Oracle Cloud Law Enforcement Data Request: Przewodnik dla policji
Jak policja, prokuratura i organy ścigania wnioskują o dane z Oracle Cloud Infrastructure: model procesor-administrator, zasady i wymogi prawne.
Niniejszy przewodnik oferuje ogólne, praktyczne wskazówki dla funkcjonariuszy organów ścigania, prokuratorów i śledczych rządowych, którzy potrzebują danych przechowywanych przez lub za pośrednictwem Oracle Cloud Infrastructure (OCI). Nie stanowi on porady prawnej. Dokumenty procesowe muszą być zawsze uzyskiwane i doręczane zgodnie z uprawnieniami prawnymi obowiązującymi w Twojej jurysdykcji, a poniższe kroki stanowią jedynie ramy wyjściowe, a nie substytut porady prawnej Twojej agencji lub aktualnych wytycznych samej firmy Oracle.
- W przypadku treści klienta, Oracle zazwyczaj kieruje do swojego klienta korporacyjnego (administratora danych): organizacja, która zarządza tenancją OCI, decyduje o swoich danych, przechowuje je i ma do nich dostęp, dlatego zazwyczaj jest to szybsze i bardziej kompletne źródło informacji.
- Oracle działa głównie jako podmiot przetwarzający dane i twierdzi, że zazwyczaj nie ma wglądu w to, co klienci przechowują w swoich usługach chmurowych.
- Oracle przechowuje bezpośrednio rekordy na poziomie konta: dane subskrybenta, dane rozliczeniowe i subskrypcyjne oraz niektóre logi serwisowe powiązane z tenancją.
- Oracle ma siedzibę w USA, więc zazwyczaj mają zastosowanie amerykańskie procedury prawne (Stored Communications Act), a w przypadku agencji zagranicznych – MLAT lub odpowiednia umowa w ramach CLOUD Act.
- Polityką Oracle jest powiadamianie zainteresowanego klienta oraz kwestionowanie wniosków, które nie są prawnie ważne i wiążące, chyba że powiadomienie jest prawnie zabronione.
Rozróżnienie między podmiotem przetwarzającym a administratorem
Podobnie jak AWS, Microsoft Azure i Google Cloud, Oracle Cloud Infrastructure jest platformą korporacyjną typu infrastruktura jako usługa (IaaS). Klient korporacyjny, który obsługuje tenancję OCI, jest administratorem danych: decyduje o tym, jakie dane zbierać, w jaki sposób są one przetwarzane i w jakim regionie są przechowywane. Oracle jest podmiotem przetwarzającym dane, hostującym te dane zgodnie z instrukcjami klienta. Oracle stwierdza, że jako dostawca chmury zasadniczo nie ma wglądu w treści, które klienci przechowują w swoich usługach chmurowych.
Praktyczna konsekwencja dla śledczych: jeśli poszukujesz treści, które organizacja kliencka przechowuje w OCI (bazy danych, dane aplikacji, pliki, skrzynki pocztowe hostowane na jej instancjach), klient jest prawie zawsze właściwym i lepszym celem. Deklarowaną polityką Oracle jest podejmowanie uzasadnionych starań w celu przekierowania organu wnioskującego do klienta, ponieważ to klient jest najlepiej przygotowany do zidentyfikowania i udostępnienia własnych danych. Jeśli podejrzanym jest osoba fizyczna lub organizacja, która sama jest klientem Oracle, należy zwrócić się bezpośrednio do tego klienta.
Co Oracle przechowuje bezpośrednio
Oracle przechowuje rekordy utworzone w ramach relacji handlowej z posiadaczem konta, a nie przechowywane treści klienta. W ujęciu ogólnym oznacza to:
- Tożsamość konta chmurowego / subskrybenta: zarejestrowana organizacja lub osoba, dane kontaktowe i dane administratora.
- Dokumentację rozliczeniową i płatniczą oraz historię subskrypcji / zamówień usług.
- Niektóre logi serwisowe i operacyjne powiązane z tenancją, które Oracle generuje jako dostawca (dostępność i okres przechowywania różnią się w zależności od usługi).
Oracle nie publikuje szczegółowego, pole po polu, wykazu danych dla organów ścigania, a publicznie dostępne materiały dotyczące organów ścigania są stosunkowo skąpe. Należy traktować powyższe kategorie jako realistyczny zakres tego, co sama firma Oracle może udostępnić, i w swoim wniosku należy precyzyjnie określić identyfikatory konta (OCID tenancji, adres e-mail konta, numer zamówienia), które możesz dostarczyć.
Amerykańskie progi prawne
Oracle jest firmą amerykańską, więc ujawnianie rekordów organom ścigania jest zazwyczaj analizowane na podstawie amerykańskiej ustawy Stored Communications Act (SCA). Jako przewodnik roboczy, SCA dostosowuje instrument prawny do wrażliwości danych:
- Wezwanie (Subpoena) (administracyjne lub ławy przysięgłych): zazwyczaj używane do uzyskania podstawowych danych subskrybenta i danych rozliczeniowych.
- Nakaz sądowy (często nakaz typu "2703(d)"): dla danych transakcyjnych i logów niebędących treścią.
- Nakaz przeszukania (Search warrant) oparty na uzasadnionym podejrzeniu (probable cause): dla przechowywanych treści. W praktyce Oracle zazwyczaj przekierowuje wnioski o treści do klienta, niezależnie od rodzaju nakazu.
Oracle twierdzi, że ocenia każdy wniosek indywidualnie, aby potwierdzić, że jest on prawnie ważny i wiążący, oraz będzie sprzeciwiać się lub kwestionować wnioski, które takie nie są. Krajowe agencje amerykańskie powinny doręczać ważne dokumenty procesowe; precyzyjny instrument jest kwestią do ustalenia z Twoim prokuratorem.
Zabezpieczenie a udostępnienie danych
Zabezpieczenie (preservation) i udostępnienie (production) to odrębne kroki. Wniosek o zabezpieczenie danych prosi Oracle o zachowanie istniejących rekordów, aby nie zostały utracone w wyniku rutynowego usuwania podczas uzyskiwania dokumentów procesowych; sam w sobie nie wymusza ujawnienia danych. Udostępnienie to przymusowe przekazanie rekordów na podstawie wezwania, nakazu lub postanowienia. Raporty przejrzystości Oracle uznają wnioski o zabezpieczenie za odrębną kategorię. Wyślij wniosek o zabezpieczenie danych odpowiednio wcześnie, podając precyzyjne identyfikatory konta i jasny zakres, a następnie prześlij odpowiedni instrument przymusu.
Polityka powiadamiania klienta
Deklarowaną polityką Oracle jest niezwłoczne informowanie zainteresowanego klienta o wniosku, a w przypadku treści – przekierowanie organu do tego klienta, chyba że prawo zabrania Oracle udzielenia takiego powiadomienia. Jeśli potrzebujesz zachowania poufności w celu ochrony śledztwa, musisz uzyskać odpowiedni zakaz prawny (na przykład nakaz nieujawniania informacji towarzyszący Twojemu wnioskowi). Oracle stwierdziło, że jeśli ma zakaz powiadamiania klienta, poprosi organ wnioskujący o uchylenie tego zakazu, dlatego należy uwzględnić podstawę prawną dla zachowania poufności we wniosku, zamiast zakładać poufność domyślnie.
Zagraniczne organy ścigania i MLAT
Ponieważ Oracle ma siedzibę w USA, agencje spoza Stanów Zjednoczonych zazwyczaj nie mogą bezpośrednio przymusić Oracle do działania. Tradycyjną drogą jest wniosek w ramach Traktatu o wzajemnej pomocy prawnej (MLAT) lub list rogacyjny przesyłany za pośrednictwem Departamentu Sprawiedliwości USA, który jest rozpatrywany przez amerykański sąd. Szybsza alternatywa istnieje tylko tam, gdzie obowiązuje dwustronna umowa w ramach CLOUD Act (na przykład umowa USA-Wielka Brytania, obowiązująca od października 2022 r.). Oracle stwierdziło, że CLOUD Act nie zmienia sposobu, w jaki obsługuje wnioski o ujawnienie danych. W przypadku wdrożeń europejskich, Oracle EU Sovereign Cloud posiada dedykowane zespoły prawne w UE, które sprawdzają każdy wniosek o dostęp zgodnie z obowiązującym prawem UE. Zagraniczni śledczy powinni zawsze rozważyć, czy odpowiednia organizacja kliencka w ich własnej jurysdykcji może udostępnić dane bezpośrednio, co często pozwala całkowicie uniknąć opóźnień związanych z procedurą MLAT.
Sugerowany przebieg procedury
- Określ, czy potrzebujesz rekordów na poziomie konta (Oracle), czy przechowywanych treści (prawie zawsze klient). Jeśli to możliwe, zwróć się bezpośrednio do organizacji klienckiej.
- Zbierz precyzyjne identyfikatory: OCID tenancji/konta, zarejestrowany adres e-mail, nazwę organizacji, numery zamówień lub faktur oraz dokładne dane i zakres dat, których poszukujesz.
- Wyślij wniosek o zabezpieczenie danych natychmiast, aby zatrzymać rutynowe usuwanie danych podczas uzyskiwania dokumentów procesowych.
- Uzyskaj właściwy instrument prawny dla danej kategorii danych (wezwanie, nakaz sądowy lub postanowienie) oraz nakaz nieujawniania informacji, jeśli wymagana jest poufność.
- Doręcz ważne dokumenty procesowe do Oracle za pośrednictwem ich kanałów prawnych; agencje zagraniczne powinny korzystać z procedury MLAT lub odpowiedniej umowy w ramach CLOUD Act.
- Spodziewaj się, że Oracle zweryfikuje wniosek, powiadomi klienta, chyba że prawo tego zabrania, a w przypadku treści – przekieruje Cię do klienta.
Kto co przechowuje i jak to uzyskać
| Czego potrzebujesz | Kto to posiada | Jak to uzyskać |
|---|---|---|
| Treści klienta (bazy danych, pliki, dane aplikacji/e-mail w ramach dzierżawy) | Klient korporacyjny (administrator danych) | Zwróć się bezpośrednio do organizacji klienta; Oracle zazwyczaj przekieruje Cię do niej |
| Tożsamość konta / subskrybenta | Oracle | Wezwanie sądowe lub odpowiedni proces prawny skierowany do działu prawnego Oracle (Oracle Legal) |
| Dokumentacja rozliczeniowa, płatności i subskrypcji | Oracle | Wezwanie sądowe lub odpowiedni proces prawny skierowany do działu prawnego Oracle (Oracle Legal) |
| Dzienniki operacyjne / serwisowe po stronie dostawcy | Oracle (dostępność zależy od usługi) | Nakaz sądowy lub nakaz przeszukania w stosownych przypadkach; określ usługę i zakres dat |
| Zabezpieczenie istniejących rekordów | Oracle | Pisemny wniosek o zabezpieczenie z precyzyjnymi identyfikatorami |
| Dane poszukiwane przez agencję spoza USA | Oracle (USA) lub klient | MLAT / list rogacyjny za pośrednictwem Departamentu Sprawiedliwości USA (US DOJ) lub kwalifikująca się umowa w ramach CLOUD Act; albo zwróć się do klienta w swojej jurysdykcji |
Często zadawane pytania
Czy mogę uzyskać dane klienta bezpośrednio od Oracle? Zazwyczaj nie w przypadku przechowywanych treści. Oracle traktuje te treści jako własność klienta i z reguły przekieruje Cię do klienta, który je kontroluje i ma do nich dostęp. Oracle udostępni posiadane przez siebie dane konta, rozliczeniowe i subskrypcyjne na podstawie ważnego procesu prawnego.
Czy Oracle poinformuje klienta o moim wniosku? Tak, domyślnie. Polityka Oracle zakłada powiadomienie klienta, którego sprawa dotyczy, chyba że jest to prawnie zabronione. Jeśli wymagasz poufności, uzyskaj nakaz zachowania poufności (non-disclosure order) i dołącz go do swojego wniosku.
Znajduję się poza Stanami Zjednoczonymi. Jak mogę zmusić Oracle do wydania danych? Zazwyczaj poprzez wniosek MLAT lub list rogacyjny za pośrednictwem Departamentu Sprawiedliwości USA (US DOJ) lub kwalifikującą się umowę w ramach CLOUD Act, jeśli taka obowiązuje. Często najszybszą drogą jest zwrócenie się do odpowiedniej organizacji klienta w Twojej własnej jurysdykcji.
Czy wniosek o zabezpieczenie oznacza, że otrzymam dane? Nie. Zabezpieczenie jedynie zapobiega usunięciu rekordów. Nadal potrzebujesz wezwania sądowego, nakazu sądowego lub nakazu przeszukania, aby wymusić ich wydanie.
Powiązane przewodniki
- Cloud evidence: getting data from AWS, Azure and Google Cloud
- Microsoft 365 and Google Workspace: an investigator's guide to SaaS audit logs
- Cloudflare law enforcement data request: police & government guide
Pełny katalog portali służących do składania wniosków przez organy ścigania znajduje się w naszym centrum portali LERS.
Obraz główny: Duże centrum danych przedsiębiorstwa. · Autor: Hugovanmeijeren · Wikimedia Commons · CC BY-SA 3.0 · źródło