Guide Amazon, AWS & Ring pour les forces de l'ordre et le gouvernement
Comment la police demande des données Amazon, AWS et Ring : comptes, attribution AWS, vidéos Ring (mandat depuis 2024) et procédure MLAT en Inde.
Amazon apparaît dans les enquêtes à travers trois surfaces très différentes, chacune avec ses propres règles : le compte de vente au détail Amazon (commandes, adresses, données de paiement et de connexion), Amazon Web Services (AWS) (le cloud qui héberge une grande partie d'Internet, où la question est généralement « qui se cache derrière ce serveur ou cette adresse IP ? »), et Ring (sécurité domestique et sonnettes vidéo, où l'enjeu est l'enregistrement vidéo). Amazon.com, Inc. est une société américaine, et la divulgation des données des clients est soumise à la procédure judiciaire américaine en vertu du Stored Communications Act (18 U.S.C. § 2701 et seq.). Les trois surfaces sont traitées séparément ci-dessous car ce que vous pouvez obtenir, et comment, diffère considérablement.
- Comment soumettre : Uniquement via l'outil Amazon Law Enforcement Request Tracker (ALERT) : agences américaines sur ler.amazon.com/us, agences de l'UE et du Royaume-Uni sur emea.ler.amazon.com (voir notre guide du portail UE & Royaume-Uni). Amazon.com, AWS et Ring utilisent tous ce canal unique ; pour le contenu hébergé sur AWS, Amazon redirige les forces de l'ordre vers le client AWS.
- Identifiants acceptés : Vente au détail — l'e-mail du compte, les numéros de commande, les adresses. AWS — le numéro de compte, l'adresse IP, les identifiants d'instance/ressource et les horodatages. Ring — l'e-mail du compte du propriétaire de l'appareil ainsi que le lieu et la période concernés.
- Ce qui nécessite un mandat : Les dossiers d'abonné et de compte suivent une assignation à comparaître (subpoena) ; le contenu — y compris les séquences vidéo Ring et les fichiers stockés — nécessite généralement un mandat de perquisition, le consentement du propriétaire ou une urgence réelle.
Identifiants pour une demande de données
Délimitez chaque surface avec précision. Pour un compte de vente au détail, fournissez l'e-mail enregistré ainsi que tout numéro de commande et adresse de livraison. Pour AWS, l'identifiant le plus utile est l'adresse IP avec un horodatage précis (et le fuseau horaire), ainsi que tout identifiant d'instance ou de ressource ; c'est ce qui permet à AWS de faire le lien entre une activité et un titulaire de compte. Pour Ring, identifiez le compte du propriétaire de l'appareil ainsi que le lieu exact et la fenêtre temporelle des séquences recherchées.
Quelles données Amazon, AWS et Ring fournissent
| Surface | Ce qui est disponible | Procédure nécessaire |
|---|---|---|
| Compte de vente au détail Amazon | Informations sur l'abonné (nom, e-mail, adresses, téléphone), historique des commandes, méthode de paiement et enregistrements de connexion/IP | Assignation pour les données d'abonné ; mandat pour le contenu/contenu des communications |
| AWS | Identité du titulaire du compte et facturation pour un compte/IP donné, et journaux au niveau du compte. AWS ne détient généralement pas le contenu applicatif du client | Assignation/ordonnance judiciaire pour identifier le compte ; pour le contenu hébergé lui-même, adressez-vous au client (voir ci-dessous) |
| Ring (séquences vidéo) | Vidéos stockées et données de compte pour un appareil | Mandat de perquisition, consentement du propriétaire, ou urgence réelle de danger imminent |
AWS — adressez-vous au client. AWS est un hébergeur d'infrastructure : le client AWS est le responsable du traitement des données pour le contenu qu'il stocke. Ainsi, bien qu'AWS réponde aux procédures légales valides pour identifier le compte derrière une IP ou une ressource, les données applicatives elles-mêmes (bases de données, fichiers, dossiers utilisateurs du service hébergé) doivent généralement être obtenues directement auprès de ce client, les données d'abonné AWS servant à les localiser.
Ring — le changement de 2024. Début 2024, Ring a mis fin à son outil « Demande d'assistance » dans l'application Neighbors, qui permettait à la police de demander publiquement des séquences aux utilisateurs sans procédure judiciaire. La police obtient désormais les séquences Ring via un mandat de perquisition ou une assignation, en demandant au propriétaire de les partager volontairement, ou lorsque Ring/Amazon les fournit directement en cas de danger imminent de mort ou de blessure physique grave. Il n'existe plus de raccourci de demande publique sans mandat.
Notification de l'utilisateur : La politique d'Amazon est généralement de notifier le client d'une demande, sauf si la loi l'interdit ou si une exception (telle qu'une question de sécurité des enfants ou de préjudice imminent) s'applique.
Comment soumettre une demande
Amazon n'accepte les procédures légales que via ALERT. Selon les termes d'Amazon, l'entreprise « n'accepte pas la signification d'assignations, de mandats de perquisition ou d'autres procédures légales, sauf via » l'Amazon Law Enforcement Request Tracker. Les agences américaines déposent leurs demandes sur ler.amazon.com/us ; les agences de l'UE et du Royaume-Uni sur emea.ler.amazon.com, dont les étapes sont détaillées dans notre guide UE & Royaume-Uni. Les urgences passent par le bouton de demande d'urgence du portail ; pour les problèmes liés au portail, envoyez un e-mail à [email protected].
- Préservez d'abord en vertu du 18 U.S.C. § 2703(f) (90 jours, renouvelable) — en particulier pour les séquences Ring, qui ont une rétention limitée et peuvent être perdues.
- Soumettez une procédure légale valide via le canal des forces de l'ordre d'Amazon (et le processus de demande d'informations d'AWS pour les questions liées au cloud), avec des identifiants correspondant à la surface et un niveau de procédure adapté aux données.
- Pour les services hébergés sur AWS, utilisez les données d'abonné AWS pour identifier l'opérateur, puis servez cet opérateur pour obtenir le contenu applicatif.
Demandes de divulgation d'urgence
En cas de risque imminent de mort ou de blessure physique grave, Amazon, AWS et Ring peuvent chacun divulguer des données — y compris des séquences Ring — volontairement et sans mandat en vertu de l'exception d'urgence du Stored Communications Act. Soumettez la demande via le canal officiel en articulant la menace spécifique et immédiate, les données ou séquences nécessaires, et les identifiants pertinents. La divulgation est à la discrétion de l'entreprise.
Pour l'Inde : base légale et procédure
- IT Act, 2000 — Section 69 et BNSS, 2023 — Section 94 fournissent l'autorité nationale pour ordonner la production de documents électroniques.
- IT Rules, 2021 — Règle 3 : acheminez la coordination de premier niveau via le canal officiel d'Amazon ; escaladez vers l'entraide judiciaire (MLAT) pour les données clients et le contenu.
- MLAT : pour les données de compte détenues aux États-Unis, l'attribution de compte AWS ou les séquences Ring, acheminez la demande via l'Autorité centrale du MHA vers le ministère de la Justice des États-Unis, Bureau des affaires internationales. Déposez immédiatement une demande de conservation, car les séquences Ring en particulier pourraient être supprimées avant la conclusion de la procédure MLAT.
Ce dont vous aurez besoin
- Retail : e-mail de compte, identifiants de commande, adresses ;
- AWS : l'adresse IP avec un horodatage précis et le fuseau horaire, ainsi que les identifiants d'instance/de ressource ;
- Ring : le compte du propriétaire de l'appareil ainsi que l'emplacement exact et la fenêtre temporelle, plus un mandat de perquisition (ou le consentement du propriétaire / base d'urgence) ;
- L'instrument juridique approprié pour la demande, et une demande de conservation 2703(f) déposée rapidement ;
- Pour les agences indiennes : une demande MLAT via le MHA, ainsi qu'une conservation immédiate.
Pour un répertoire complet des portails de demande des forces de l'ordre sur les principales plateformes, visitez notre hub de portails LERS ou le guide LERS plateforme par plateforme.
Voir aussi : Amazon Preservation and Emergency Requests: Police Guide and Template.