Przewodnik dla policji i rządu: Amazon, AWS i Ring – dane użytkowników

Amazon pojawia się w dochodzeniach w trzech bardzo różnych obszarach, z których każdy ma własne zasady: konto detaliczne Amazon (zamówienia, adresy, dane płatności i logowania), Amazon Web Services (AWS) (chmura obsługująca znaczną część internetu, gdzie zazwyczaj pojawia się pytanie: „kto stoi za tym serwerem lub adresem IP?”) oraz Ring (domowy monitoring i inteligentne dzwonki, gdzie celem jest nagranie wideo). Amazon.com, Inc. jest firmą amerykańską, a udostępnianie danych klientów odbywa się zgodnie z amerykańskimi procedurami prawnymi na mocy ustawy Stored Communications Act (18 U.S.C. § 2701 i nast.). Poniżej te trzy obszary zostały omówione oddzielnie, ponieważ zakres możliwych do uzyskania danych oraz sposób ich pozyskania znacząco się różnią.

Identyfikatory dla wniosku o dane

Precyzyjnie określ zakres dla każdego obszaru. W przypadku konta detalicznego podaj zarejestrowany adres e-mail oraz wszelkie numery zamówień i adresy dostawy. Dla AWS najważniejszym identyfikatorem jest adres IP z precyzyjnym znacznikiem czasu (oraz strefą czasową), a także wszelkie identyfikatory instancji lub zasobów; to właśnie pozwala AWS przypisać aktywność do posiadacza konta. W przypadku Ring zidentyfikuj konto właściciela urządzenia oraz dokładną lokalizację i przedział czasowy, z którego poszukiwane jest nagranie.

Jakie dane udostępniają Amazon, AWS i Ring

Obszar	Dostępne dane	Wymagany proces
Konto detaliczne Amazon	Dane subskrybenta (imię i nazwisko, e-mail, adresy, telefon), historia zamówień, metoda płatności oraz logi logowania/IP	Wezwanie (subpoena) dla danych subskrybenta; nakaz dla treści/zawartości komunikacji
AWS	Tożsamość posiadacza konta i dane rozliczeniowe dla danego konta/IP oraz logi na poziomie konta. AWS zazwyczaj nie przechowuje treści aplikacji klienta	Wezwanie/nakaz sądowy w celu identyfikacji konta; w celu uzyskania samych hostowanych treści należy zwrócić się do klienta (patrz poniżej)
Ring (nagrania z kamer)	Przechowywane wideo i dane konta dla urządzenia	Nakaz przeszukania, zgoda właściciela lub sytuacja bezpośredniego zagrożenia życia

AWS — zwróć się do klienta. AWS jest dostawcą infrastruktury: klient AWS jest administratorem danych dla treści, które przechowuje. O ile AWS odpowie na prawidłowy proces prawny w celu identyfikacji konta stojącego za danym adresem IP lub zasobem, o tyle dane aplikacji (bazy danych, pliki, rekordy użytkowników hostowanej usługi) zazwyczaj muszą zostać uzyskane bezpośrednio od tego klienta, przy użyciu danych subskrybenta AWS w celu jego namierzenia.

Ring — zmiany w 2024 roku. Na początku 2024 roku Ring zakończył działanie narzędzia „Request for Assistance” w aplikacji Neighbors, które pozwalało policji publicznie prosić użytkowników o nagrania bez procedur prawnych. Obecnie policja uzyskuje nagrania z Ring poprzez nakaz przeszukania lub wezwanie, prosząc właściciela o dobrowolne udostępnienie lub w sytuacjach, gdy Ring/Amazon udostępnia je bezpośrednio w przypadku bezpośredniego zagrożenia życia lub poważnego uszczerbku na zdrowiu. Nie ma już skróconej ścieżki publicznych wniosków bez nakazu.

Powiadomienie użytkownika: Polityka Amazon zakłada zazwyczaj powiadomienie klienta o wniosku, chyba że prawo stanowi inaczej lub zachodzą wyjątki (takie jak kwestie bezpieczeństwa dzieci lub bezpośredniego zagrożenia).

Jak złożyć wniosek

Amazon akceptuje procesy prawne wyłącznie za pośrednictwem ALERT. Słowami Amazon: firma „nie akceptuje doręczeń wezwań, nakazów przeszukania ani innych procesów prawnych inaczej niż przez” Amazon Law Enforcement Request Tracker. Agencje z USA składają wnioski pod adresem ler.amazon.com/us; agencje z UE i Wielkiej Brytanii pod adresem emea.ler.amazon.com, co opisano krok po kroku w naszym przewodniku dla UE i Wielkiej Brytanii. Wnioski w sytuacjach awaryjnych należy składać za pomocą przycisku wniosku awaryjnego w portalu; w przypadku problemów z portalem prosimy o kontakt pod adresem [email protected].

1. Najpierw zabezpiecz dane na mocy 18 U.S.C. § 2703(f) (90 dni, z możliwością przedłużenia) — szczególnie w przypadku nagrań z Ring, które mają ograniczony czas przechowywania i mogą zostać utracone.
2. Złóż prawidłowy wniosek prawny za pośrednictwem kanału Amazon dla organów ścigania (oraz procesu wnioskowania o informacje AWS w sprawach chmurowych), dopasowując identyfikatory do obszaru, a poziom procedury do rodzaju danych.
3. W przypadku usług hostowanych w AWS użyj danych subskrybenta AWS, aby zidentyfikować operatora, a następnie skieruj wniosek do tego operatora w celu uzyskania treści aplikacji.

Wnioski o ujawnienie danych w sytuacjach awaryjnych

W przypadku bezpośredniego ryzyka śmierci lub poważnego uszczerbku na zdrowiu, Amazon, AWS i Ring mogą dobrowolnie i bez nakazu ujawnić dane — w tym nagrania z Ring — na mocy wyjątku dotyczącego sytuacji awaryjnych w ustawie Stored Communications Act. Wniosek należy złożyć oficjalnym kanałem, precyzyjnie określając konkretne i bezpośrednie zagrożenie, potrzebne dane lub nagrania oraz odpowiednie identyfikatory. Ujawnienie danych zależy od decyzji firmy.

Dla Indii: podstawa prawna i proces

• IT Act, 2000 — Sekcja 69 oraz BNSS, 2023 — Sekcja 94 stanowią krajową podstawę prawną do nakazania wydania zapisów elektronicznych.
• IT Rules, 2021 — Zasada 3: koordynację pierwszego stopnia należy kierować przez oficjalny kanał Amazon; w przypadku danych klientów i treści należy eskalować sprawę do MLAT.
• MLAT: w przypadku danych kont przechowywanych w USA, atrybucji konta AWS lub nagrań z Ring, wniosek należy kierować przez Centralny Organ MHA do Departamentu Sprawiedliwości USA, Biura Spraw Międzynarodowych. Należy niezwłocznie złożyć wniosek o zabezpieczenie danych, ponieważ nagrania z Ring mogą zostać usunięte przed zakończeniem procesu MLAT.

Czego będziesz potrzebować

• Retail: adres e-mail konta, identyfikatory zamówień, adresy;
• AWS: adres IP z dokładnym znacznikiem czasu i strefą czasową, a także identyfikatory instancji/zasobów;
• Ring: konto właściciela urządzenia oraz dokładna lokalizacja i przedział czasowy, a także nakaz przeszukania (lub zgoda właściciela / podstawa w sytuacji awaryjnej);
• Odpowiedni instrument prawny dla danej usługi oraz wniosek o zabezpieczenie danych na podstawie 2703(f) złożony z wyprzedzeniem;
• Dla indyjskich agencji: wniosek MLAT za pośrednictwem MHA oraz natychmiastowe zabezpieczenie danych.

Pełny katalog portali z wnioskami organów ścigania dla głównych platform znajduje się w naszym centrum portali LERS lub w przewodniku LERS po platformach.

Zobacz także: Amazon Preservation and Emergency Requests: Police Guide and Template.