OVHcloud Law Enforcement Data Request: Przewodnik dla służb

Niniejszy przewodnik zawiera ogólne wskazówki zawodowe dla funkcjonariuszy organów ścigania, prokuratorów i śledczych zajmujących się cyberprzestępczością, którzy ubiegają się o dane od OVHcloud. Nie stanowi on porady prawnej. Zakłada, że działają Państwo w ramach odpowiednich uprawnień prawnych w swojej jurysdykcji i skorzystają z drogi prawnej właściwej dla danej sprawy. Procedury, punkty kontaktowe i praktyki w zakresie przechowywania danych ulegają zmianom, dlatego przed podjęciem jakichkolwiek działań należy zawsze potwierdzić aktualne wymagania bezpośrednio w OVHcloud oraz u własnych doradców prawnych.

Dlaczego OVHcloud różni się od dostawców z USA

OVHcloud jest jedną z największych europejskich firm oferujących usługi chmurowe i hostingowe, zapewniającą serwery dedykowane, wirtualne serwery prywatne (VPS) oraz infrastrukturę chmury publicznej i prywatnej (IaaS). Spółka macierzysta jest francuska i ma siedzibę w Roubaix, a centra danych znajdują się we Francji, w pozostałych krajach Europy oraz na całym świecie. Dla śledczych ma to znaczenie, ponieważ reżim prawny, który chroni i reguluje dane klientów, to przede wszystkim prawo francuskie i unijne: Ogólne rozporządzenie o ochronie danych (RODO), francuski Kodeks postępowania karnego oraz powiązane przepisy francuskie.

W przypadku większości dużych amerykańskich dostawców hostingu zagraniczne organy ścigania są przyzwyczajone do portali samoobsługowych dla organów ścigania oraz znanej terminologii dotyczącej wezwań (subpoena), nakazów sądowych lub nakazów przeszukania, wspieranych niekiedy umowami wykonawczymi w ramach CLOUD Act. Amerykańska spółka zależna OVHcloud działa w ramach tych ram prawnych w odniesieniu do danych, które kontroluje na terenie Stanów Zjednoczonych. Jednak w przypadku danych klientów hostowanych w Unii Europejskiej, OVHcloud stosuje przepisy unijne i francuskie oraz publicznie sprzeciwia się bezpośredniemu ujawnianiu danych organom spoza UE z pominięciem formalnych międzynarodowych kanałów prawnych. Francja posiada również ustawę blokującą (Loi 68-678), która ogranicza możliwość przekazywania przez francuskie firmy wrażliwych danych organom zagranicznym, chyba że odbywa się to za pośrednictwem uznanych międzynarodowych procesów pomocy prawnej. Praktyczna konsekwencja: zazwyczaj nie można po prostu wysłać krajowego nakazu do OVHcloud i oczekiwać jego realizacji. Zazwyczaj wymagany będzie instrument unijny lub wniosek o wzajemną pomoc prawną.

Jakie dane posiada OVHcloud

Jako dostawca infrastruktury, OVHcloud przechowuje dane na poziomie konta i infrastruktury, a nie zawartość tego, co klienci uruchamiają na swoich serwerach. To, co jest rzeczywiście przydatne w śledztwie, zależy od usługi oraz realiów dotyczących przechowywania danych.

Kanał zgłoszeń nadużyć a wniosek prawny

OVHcloud obsługuje dwie odrębne ścieżki, a korzystanie z niewłaściwej powoduje stratę czasu.

• Kanał zgłoszeń nadużyć (Abuse). OVHcloud publikuje publiczny formularz zgłaszania nadużyć w celu zgłaszania nielegalnej lub szkodliwej działalności hostowanej w swojej sieci: phishingu, dystrybucji złośliwego oprogramowania, oszustw, naruszeń praw autorskich oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Jest to właściwa droga, aby podjąć działania wobec szkodliwych treści lub je usunąć, a także aby zwrócić uwagę dostawcy na dany serwer. Nie jest to droga do uzyskania tożsamości subskrybenta lub logów, a wszelkie nieformalne dane uzyskane w ten sposób rzadko spełniają standardy dowodowe.
• Formalny wniosek prawny. Aby uzyskać dane klienta jako dowód, potrzebny jest ważny, wiążący wniosek prawny przekazany właściwą drogą. We Francji jest to zazwyczaj wniosek sądowy (requisition judiciaire) wydany na podstawie Kodeksu postępowania karnego. Deklarowaną praktyką OVHcloud jest nieudostępnianie danych klientów bez odpowiednio doręczonego, ważnego i wiążącego nakazu prawnego.

Drogi prawne w zależności od kraju wnioskującego

Właściwy instrument zależy od tego, gdzie znajduje się organ prowadzący dochodzenie.

• Organy francuskie. Należy doręczyć wniosek sądowy (requisition judiciaire) lub odpowiedni nakaz sądowy na podstawie francuskiego Kodeksu postępowania karnego bezpośrednio w ramach francuskiego procesu prawnego.
• Inne państwa członkowskie UE. Należy skorzystać z Europejskiego Nakazu Dochodzeniowego (EIO) na podstawie dyrektywy 2014/41/UE, realizowanego za pośrednictwem właściwego organu francuskiego. Pakiet unijnych przepisów dotyczących dowodów elektronicznych (e-evidence) wprowadza dodatkowo Europejski Nakaz Wydania Dowodu oraz Europejski Nakaz Zabezpieczenia Dowodu w celu transgranicznego uzyskiwania dowodów elektronicznych między państwami członkowskimi; należy sprawdzić, co jest aktualnie w mocy i operacyjne dla danej sprawy.
• Organy spoza UE. Należy skorzystać z wniosku o wzajemną pomoc prawną (MLAT) lub listu rogacyjnego skierowanego do francuskiego organu centralnego. Francja zasygnalizowała, że będzie przyspieszać prawidłowo skierowane wnioski MLAT. Wysłanie krajowego nakazu bezpośrednio do OVHcloud w sprawie danych hostowanych w UE prawdopodobnie spotka się z odmową, a francuska ustawa blokująca zniechęca do bezpośredniego ujawniania danych poza tymi kanałami.
• Dane kontrolowane przez podmiot z USA. W przypadkach, gdy dane są rzeczywiście przechowywane przez amerykańską spółkę zależną OVHcloud, stosuje się amerykański proces prawny, przy czym dane inne niż treść są dostępne na podstawie amerykańskiego wezwania (subpoena), a treść na podstawie amerykańskiego nakazu przeszukania; mogą mieć również zastosowanie umowy wykonawcze w ramach CLOUD Act (uznawane przez niewielką liczbę krajów). Nie należy zakładać, że dotyczy to danych hostowanych w UE.

Zabezpieczanie danych i limity przechowywania w UE

Przetwarzanie danych osobowych przez OVHcloud na potrzeby organów ścigania mieści się w ramach RODO i szerszych unijnych ram ochrony danych. Co kluczowe, prawo unijne nie zezwala już na nieograniczone, masowe przechowywanie danych o połączeniach. Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w sprawach Tele2 Sverige/Watson (2016) oraz La Quadrature du Net (2020 i 2024) orzekł, że ogólne i niezróżnicowane przechowywanie danych o ruchu i lokalizacji jest niezgodne z prawem, z wąskimi wyjątkami (na przykład rzeczywiste zagrożenie bezpieczeństwa narodowego) i bardziej liberalnym podejściem do przechowywania adresów IP w celu dostępu przez organy ścigania. Praktycznym skutkiem dla śledczych jest to, że logi połączeń mogą być przechowywane przez krótsze okresy lub na węższych warunkach, niż można by oczekiwać od starszych dostawców lub jurysdykcji spoza UE.

Wnioski w sytuacjach awaryjnych

OVHcloud uznaje sytuacje awaryjne, takie jak uzasadnione przekonanie o ryzyku bezpośredniego uszczerbku na zdrowiu lub zagrożeniu życia. W sytuacjach rzeczywistego zagrożenia należy skontaktować się z dostawcą za pośrednictwem wyznaczonego kanału alarmowego lub kanału zgłaszania nadużyć (abuse), jasno określając sytuację awaryjną, podstawę prawną oraz konkretne potrzebne dane, a następnie przesłać odpowiedni dokument formalny. Ujawnienie danych w trybie awaryjnym jest wyjątkiem, a nie substytutem właściwej ścieżki prawnej, i powinno być zarezerwowane wyłącznie dla scenariuszy realnego zagrożenia życia.

Procedura krok po kroku

1. Potwierdź, że OVHcloud jest właściwym dostawcą. Sprawdź WHOIS, przydział RIPE/ARIN oraz odwrotny DNS (reverse DNS), aby zweryfikować, czy adres IP, zakres adresów IP lub serwer należą do OVHcloud, a nie do odsprzedawcy lub klienta końcowego.
2. Określ identyfikatory. Zarejestruj dokładny adres IP, odpowiedni port, nazwę hosta serwera lub identyfikator usługi oraz precyzyjne znaczniki czasu wraz ze strefą czasową. Precyzja pozwala na szybszą i bardziej konkretną odpowiedź.
3. Rozróżnij treść od danych innych niż treść. Oddziel dane subskrybenta i konta od wszelkich przechowywanych treści oraz rozważ, czy treść jest w ogóle przechowywana przez OVHcloud, czy przez klienta na maszynie zarządzanej samodzielnie.
4. Wyślij wniosek o zabezpieczenie danych z wyprzedzeniem. Biorąc pod uwagę limity przechowywania danych w UE, poproś OVHcloud o zabezpieczenie odpowiednich danych na czas przygotowywania formalnego dokumentu.
5. Wybierz właściwy kanał prawny. Władze francuskie: nakaz sądowy (judicial requisition). Władze UE: EIO lub Europejski Nakaz Wydania Dowodów (European Production Order). Władze spoza UE: MLAT lub odezwa sądowa (letter rogatory). Dane przechowywane w USA: procedura amerykańska.
6. Doręcz wniosek właściwym kanałem i monitoruj go. Skieruj dokument do właściwego organu francuskiego lub unijnego, jeśli jest to wymagane, powołaj się na wniosek o zabezpieczenie danych i odnotuj potwierdzenie odbioru oraz wszelkie numery referencyjne.
7. Zaplanuj powiadomienie klienta. OVHcloud może powiadomić klienta, chyba że prawo stanowi inaczej; jeśli poufność jest kluczowa, upewnij się, że Twój nakaz prawny zawiera wykonalny zapis o zachowaniu poufności (non-disclosure provision).

Często zadawane pytania

Czy mogę po prostu użyć formularza zgłaszania nadużyć OVHcloud, aby uzyskać tożsamość właściciela konta? Nie. Formularz zgłaszania nadużyć służy do zgłaszania nielegalnych lub niewłaściwych treści i podejmowania działań w tym zakresie. Tożsamość subskrybenta, przypisanie adresu IP i logi wymagają formalnego wniosku prawnego złożonego za pośrednictwem właściwej ścieżki sądowej.

Jestem śledczym spoza UE. Czy mogę wysłać mój krajowy nakaz bezpośrednio do OVHcloud? Zazwyczaj nie w przypadku danych hostowanych w UE. Zazwyczaj wymagany będzie wniosek MLAT lub odezwa sądowa (letter rogatory) przekazana kanałami prawnymi we Francji. Francuska ustawa blokująca (blocking statute) oraz przepisy UE zniechęcają do bezpośredniego ujawniania danych organom zagranicznym poza tymi kanałami.

Dlaczego OVHcloud może przechowywać mniej logów połączeń, niż oczekuję? Prawo UE, kształtowane przez orzecznictwo TSUE, ogranicza ogólne i nieukierunkowane przechowywanie danych transmisyjnych. Okresy przechowywania mogą być krótsze i bardziej ograniczone niż w niektórych jurysdykcjach spoza UE, dlatego proś o zabezpieczenie danych szybko.

Czy OVHcloud poinformuje klienta o moim wniosku? Często tak, chyba że prawo stanowi inaczej. Jeśli Twoje dochodzenie wymaga poufności, upewnij się, że Twój dokument prawny zawiera wykonalny obowiązek zachowania poufności.

Powiązane przewodniki

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Cloudflare law enforcement data request: police and government guide
• MLAT vs LERS vs Interpol: which channel, when

Pełny katalog portali platform służących do obsługi wniosków organów ścigania znajduje się w naszym centrum portali LERS.

Zdjęcie główne: Hala serwerowa centrum danych. · Autor: Christopher Bowns · Wikimedia Commons · CC BY-SA 2.0 · źródło