Guide Oracle Cloud pour les demandes des forces de l'ordre

Ce guide offre une orientation générale et pratique aux agents des forces de l'ordre, aux procureurs et aux enquêteurs gouvernementaux qui ont besoin de données détenues par ou via Oracle Cloud Infrastructure (OCI). Il ne constitue pas un avis juridique. Une procédure doit toujours être obtenue et signifiée conformément à l'autorité légale de votre propre juridiction, et les étapes ci-dessous constituent un cadre de départ, et non un substitut au conseil juridique de votre agence ou aux propres directives actuelles d'Oracle.

La distinction entre sous-traitant et responsable de traitement

Comme AWS, Microsoft Azure et Google Cloud, Oracle Cloud Infrastructure est une plateforme d'infrastructure en tant que service (IaaS) pour entreprises. Le client entreprise qui exploite la location OCI est le responsable de traitement : il décide quelles données collecter, comment elles sont traitées et dans quelle région elles sont stockées. Oracle est le sous-traitant, hébergeant ces données selon les instructions du client. Oracle déclare qu'en tant que fournisseur cloud, il n'a généralement aucune visibilité sur le contenu que les clients stockent dans leurs services cloud.

La conséquence pratique pour les enquêteurs : si vous recherchez le contenu qu'une organisation cliente stocke dans OCI (bases de données, données d'application, fichiers, boîtes mail hébergées sur ses instances), le client est presque toujours la cible appropriée et la meilleure. La politique déclarée d'Oracle est de déployer des efforts raisonnables pour rediriger l'autorité requérante vers le client, car le client est le mieux placé pour identifier et produire ses propres données. Si le suspect est un individu ou une organisation qui est lui-même un client Oracle, signifiez directement ce client.

Ce qu'Oracle détient directement

Oracle conserve les enregistrements créés par la relation commerciale avec le titulaire du compte, plutôt que le contenu stocké par le client. En termes généraux, cela signifie :

• Identité du compte cloud / de l'abonné : l'organisation ou la personne enregistrée, les contacts et les détails de l'administrateur.
• Enregistrements de facturation et de paiement, et historique des abonnements / commandes de services.
• Certains journaux de service et opérationnels liés à la location qu'Oracle génère en tant que fournisseur (la disponibilité et la conservation varient selon le service).

Oracle ne publie pas d'inventaire de données granulaire, champ par champ, pour les forces de l'ordre, et ses documents publics destinés aux forces de l'ordre sont relativement succincts. Considérez les catégories ci-dessus comme l'enveloppe réaliste de ce qu'Oracle peut produire lui-même, et soyez précis dans votre demande concernant les identifiants de compte (OCID de location, e-mail du compte, numéro de commande) que vous pouvez fournir.

Seuils juridiques américains

Oracle est une entreprise américaine, la divulgation d'enregistrements aux forces de l'ordre est donc généralement analysée en vertu du Stored Communications Act (SCA) américain. À titre de guide de travail, le SCA adapte l'instrument juridique à la sensibilité des données :

• Assignation à comparaître (Subpoena) (administrative ou devant un grand jury) : généralement utilisée pour les enregistrements de base de l'abonné et de facturation.
• Ordonnance judiciaire (souvent une ordonnance "2703(d)") : pour les enregistrements transactionnels et les journaux ne constituant pas du contenu.
• Mandat de perquisition basé sur une cause probable : pour le contenu stocké. En pratique, Oracle redirigera normalement les demandes de contenu vers le client, quoi qu'il arrive.

Oracle déclare évaluer chaque demande au cas par cas pour confirmer qu'elle est légalement valide et contraignante, et résistera ou contestera les demandes qui ne le sont pas. Les agences américaines nationales doivent signifier une procédure valide ; l'instrument précis relève de la responsabilité de votre procureur.

Conservation vs production

La conservation et la production sont des étapes distinctes. Une demande de conservation demande à Oracle de conserver les enregistrements existants afin qu'ils ne soient pas perdus lors d'une suppression de routine pendant que vous obtenez une procédure juridique ; elle ne contraint pas en soi à la divulgation. La production est la remise forcée d'enregistrements en vertu d'une assignation, d'une ordonnance ou d'un mandat. Les rapports de transparence d'Oracle reconnaissent les demandes de conservation comme une catégorie. Envoyez une demande de conservation rapidement, avec des identifiants de compte précis et une portée claire, puis faites suivre par l'instrument contraignant approprié.

Politique de notification au client

La politique déclarée d'Oracle est d'informer rapidement le client concerné d'une demande et, pour le contenu, de rediriger l'autorité vers ce client, sauf si Oracle est légalement empêché de donner cet avis. Lorsque vous avez besoin d'une non-divulgation pour protéger une enquête criminelle, vous devez obtenir l'interdiction légale appropriée (par exemple, une ordonnance de non-divulgation accompagnant votre procédure). Oracle a déclaré que s'il lui est interdit de notifier le client, il demandera à l'autorité requérante de lever cette interdiction ; construisez donc la base juridique du secret dans votre demande plutôt que de supposer la confidentialité par défaut.

Forces de l'ordre étrangères et MLAT

Comme Oracle est basé aux États-Unis, les agences situées en dehors des États-Unis ne peuvent généralement pas contraindre Oracle directement. La voie traditionnelle est une demande d'entraide judiciaire mutuelle (MLAT) ou une commission rogatoire transmise par le ministère de la Justice américain, qui est examinée par un tribunal américain. Une alternative plus rapide n'existe que lorsqu'un accord CLOUD Act bilatéral qualifiant est en vigueur (par exemple, l'accord États-Unis-Royaume-Uni, en vigueur depuis octobre 2022). Oracle a déclaré que le CLOUD Act ne modifie pas la manière dont il traite les demandes de divulgation. Pour les déploiements européens, l'EU Sovereign Cloud d'Oracle dispose d'équipes juridiques européennes dédiées qui examinent chaque demande d'accès en vertu du droit européen applicable. Les enquêteurs étrangers devraient toujours déterminer si l'organisation cliente concernée dans leur propre juridiction peut produire les données directement, ce qui évite souvent totalement le délai lié au MLAT.

Flux de travail suggéré

1. Identifiez si vous avez besoin d'enregistrements au niveau du compte (Oracle) ou de contenu stocké (presque toujours le client). Dans la mesure du possible, signifiez directement l'organisation cliente.
2. Rassemblez des identifiants précis : OCID de location/compte, e-mail enregistré, nom de l'organisation, numéros de commande ou de facture, et les données exactes ainsi que la plage de dates recherchées.
3. Envoyez immédiatement une demande de conservation pour arrêter la suppression de routine pendant que vous obtenez la procédure.
4. Obtenez l'instrument juridique correct pour la catégorie de données (assignation, ordonnance judiciaire ou mandat), et une ordonnance de non-divulgation si le secret est requis.
5. Signifiez une procédure juridique valide à Oracle via ses canaux juridiques ; les agences étrangères passent par le MLAT ou un accord CLOUD Act qualifiant.
6. Attendez-vous à ce qu'Oracle valide la demande, notifie le client sauf interdiction légale, et, pour le contenu, vous redirige vers le client.

Qui détient quoi, et comment l'obtenir

Foire aux questions

Puis-je obtenir les données d'un client directement auprès d'Oracle ? Généralement non pour le contenu stocké. Oracle considère ce contenu comme appartenant au client et vous redirigera généralement vers celui-ci, qui le contrôle et peut y accéder. Oracle produira les dossiers de compte, de facturation et d'abonnement qu'il détient directement dans le cadre d'une procédure valide.

Oracle informera-t-il le client de ma demande ? Oui, par défaut. La politique d'Oracle est d'informer le client concerné, sauf interdiction légale. Si vous avez besoin de confidentialité, obtenez une ordonnance de non-divulgation et joignez-la à votre procédure.

Je suis en dehors des États-Unis. Comment contraindre Oracle ? Généralement par le biais d'une demande MLAT ou d'une commission rogatoire via le ministère de la Justice américain (DOJ), ou d'un accord CLOUD Act qualifiant lorsqu'il est en vigueur. Souvent, le moyen le plus rapide consiste à signifier l'organisation cliente concernée dans votre propre juridiction.

Une demande de conservation signifie-t-elle que je recevrai les données ? Non. La conservation empêche uniquement la suppression des dossiers. Vous avez toujours besoin d'une assignation à comparaître, d'une ordonnance du tribunal ou d'un mandat pour contraindre à la production.

Guides associés

• Preuves dans le cloud : obtenir des données auprès d'AWS, Azure et Google Cloud
• Microsoft 365 et Google Workspace : guide de l'enquêteur sur les journaux d'audit SaaS
• Demande de données aux forces de l'ordre par Cloudflare : guide pour la police et le gouvernement

Pour le répertoire complet des portails de demande des forces de l'ordre des plateformes, consultez notre hub de portails LERS.

Image principale : Un grand centre de données d'entreprise. · Crédit : Hugovanmeijeren · Wikimedia Commons · CC BY-SA 3.0 · source