Przewodnik Coinbase dla organów ścigania: Jak policja prosi o dane

Niniejszy przewodnik stanowi ogólne odniesienie zawodowe dla funkcjonariuszy organów ścigania, prokuratorów oraz śledczych zajmujących się cyberprzestępczością, którzy potrzebują danych z Coinbase w toku zgodnego z prawem dochodzenia. Nie jest to porada prawna i nie tworzy żadnych zobowiązań dla Coinbase ani żadnej innej strony. Każdy wniosek musi opierać się na odpowiedniej podstawie prawnej w danej jurysdykcji, a właściwa procedura uzyskania danych zależy od rodzaju poszukiwanych informacji oraz prawa mającego zastosowanie do użytkownika i Coinbase. Należy traktować to jako orientację, a następnie postępować zgodnie z formalną procedurą i zweryfikować aktualne dane kontaktowe bezpośrednio u dostawcy.

Kim jest Coinbase i dlaczego to ma znaczenie

Coinbase jest jedną z największych giełd kryptowalut na świecie i działa jako regulowany VASP. Jej główny podmiot operacyjny ma siedzibę w Stanach Zjednoczonych, co oznacza, że wnioski o dane są oceniane zgodnie z prawem USA, nawet jeśli klient lub przestępstwo znajdują się za granicą. Najważniejszą konsekwencją dla śledczych jest ustawa Stored Communications Act (SCA), która określa, jaki instrument prawny jest wymagany dla danej kategorii rekordów. Coinbase weryfikuje każdy wniosek pod kątem poprawności prawnej, zawęża wnioski uznane za zbyt szerokie lub niejasne i deklaruje, że nie zapewnia żadnemu rządowi bezpośredniego dostępu do swoich systemów.

Proces składania wniosków przez organy ścigania i portal

Coinbase nie akceptuje nieformalnych wniosków o dane klientów. Zaprzysiężeni funkcjonariusze składają i śledzą procesy karne za pośrednictwem dedykowanego systemu Coinbase dla organów ścigania, który działa na platformie Kodex. Funkcjonariusze rejestrują się za pomocą weryfikowalnych danych uwierzytelniających agencji, przesyłają dokumenty prawne i prowadzą korespondencję przez zabezpieczony kanał. Ogólne pytania dotyczące doręczania dokumentów prawnych należy kierować na skrzynkę kontaktową Coinbase ds. wezwań sądowych, a sprawy cywilne należy kierować do zarejestrowanego przedstawiciela ds. doręczeń, a nie przez kanał karny.

1. Precyzyjnie zidentyfikuj podmiot: adres e-mail, identyfikator konta, adres portfela, hash transakcji lub pełne imię i nazwisko powiązane z kontem Coinbase.
2. Jeśli istnieje ryzyko utraty danych, poproś Coinbase o zachowanie rekordów na czas uzyskiwania procedury prawnej. Coinbase nie publikuje procedury zabezpieczania, więc sprawdź w portalu, jak taki wniosek przesłać.
3. Określ właściwy instrument prawny dla potrzebnych rekordów (dane subskrybenta, logi transakcji lub przechowywane treści) zgodnie z prawem, które wiąże Ciebie i Coinbase.
4. Zarejestruj się w portalu dla organów ścigania za pomocą danych uwierzytelniających agencji i prześlij podpisany dokument prawny z jasnym, wąsko zakreślonym wnioskiem o dane.
5. Określ dokładne zakresy dat i kategorie rekordów; zbyt szerokie wnioski są spowalniane lub zawężane podczas weryfikacji.
6. Śledź wniosek i niezwłocznie odpowiadaj na wszelkie prośby Coinbase o wyjaśnienie lub doprecyzowanie zakresu.

Jakie dane posiada Coinbase i co może udostępnić

Jako regulowana giełda prowadząca proces weryfikacji tożsamości (KYC), Coinbase posiada bogaty zestaw danych identyfikacyjnych i finansowych. W zależności od instrumentu prawnego i zakresu nakazu, może udostępnić:

• Dane KYC i tożsamości: zweryfikowane imię i nazwisko, datę urodzenia, adres, szczegóły dokumentu tożsamości oraz dane zebrane podczas rejestracji.
• Dane konta: dane rejestracyjne, e-mail, numer telefonu, status konta i historię.
• Historię transakcji: wpłaty, wypłaty, transakcje, aktywność wysyłania i odbierania w sieci (on-chain) oraz powiązane adresy portfeli lub blockchain.
• Powiązane instrumenty finansowe: połączone konta bankowe, szczegóły kart i informacje o płatnościach użyte do zasilenia lub wypłaty środków.
• Logi IP i logowania: ostatnio używane adresy IP, aktywność logowania i sesji.
• Dane urządzenia: identyfikatory urządzeń i techniczne przechwycone podczas dostępu, jeśli są przechowywane.

Coinbase zaznacza, że w stosownych przypadkach udostępnia dane zanonimizowane lub zagregowane zamiast indywidualnych rekordów klientów, dlatego precyzyjnie sformułowany wniosek przynosi lepsze rezultaty niż wniosek ogólny.

Zabezpieczenie a udostępnienie

Są to dwie różne czynności, które śledczy często mylą.

• Wniosek o zabezpieczenie (Preservation request): formalna prośba do Coinbase o zachowanie określonego zestawu rekordów, aby nie zostały usunięte podczas uzyskiwania procedury prawnej. Zyskuje czas. Nie ujawnia niczego wnioskodawcy i nie blokuje konta ani środków. Należy wysłać go jak najwcześniej.
• Wniosek o udostępnienie (Production request): instrument prawny, który faktycznie zmusza Coinbase do przekazania rekordów. W ramach amerykańskiego modelu SCA instrument skaluje się wraz z wrażliwością danych: wezwanie sądowe (subpoena) obejmuje podstawowe dane subskrybenta i transakcji, nakaz sądowy obejmuje dodatkowe rekordy niebędące treścią, a nakaz przeszukania oparty na uzasadnionym podejrzeniu (probable cause) jest wymagany dla przechowywanych treści.

Rodzaje danych, co zawierają i próg prawny

Coinbase nie publikuje harmonogramu określającego, który instrument odblokowuje jakie rekordy. Powyższe progi odzwierciedlają model amerykańskiej ustawy SCA, ponieważ Coinbase ma siedzibę w USA. Śledczy w innych jurysdykcjach powinni przypisać te kategorie do równoważnych instrumentów przewidzianych przez ich własne prawo i pamiętać, że wymuszenie udostępnienia treści od dostawcy z USA zazwyczaj nadal wymaga przejścia przez amerykańską procedurę prawną.

Wnioski o ujawnienie w sytuacjach awaryjnych

Coinbase nie publikuje żadnej procedury awaryjnej ani danych kontaktowych. Jej polityka prywatności stanowi, że może ona przechowywać, przeglądać i udostępniać informacje organom ścigania w razie potrzeby ochrony istotnych interesów, na przykład w sytuacjach awaryjnych, i jest to kwestia pozostawiona do jej uznania. W przypadku wystąpienia rzeczywistego zagrożenia śmiercią lub poważnym uszczerbkiem na zdrowiu, wniosek powinien wyjaśniać charakter zagrożenia, powód jego nieuchronności oraz wskazywać, jakie konkretne dane są potrzebne do jego zażegnania. Jest to wyjątek dotyczący sytuacji bezpośredniego zagrożenia, a nie droga na skróty z pominięciem zwykłego procesu prawnego w rutynowych dochodzeniach, i jest on oceniany na podstawie przedstawionych faktów.

Zagraniczni śledczy i MLAT

Ponieważ główny podmiot Coinbase znajduje się w Stanach Zjednoczonych, agencje spoza USA zazwyczaj nie mogą bezpośrednio wymusić wydania treści. Ustanowioną drogą jest wniosek w ramach traktatu o wzajemnej pomocy prawnej (MLAT) lub list rogacyjny, przetwarzany przez organ centralny danego kraju oraz Departament Sprawiedliwości USA, który następnie zapewnia doręczenie Coinbase amerykańskiego nakazu prawnego. MLAT jest niezawodny, ale powolny, często trwa miesiące, dlatego należy natychmiast wysłać wniosek o zabezpieczenie danych, aby chronić zapisy w trakcie procedury MLAT. Niektóre podstawowe informacje o subskrybencie mogą być możliwe do uzyskania za pośrednictwem bardziej bezpośrednich kanałów, w zależności od polityki dostawcy i obowiązującego prawa, ale przechowywane treści zazwyczaj wymagają formalnej drogi transgranicznej.

Blokady i zawieszenia kont

Zamrażanie środków jest odrębną kwestią od uzyskiwania danych. Blokada, zawieszenie lub zajęcie ogranicza możliwość dysponowania aktywami przez klienta i jest zazwyczaj realizowane na podstawie odpowiedniego nakazu sądowego, nakazu zajęcia lub konkretnego wniosku prawnego, w zależności od jurysdykcji. Zabezpieczenie i odzyskiwanie aktywów przebiega zgodnie z procesem zajęcia i przepadku obowiązującym w danej jurysdykcji, a praktyczne mechanizmy przenoszenia zajętych kryptowalut do depozytu kontrolowanego przez organy ścigania stanowią odrębny proces od wniosku o dane opisanego w tym miejscu.

Kontekst FATF Travel Rule

FATF Travel Rule (Zalecenie 16) wymaga od VASP, takich jak Coinbase, gromadzenia, weryfikacji i udostępniania informacji o zleceniodawcy i beneficjencie w przypadku kwalifikujących się transferów wirtualnych aktywów, zazwyczaj powyżej progu 1000 USD lub EUR, z VASP będącym stroną transakcji. Dla śledczych ma to znaczenie, ponieważ giełdy działające zgodnie z przepisami przechowują ustrukturyzowane dane o kontrahentach: kto wysłał wartość, kto ją otrzymał i który VASP znajdował się po drugiej stronie. Gdy śledzisz środki z Coinbase do innej regulowanej giełdy, zapisy Travel Rule mogą pomóc w przypisaniu kontrahenta, a kolejny wniosek do tego VASP może wydłużyć łańcuch.

Czas realizacji

Coinbase sprawdza każdy wniosek pod kątem poprawności prawnej i zakresu przed udostępnieniem danych, więc czas realizacji zależy od rodzaju wniosku, jego jasności i zakresu. Coinbase nie publikuje czasów realizacji. Szerokie lub niejednoznaczne wnioski są zawężane podczas weryfikacji, więc jasny, precyzyjnie określony wniosek jest najlepszym sposobem na uniknięcie opóźnień. Traktuj każdą konkretną liczbę dni jako zmienną i potwierdzaj aktualne oczekiwania za pośrednictwem portalu, zamiast polegać na stałym SLA.

Często zadawane pytania

Czy mogę po prostu wysłać wezwanie do Coinbase e-mailem? Karny proces prawny jest składany i śledzony za pośrednictwem internetowego systemu wniosków organów ścigania Coinbase, a nie za pomocą nieformalnej poczty elektronicznej. Ogólne pytania można kierować na skrzynkę kontaktową ds. wezwań, a dokumenty cywilne do zarejestrowanego przedstawiciela, jednak do doręczeń należy używać oficjalnego portalu.

Jaka jest różnica między wnioskiem o zabezpieczenie danych a wezwaniem? Wniosek o zabezpieczenie danych nakazuje Coinbase zachowanie zapisów, aby nie zostały utracone; nie ujawnia on żadnych informacji. Wezwanie, nakaz sądowy lub nakaz przeszukania to dokumenty, które faktycznie wymuszają udostępnienie danych, przy czym instrument zależy od tego, czy poszukujesz danych subskrybenta, zapisów innych niż treść, czy przechowywanych treści.

Jestem poza USA. Jak uzyskać treści od Coinbase? Zazwyczaj poprzez wniosek MLAT lub list rogacyjny skierowany za pośrednictwem organu centralnego danego kraju oraz Departamentu Sprawiedliwości USA, który uzyskuje amerykański nakaz prawny doręczany Coinbase. Wyślij wniosek o zabezpieczenie danych natychmiast, aby chronić dane w trakcie procedury MLAT.

Czy Coinbase zamrozi konto, jeśli o to poproszę? Zamrażanie środków jest odrębną kwestią od udostępniania danych i jest zazwyczaj realizowane na podstawie odpowiedniego nakazu sądowego, nakazu zajęcia lub konkretnego wniosku prawnego. Określ wyraźnie, czy poszukujesz zapisów, blokady, czy obu tych rzeczy.

• Przewodnik po wnioskach organów ścigania dla Binance
• Jak śledzić transakcje kryptowalutowe: przewodnik dla śledczych
• Zamrażanie i zajmowanie kryptowalut: od wniosku do giełdy po zajęcie portfela

Pełny katalog portali wniosków organów ścigania dla platform znajduje się w naszym centrum portali LERS.

Obraz główny: Bitcoin na klawiaturze laptopa. · Autor: Satheesh Sankaran · przez Flickr / Wikimedia Commons · CC BY 2.0 · źródło

Zobacz także: Coinbase: Wnioski o zabezpieczenie danych i wnioski awaryjne: Przewodnik i wzór dla policji.