Guida Microsoft Law Enforcement Data Request per polizia e governo

Microsoft Corporation gestisce alcuni dei servizi consumer più utilizzati su internet: i servizi email Outlook.com, Hotmail, Live e MSN, il servizio di cloud storage OneDrive, la rete di gioco Xbox e Xbox Live e, storicamente, Skype (Microsoft ha ritirato il servizio Skype consumer nel 2025 e ha migrato gli utenti verso la versione consumer di Microsoft Teams, sebbene i record legacy possano ancora essere soggetti a procedimenti legali). Questi servizi contano centinaia di milioni di account consumer attivi in tutto il mondo, motivo per cui emergono così spesso nelle indagini penali. Gli agenti incontrano account consumer Microsoft in schemi di compromissione delle email aziendali (BEC) e frodi sulle fatture instradate tramite le caselle di posta Outlook.com, in casi di furto di account, nell'archiviazione e distribuzione di materiale pedopornografico (CSAM) tramite OneDrive e chat, e in casi di adescamento e molestie su Xbox Live. Microsoft è una società statunitense con sede a Redmond, Washington, pertanto la divulgazione dei record degli account consumer è regolata principalmente dal federal Stored Communications Act (18 U.S.C. § 2701 et seq.). Microsoft ha anche plasmato l'attuale panorama transfrontaliero: il suo contenzioso in United States v. Microsoft Corp. (il caso “Microsoft Ireland”) sulle email archiviate all'estero è stato archiviato solo quando il Congresso ha approvato il CLOUD Act nel 2018, che ora definisce il modo in cui i provider statunitensi rispondono alle richieste di dati detenuti all'estero.

Non riesci ad accedere al Microsoft Law Enforcement Portal?

• Accedi con un account Microsoft personale (Outlook o Hotmail), non con la tua email governativa. Questa è la causa più comune di accessi falliti. La tua email governativa viene utilizzata una sola volta, per ricevere un codice di verifica a 7 cifre.
• Portale: v2.leportal.microsoft.com. Utilizza una versione recente di un browser supportato, consenti i cookie da *.live.com e chiedi al reparto IT di autorizzare leportal.microsoft.com, login.live.com e login.microsoftonline.com.
• Troppi codici di verifica errati bloccano l'account temporaneamente.
• Ancora bloccato? Supporto per l'accesso di Microsoft: [email protected] (USA), [email protected] (UE), [email protected] (Brasile), [email protected] (altri paesi), o +1 425-722-1299, opzione 2.

Identificatori per una richiesta di dati

Prima che Microsoft possa conservare o divulgare i record, le forze dell'ordine devono identificare l'account target con precisione. L'identificatore principale è l'account Microsoft (spesso abbreviato in MSA): l'indirizzo email con cui un utente accede, che per i servizi consumer è tipicamente un indirizzo @outlook.com, @hotmail.com, @live.com o @msn.com. Un account Microsoft può anche essere registrato con un indirizzo email di terze parti o un numero di telefono, quindi fornisci qualsiasi identificatore di accesso in tuo possesso. Per questioni relative al gioco, il gamertag Xbox è un identificatore riconosciuto che Microsoft tratta come dati dell'abbonato non relativi al contenuto. Per una questione legacy di Skype, il nome Skype (l'handle univoco, non il nome visualizzato modificabile) è l'identificatore di localizzazione.

Gli identificatori supplementari aiutano Microsoft a confermare un account: l'indirizzo IP di registrazione o dell'ultimo accesso con data e ora precise, il numero di telefono associato all'account (con il prefisso internazionale per i numeri non statunitensi) e qualsiasi identificatore di fatturazione. Indica chiaramente l'intervallo di date target, scrivi il mese per esteso e nota che Microsoft restituisce i dati di log in Coordinated Universal Time (UTC). Evita di fare affidamento solo sul nome visualizzato o sul nome proprio, poiché non sono univoci e non possono localizzare un account.

Quali dati fornisce Microsoft

Microsoft opera con un modello di divulgazione a livelli basato sugli standard dei procedimenti legali dello Stored Communications Act statunitense. Maggiore è l'interesse alla privacy nei dati, maggiore è lo standard legale richiesto per ottenerli:

Procedimento legale	Standard	Dati prodotti
Subpoena (inclusa la giuria popolare)	Rilevanza	Informazioni di base sull'abbonato: nome, indirizzo email, stato, paese e codice postale forniti al momento della registrazione, data di creazione dell'account, indirizzo IP di registrazione e dati dell'account non relativi al contenuto come la cronologia delle connessioni IP, il gamertag Xbox e le informazioni sulla carta di credito o altre informazioni di fatturazione archiviate
Ordine del tribunale (18 U.S.C. § 2703(d))	Fatti specifici e articolabili	Tutte le informazioni sull'abbonato a livello di subpoena più record transazionali non relativi al contenuto: log dettagliati di accesso e connessione, intestazione del messaggio e metadati di instradamento (mittente, destinatario, data e ora, senza il corpo del messaggio) e altri record dell'utilizzo dei servizi da parte dell'account
Mandato di perquisizione (causa probabile)	Causa probabile	Tutto quanto sopra più contenuto archiviato: il corpo delle email, file e fotografie archiviati in OneDrive e altri contenuti creati dall'utente detenuti sui o tramite i servizi. Microsoft non divulgherà contenuti in risposta a una sola subpoena

Il contenuto richiede un mandato. Microsoft traccia una linea netta tra non-contenuto e contenuto. A seguito della decisione del Sesto Circuito in United States v. Warshak, che ha stabilito che gli utenti di email hanno una ragionevole aspettativa di privacy nel contenuto dei loro messaggi, Microsoft richiede un mandato di perquisizione (o il suo equivalente locale) prima di produrre la sostanza delle comunicazioni o dei file archiviati. Le subpoena che richiedono contenuti vengono respinte.

Cosa non è disponibile da Microsoft. I dati aziendali e commerciali costituiscono l'eccezione fondamentale. Laddove un obiettivo utilizzi un servizio Microsoft 365, Azure o Dynamics 365 fornito tramite un'organizzazione, tale organizzazione — non Microsoft — è generalmente il titolare del trattamento dei dati. La prassi dichiarata di Microsoft è quella di reindirizzare le forze dell'ordine affinché ottengano le informazioni direttamente dal cliente aziendale e di notificare tale cliente in merito alla richiesta, a meno che non sia legalmente vietato. Si pianifichi di notificare l'organizzazione che amministra il tenant, non Microsoft. Altri due servizi di proprietà di Microsoft gestiscono processi del tutto separati: LinkedIn pubblica le proprie Linee guida per le richieste di dati da parte delle forze dell'ordine e GitHub pubblica linee guida separate per le richieste legali di dati degli utenti. Si indirizzino le richieste per LinkedIn o GitHub a tali servizi, non tramite il portale consumer di Microsoft.

Conservazione. Microsoft non conserva i record dei consumatori a tempo indeterminato; la disponibilità di log e contenuti meno recenti varia a seconda del servizio e dell'utilizzo dell'account, e alcuni dati potrebbero essere stati eliminati o rimossi prima dell'arrivo di una richiesta. Poiché la conservazione non è garantita, una richiesta di conservazione presentata tempestivamente è l'unico modo affidabile per evitare che i record rilevanti vadano persi mentre si prepara l'iter legale.

Notifica all'utente. La politica predefinita di Microsoft è quella di fornire un preavviso agli utenti consumer i cui dati sono richiesti da un'agenzia delle forze dell'ordine, a meno che ciò non sia vietato dalla legge o da un ordine del tribunale, o a meno che la notifica non sia controproducente — ad esempio, in casi che coinvolgono lo sfruttamento minorile, una minaccia imminente di danno o un account compromesso (hackerato). Laddove sia necessario sopprimere la notifica, si ottenga un ordine di non divulgazione (ai sensi del 18 U.S.C. § 2705(b) per le procedure statunitensi) e lo si notifichi insieme alla richiesta. Per i dati aziendali, Microsoft notifica l'organizzazione interessata, salvo divieto.

Come inviare una richiesta

1. Registrarsi sul portale. Creare un account sul Microsoft Law Enforcement Request Portal all'indirizzo leportal.microsoft.com utilizzando un dominio e-mail governativo o delle forze dell'ordine ufficiale. Microsoft verifica i registrati prima di concedere l'accesso, e sia la richiesta che la risposta di Microsoft vengono scambiate attraverso questo canale sicuro.
2. Presentare prima una richiesta di conservazione. Inviare una richiesta di conservazione ai sensi del 18 U.S.C. § 2703(f) il prima possibile, prima che l'iter legale formale sia pronto. Una richiesta 2703(f) ordina a Microsoft di conservare un'istantanea dei record esistenti per 90 giorni, rinnovabile per un ulteriore periodo di 90 giorni su una richiesta di estensione chiaramente contrassegnata. La conservazione blocca le prove mentre si ottiene un mandato o un ordine del tribunale.
3. Inviare l'iter legale. Caricare il mandato di comparizione, l'ordine del tribunale 2703(d) o il mandato di perquisizione come documento firmato e datato che indichi Microsoft Corporation come custode dei record, identifichi l'account di destinazione tramite un identificatore valido e specifichi i dati precisi richiesti e l'intervallo di date. Il team di conformità di Microsoft respinge le procedure non valide, notificate in modo improprio, giurisdizionalmente troppo ampie o non firmate, quindi siate specifici e accurati.
4. Questioni relative a CSAM e NCMEC. Microsoft segnala il presunto sfruttamento sessuale infantile al CyberTipline del National Center for Missing & Exploited Children (NCMEC) ed è stata pioniera della tecnologia di rilevamento PhotoDNA. Se l'indagine ha avuto origine da una segnalazione al CyberTipline, si faccia riferimento al numero di segnalazione in modo che Microsoft possa definire accuratamente la propria produzione e si contrassegni la questione come sfruttamento minorile in modo che si applichi la relativa eccezione alla notifica all'utente.

Richieste di divulgazione di emergenza

Laddove vi sia un'emergenza in buona fede che comporti una minaccia imminente di morte o gravi lesioni fisiche, Microsoft può divulgare volontariamente i record dell'account senza un iter legale formale, in conformità con il 18 U.S.C. § 2702(b)(8) per i contenuti e il 2702(c)(4) per i record non relativi ai contenuti. Microsoft prende in considerazione le richieste di emergenza da parte delle forze dell'ordine di tutto il mondo; esempi comuni sono minacce di suicidio, rapimenti e altre minacce di violenza imminente.

Una richiesta di emergenza deve provenire da un funzionario delle forze dell'ordine giurato che utilizzi un dominio e-mail ufficiale delle forze dell'ordine, deve essere presentata su carta intestata ufficiale e firmata, e deve:

• identificare l'account di destinazione tramite un identificatore valido (l'e-mail dell'account Microsoft, il gamertag Xbox o il nome Skype), con qualsiasi numero di telefono associato;
• descrivere la natura e la recentità dell'emergenza nel modo più specifico possibile, includendo chi è a rischio;
• specificare le informazioni richieste e spiegare come aiuteranno a prevenire o risolvere l'emergenza.

Microsoft divulga solo i dati limitati necessari per affrontare l'emergenza; qualsiasi cosa oltre ciò richiede l'iter legale appropriato. Impersonare un funzionario delle forze dell'ordine per ottenere dati è un crimine negli Stati Uniti e altrove.

Per l'India: base giuridica e procedura

Microsoft è un'entità statunitense, pertanto le autorità indiane non possono notificare direttamente ad essa un iter legale statunitense. Gli strumenti nazionali stabiliscono l'autorità di richiedere dati; il meccanismo transfrontaliero determina se Microsoft li produrrà.

• IT Act, 2000 — Sezione 69: Autorizza il Governo Centrale o Statale a disporre l'intercettazione, il monitoraggio o la decrittazione di informazioni nell'interesse della sovranità, della sicurezza, dell'ordine pubblico o della prevenzione di reati. Tali direttive vincolano gli intermediari che operano in India; la conformità per i contenuti archiviati negli Stati Uniti rimane soggetta alla rotta transfrontaliera.
• IT Rules, 2021 — Regola 3 (Linee guida per gli intermediari): Gli intermediari di social media significativi devono nominare una persona di contatto nodale disponibile 24 ore su 24 per il coordinamento con le forze dell'ordine e conservare determinati record per almeno 180 giorni. Utilizzare questo canale per il coordinamento di primo livello ed effettuare l'escalation alla rotta del trattato per i record degli abbonati e i contenuti detenuti negli Stati Uniti.
• BNSS, 2023 — Sezione 94: Conferisce a un tribunale o a un funzionario responsabile di una stazione di polizia il potere di emettere un mandato di comparizione (anche in forma elettronica) per la produzione di documenti e record elettronici. Questo è il meccanismo di produzione nazionale, ed è citato all'interno di una richiesta di trattato a un fornitore statunitense.
• Trattato di assistenza giudiziaria reciproca (MLAT): Per i record degli abbonati e i contenuti, il percorso è: l'ufficiale inquirente redige la richiesta, l'Autorità Centrale del Ministero degli Affari Interni (MHA) la esamina e la trasmette, e l'Ufficio per gli Affari Internazionali (OIA) del Dipartimento di Giustizia degli Stati Uniti obbliga Microsoft tramite l'iter del tribunale statunitense. Un accordo esecutivo CLOUD Act o lettere rogatorie possono essere disponibili come alternative ove applicabile.

Gli investigatori indiani dovrebbero presentare una richiesta di conservazione tramite il portale immediatamente, prima che si avvii il più lento processo del trattato, e possono inviare una richiesta di divulgazione di emergenza direttamente laddove la vita sia a rischio imminente.

Cosa ti servirà

• Un dominio e-mail governativo o delle forze dell'ordine ufficiale per registrarsi sul Microsoft Law Enforcement Request Portal (i domini privati vengono respinti);
• Almeno un identificatore valido: l'e-mail dell'account Microsoft (Outlook.com, Hotmail, Live o MSN), il gamertag Xbox o un nome Skype — mai solo un nome visualizzato;
• L'intervallo di date di destinazione, indicato chiaramente con il mese scritto per esteso, e la consapevolezza che i record di log vengono restituiti in UTC;
• Lo strumento legale appropriato — un mandato di comparizione per le informazioni sull'abbonato, un ordine del tribunale 2703(d) per i record transazionali o un mandato di perquisizione per i contenuti;
• Una richiesta di conservazione presentata per prima, ai sensi del 18 U.S.C. § 2703(f), prima che i record diventino obsoleti o vengano eliminati;
• Per gli obiettivi aziendali: procedura notificata all'organizzazione che amministra il tenant Microsoft 365 o Azure, non a Microsoft; per LinkedIn o GitHub: una richiesta tramite i canali separati per le forze dell'ordine di tali servizi;
• Per i casi di CSAM: il numero di riferimento del CyberTipline NCMEC;
• Per le agenzie indiane che cercano contenuti: una richiesta MLAT tramite l'Autorità Centrale MHA, più una richiesta di conservazione parallela presentata immediatamente.

Per un elenco completo dei portali per le richieste delle forze dell'ordine sulle principali piattaforme, visita il nostro hub del portale LERS o la guida LERS piattaforma per piattaforma.

Vedi anche: Microsoft Preservation and Emergency Requests: Police Template.