OVHcloud Law Enforcement Data Request: Guida per polizia e governo

Questa guida offre orientamenti professionali generali per le forze dell'ordine, i pubblici ministeri e gli investigatori specializzati in criminalità informatica che richiedono dati a OVHcloud. Non costituisce consulenza legale. Presuppone che l'utente agisca nell'ambito della propria autorità legale nella propria giurisdizione e che utilizzi il canale legale appropriato al proprio caso. Le procedure, i punti di contatto e le pratiche di conservazione cambiano, pertanto è necessario confermare sempre i requisiti attuali direttamente con OVHcloud e con i propri consulenti legali prima di farvi affidamento.

Perché OVHcloud è diversa dai provider statunitensi

OVHcloud è una delle più grandi aziende di cloud e hosting in Europa, che fornisce server dedicati, server privati virtuali (VPS) e infrastrutture cloud pubbliche e private (IaaS). La sua società madre è francese e ha sede a Roubaix, con data center in Francia, nel resto d'Europa e nel mondo. Questo è importante per gli investigatori perché il regime legale che protegge e disciplina i dati dei clienti è principalmente quello francese ed europeo: il Regolamento generale sulla protezione dei dati (GDPR), il Codice di procedura penale francese e le relative leggi francesi.

Con la maggior parte dei grandi provider di hosting statunitensi, le forze di polizia straniere sono abituate a un portale self-service per le forze dell'ordine e a un vocabolario familiare di citazioni in giudizio, ordini del tribunale o mandati, talvolta supportati da accordi esecutivi del CLOUD Act. La filiale statunitense di OVHcloud opera effettivamente all'interno di tale quadro per i dati che controlla negli Stati Uniti. Tuttavia, per i dati dei clienti ospitati nell'Unione Europea, OVHcloud applica le norme UE e francesi e si è opposta pubblicamente alla divulgazione diretta alle autorità non UE al di fuori dei canali legali internazionali formali. La Francia dispone inoltre di uno statuto di blocco (Loi 68-678) che impedisce alle aziende francesi di consegnare dati sensibili ad autorità straniere se non attraverso processi di assistenza legale internazionale riconosciuti. La conseguenza pratica: di solito non è possibile inviare semplicemente il proprio ordine nazionale a OVHcloud e aspettarsi la produzione dei dati. Sarà normalmente necessario uno strumento UE o una richiesta di assistenza giudiziaria reciproca.

Cosa detiene OVHcloud

In qualità di fornitore di infrastrutture, OVHcloud detiene dati a livello di account e di infrastruttura piuttosto che i contenuti di ciò che i clienti eseguono sui propri server. Ciò che è realmente utile in un'indagine dipende dal servizio e dalle realtà di conservazione.

Canale di abuso vs richiesta legale

OVHcloud gestisce due percorsi distinti e utilizzare quello sbagliato è una perdita di tempo.

• Canale di abuso. OVHcloud pubblica un modulo pubblico per gli abusi per segnalare attività illegali o abusive ospitate sulla sua rete: phishing, distribuzione di malware, frodi, reclami sul copyright e materiale pedopornografico. Questo è il percorso corretto per far intervenire o rimuovere contenuti dannosi e per segnalare un server all'attenzione del fornitore. Non è un percorso per ottenere l'identità dell'abbonato o i log, e qualsiasi dato informale prodotto raramente soddisferà gli standard probatori.
• Requisitoria legale formale. Per ottenere i dati dei clienti come prova, è necessaria una richiesta legale valida e vincolante notificata attraverso il canale appropriato. In Francia si tratta solitamente di una requisitoria giudiziaria (requisition judiciaire) emessa ai sensi del Codice di procedura penale. La pratica dichiarata di OVHcloud è quella di non rilasciare dati dei clienti senza un ordine legale correttamente notificato, valido e vincolante.

Percorsi legali per paese richiedente

Lo strumento corretto dipende da dove si trova l'autorità inquirente.

• Autorità francesi. Notificare una requisitoria giudiziaria (requisition judiciaire) o un ordine del tribunale pertinente ai sensi del Codice di procedura penale francese direttamente tramite il processo legale francese.
• Altri Stati membri dell'UE. Utilizzare un Ordine Europeo di Indagine (OEI) ai sensi della Direttiva 2014/41/UE, eseguito tramite l'autorità francese competente. Il pacchetto UE sulle prove elettroniche introduce inoltre l'Ordine Europeo di Produzione e l'Ordine Europeo di Conservazione per le prove elettroniche transfrontaliere tra gli Stati membri; verificare cosa è in vigore e operativo per il proprio caso.
• Autorità non UE. Utilizzare una richiesta di trattato di assistenza giudiziaria reciproca (MLAT) o una rogatoria internazionale indirizzata all'autorità centrale francese. La Francia ha segnalato che accelererà le richieste MLAT correttamente indirizzate. L'invio di un ordine nazionale direttamente a OVHcloud per dati ospitati nell'UE sarà probabilmente rifiutato e lo statuto di blocco francese scoraggia la divulgazione diretta al di fuori di questi canali.
• Dati controllati dall'entità statunitense. Laddove i dati siano effettivamente detenuti dalla filiale statunitense di OVHcloud, si applica il processo legale statunitense, con dati non relativi al contenuto disponibili tramite citazione in giudizio statunitense e contenuti tramite mandato di perquisizione statunitense; possono applicarsi anche gli accordi esecutivi del CLOUD Act (riconosciuti con un piccolo numero di paesi). Non dare per scontato che ciò copra i dati ospitati nell'UE.

Preservazione e limiti di conservazione UE

Il trattamento dei dati personali da parte di OVHcloud per scopi di applicazione della legge rientra nel GDPR e nel più ampio quadro di protezione dei dati dell'UE. Fondamentalmente, il diritto dell'UE non consente più la conservazione indiscriminata e illimitata dei dati di connessione. La Corte di Giustizia dell'Unione Europea (CGUE), nelle sentenze Tele2 Sverige/Watson (2016) e La Quadrature du Net (2020 e 2024), ha stabilito che la conservazione generale e indiscriminata dei dati di traffico e di localizzazione è illegale, con strette eccezioni (ad esempio una reale minaccia alla sicurezza nazionale) e una posizione più permissiva sulla conservazione degli indirizzi IP per l'accesso delle forze dell'ordine. L'effetto pratico per gli investigatori è che i log di connessione potrebbero essere conservati per periodi più brevi, o a condizioni più restrittive, di quanto ci si potrebbe aspettare da provider più datati o giurisdizioni non UE.

Richieste di emergenza

OVHcloud riconosce le situazioni di emergenza, come il fondato convincimento che vi sia un rischio di imminente danno fisico o minaccia alla vita. Nelle emergenze reali, contatta il fornitore attraverso il suo canale designato per le emergenze o per gli abusi, identifica chiaramente l'emergenza, la base giuridica e i dati specifici necessari, e dai seguito con lo strumento formale appropriato. La divulgazione di emergenza è un'eccezione, non un sostituto del corretto canale legale, e dovrebbe essere riservata a scenari di reale minaccia alla vita.

Flusso di lavoro passo dopo passo

1. Conferma che OVHcloud sia il fornitore corretto. Controlla il WHOIS, l'assegnazione RIPE/ARIN e il DNS inverso per verificare che l'IP, l'intervallo IP o il server siano su OVHcloud anziché presso un rivenditore o un cliente a valle.
2. Definisci gli identificatori. Registra l'indirizzo IP esatto, la porta ove pertinente, il nome host del server o l'identificatore del servizio, e timestamp precisi con il fuso orario. La specificità porta a una risposta più rapida e mirata.
3. Decidi tra contenuto e non contenuto. Separa i dati dell'abbonato e dell'account da qualsiasi contenuto archiviato e valuta se il contenuto sia detenuto da OVHcloud o dal cliente su una macchina autogestita.
4. Invia una richiesta di conservazione tempestiva. Dati i limiti di conservazione dell'UE, chiedi a OVHcloud di conservare i dati rilevanti mentre prepari il tuo strumento formale.
5. Scegli il canale legale corretto. Autorità francese: requisizione giudiziaria. Autorità UE: EIO o Ordine europeo di produzione. Autorità non UE: MLAT o rogatoria. Dati detenuti negli Stati Uniti: procedura statunitense.
6. Notifica attraverso quel canale e monitoralo. Indirizza lo strumento all'autorità francese o dell'UE competente ove richiesto, fai riferimento alla tua richiesta di conservazione e registra la ricezione e qualsiasi numero di riferimento.
7. Pianifica la notifica al cliente. OVHcloud potrebbe notificare il cliente a meno che non sia vietato dalla legge; se la riservatezza è importante, assicurati che il tuo ordine legale includa una disposizione di non divulgazione applicabile.

Domande frequenti

Posso semplicemente usare il modulo di abuso di OVHcloud per ottenere l'identità del titolare dell'account? No. Il modulo di abuso serve per segnalare contenuti illegali o abusivi e richiederne l'azione. L'identità dell'abbonato, l'assegnazione IP e i log richiedono una richiesta legale formale attraverso il corretto canale giudiziario.

Sono un investigatore non UE. Posso inviare il mio mandato nazionale direttamente a OVHcloud? Generalmente no per i dati ospitati nell'UE. Normalmente avrai bisogno di una richiesta MLAT o di una rogatoria inoltrata attraverso i canali legali francesi. Lo statuto di blocco della Francia e le norme dell'UE scoraggiano la divulgazione diretta alle autorità straniere al di fuori di tali canali.

Perché OVHcloud potrebbe conservare meno log di connessione di quanto mi aspetto? La legge dell'UE, modellata dalle sentenze della CGUE, limita la conservazione generale e indiscriminata dei dati sul traffico. Le finestre di conservazione possono essere più brevi e ristrette rispetto ad alcune giurisdizioni non UE, quindi richiedi la conservazione rapidamente.

OVHcloud comunicherà al cliente la mia richiesta? Spesso sì, a meno che non sia vietato dalla legge. Se la tua indagine richiede riservatezza, assicurati che il tuo strumento legale contenga un obbligo di non divulgazione applicabile.

Guide correlate

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Cloudflare law enforcement data request: police and government guide
• MLAT vs LERS vs Interpol: which channel, when

Per l'elenco completo dei portali di richiesta delle forze dell'ordine delle piattaforme, consulta il nostro LERS portal hub.

Immagine principale: Una sala server di un data center. · Crediti: Christopher Bowns · Wikimedia Commons · CC BY-SA 2.0 · fonte