Guida per forze dell'ordine e autorità su Snapchat

Snapchat è un'app di messaggistica visiva creata da Snap Inc. basata sull'effimero: foto e video (“Snap”) e chat sono progettati per scomparire dopo essere stati visualizzati. La piattaforma conta oltre 450 milioni di utenti attivi giornalieri in tutto il mondo e si rivolge principalmente ad adolescenti e giovani adulti, motivo per cui ricorre spesso in indagini serie. Le forze dell'ordine si imbattono in Snapchat in casi di sextortion e materiale pedopornografico (CSAM) ai danni di minori, in casi di adescamento, nella vendita di droghe illegali e pillole contraffatte, in casi di furto di account e credenziali, nonché in casi di molestie e minacce. Snap Inc. è un'azienda statunitense con sede a Santa Monica, in California, e la divulgazione dei dati dell'account Snapchat è regolata principalmente dal federal Stored Communications Act (18 U.S.C. § 2701 et seq.). Poiché i server di Snap sono progettati per eliminare la maggior parte dei contenuti per impostazione predefinita, il passaggio più importante per un investigatore è la velocità: una richiesta di conservazione presentata tempestivamente è spesso l'unica cosa che separa un'indagine dalla perdita permanente delle prove.

Impossibile accedere al Law Enforcement Service System (LESS) di Snap?

• Registrarsi su less.snapchat.com con la propria email governativa. Arriverà un link da [email protected]: controllare la cartella spam se non dovesse arrivare. Snap avverte che la verifica “potrebbe richiedere del tempo”.
• LESS è attualmente destinato alle agenzie statunitensi. Snap lo sta estendendo ai contatti designati in altri paesi.
• Finché l'account non è operativo, inviare un'email a [email protected] da un dominio governativo ufficiale. Snap non risponde a Gmail, Yahoo o altri indirizzi privati.
• Le emergenze non richiedono un account: utilizzare less.snapchat.com/emergency.

Identificativi per una richiesta di dati

Prima che Snap possa conservare o divulgare i dati, le forze dell'ordine devono identificare l'account tramite il suo nome utente. Un nome utente Snapchat è un identificativo univoco di 3–15 caratteri che inizia con una lettera e contiene solo lettere, numeri, trattini, trattini bassi o punti. Un utente può modificare il proprio nome utente solo una volta ogni 365 giorni e una modifica non influisce sulla capacità di Snap di agire su una richiesta che specifichi il nome utente precedente o quello nuovo.

Un nome utente non deve essere confuso con un nome visualizzato (a volte chiamato vanity name). Snap non può individuare un account tramite il nome visualizzato: i nomi visualizzati non sono univoci, possono essere modificati ripetutamente e possono essere personalizzati in modo diverso da ogni visualizzatore. Quando si invia una richiesta legale, è possibile fornire anche l'indirizzo email registrato, il numero di telefono (con il prefisso internazionale per i numeri non statunitensi) o l'ID utente esadecimale, ma non affermare che un'email o un numero di telefono siano collegati a un nome utente a meno che non se ne sia certi. Evitare identificativi estranei come la data di nascita o il nome proprio, che Snap non può utilizzare per individuare un account. Specificare sempre l'intervallo di date di interesse e notare che Snap restituisce i dati in Tempo Coordinato Universale (UTC).

Quali dati fornisce Snapchat

Snap opera con un modello di divulgazione a livelli basato sugli standard legali statunitensi ai sensi dello Stored Communications Act:

Procedura legale	Standard	Dati prodotti
Subpoena (inclusa la giuria popolare)	Rilevanza	Informazioni di base sull'abbonato: nomi utente attuali e precedenti, indirizzi email e numeri di telefono (e se l'utente li ha verificati), nomi visualizzati, data di creazione dell'account e indirizzo IP di registrazione, log degli indirizzi IP e timestamp delle azioni dell'account, e informazioni sulle impostazioni dell'account dell'utente e sull'utilizzo dei servizi Snapchat
Ordine del tribunale (18 U.S.C. § 2703(d))	Fatti specifici e articolabili	Tutte le informazioni sull'abbonato previste dalla subpoena più i metadati di comunicazione (log del mittente del messaggio, destinatario, data e ora) e metadati non di comunicazione (ad esempio, lista degli amici, identificativi del dispositivo e log dei metadati dei Ricordi)
Mandato di perquisizione (probabile causa)	Probabile causa	Tutto quanto sopra più i contenuti archiviati laddove ancora esistenti (Ricordi salvati ed eventuali Snap e Chat non eliminati o non aperti) e dati di localizzazione nella misura in cui sono disponibili. I contenuti salvati nella sezione “I miei occhi” (My Eyes Only) dei Ricordi sono crittografati e non possono essere decrittografati da Snap

I contenuti vengono eliminati per impostazione predefinita — questo è il punto decisivo. I server di Snap sono progettati per eliminare automaticamente uno Snap condiviso una volta che è stato aperto da tutti i destinatari, e per eliminare gli Snap non aperti dopo un periodo prestabilito (uno Snap non aperto inviato direttamente viene eliminato dopo circa 30 giorni, e uno Snap non aperto in un gruppo viene eliminato dopo circa 24 ore). Anche le Chat individuali vengono eliminate per impostazione predefinita dopo essere state visualizzate. Le Storie vengono eliminate per impostazione predefinita circa 24 ore dopo la loro pubblicazione. In gran parte dei casi, quindi, Snap non ha semplicemente alcun contenuto di messaggi da produrre, nemmeno sotto mandato.

Cosa sopravvive. L'eccezione principale sono i Ricordi, il servizio di archiviazione cloud di Snap, dove gli Snap, le Storie e i media del rullino fotografico salvati dall'utente rimangono sottoposti a backup finché l'utente non li elimina. Si noti che, poiché i Ricordi funzionano come archiviazione cloud, Snap non produrrà file dei Ricordi in risposta a procedure legali che richiedono comunicazioni interpersonali — richiedere esplicitamente i contenuti archiviati. I contributi alla Snap Map e a Spotlight potrebbero essere salvati più a lungo delle normali Storie. Per quanto riguarda la posizione, Snap può fornire dati di geolocalizzazione per un account nel suo complesso, o in relazione ai Ricordi, ma non può isolare la posizione legata a specifici post della Snap Map o comunicazioni, e i dati di localizzazione richiedono un mandato di perquisizione.

Raccolta prospettica. Per i metadati o i contenuti raccolti su base continuativa, Snap richiede un ordine valido ai sensi del Pen Register Act (18 U.S.C. § 3121 et seq.) o del Wiretap Act (18 U.S.C. § 2510 et seq.) rispettivamente, oltre agli standard sopra indicati.

Notifica all'utente: La politica predefinita di Snap prevede di informare gli utenti di Snapchat quando riceve un atto giudiziario statunitense che richiede la divulgazione dei loro dati. Snap non notifica agli utenti le richieste di conservazione. Snap riconosce due eccezioni alla notifica: quando proibito da un ordine del tribunale emesso ai sensi del 18 U.S.C. § 2705(b) o da altra autorità legale (l'ordine di non divulgazione deve avere una durata limitata), e quando, a sua esclusiva discrezione, identifica una circostanza eccezionale come lo sfruttamento minorile, la vendita di droghe letali o una minaccia di morte imminente o lesioni personali gravi.

Come inviare una richiesta

1. Registrati su LESS. Visita less.snapchat.com e crea un account con il tuo indirizzo email governativo. Snap verifica i registrati per motivi di sicurezza prima di concedere l'accesso; nel frattempo puoi comunicare tramite [email protected]. LESS ti consente di monitorare lo stato delle richieste ed è il canale preferenziale.
2. Invia prima una richiesta di conservazione. Poiché i dati di Snapchat non vengono conservati a lungo, invia una richiesta di conservazione ai sensi del 18 U.S.C. § 2703(f) il prima possibile, prima di avere in mano l'atto giudiziario formale. Snap conserva un'istantanea dei dati disponibili per un massimo di 90 giorni e la estenderà per un ulteriore periodo di 90 giorni su una richiesta di estensione chiaramente contrassegnata. La conservazione è ciò che impedisce alla cancellazione predefinita di distruggere le tue prove.
3. Invia il tuo atto giudiziario. Carica il mandato di comparizione (subpoena), l'ordine del tribunale 2703(d) o il mandato di perquisizione su LESS come file statico non modificabile (come un PDF) che indichi “Snap Inc.” come custode dei dati e che sia firmato e datato. Specifica l'identificativo/i, i dati precisi richiesti e l'intervallo di date target. Se una singola richiesta coinvolge più di 10 account, fornisci anche una copia modificabile.
4. Casi CSAM e NCMEC. Snap segnala lo sfruttamento sessuale minorile alla CyberTipline del NCMEC. Se la tua indagine ha avuto origine da una segnalazione alla CyberTipline, fai riferimento al numero di segnalazione in modo che Snap possa definire accuratamente l'ambito della produzione, e segnala le questioni relative allo sfruttamento minorile affinché Snap possa applicare la relativa eccezione di notifica all'utente.

Richieste di divulgazione d'emergenza

Laddove vi sia un'emergenza in buona fede che coinvolga una minaccia imminente di morte o lesioni personali gravi, Snap può divulgare volontariamente i dati dell'account senza un atto giudiziario, in conformità con il 18 U.S.C. §§ 2702(b)(8) e 2702(c)(4). Gli agenti statunitensi e non statunitensi devono compilare il modulo di risposta alle emergenze per le forze dell'ordine di Snap su less.snapchat.com/emergency. Non è necessario un account LESS per inviare una richiesta di emergenza.

La richiesta deve provenire da un funzionario delle forze dell'ordine giurato che utilizzi un dominio email ufficiale delle forze dell'ordine e dovrebbe:

• identificare l'account tramite nome utente o User ID esadecimale, con il numero di telefono o l'email associati, se noti;
• descrivere la natura e la recentità dell'emergenza nel modo più specifico possibile, includendo chi è minacciato;
• specificare le informazioni richieste e come aiuteranno a risolvere l'emergenza.

Impersonare un funzionario delle forze dell'ordine può costituire reato negli Stati Uniti e altrove. Le richieste non urgenti inviate tramite il modulo di emergenza vengono reindirizzate ai canali standard (LESS o [email protected]).

Per l'India: base legale e procedura

Snap è un'entità statunitense, pertanto le autorità indiane non possono notificare direttamente atti giudiziari statunitensi. Gli strumenti nazionali stabiliscono l'autorità di richiedere dati; il meccanismo transfrontaliero determina se Snap li produrrà.

• IT Act, 2000 — Sezione 69: Autorizza il Governo Centrale o Statale a disporre l'intercettazione, il monitoraggio o la decrittazione di informazioni nell'interesse della sovranità, della sicurezza, dell'ordine pubblico o della prevenzione di reati. Tali direttive vincolano gli intermediari che operano in India; la conformità per i contenuti archiviati negli Stati Uniti rimane soggetta alla procedura MLAT.
• IT Rules, 2021 — Regola 3 (Linee guida per gli intermediari): Gli intermediari di social media significativi devono nominare una persona di contatto nodale disponibile 24 ore su 24 per il coordinamento con le forze dell'ordine e conservare i dati per almeno 180 giorni. Snap non pubblica un contatto di un funzionario nodale indipendente per l'India per i dati dell'account; indirizza il coordinamento di primo livello e le questioni relative ai contenuti tramite LESS o [email protected], ed effettua l'escalation tramite MLAT per i dati degli abbonati e i contenuti.
• BNSS, 2023 — Sezione 94: Conferisce a un tribunale o a un funzionario responsabile di una stazione di polizia il potere di emettere una citazione (anche in forma elettronica) per la produzione di documenti e comunicazioni elettroniche. Questo è il meccanismo di produzione nazionale; per un fornitore statunitense viene fatto riferimento all'interno della richiesta MLAT.
• Trattato di assistenza giudiziaria reciproca (MLAT): Per i dati degli abbonati e i contenuti il percorso è: l'ufficiale inquirente redige la richiesta › l'Autorità Centrale del Ministero degli Affari Interni (MHA) esamina e trasmette la richiesta › l'Ufficio per gli Affari Internazionali (OIA) del Dipartimento di Giustizia degli Stati Uniti obbliga Snap tramite atto del tribunale statunitense. Le forze dell'ordine non statunitensi possono anche utilizzare un accordo bilaterale CLOUD Act o rogatorie internazionali ove disponibili. Come cortesia verso le forze dell'ordine non statunitensi, Snap esaminerà le richieste di conservazione presentate correttamente e potrà, a sua discrezione, conservare i dati per un massimo di un anno mentre la procedura MLAT o di rogatoria è in corso.

Gli investigatori indiani dovrebbero presentare una richiesta di conservazione tramite LESS immediatamente, data la rapida cancellazione predefinita di Snapchat, e possono inviare una richiesta di divulgazione d'emergenza direttamente laddove la vita sia a rischio imminente.

Cosa ti servirà

• Un indirizzo email governativo per registrarsi su LESS (i domini privati vengono rifiutati);
• Almeno un identificativo valido: il nome utente Snapchat, l'email registrata, il numero di telefono (con prefisso internazionale) o l'User ID esadecimale — mai solo un nome visualizzato;
• L'intervallo di date target, indicato chiaramente con il mese scritto per esteso, e la consapevolezza che i dati vengono restituiti in UTC;
• Lo strumento legale appropriato — mandato di comparizione per le informazioni sull'abbonato, ordine 2703(d) per i metadati, mandato di perquisizione per i contenuti archiviati e la posizione;
• Una richiesta di conservazione presentata per prima, ai sensi del 18 U.S.C. § 2703(f), prima che il contenuto venga eliminato;
• Per i casi CSAM: il numero di riferimento della CyberTipline del NCMEC;
• Per le agenzie indiane che richiedono contenuti: una richiesta MLAT tramite l'Autorità Centrale del MHA, più una richiesta di conservazione parallela su LESS presentata immediatamente.

Per un elenco completo dei portali di richiesta delle forze dell'ordine sulle principali piattaforme, visita il nostro portale LERS o la guida LERS piattaforma per piattaforma.

Vedi anche: Conservazione e richieste di emergenza di Snapchat: Guida e modello per la polizia.