Guida Oracle Cloud per forze dell'ordine e autorità governative

Questa guida offre un orientamento generale e pratico per le forze dell'ordine, i pubblici ministeri e gli investigatori governativi che necessitano di dati detenuti da o tramite Oracle Cloud Infrastructure (OCI). Non costituisce consulenza legale. È necessario ottenere e notificare sempre gli atti processuali in conformità con l'autorità legale della propria giurisdizione; i passaggi seguenti rappresentano un quadro di riferimento iniziale e non sostituiscono la consulenza legale della propria agenzia o le linee guida ufficiali di Oracle.

La distinzione tra responsabile e titolare del trattamento

Come AWS, Microsoft Azure e Google Cloud, Oracle Cloud Infrastructure è una piattaforma enterprise di infrastruttura come servizio (IaaS). Il cliente enterprise che gestisce la tenancy OCI è il titolare del trattamento dei dati: decide quali dati raccogliere, come vengono elaborati e in quale regione vengono archiviati. Oracle è il responsabile del trattamento dei dati, che ospita tali dati su istruzione del cliente. Oracle dichiara che, in qualità di provider cloud, non ha generalmente visibilità sul contenuto che i clienti archiviano nei propri servizi cloud.

La conseguenza pratica per gli investigatori: se si è alla ricerca del contenuto che un'organizzazione cliente archivia in OCI (database, dati applicativi, file, caselle di posta ospitate sulle sue istanze), il cliente è quasi sempre il target corretto e migliore. La politica dichiarata di Oracle è quella di compiere sforzi ragionevoli per reindirizzare l'autorità richiedente verso il cliente, poiché quest'ultimo è nella posizione migliore per identificare e produrre i propri dati. Se il sospettato è un individuo o un'organizzazione che è a sua volta un cliente Oracle, notificare direttamente tale cliente.

Cosa detiene direttamente Oracle

Oracle conserva i record creati dal rapporto commerciale con il titolare dell'account, piuttosto che il contenuto archiviato dal cliente. In termini generali, ciò significa:

• Identità dell'account cloud / dell'abbonato: l'organizzazione o la persona registrata, i contatti e i dettagli dell'amministratore.
• Record di fatturazione e pagamento, e cronologia degli abbonamenti / ordini di servizio.
• Determinati log di servizio e operativi legati alla tenancy che Oracle genera in qualità di provider (la disponibilità e la conservazione variano a seconda del servizio).

Oracle non pubblica un inventario dei dati granulare, campo per campo, per le forze dell'ordine e il suo materiale pubblico in materia è relativamente limitato. Considerare le categorie sopra indicate come l'ambito realistico di ciò che Oracle stessa può produrre ed essere specifici nella richiesta riguardo agli identificativi dell'account (OCID della tenancy, email dell'account, numero d'ordine) che è possibile fornire.

Soglie legali negli Stati Uniti

Oracle è una società statunitense, pertanto la divulgazione di record alle forze dell'ordine viene generalmente analizzata ai sensi dello US Stored Communications Act (SCA). Come guida operativa, lo SCA adegua lo strumento legale alla sensibilità dei dati:

• Subpoena (amministrativa o del gran giurì): generalmente utilizzata per i record di base dell'abbonato e di fatturazione.
• Ordine del tribunale (spesso un ordine "2703(d)"): per record transazionali e log non relativi al contenuto.
• Mandato di perquisizione basato su causa probabile: per i contenuti archiviati. In pratica, Oracle reindirizzerà normalmente le richieste di contenuto al cliente a prescindere.

Oracle afferma di valutare ogni richiesta caso per caso per confermare che sia legalmente valida e vincolante, e si opporrà o contesterà le richieste che non lo sono. Le agenzie statunitensi devono notificare atti processuali validi; lo strumento preciso è una questione di competenza del proprio pubblico ministero.

Conservazione vs produzione

La conservazione e la produzione sono passaggi distinti. Una richiesta di conservazione (preservation request) chiede a Oracle di mantenere i record esistenti affinché non vadano persi a causa della cancellazione di routine mentre si ottiene l'atto processuale; di per sé non obbliga alla divulgazione. La produzione è la consegna coatta dei record ai sensi di un mandato di comparizione, un ordine o un mandato. Il report di trasparenza di Oracle riconosce le richieste di conservazione come categoria. Inviare una richiesta di conservazione tempestivamente, con identificativi dell'account precisi e un ambito chiaro, quindi procedere con lo strumento coercitivo appropriato.

Politica di notifica al cliente

La politica dichiarata di Oracle è quella di informare tempestivamente il cliente interessato di una richiesta e, per i contenuti, di reindirizzare l'autorità verso tale cliente, a meno che a Oracle non sia vietato dalla legge fornire tale notifica. Laddove sia necessaria la riservatezza per proteggere un'indagine penale, è necessario ottenere l'appropriato divieto legale (ad esempio un ordine di non divulgazione che accompagni l'atto). Oracle ha dichiarato che, se le è vietato notificare il cliente, chiederà all'autorità richiedente di revocare tale divieto; pertanto, è necessario inserire la base legale per la segretezza nella richiesta, piuttosto che dare per scontata la riservatezza per impostazione predefinita.

Forze dell'ordine estere e MLAT

Poiché Oracle ha sede negli Stati Uniti, le agenzie al di fuori degli Stati Uniti generalmente non possono obbligare Oracle direttamente. Il percorso tradizionale è una richiesta di Trattato di Assistenza Giudiziaria Reciproca (MLAT) o una rogatoria canalizzata attraverso il Dipartimento di Giustizia degli Stati Uniti, che viene esaminata da un tribunale statunitense. Un'alternativa più rapida esiste solo laddove sia in vigore un accordo bilaterale CLOUD Act qualificato (ad esempio l'accordo USA-Regno Unito, in vigore da ottobre 2022). Oracle ha dichiarato che il CLOUD Act non modifica il modo in cui gestisce le richieste di divulgazione. Per le implementazioni europee, l'EU Sovereign Cloud di Oracle dispone di team legali UE dedicati che esaminano ogni richiesta di accesso ai sensi della legge UE applicabile. Gli investigatori esteri dovrebbero comunque valutare se l'organizzazione cliente pertinente nella propria giurisdizione possa produrre i dati direttamente, il che spesso evita del tutto il ritardo dovuto alla procedura MLAT.

Flusso di lavoro suggerito

1. Identificare se sono necessari record a livello di account (Oracle) o contenuti archiviati (quasi sempre il cliente). Ove possibile, notificare direttamente l'organizzazione cliente.
2. Raccogliere identificativi precisi: OCID della tenancy/account, email registrata, nome dell'organizzazione, numeri di ordine o fattura, e i dati esatti e l'intervallo di date richiesti.
3. Inviare immediatamente una richiesta di conservazione per interrompere la cancellazione di routine mentre si ottiene l'atto processuale.
4. Ottenere lo strumento legale corretto per la categoria di dati (subpoena, ordine del tribunale o mandato) e un ordine di non divulgazione se è richiesta segretezza.
5. Notificare l'atto processuale valido a Oracle attraverso i suoi canali legali; le agenzie estere devono procedere tramite MLAT o un accordo qualificato ai sensi del CLOUD Act.
6. Aspettarsi che Oracle convalidi la richiesta, notifichi il cliente a meno che non sia legalmente vietato e, per i contenuti, reindirizzi verso il cliente.

Chi detiene cosa e come ottenerlo

Domande frequenti

Posso ottenere i dati di un cliente direttamente da Oracle? Di solito no per i contenuti archiviati. Oracle tratta tali contenuti come proprietà del cliente e generalmente ti reindirizzerà al cliente, che li controlla e può accedervi. Oracle produrrà i record di account, fatturazione e abbonamento che detiene direttamente a seguito di una procedura valida.

Oracle informerà il cliente della mia richiesta? Sì, per impostazione predefinita. La politica di Oracle è quella di notificare il cliente interessato, a meno che non sia legalmente proibito. Se hai bisogno di riservatezza, ottieni un ordine di non divulgazione e allegalo alla tua procedura.

Mi trovo al di fuori degli Stati Uniti. Come posso obbligare Oracle? Generalmente tramite una richiesta MLAT o una rogatoria tramite il DOJ statunitense, o un accordo CLOUD Act qualificante laddove in vigore. Spesso la strada più rapida è notificare l'organizzazione cliente pertinente nella propria giurisdizione.

Una richiesta di conservazione significa che riceverò i dati? No. La conservazione impedisce solo che i record vengano eliminati. È comunque necessario un mandato di comparizione, un'ordinanza del tribunale o un mandato per obbligarne la produzione.

Guide correlate

• Prove nel cloud: ottenere dati da AWS, Azure e Google Cloud
• Microsoft 365 e Google Workspace: guida per l'investigatore ai log di audit SaaS
• Richiesta di dati alle forze dell'ordine da parte di Cloudflare: guida per polizia e governo

Per l'elenco completo dei portali per le richieste delle forze dell'ordine alle piattaforme, consulta il nostro hub del portale LERS.

Immagine principale: Un grande data center aziendale. · Crediti: Hugovanmeijeren · Wikimedia Commons · CC BY-SA 3.0 · fonte