Reddit Law Enforcement Data Request: Przewodnik dla policji i rządu
Jak policja i organy rządowe wnioskują o dane konta Reddit: wezwania, nakazy sądowe, nakazy przeszukania, zabezpieczanie danych, sytuacje awaryjne i MLAT.
Reddit to jedna z największych platform dyskusyjnych na świecie, zorganizowana w setki tysięcy społeczności tematycznych (subredditów). Pojawia się w dochodzeniach dotyczących nękania i stalkingu, skoordynowanych gróźb i swattingu, doxxingu, sprzedaży narkotyków, skradzionych danych i podrabianych towarów w niszowych społecznościach oraz materiałów przedstawiających wykorzystywanie seksualne dzieci. Większość treści na Reddit jest publiczna, co często pozwala śledczym na otwarte gromadzenie postów i komentarzy, jednak przypisanie pseudonimowego konta do konkretnej osoby wymaga procedury prawnej. Reddit, Inc. to amerykańska firma z siedzibą w San Francisco, a jej ujawnienia danych podlegają federalnej ustawie Stored Communications Act (18 U.S.C. § 2701 et seq.).
- Jak składać wnioski: Za pośrednictwem oficjalnego systemu zapytań organów ścigania Reddit, zgodnie z opublikowanymi Guidelines for Law Enforcement. Reddit wymaga ważnego amerykańskiego procesu prawnego (lub, w przypadku agencji zagranicznych, wniosku MLAT) i nie realizuje nieformalnych zapytań mailowych o dane niepubliczne.
- Akceptowane identyfikatory: Dokładna nazwa użytkownika (wielkość liter ma znaczenie), a w stosownych przypadkach permalink do konkretnego posta lub komentarza. Sama nazwa wyświetlana i nazwa społeczności nie wystarczą do zidentyfikowania konta.
- Co jest zwracane — a co wymaga nakazu: Wezwanie sądowe (subpoena) pozwala uzyskać podstawowe dane subskrybenta i rejestry konta (dane rejestracyjne, e-mail, logi IP). Treści — prywatne wiadomości i czaty, usunięte lub robocze treści przechowywane przez Reddit — wymagają nakazu przeszukania (search warrant). Wiele publicznych treści można po prostu zabezpieczyć bezpośrednio.
Identyfikatory do wniosku o dane
Konta Reddit są identyfikowane za pomocą unikalnej nazwy użytkownika. Ponieważ użytkownicy posługują się pseudonimami, a jedna osoba może prowadzić kilka kont, nazwa użytkownika (nie nazwa wyświetlana) jest podstawą każdego wniosku. W przypadku konkretnego elementu treści należy podać pełny permalink do posta lub komentarza oraz jego znacznik czasu, co pozwala Reddit precyzyjnie określić, co należy zabezpieczyć lub udostępnić. W sprawach dotyczących całej społeczności należy podać nazwę subreddita i odpowiedni przedział czasowy.
Jakie dane udostępnia Reddit
Reddit przestrzega standardowych poziomów amerykańskiej ustawy Stored Communications Act, gdzie instrument prawny określa, co może zostać ujawnione:
| Proces prawny | Standard | Udostępniane dane |
|---|---|---|
| Subpoena | Istotność | Podstawowe informacje o subskrybencie: nazwa użytkownika, data utworzenia konta, powiązany adres e-mail oraz logi adresów IP (rejestracja i aktywność logowania) |
| Court order (18 U.S.C. § 2703(d)) | Konkretne i dające się uzasadnić fakty | Rozszerzone rejestry niebędące treścią oraz metadane konta wykraczające poza poziom subpoena |
| Search warrant | Uzasadnione podejrzenie (Probable cause) | Treści przechowywane przez Reddit: prywatne wiadomości i czaty oraz treści niewidoczne publicznie (na przykład usunięte lub robocze), jeśli są nadal przechowywane |
Treści publiczne: większość postów i komentarzy jest publiczna i można je gromadzić oraz zabezpieczać jako dowody bezpośrednio, za pomocą permalinku i znacznika czasu, bez konieczności angażowania Reddit. Należy je zabezpieczyć niezwłocznie, ponieważ użytkownicy mogą je usunąć lub edytować.
Powiadomienie użytkownika: Domyślną polityką Reddit jest powiadamianie właściciela konta o wniosku, chyba że jest to prawnie zabronione (na przykład przez nakaz zachowania poufności) lub ma zastosowanie wyjątek. Reddit nie powiadamia użytkowników o wnioskach o zabezpieczenie danych (preservation requests).
Jak złożyć wniosek
- Najpierw złóż wniosek o zabezpieczenie danych (preservation request). Zgodnie z 18 U.S.C. § 2703(f) Reddit zabezpieczy dane konta na 90 dni, z możliwością przedłużenia o kolejne 90 dni, podczas gdy Ty będziesz uzyskiwać proces prawny. Wyślij go wcześnie, ponieważ w przeciwnym razie treści usunięte przez użytkownika mogą zostać trwale usunięte.
- Prześlij ważny proces prawny za pośrednictwem systemu zapytań organów ścigania Reddit, podając dokładną nazwę użytkownika (lub nazwy) oraz wszelkie permalinki do treści, dopasowując poziom procesu do żądanych danych (subpoena dla informacji o subskrybencie, nakaz dla treści).
- Sprawy dotyczące wykorzystywania dzieci. Reddit zgłasza przypadki materiałów przedstawiających wykorzystywanie seksualne dzieci do NCMEC; jeśli sprawa wynika ze zgłoszenia CyberTipline, dołącz numer referencyjny Cybertip, aby można było dokładnie określić zakres udostępnianych danych.
Wnioski o ujawnienie w sytuacjach awaryjnych
W przypadku bezpośredniego zagrożenia życia lub poważnego uszczerbku na zdrowiu, Reddit może dobrowolnie ujawnić informacje o koncie bez wezwania sądowego lub nakazu, korzystając z wyjątku dotyczącego sytuacji awaryjnych w ustawie Stored Communications Act (18 U.S.C. § 2702(b)(8) oraz (c)(4)). Funkcjonariusz składający wniosek musi skorzystać z oficjalnego kanału i jasno określić charakter oraz bezpośredniość zagrożenia, konkretne potrzebne dane oraz nazwę użytkownika (lub nazwy). Ujawnienie danych zależy od decyzji Reddit, a użytkownik nie jest o tym powiadamiany.
Dla Indii: podstawa prawna i proces
Reddit jest podmiotem amerykańskim, więc indyjski proces prawny nie może być wobec niego bezpośrednio egzekwowany. Krajowe instrumenty prawne ustanawiają uprawnienia do żądania danych; mechanizm transgraniczny określa, czy Reddit się do nich zastosuje.
- IT Act, 2000 — Sekcja 69: upoważnia rząd do nakazania przechwytywania, monitorowania lub deszyfrowania w interesie suwerenności, bezpieczeństwa lub porządku publicznego. W przypadku danych przechowywanych w USA, zgodność pozostaje zależna od MLAT.
- IT Rules, 2021 — Zasada 3: znaczący pośrednicy mediów społecznościowych muszą wyznaczyć urzędnika węzłowego (nodal officer) z siedzibą w Indiach do koordynacji z organami ścigania w trybie 24×7 i przechowywać rejestry przez co najmniej 180 dni. Wnioski o usunięcie treści i koordynację pierwszego stopnia należy kierować przez oficjalny kanał Reddit; w sprawach dotyczących danych konta i treści należy przejść do procedury MLAT.
- BNSS, 2023 — Sekcja 94: krajowe uprawnienie do wydawania nakazów wydania dokumentów i komunikacji elektronicznej; jest ono przywoływane w ramach wniosku MLAT, a nie doręczane bezpośrednio firmie Reddit.
- MLAT: wniosek funkcjonariusza prowadzącego dochodzenie jest kierowany przez Centralny Urząd MHA do Departamentu Sprawiedliwości USA, Biura Spraw Międzynarodowych, który zmusza Reddit do działania poprzez amerykański proces sądowy. Złóż wniosek o zabezpieczenie danych przez kanał Reddit natychmiast, aby dane przetrwały wielomiesięczny proces MLAT.
Czego będziesz potrzebować
- Dokładnej nazwy użytkownika (lub nazw) z uwzględnieniem wielkości liter, oraz permalinków i znaczników czasu dla wszelkich konkretnych postów, komentarzy lub wiadomości;
- Nazwy subreddita i przedziału czasowego w sprawach dotyczących społeczności;
- Odpowiedniego instrumentu prawnego — subpoena dla danych subskrybenta, nakaz przeszukania dla treści;
- W sprawach dotyczących wykorzystywania dzieci: numeru referencyjnego NCMEC CyberTipline;
- Dla indyjskich agencji poszukujących treści: wniosku MLAT przez MHA oraz natychmiastowego wniosku o zabezpieczenie danych do Reddit.
Pełny katalog portali zapytań organów ścigania dla głównych platform znajduje się w naszym centrum portali LERS lub w przewodniku LERS po platformach.
Zobacz także: Reddit Preservation and Emergency Requests: Police Guide and Template.