Guida alle richieste di dati per forze dell'ordine su X (Twitter)

Come le forze dell'ordine richiedono dati utenti a X: portale legale, livelli di dati, richieste di emergenza e procedura MLAT per agenzie estere.

X (precedentemente Twitter), gestita da X Corp. e con sede a Bastrop, in Texas, è un soggetto ricorrente in indagini che coinvolgono account di impersonificazione, molestie online, minacce credibili, promozione di criptovalute e frodi negli investimenti, nonché operazioni di influenza straniera. Poiché X consente registrazioni pseudonime e anonime, i record di back-end della piattaforma — email di registrazione, numero di telefono, cronologia IP di accesso e impronte digitali del dispositivo — sono spesso l'unico filo conduttore disponibile per collegare un attore online a una vera identità. Questa guida illustra il processo legale attraverso il quale le forze dell'ordine e le agenzie governative autorizzate ottengono tali record da X Corp.

Risposta rapida

Portale, non email: Inviare tramite il sito Legal Request Submissions (LRS) di X all'indirizzo legalrequests.x.com; solo i funzionari governativi e delle forze dell'ordine possono accedervi. Le richieste postali sono accettate ma significativamente più lente.
Identificatori accettati: @username con URL completo del profilo (es. https://x.com/username), l'ID utente numerico permanente dell'account (UID) o un URL di un Tweet per ancorare una richiesta relativa a un contenuto specifico.
Dati forniti: un mandato di comparizione (subpoena) fornisce le informazioni di base dell'abbonato (email di registrazione, telefono, IP di registrazione, IP di accesso recenti); un ordine del tribunale aggiunge i log delle attività non relative ai contenuti; un mandato di perquisizione o equivalente è richiesto per i contenuti — messaggi diretti e post protetti.

Identificatori per una richiesta di dati

Ogni richiesta deve identificare l'account target con precisione. X accetta i seguenti identificatori:

@username e URL del profilo — es. https://x.com/username. I nomi utente possono essere modificati; ove possibile, fornire anche l'UID numerico.
ID utente numerico (UID) — l'identificatore interno permanente di X. Non cambia anche se l'utente modifica il proprio handle. Strumenti pubblici gratuiti possono convertire un handle nel relativo UID utilizzando l'API pubblica di X.
URL del Tweet — utilizzato per identificare un post specifico per richieste di contenuti o metadati associati.
Email di registrazione o numero di telefono — includere se noti; aiuta a trovare corrispondenze con gli account in cui l'handle è contestato o è stato modificato.

Quali dati fornisce X

X applica un quadro di divulgazione a tre livelli basato sul tipo di procedura legale presentata:

Procedura legale	Cosa X può divulgare
Subpoena (o equivalente)	Informazioni di base dell'abbonato: indirizzo email registrato, numero di telefono, data di creazione dell'account e indirizzo IP, indirizzi IP di accesso recenti e timestamp.
Ordine del tribunale (es. 18 U.S.C. § 2703(d) o equivalente)	Quanto sopra, più record aggiuntivi dell'attività dell'account e dati transazionali non relativi ai contenuti: cronologia degli accessi, identificatori di dispositivo e applicazione, tipo di browser, dominio di riferimento.
Mandato di perquisizione (o ordine giudiziario equivalente che dimostri una causa probabile)	Contenuto delle comunicazioni: post (inclusi post protetti/non pubblici), messaggi diretti e media associati. Il contenuto richiede sempre un mandato o equivalente.

Nota sulla conservazione: i dati IP e di log sono volatili. L'attuale Informativa sulla privacy di X non si impegna a un periodo di conservazione fisso per i dati di log e qualsiasi record potrebbe essere disponibile solo per una finestra limitata — non dare per scontato che i log IP o di accesso esistano ancora al momento della presentazione. I periodi di conservazione applicati da X sono stabiliti nella sua attuale Informativa sulla privacy. Presentare immediatamente una richiesta di conservazione per bloccare i record prima che scadano.

Come inviare una richiesta

Il canale standard è il portale Legal Request Submissions di X all'indirizzo legalrequests.x.com — l'indirizzo che X pubblica nella sua attuale guida per le forze dell'ordine. Il vecchio indirizzo legalrequests.twitter.com reindirizza allo stesso sito. Solo le agenzie governative e i funzionari delle forze dell'ordine possono creare account sul sito LRS.

Navigare su legalrequests.x.com e confermare di possedere l'autorità governativa o delle forze dell'ordine.
Inserire il proprio indirizzo email ufficiale dell'agenzia. I domini email personali o commerciali vengono rifiutati. Un link di autorizzazione viene inviato a tale indirizzo per verificare l'identità prima dell'invio.
Selezionare il tipo di richiesta: informazioni sull'account, rimozione di contenuti o divulgazione di emergenza.
Allegare il documento della procedura legale — subpoena, ordine del tribunale o mandato di perquisizione — in formato PDF. I documenti non in inglese devono includere una traduzione certificata.
Indicare l'identificatore/i dell'account target, specificare i dati esatti richiesti e spiegare il nesso con l'indagine. Richieste vaghe o troppo ampie hanno maggiori probabilità di essere restituite per chiarimenti.
Fornire il nome dell'agenzia, il proprio nome, il numero di distintivo o ID e i dettagli di contatto ufficiali.

Le richieste di conservazione possono essere presentate tramite lo stesso portale senza un ordine del tribunale. X conserverà — ma non divulgherà — un'istantanea dei record dell'account pertinente per 90 giorni, prorogabili una volta per ulteriori 90 giorni su richiesta formale scritta. Presentare la richiesta di conservazione il prima possibile in qualsiasi indagine che coinvolga log IP o cronologia degli accessi.

Richieste di divulgazione di emergenza

Laddove vi sia un rischio imminente di morte o gravi lesioni fisiche, le forze dell'ordine possono inviare una richiesta di divulgazione di emergenza (EDR) tramite lo stesso portale LRS all'indirizzo legalrequests.x.com. Non è richiesto alcun ordine del tribunale preventivo. X valuta ogni EDR caso per caso: se ritiene in buona fede che esista un'emergenza urgente, può divulgare i dati dell'account necessari per prevenire il danno, come consentito dalla legge applicabile.

Ogni richiesta di emergenza deve:

Provenire da un funzionario delle forze dell'ordine giurato che utilizza un dominio email governativo o delle forze dell'ordine ufficiale.
Descrivere la natura dell'emergenza, la minaccia specifica alla vita e perché i dati di X sono necessari per affrontarla.
Identificare l'account/i target e specificare i dati richiesti.

L'invio di richieste di emergenza false o fuorvianti può costituire un reato penale nella giurisdizione richiedente.

Per l'India

Le agenzie indiane che indagano sugli account X affrontano un vincolo di accesso ai dati transfrontaliero: X Corp. è un'entità statunitense e la procedura legale interna indiana non obbliga automaticamente una società straniera nel modo in cui obbliga un intermediario registrato a livello nazionale.

Cosa prevede la legge indiana a livello nazionale:

BNSS 2023, Sezione 94: I tribunali e gli ufficiali responsabili di una stazione di polizia possono emettere un mandato di comparizione — fisico o elettronico — che obbliga qualsiasi persona a produrre un documento, una comunicazione elettronica o altro elemento necessario per l'indagine o il processo. Un ordine ai sensi della Sezione 94 indirizzato a X Corp. costituisce una procedura legale indiana valida; tuttavia, X Corp. non ha alcun obbligo ai sensi della legge statunitense di conformarsi ad esso come farebbe con un ordine del tribunale statunitense.
IT Rules 2021, Regola 3(1): Gli intermediari di social media significativi — incluso X — devono osservare gli obblighi di due diligence e rispondere agli ordini governativi entro le tempistiche prescritte. La Regola 3(1)(d) disciplina gli ordini governativi di rimozione dei contenuti.
IT Act 2000, Sezione 69: Autorizza le agenzie governative centrali e statali a intercettare, monitorare o decrittografare informazioni tramite qualsiasi risorsa informatica per motivi di sicurezza nazionale, ordine pubblico o motivi correlati.

Percorsi pratici per le agenzie indiane:

Richiesta diretta al portale (non relativa ai contenuti): I funzionari delle forze dell'ordine indiane possono inviare richieste di informazioni di base sull'abbonato tramite legalrequests.x.com, allegando un ordine del tribunale tradotto e certificato o una richiesta di polizia autenticata come base legale. X valuta tali richieste in base alle proprie linee guida; la conformità non è garantita, ma avviene nella pratica per i dati non relativi ai contenuti.
Canale MLAT (contenuti e conformità coatta): Per i messaggi diretti, i post protetti o nei casi in cui X rifiuti una richiesta diretta, il canale formale è una richiesta tramite Trattato di Assistenza Giudiziaria Reciproca (MLAT). L'India e gli Stati Uniti hanno un MLAT bilaterale, in vigore dal 2005. Le richieste vengono inoltrate tramite il Ministero degli Affari Interni (MHA) al Dipartimento di Giustizia degli Stati Uniti (DOJ). Il processo richiede solitamente da diversi mesi a oltre un anno; si consiglia di presentare contemporaneamente una richiesta di conservazione tramite il portale per bloccare i dati.
CLOUD Act: L'India non ha ancora concluso un accordo esecutivo sul CLOUD Act con gli Stati Uniti. Una volta che tale accordo sarà in vigore, le agenzie indiane potranno inviare richieste legalmente vincolanti direttamente ai fornitori statunitensi per i dati relativi ai contenuti, bypassando il MLAT. Fino ad allora, il MLAT rimane il canale formale obbligatorio per i contenuti.

Cosa ti servirà

Un indirizzo e-mail ufficiale governativo o delle forze dell'ordine (le richieste provenienti da domini e-mail personali vengono rifiutate dal portale).
Il @nomeutente, l'URL del profilo e/o l'UID numerico dell'account target.
Una descrizione dell'indagine, i dati specifici richiesti e il nesso tra i due — le richieste generiche o non supportate vengono restituite per chiarimenti.
Il documento di procedura legale appropriato (mandato di comparizione, ordine del tribunale o mandato di perquisizione) in formato PDF.
Per i documenti non in inglese: una traduzione certificata in inglese.
Il nome della tua agenzia, il tuo nome, il numero di distintivo o ID e i dettagli di contatto ufficiali.

L'utente verrà informato?

La politica predefinita di X è quella di notificare il titolare dell'account prima di divulgare i propri dati. Si applicano eccezioni laddove la notifica sia legalmente vietata (ad esempio, da un ordine di non divulgazione emesso dal tribunale), possa compromettere un'indagine in corso o metta a rischio una persona. Se la tua indagine richiede una notifica ritardata o soppressa, indicalo esplicitamente nella richiesta e cita la base legale.

Vedi anche

Hub del portale LERS — tutte le guide alle richieste di dati da parte delle forze dell'ordine in un unico posto
Guida LERS piattaforma per piattaforma — WhatsApp, Instagram, TikTok, Telegram e altro

Fonti

Vedi anche: Richieste di conservazione e di emergenza X (Twitter): Modello per la polizia.