Guia da Coinbase para autoridades: como solicitar dados (LERS)

Este guia é uma referência profissional geral para agentes da autoridade, procuradores e investigadores de cibercrime que necessitem de registos da Coinbase no decurso de uma investigação legal. Não constitui aconselhamento jurídico e não cria qualquer obrigação para a Coinbase ou qualquer outra parte. Cada pedido deve basear-se na autoridade legal adequada na sua própria jurisdição, e o processo apropriado para exigir dados depende dos registos pretendidos e da lei que se aplica a si e à Coinbase. Utilize isto como orientação, siga depois o processo formal e verifique os detalhes de contacto atuais diretamente com o fornecedor.

Quem é a Coinbase e porque é importante

A Coinbase é uma das maiores corretoras de criptomoedas do mundo e opera como um VASP regulamentado. A sua principal entidade operacional está sediada nos Estados Unidos, o que significa que os pedidos de dados são avaliados ao abrigo da lei dos EUA, mesmo quando o cliente ou o crime ocorrem no estrangeiro. A consequência mais importante para os investigadores é a Stored Communications Act (SCA), que estabelece que instrumento legal é necessário para cada categoria de registo. A Coinbase analisa cada pedido quanto à suficiência legal, restringe os pedidos que considera demasiado abrangentes ou vagos e declara que não dá a nenhum governo acesso direto aos seus sistemas.

O processo de pedido das autoridades e o portal

A Coinbase não aceita pedidos informais de dados de clientes. Agentes juramentados submetem e acompanham processos criminais legais através do sistema dedicado de pedidos das autoridades da Coinbase, que funciona na plataforma Kodex. Os agentes registam-se com credenciais de agência verificáveis, carregam o instrumento legal e correspondem através do canal seguro. Questões gerais sobre a notificação de documentos legais são encaminhadas para a caixa de correio de contacto de intimações da Coinbase, e os assuntos civis são dirigidos ao seu agente registado para notificação de processos, em vez do canal criminal.

1. Identifique o sujeito com precisão: o endereço de e-mail, ID de conta, endereço de carteira, hash de transação ou nome completo associado à conta Coinbase.
2. Se existir qualquer risco de os dados poderem ser perdidos, peça à Coinbase para reter os registos enquanto obtém o processo. A Coinbase não publica um procedimento de preservação, por isso verifique dentro do portal como enviar um.
3. Determine o instrumento legal correto para os registos de que necessita (dados de subscritor, registos de transações ou conteúdo armazenado) ao abrigo da lei que o vincula a si e à Coinbase.
4. Registe-se no portal das autoridades com as suas credenciais de agência e submeta o processo legal assinado com um pedido de dados claro e de âmbito restrito.
5. Especifique os intervalos de datas exatos e as categorias de registo; pedidos demasiado abrangentes são atrasados ou restringidos durante a análise.
6. Acompanhe o pedido e responda prontamente a quaisquer solicitações da Coinbase para clarificar ou ajustar o âmbito.

Que dados a Coinbase detém e pode produzir

Como corretora regulamentada que executa o processo de "conheça o seu cliente" (KYC), a Coinbase detém um rico conjunto de registos de identidade e financeiros. Dependendo do instrumento legal e do âmbito da ordem, poderá produzir:

• Registos KYC e de identidade: nome verificado, data de nascimento, morada, detalhes de identificação governamental e os dados recolhidos no momento da integração.
• Registos de conta: dados de registo, e-mail, número de telefone, estado da conta e histórico.
• Histórico de transações: depósitos, levantamentos, negociações, atividade de envio e receção na cadeia (on-chain) e endereços de carteira ou blockchain associados.
• Instrumentos de financiamento ligados: contas bancárias conectadas, detalhes de cartões e informações de pagamento utilizadas para financiar ou levantar fundos.
• Registos de IP e início de sessão: endereços IP utilizados recentemente, início de sessão e atividade de sessão.
• Dados do dispositivo: identificadores técnicos e do dispositivo capturados durante o acesso, quando retidos.

A Coinbase observou que, quando apropriado, fornece dados anonimizados ou agregados em vez de registos individuais de clientes, pelo que um pedido com um âmbito bem definido produz melhores resultados do que um pedido abrangente.

Preservação versus produção

Estas são duas ações diferentes e os investigadores confundem-nas habitualmente.

• Pedido de preservação: um pedido formal solicitando à Coinbase que retenha um conjunto definido de registos para que não sejam eliminados enquanto assegura o processo legal. Ganha tempo. Não lhe divulga nada e não congela a conta ou os fundos. Envie-o precocemente.
• Pedido de produção: o instrumento legal que obriga efetivamente a Coinbase a entregar os registos. Ao abrigo do quadro SCA dos EUA, o instrumento escala com a sensibilidade dos dados: uma intimação (subpoena) alcança registos básicos de subscritor e transações, uma ordem judicial alcança registos adicionais que não são conteúdo, e um mandado de busca baseado em causa provável é necessário para conteúdo armazenado.

Tipos de dados, o que produzem e o limite legal

A Coinbase não publica um calendário sobre que instrumento desbloqueia que registos. Os limites acima refletem o modelo SCA dos EUA porque a Coinbase está sediada nos EUA. Os investigadores noutras jurisdições devem mapear estas categorias para os instrumentos equivalentes que a sua própria lei prevê, e reconhecer que exigir conteúdo a um fornecedor dos EUA geralmente ainda passa pelo processo legal dos EUA.

Pedidos de divulgação de emergência

A Coinbase não publica qualquer procedimento de emergência ou contacto. A sua política de privacidade indica que pode preservar, rever e partilhar informações com as autoridades policiais quando necessário para proteger interesses vitais, por exemplo em situações de emergência, sendo essa uma questão ao seu critério. Quando existe uma emergência genuína que envolva risco de morte ou danos físicos graves, um pedido deve explicar a natureza da ameaça, por que é iminente e que dados específicos são necessários para a resolver. Esta é uma exceção para situações de perigo iminente, não um atalho ao processo legal comum para investigações de rotina, e é avaliada com base nos factos apresentados.

Investigadores estrangeiros e MLAT

Como a entidade principal da Coinbase se encontra nos Estados Unidos, as agências não americanas geralmente não podem exigir conteúdo diretamente. A via estabelecida é um pedido de tratado de assistência jurídica mútua (MLAT) ou uma carta rogatória, processada através da sua autoridade central e do Departamento de Justiça dos EUA, que depois garante o processo legal dos EUA notificado à Coinbase. O MLAT é fiável, mas lento, demorando frequentemente meses; por isso, envie um pedido de preservação imediatamente para proteger os registos enquanto o MLAT decorre. Algumas informações básicas do subscritor podem ser obtidas através de canais mais diretos, dependendo da política do fornecedor e da lei aplicável, mas o conteúdo armazenado requer tipicamente a via formal transfronteiriça.

Congelamentos e retenções de conta

O congelamento de fundos é distinto da obtenção de dados. Um congelamento, retenção ou apreensão restringe a capacidade do cliente de movimentar ativos e é geralmente executado com base num mandado judicial apropriado, mandado de apreensão ou pedido legal específico, dependendo da jurisdição. A restrição e recuperação de ativos seguem o processo de apreensão e confisco na sua jurisdição, e os mecanismos práticos de transferência de criptoativos apreendidos para a custódia das autoridades policiais são um fluxo de trabalho distinto do pedido de dados aqui abordado.

O contexto da Travel Rule do GAFI

A Travel Rule do GAFI (Recomendação 16) exige que os VASP, como a Coinbase, recolham, verifiquem e partilhem informações sobre o originador e o beneficiário em transferências de ativos virtuais elegíveis, habitualmente acima de um limite de 1.000 USD ou EUR, com o VASP da contraparte. Para os investigadores, isto é importante porque as bolsas em conformidade detêm dados estruturados da contraparte: quem enviou valor, quem o recebeu e qual o VASP que estava do outro lado. Quando rastreia fundos da Coinbase para outra bolsa regulamentada, os registos da Travel Rule podem ajudar a identificar a contraparte, e um pedido de seguimento a esse VASP pode alargar a cadeia.

Prazos de resposta

A Coinbase analisa cada pedido quanto à suficiência legal e âmbito antes de fornecer dados, pelo que o tempo de resposta depende do tipo de pedido, da sua clareza e da sua abrangência. A Coinbase não publica tempos de resposta. Pedidos amplos ou ambíguos são restringidos durante a análise, pelo que um pedido claro e com um âmbito bem definido é a melhor forma de evitar atrasos. Trate qualquer número específico de dias como variável e confirme as expectativas atuais através do portal, em vez de confiar num SLA fixo.

Perguntas frequentes

Posso simplesmente enviar uma intimação por e-mail à Coinbase? O processo legal criminal é submetido e acompanhado através do sistema de pedidos das autoridades policiais online da Coinbase, em vez de e-mail informal. Perguntas gerais podem ser enviadas para a sua caixa de correio de contacto para intimações, e documentos civis devem ser enviados para o seu agente registado, mas utilize o portal oficial para a notificação.

Qual é a diferença entre um pedido de preservação e uma intimação? Um pedido de preservação diz à Coinbase para guardar os registos para que não se percam; não divulga nada. Uma intimação, mandado judicial ou mandado de busca é o que efetivamente obriga à produção de provas, sendo o instrumento dependente de se pretender dados do subscritor, registos sem conteúdo ou conteúdo armazenado.

Estou fora dos EUA. Como obtenho conteúdo da Coinbase? Geralmente através de um pedido MLAT ou carta rogatória encaminhada através da sua autoridade central e do Departamento de Justiça dos EUA, que obtém o processo legal dos EUA notificado à Coinbase. Envie um pedido de preservação imediatamente para proteger os dados enquanto o MLAT decorre.

A Coinbase congelará uma conta se eu pedir? O congelamento de fundos é distinto da produção de dados e é geralmente executado mediante um mandado judicial apropriado, mandado de apreensão ou pedido legal específico. Especifique claramente se pretende registos, um congelamento ou ambos.

• Guia de pedidos das autoridades policiais da Binance
• Como rastrear uma transação de criptomoeda: um guia para investigadores
• Congelar e apreender criptoativos: do pedido à bolsa à apreensão da carteira

Para o diretório completo de portais de pedidos das autoridades policiais das plataformas, consulte o nosso centro de portais LERS.

Imagem de destaque: Bitcoin num teclado de portátil. · Crédito: Satheesh Sankaran · via Flickr / Wikimedia Commons · CC BY 2.0 · fonte

Veja também: Pedidos de Preservação e Emergência da Coinbase: Guia e Modelo para a Polícia.