente requiere una orden judicial válida o un requerimiento judicial (requisition judiciaire) notificado a través de los canales legales franceses o de la UE.
- Las agencias extranjeras dentro de la UE normalmente utilizan una Orden Europea de Investigación o una Orden Europea de Entrega; las agencias de fuera de la UE normalmente utilizan un MLAT o una carta rogatoria.
- Las normas de retención de datos de la UE y la jurisprudencia del TJUE limitan los registros de conexión que se conservan, por lo que actúe con rapidez y solicite la preservación cuanto antes.
Por qué OVHcloud es diferente de los proveedores estadounidenses
OVHcloud es una de las mayores empresas de nube y alojamiento de Europa, y ofrece servidores dedicados, servidores privados virtuales (VPS) e infraestructura de nube pública y privada (IaaS). Su empresa matriz es francesa y tiene su sede en Roubaix, con centros de datos en Francia, el resto de Europa y en todo el mundo. Esto es importante para los investigadores porque el régimen legal que protege y rige los datos de los clientes es principalmente la legislación francesa y de la UE: el Reglamento General de Protección de Datos (RGPD), el Código de Procedimiento Penal francés y los estatutos franceses relacionados.
Con la mayoría de los grandes proveedores de alojamiento de EE. UU., la policía extranjera está acostumbrada a un portal de autoservicio para las fuerzas del orden y a un vocabulario familiar de citaciones, órdenes judiciales o mandamientos, a veces respaldados por acuerdos ejecutivos del CLOUD Act. La filial estadounidense de OVHcloud sí opera dentro de ese marco para los datos que controla en Estados Unidos. Sin embargo, para los datos de clientes alojados en la Unión Europea, OVHcloud aplica las normas de la UE y francesas, y se ha opuesto públicamente a la divulgación directa a autoridades no pertenecientes a la UE fuera de los canales legales internacionales formales. Francia también tiene un estatuto de bloqueo (Loi 68-678) que restringe a las empresas francesas la entrega de datos sensibles a autoridades extranjeras, salvo a través de procesos de asistencia jurídica internacional reconocidos. La consecuencia práctica: normalmente no puede simplemente enviar su orden nacional a OVHcloud y esperar que se produzca la entrega. Normalmente necesitará un instrumento de la UE o una solicitud de asistencia jurídica mutua.
Qué datos posee OVHcloud
Como proveedor de infraestructura, OVHcloud posee datos a nivel de cuenta e infraestructura en lugar del contenido de lo que los clientes ejecutan en sus servidores. Lo que resulta realmente útil en una investigación depende del servicio y de las realidades de retención.
| Tipo de datos | Qué puede proporcionar | Vía legal típica |
|---|---|---|
| Datos de cliente / cuenta y facturación | Nombre del abonado, dirección, datos de contacto, identificadores de pago o facturación, datos de creación de la cuenta | Requerimiento judicial u orden judicial a través de canal francés/UE; EIO o MLAT para fuerzas del orden extranjeras |
| Asignación de servidor / servidor dedicado, VPS y nube | Qué máquina física o virtual está asignada a qué cliente, identificadores de servicio, registros de aprovisionamiento | Requerimiento judicial u orden judicial; EIO o MLAT para fuerzas del orden extranjeras |
| Asignación de dirección IP | A qué cliente o servicio se asignó una IP o rango de IP en un momento determinado | Requerimiento judicial u orden judicial; EIO o MLAT para fuerzas del orden extranjeras |
| Registros de conexión / inicio de sesión | Registros de acceso y conexión en la medida en que se conserven según las normas de la UE y francesas | Requerimiento judicial u orden judicial; sujeto a límites de retención (véase más abajo) |
| Contenido almacenado en servicios gestionados | Contenidos de datos de clientes cuando OVHcloud tiene la capacidad técnica para producirlos | Generalmente se requiere una autoridad más fuerte; a menudo controlado por el cliente |
Canal de abuso frente a requerimiento legal
OVHcloud opera dos vías distintas, y utilizar la incorrecta es una pérdida de tiempo.
- Canal de abuso. OVHcloud publica un formulario público de abuso para denunciar actividades ilegales o abusivas alojadas en su red: phishing, distribución de malware, fraude, quejas de derechos de autor y material de abuso sexual infantil. Esta es la ruta correcta para conseguir que se actúe sobre el contenido dañino o se elimine, y para marcar un servidor para la atención del proveedor. No es una ruta para obtener la identidad del abonado o registros, y cualquier dato informal que produzca rara vez cumplirá con los estándares probatorios.
- Requerimiento legal formal. Para obtener datos de clientes como prueba, necesita una solicitud legal válida y vinculante notificada a través del canal adecuado. Dentro de Francia, esto suele ser un requerimiento judicial (requisition judiciaire) emitido bajo el Código de Procedimiento Penal. La práctica declarada de OVHcloud es no divulgar datos de clientes sin una orden legal debidamente notificada, válida y vinculante.
Vías legales según el país solicitante
El instrumento correcto depende de dónde se encuentre la autoridad investigadora.
- Autoridades francesas. Notifiquen un requerimiento judicial (requisition judiciaire) o una orden judicial pertinente bajo el Código de Procedimiento Penal francés directamente a través del proceso legal francés.
- Otros Estados miembros de la UE. Utilicen una Orden Europea de Investigación (OEI) bajo la Directiva 2014/41/UE, ejecutada a través de la autoridad francesa competente. El paquete de pruebas electrónicas de la UE introduce además la Orden Europea de Entrega y la Orden Europea de Preservación para pruebas electrónicas transfronterizas entre Estados miembros; confirme qué está en vigor y operativo para su caso.
- Autoridades no pertenecientes a la UE. Utilicen una solicitud de tratado de asistencia jurídica mutua (MLAT) o una carta rogatoria dirigida a la autoridad central francesa. Francia ha señalado que agilizará las solicitudes MLAT debidamente cursadas. Es probable que se rechace el envío de una orden nacional directamente a OVHcloud para datos alojados en la UE, y el estatuto de bloqueo de Francia desalienta la divulgación directa fuera de estos canales.
- Datos controlados por la entidad estadounidense. Cuando los datos son poseídos genuinamente por la filial estadounidense de OVHcloud, se aplica el proceso legal de EE. UU., con datos no relacionados con el contenido disponibles mediante una citación de EE. UU. y el contenido mediante una orden de registro de EE. UU.; también pueden aplicarse los acuerdos ejecutivos del CLOUD Act (reconocidos con un pequeño número de países). No asuma que esto cubre los datos alojados en la UE.
Preservación y límites de retención de la UE
El tratamiento de datos personales por parte de OVHcloud para fines de las fuerzas del orden se sitúa dentro del RGPD y el marco más amplio de protección de datos de la UE. Fundamentalmente, la legislación de la UE ya no permite la retención general e indiscriminada de datos de conexión. El Tribunal de Justicia de la Unión Europea (TJUE), en los casos Tele2 Sverige/Watson (2016) y La Quadrature du Net (2020 y 2024), dictaminó que la retención general e indiscriminada de datos de tráfico y localización es ilegal, con excepciones limitadas (por ejemplo, una amenaza real a la seguridad nacional) y una posición más permisiva sobre la retención de direcciones IP para el acceso de las fuerzas del orden. El efecto práctico para los investigadores es que los registros de conexión pueden conservarse durante periodos más cortos, o bajo condiciones más estrictas, de lo que cabría esperar de proveedores más antiguos o jurisdicciones fuera de la UE.
Solicitudes de emergencia
OVHcloud reconoce las situaciones de emergencia, como la creencia de buena fe de que existe un riesgo de daño corporal inminente o amenaza a la vida. En emergencias reales, contacte al proveedor a través de su canal designado de emergencia o abuso, identifique claramente la emergencia, la base legal y los datos específicos necesarios, y realice el seguimiento con el instrumento formal adecuado. La divulgación de emergencia es una excepción, no un sustituto del canal legal correcto, y debe reservarse para escenarios reales de amenaza a la vida.
Flujo de trabajo paso a paso
- Confirme que OVHcloud es el proveedor correcto. Verifique WHOIS, la asignación de RIPE/ARIN y el DNS inverso para confirmar que la IP, el rango de IP o el servidor están en OVHcloud y no en un revendedor o cliente intermedio.
- Determine los identificadores. Registre la dirección IP exacta, el puerto cuando sea relevante, el nombre de host del servidor o el identificador del servicio, y las marcas de tiempo precisas con la zona horaria. La especificidad conduce a una respuesta más rápida y precisa.
- Decida entre contenido y no contenido. Separe los datos del suscriptor y de la cuenta de cualquier contenido almacenado, y considere si el contenido está realmente en manos de OVHcloud o si está en manos del cliente en una máquina autogestionada.
- Envíe una solicitud de preservación con antelación. Dados los límites de retención de la UE, solicite a OVHcloud que preserve los datos relevantes mientras prepara su instrumento formal.
- Elija el canal legal correcto. Autoridad francesa: requisición judicial. Autoridad de la UE: OEI u Orden Europea de Entrega de Pruebas. Autoridad no perteneciente a la UE: MLAT o carta rogatoria. Datos en manos de EE. UU.: proceso de EE. UU.
- Presente a través de ese canal y realice el seguimiento. Dirija el instrumento a la autoridad francesa o de la UE competente cuando sea necesario, haga referencia a su solicitud de preservación y registre la recepción y cualquier número de referencia.
- Planifique la notificación al cliente. OVHcloud puede notificar al cliente a menos que la ley lo prohíba; si la confidencialidad es importante, asegúrese de que su orden legal incluya una disposición de no divulgación ejecutable.
Preguntas frecuentes
¿Puedo simplemente usar el formulario de abuso de OVHcloud para obtener la identidad del titular de la cuenta? No. El formulario de abuso es para denunciar contenido ilegal o abusivo y solicitar que se tomen medidas. La identidad del suscriptor, la asignación de IP y los registros requieren una solicitud legal formal a través del canal judicial correcto.
Soy un investigador fuera de la UE. ¿Puedo enviar mi orden judicial nacional directamente a OVHcloud? Generalmente no para datos alojados en la UE. Normalmente necesitará una solicitud MLAT o una carta rogatoria tramitada a través de los canales legales franceses. El estatuto de bloqueo de Francia y las normas de la UE desalientan la divulgación directa a autoridades extranjeras fuera de esos canales.
¿Por qué OVHcloud podría tener menos registros de conexión de los que espero? La legislación de la UE, influenciada por las sentencias del TJUE, restringe la retención general e indiscriminada de datos de tráfico. Los periodos de retención pueden ser más cortos y limitados que en algunas jurisdicciones fuera de la UE, por lo que debe solicitar la preservación rápidamente.
¿Le dirá OVHcloud al cliente sobre mi solicitud? A menudo sí, a menos que la ley lo prohíba. Si su investigación requiere confidencialidad, asegúrese de que su instrumento legal incluya una obligación de no divulgación ejecutable.
Guías relacionadas
- Cloud evidence: getting data from AWS, Azure and Google Cloud
- Cloudflare law enforcement data request: police and government guide
- MLAT vs LERS vs Interpol: which channel, when
Para ver el directorio completo de portales de solicitudes de las fuerzas del orden, consulte nuestro LERS portal hub.
Imagen principal: Una sala de servidores de un centro de datos. · Crédito: Christopher Bowns · Wikimedia Commons · CC BY-SA 2.0 · fuente