Microsoft Law Enforcement Data Request: Przewodnik dla policji i rządu

Microsoft Corporation obsługuje jedne z najczęściej używanych usług konsumenckich w internecie: usługi poczty elektronicznej Outlook.com, Hotmail, Live i MSN, usługę przechowywania w chmurze OneDrive, sieć gier Xbox i Xbox Live, a historycznie także Skype (Microsoft wycofał konsumencką usługę Skype w 2025 roku i przeniósł użytkowników do konsumenckiej wersji Microsoft Teams, choć starsze dane mogą nadal podlegać procedurom prawnym). Usługi te obejmują setki milionów aktywnych kont konsumenckich na całym świecie, dlatego tak często pojawiają się w dochodzeniach karnych. Funkcjonariusze napotykają konta konsumenckie Microsoft w sprawach dotyczących oszustw typu business-email-compromise (BEC) i oszustw fakturowych kierowanych przez skrzynki odbiorcze Outlook.com, w przypadkach przejęcia kont, w przechowywaniu i rozpowszechnianiu materiałów przedstawiających seksualne wykorzystywanie dzieci (CSAM) za pośrednictwem OneDrive i czatów, a także w sprawach dotyczących groomingu i nękania na platformie Xbox Live. Microsoft jest firmą ze Stanów Zjednoczonych z siedzibą w Redmond w stanie Waszyngton, więc ujawnianie danych kont konsumenckich podlega przede wszystkim federalnej ustawie Stored Communications Act (18 U.S.C. § 2701 et seq.). Microsoft ukształtował również nowoczesny krajobraz transgraniczny: spór sądowy w sprawie United States v. Microsoft Corp. (sprawa „Microsoft Ireland”) dotyczący poczty elektronicznej przechowywanej za granicą stał się bezprzedmiotowy dopiero po uchwaleniu przez Kongres ustawy CLOUD Act w 2018 roku, która obecnie określa, w jaki sposób dostawcy z USA reagują na żądania dotyczące danych przechowywanych za granicą.

Nie możesz zalogować się do portalu Microsoft Law Enforcement Portal?

• Logujesz się za pomocą osobistego konta Microsoft (Outlook lub Hotmail), a nie służbowego adresu e-mail. Jest to najczęstsza przyczyna nieudanych logowań. Twój służbowy adres e-mail jest używany tylko raz, aby otrzymać 7-cyfrowy kod weryfikacyjny.
• Portal: v2.leportal.microsoft.com. Użyj aktualnej wersji obsługiwanej przeglądarki, zezwól na pliki cookie z *.live.com i poproś dział IT o zezwolenie na dostęp do leportal.microsoft.com, login.live.com oraz login.microsoftonline.com.
• Zbyt wiele błędnych kodów weryfikacyjnych powoduje tymczasową blokadę konta.
• Nadal masz problem? Wsparcie logowania Microsoft: [email protected] (USA), [email protected] (UE), [email protected] (Brazylia), [email protected] (inne kraje) lub +1 425-722-1299, opcja 2.

Identyfikatory dla wniosku o dane

Zanim Microsoft będzie mógł zabezpieczyć lub ujawnić dane, organy ścigania muszą precyzyjnie zidentyfikować konto docelowe. Głównym identyfikatorem jest konto Microsoft (często skracane jako MSA): adres e-mail, za pomocą którego użytkownik się loguje, co w przypadku usług konsumenckich zazwyczaj oznacza adres @outlook.com, @hotmail.com, @live.com lub @msn.com. Konto Microsoft może być również zarejestrowane na adres e-mail strony trzeciej lub numer telefonu, dlatego należy podać taki identyfikator logowania, jakim dysponujesz. W sprawach dotyczących gier, tag gracza Xbox jest uznanym identyfikatorem, który Microsoft traktuje jako dane subskrybenta niebędące treścią. W przypadku starszych spraw dotyczących Skype, identyfikatorem lokalizującym jest nazwa użytkownika Skype (unikalny identyfikator, a nie zmienna nazwa wyświetlana).

Identyfikatory uzupełniające pomagają Microsoft potwierdzić konto: adres IP rejestracji lub ostatniego logowania z dokładną datą i godziną, numer telefonu powiązany z kontem (z międzynarodowym kodem wywołania dla numerów spoza USA) oraz wszelkie identyfikatory rozliczeniowe. Należy wyraźnie określić docelowy zakres dat, zapisać miesiąc słownie i pamiętać, że Microsoft zwraca dane logów w czasie uniwersalnym koordynowanym (UTC). Należy unikać polegania wyłącznie na nazwie wyświetlanej lub imieniu i nazwisku, ponieważ nie są one unikalne i nie pozwalają na zlokalizowanie konta.

Jakie dane udostępnia Microsoft

Microsoft stosuje warstwowy model ujawniania danych, powiązany ze standardami procesów prawnych wynikającymi z amerykańskiej ustawy Stored Communications Act. Im wyższy interes w zakresie prywatności danych, tym wyższy standard prawny wymagany do ich uzyskania:

Proces prawny	Standard	Dostarczane dane
Wezwanie sądowe (Subpoena) (w tym ława przysięgłych)	Istotność	Podstawowe informacje o subskrybencie: imię i nazwisko, adres e-mail, stan, kraj i kod pocztowy podane przy rejestracji, data utworzenia konta, adres IP rejestracji oraz dane konta niebędące treścią, takie jak historia połączeń IP, tag gracza Xbox oraz informacje o karcie kredytowej lub inne dane rozliczeniowe przechowywane w aktach
Nakaz sądowy (18 U.S.C. § 2703(d))	Konkretne i dające się wyartykułować fakty	Wszystkie informacje o subskrybencie dostępne w ramach wezwania sądowego oraz dane transakcyjne niebędące treścią: szczegółowe logi logowania i połączeń, nagłówki wiadomości i metadane routingu (nadawca, odbiorca, data i godzina, bez treści wiadomości) oraz inne zapisy korzystania z usług przez konto
Nakaz przeszukania (uzasadnione podejrzenie)	Uzasadnione podejrzenie (probable cause)	Wszystkie powyższe oraz przechowywane treści: treść wiadomości e-mail, pliki i zdjęcia przechowywane w OneDrive oraz inne treści stworzone przez użytkownika przechowywane w usługach lub za ich pośrednictwem. Microsoft nie ujawni treści w odpowiedzi na samo wezwanie sądowe

Treści wymagają nakazu przeszukania. Microsoft stawia wyraźną granicę między treścią a danymi niebędącymi treścią. Zgodnie z decyzją Sądu Apelacyjnego szóstego okręgu w sprawie United States v. Warshak, która uznała, że użytkownicy poczty elektronicznej mają uzasadnione oczekiwanie prywatności w odniesieniu do treści swoich wiadomości, Microsoft wymaga nakazu przeszukania (lub jego lokalnego odpowiednika), zanim udostępni treść komunikacji lub przechowywane pliki. Wezwania sądowe dotyczące treści są odrzucane.

Czego Microsoft nie udostępnia. Kluczowym wyjątkiem są dane przedsiębiorstw i dane komercyjne. W przypadkach, gdy cel korzysta z usługi Microsoft 365, Azure lub Dynamics 365 udostępnionej przez organizację, to ta organizacja — a nie Microsoft — jest zazwyczaj administratorem danych. Zadeklarowaną praktyką firmy Microsoft jest kierowanie organów ścigania do uzyskania informacji bezpośrednio od klienta korporacyjnego oraz powiadamianie tego klienta o żądaniu, chyba że prawo stanowi inaczej. Należy kierować żądania do organizacji administrującej dzierżawą (tenantem), a nie do Microsoft. Dwie inne usługi należące do Microsoft prowadzą całkowicie odrębne procesy: LinkedIn publikuje własne Wytyczne dotyczące żądań danych przez organy ścigania, a GitHub publikuje oddzielne Wytyczne dotyczące wniosków prawnych o dane użytkowników. Żądania dotyczące LinkedIn lub GitHub należy kierować do tych usług, a nie za pośrednictwem portalu dla konsumentów Microsoft.

Retencja. Microsoft nie przechowuje rekordów konsumenckich w nieskończoność; dostępność starszych logów i treści różni się w zależności od usługi oraz sposobu korzystania z konta, a niektóre dane mogą zostać usunięte lub przedawnione przed wpłynięciem żądania. Ponieważ retencja nie jest gwarantowana, wniosek o zabezpieczenie danych złożony odpowiednio wcześnie jest jedynym niezawodnym sposobem na zapobieżenie utracie istotnych rekordów podczas przygotowywania procedur prawnych.

Powiadamianie użytkownika. Domyślną polityką Microsoft jest wcześniejsze powiadamianie użytkowników konsumenckich, których dane są poszukiwane przez organy ścigania, chyba że zabrania tego prawo lub nakaz sądowy, albo gdy powiadomienie byłoby kontrproduktywne — na przykład w sprawach dotyczących wykorzystywania dzieci, bezpośredniego zagrożenia życia lub zdrowia albo przejęcia (zhakowania) konta. Jeśli wymagane jest wstrzymanie powiadomienia, należy uzyskać nakaz zachowania poufności (zgodnie z 18 U.S.C. § 2705(b) w przypadku procedur amerykańskich) i dołączyć go do żądania. W przypadku danych przedsiębiorstw Microsoft powiadamia podmiot, którego dane dotyczą, chyba że jest to zabronione.

Jak złożyć wniosek

1. Zarejestruj się w portalu. Utwórz konto w portalu Microsoft Law Enforcement Request Portal pod adresem leportal.microsoft.com, używając oficjalnej domeny rządowej lub organów ścigania. Microsoft weryfikuje rejestrujących się przed przyznaniem dostępu, a zarówno wniosek, jak i odpowiedź Microsoft są wymieniane za pośrednictwem tego bezpiecznego kanału.
2. Najpierw złóż wniosek o zabezpieczenie danych. Złóż wniosek o zabezpieczenie danych na podstawie 18 U.S.C. § 2703(f) tak wcześnie, jak to możliwe, zanim formalna procedura prawna będzie gotowa. Wniosek na podstawie 2703(f) nakazuje firmie Microsoft zabezpieczenie migawki istniejących rekordów na 90 dni, z możliwością przedłużenia o kolejne 90 dni na podstawie wyraźnie oznaczonego wniosku o przedłużenie. Zabezpieczenie zamraża dowody w czasie, gdy uzyskiwany jest nakaz sądowy lub inne postanowienie.
3. Prześlij dokumentację prawną. Prześlij wezwanie (subpoena), nakaz sądowy 2703(d) lub nakaz przeszukania jako podpisany, opatrzony datą dokument, który wskazuje Microsoft Corporation jako przechowawcę rekordów, identyfikuje konto docelowe za pomocą prawidłowego identyfikatora oraz określa precyzyjnie poszukiwane dane i zakres dat. Zespół ds. zgodności Microsoft odrzuca wnioski, które są nieważne, nieprawidłowo doręczone, zbyt szerokie pod względem jurysdykcyjnym lub niepodpisane, dlatego należy być precyzyjnym i dokładnym.
4. Sprawy dotyczące CSAM i NCMEC. Microsoft zgłasza przypadki podejrzenia seksualnego wykorzystywania dzieci do CyberTipline prowadzonej przez National Center for Missing & Exploited Children (NCMEC) i jest pionierem technologii wykrywania PhotoDNA. Jeśli dochodzenie rozpoczęło się od zgłoszenia do CyberTipline, należy podać numer zgłoszenia, aby Microsoft mógł dokładnie określić zakres udostępnianych danych, oraz oznaczyć sprawę jako wykorzystywanie dzieci, aby zastosować odpowiedni wyjątek dotyczący powiadamiania użytkownika.

Wnioski o ujawnienie w sytuacjach awaryjnych

W przypadku wystąpienia sytuacji awaryjnej w dobrej wierze, obejmującej bezpośrednie zagrożenie śmiercią lub poważnym uszczerbkiem na zdrowiu, Microsoft może dobrowolnie ujawnić rekordy konta bez formalnej procedury prawnej, zgodnie z 18 U.S.C. § 2702(b)(8) w odniesieniu do treści oraz 2702(c)(4) w odniesieniu do rekordów niebędących treścią. Microsoft rozpatruje wnioski awaryjne od organów ścigania z całego świata; typowe przykłady to groźby samobójcze, porwania i inne zagrożenia bezpośrednią przemocą.

Wniosek awaryjny musi pochodzić od zaprzysiężonego funkcjonariusza organów ścigania korzystającego z oficjalnej domeny e-mail organów ścigania, powinien zostać złożony na oficjalnym papierze firmowym, podpisany i powinien:

• identyfikować konto docelowe za pomocą prawidłowego identyfikatora (adres e-mail konta Microsoft, tag gracza Xbox lub nazwa Skype), wraz z powiązanym numerem telefonu;
• opisywać charakter i aktualność sytuacji awaryjnej tak szczegółowo, jak to możliwe, w tym wskazywać, kto jest zagrożony;
• określać poszukiwane informacje i wyjaśniać, w jaki sposób pomogą one zapobiec sytuacji awaryjnej lub ją rozwiązać.

Microsoft ujawnia tylko ograniczone dane niezbędne do rozwiązania sytuacji awaryjnej; wszystko poza tym wymaga odpowiedniej procedury prawnej. Podszywanie się pod funkcjonariusza organów ścigania w celu uzyskania danych jest przestępstwem w Stanach Zjednoczonych i innych krajach.

Dla Indii: podstawa prawna i proces

Microsoft jest podmiotem amerykańskim, więc indyjskie organy nie mogą doręczać mu bezpośrednio amerykańskich dokumentów prawnych. Instrumenty krajowe ustanawiają uprawnienie do żądania danych; mechanizm transgraniczny określa, czy Microsoft je udostępni.

• IT Act, 2000 — Sekcja 69: Upoważnia Rząd Centralny lub Stanowy do nakazania przechwytywania, monitorowania lub deszyfrowania informacji w interesie suwerenności, bezpieczeństwa, porządku publicznego lub zapobiegania przestępstwom. Takie wytyczne wiążą pośredników działających w Indiach; zgodność w odniesieniu do treści przechowywanych w USA pozostaje przedmiotem ścieżki transgranicznej.
• IT Rules, 2021 — Zasada 3 (Wytyczne dla pośredników): Znaczący pośrednicy mediów społecznościowych muszą wyznaczyć osobę kontaktową dostępną przez całą dobę w celu koordynacji z organami ścigania i przechowywać określone rekordy przez co najmniej 180 dni. Należy korzystać z tego kanału do koordynacji pierwszego stopnia, a w przypadku rekordów subskrybentów i treści przechowywanych w Stanach Zjednoczonych należy przejść na ścieżkę traktatową.
• BNSS, 2023 — Sekcja 94: Upoważnia sąd lub funkcjonariusza prowadzącego komisariat policji do wydania wezwania (również w formie elektronicznej) do przedstawienia dokumentów i rekordów elektronicznych. Jest to krajowy mechanizm uzyskiwania dowodów, do którego odwołuje się wniosek traktatowy kierowany do dostawcy w USA.
• Traktat o wzajemnej pomocy prawnej (MLAT): W przypadku rekordów subskrybentów i treści ścieżka wygląda następująco: funkcjonariusz prowadzący dochodzenie sporządza wniosek, Centralny Organ Ministerstwa Spraw Wewnętrznych (MHA) weryfikuje go i przekazuje, a Biuro Spraw Międzynarodowych (OIA) Departamentu Sprawiedliwości USA wymusza na firmie Microsoft działanie poprzez amerykański proces sądowy. Alternatywą, tam gdzie ma to zastosowanie, może być umowa wykonawcza w ramach CLOUD Act lub listy rogacyjne.

Indyjscy śledczy powinni natychmiast złożyć wniosek o zabezpieczenie danych za pośrednictwem portalu, zanim rozpocznie się wolniejszy proces traktatowy, a w przypadku bezpośredniego zagrożenia życia mogą bezpośrednio złożyć wniosek o ujawnienie w sytuacjach awaryjnych.

Czego będziesz potrzebować

• Oficjalnej domeny e-mail rządu lub organów ścigania, aby zarejestrować się w portalu Microsoft Law Enforcement Request Portal (domeny prywatne są odrzucane);
• Co najmniej jednego prawidłowego identyfikatora: adresu e-mail konta Microsoft (Outlook.com, Hotmail, Live lub MSN), tagu gracza Xbox lub nazwy Skype — nigdy samej nazwy wyświetlanej;
• Docelowego zakresu dat, określonego jasno z pełną nazwą miesiąca, oraz świadomości, że logi są zwracane w czasie UTC;
• Odpowiedniego instrumentu prawnego — wezwania (subpoena) w przypadku informacji o subskrybencie, nakazu sądowego 2703(d) w przypadku rekordów transakcyjnych lub nakazu przeszukania w przypadku treści;
• Wniosku o zabezpieczenie danych złożonego w pierwszej kolejności, zgodnie z 18 U.S.C. § 2703(f), zanim rekordy zostaną usunięte lub przedawnione;
• W przypadku celów korporacyjnych: procedury doręczonej organizacji administrującej dzierżawą Microsoft 365 lub Azure, a nie firmie Microsoft; w przypadku LinkedIn lub GitHub: wniosku za pośrednictwem oddzielnych kanałów tych usług dla organów ścigania;
• W sprawach dotyczących CSAM: numeru referencyjnego NCMEC CyberTipline;
• W przypadku indyjskich agencji poszukujących treści: wniosku MLAT za pośrednictwem Centralnego Organu MHA oraz równoległego wniosku o zabezpieczenie danych złożonego niezwłocznie.

Pełny katalog portali dla organów ścigania obsługiwanych przez główne platformy można znaleźć w naszym centrum portali LERS lub w przewodniku LERS po poszczególnych platformach.

Zobacz także: Microsoft Preservation and Emergency Requests: Police Template.