Guia de solicitações de dados para autoridades da Microsoft

A Microsoft Corporation opera alguns dos serviços de consumo mais utilizados na internet: os serviços de e-mail Outlook.com, Hotmail, Live e MSN, o serviço de armazenamento na nuvem OneDrive, a rede de jogos Xbox e Xbox Live e, historicamente, o Skype (a Microsoft descontinuou o serviço de consumo do Skype em 2025 e migrou os utilizadores para a versão de consumo do Microsoft Teams, embora registos legados possam ainda estar sujeitos a processos legais). Estes serviços representam centenas de milhões de contas de consumo ativas em todo o mundo, razão pela qual surgem tão frequentemente em investigações criminais. As autoridades encontram contas de consumo da Microsoft em esquemas de comprometimento de e-mail empresarial (BEC) e fraude de faturas encaminhados através de caixas de entrada do Outlook.com, em casos de usurpação de conta, no armazenamento e distribuição de material de abuso sexual infantil (CSAM) via OneDrive e chat, e em casos de aliciamento e assédio no Xbox Live. A Microsoft é uma empresa dos Estados Unidos com sede em Redmond, Washington, pelo que a divulgação de registos de contas de consumo é regida principalmente pela lei federal Stored Communications Act (18 U.S.C. § 2701 et seq.). A Microsoft também moldou o panorama transfronteiriço moderno: o seu litígio no caso United States v. Microsoft Corp. (o caso “Microsoft Ireland”) sobre e-mails armazenados no estrangeiro só foi considerado sem objeto quando o Congresso aprovou o CLOUD Act em 2018, que agora enquadra a forma como os fornecedores dos EUA respondem a pedidos de dados detidos no estrangeiro.

Não consegue iniciar sessão no Microsoft Law Enforcement Portal?

• Inicia sessão com uma conta Microsoft pessoal (Outlook ou Hotmail), não com o seu e-mail governamental. Esta é a causa mais comum de falhas no início de sessão. O seu e-mail governamental é utilizado apenas uma vez, para receber um código de verificação de 7 dígitos.
• Portal: v2.leportal.microsoft.com. Utilize uma versão recente de um navegador suportado, permita cookies de *.live.com e peça ao departamento de TI para permitir leportal.microsoft.com, login.live.com e login.microsoftonline.com.
• Demasiados códigos de verificação errados bloqueiam a conta temporariamente.
• Continua com problemas? Suporte de início de sessão da Microsoft: [email protected] (EUA), [email protected] (UE), [email protected] (Brasil), [email protected] (outros países), ou +1 425-722-1299, opção 2.

Identificadores para um pedido de dados

Antes de a Microsoft poder preservar ou divulgar registos, as autoridades devem identificar a conta alvo com precisão. O identificador principal é a conta Microsoft (frequentemente abreviada como MSA): o endereço de e-mail com o qual o utilizador inicia sessão, que para serviços de consumo é tipicamente um endereço @outlook.com, @hotmail.com, @live.com ou @msn.com. Uma conta Microsoft também pode estar registada com um endereço de e-mail de terceiros ou um número de telefone, por isso forneça o identificador de início de sessão que tiver. Para questões relacionadas com jogos, o gamertag Xbox é um identificador reconhecido que a Microsoft trata como dados de assinante que não constituem conteúdo. Para um caso legado do Skype, o nome de utilizador Skype (o identificador único, não o nome de exibição alterável) é o identificador de localização.

Identificadores suplementares ajudam a Microsoft a confirmar uma conta: o endereço IP de registo ou do último início de sessão com data e hora precisas, o número de telefone associado à conta (com o código de marcação internacional para números fora dos EUA) e qualquer identificador de faturação. Indique claramente o intervalo de datas pretendido, escreva o mês por extenso e note que a Microsoft devolve os dados de registo em Tempo Universal Coordenado (UTC). Evite confiar apenas num nome de exibição ou nome próprio, pois estes não são únicos e não permitem localizar uma conta.

Que dados a Microsoft fornece

A Microsoft opera um modelo de divulgação em níveis, baseado nos padrões de processo legal do Stored Communications Act dos EUA. Quanto maior for o interesse de privacidade nos dados, maior será o padrão legal exigido para os obter:

Processo legal	Padrão	Dados produzidos
Intimação (Subpoena) (incluindo grande júri)	Relevância	Informações básicas do assinante: o nome, endereço de e-mail, estado, país e código postal fornecidos no registo, a data de criação da conta, o endereço IP de registo e dados da conta que não constituem conteúdo, tais como histórico de ligação IP, gamertag Xbox e informações de cartão de crédito ou outras informações de faturação em arquivo
Ordem judicial (18 U.S.C. § 2703(d))	Factos específicos e articuláveis	Todas as informações de assinante ao nível da intimação, mais registos transacionais que não constituem conteúdo: logs detalhados de início de sessão e ligação, metadados de cabeçalho e encaminhamento de mensagens (remetente, destinatário, data e hora, sem o corpo da mensagem) e outros registos da utilização dos serviços pela conta
Mandado de busca (causa provável)	Causa provável	Tudo o que foi referido acima mais conteúdo armazenado: o corpo de e-mails, ficheiros e fotografias armazenados no OneDrive e outros conteúdos criados pelo utilizador detidos nos ou através dos serviços. A Microsoft não divulgará conteúdo em resposta apenas a uma intimação

Conteúdo requer um mandado. A Microsoft traça uma linha firme entre o que não é conteúdo e o que é conteúdo. Seguindo a decisão do Sexto Circuito no caso United States v. Warshak, que estabeleceu que os utilizadores de e-mail têm uma expectativa razoável de privacidade no conteúdo das suas mensagens, a Microsoft exige um mandado de busca (ou o seu equivalente local) antes de produzir a substância de comunicações ou ficheiros armazenados. Intimações que solicitem conteúdo são rejeitadas.

O que não está disponível através da Microsoft. Os dados empresariais e comerciais constituem a exceção crítica. Quando um alvo utiliza um serviço Microsoft 365, Azure ou Dynamics 365 disponibilizado através de uma organização, essa organização — e não a Microsoft — é geralmente a controladora dos dados. A prática declarada da Microsoft é redirecionar as autoridades policiais para obterem as informações diretamente junto do cliente empresarial e notificar esse cliente sobre o pedido, a menos que tal seja legalmente proibido. Planeie notificar a organização que administra o inquilino (tenant), não a Microsoft. Dois outros serviços detidos pela Microsoft executam processos totalmente separados: o LinkedIn publica as suas próprias Diretrizes para Pedidos de Dados pelas Autoridades Policiais e o GitHub publica Diretrizes separadas para Pedidos Legais de Dados de Utilizador. Direcione os pedidos do LinkedIn ou do GitHub para esses serviços, e não através do portal do consumidor da Microsoft.

Retenção. A Microsoft não retém registos de consumidores indefinidamente; a disponibilidade de registos e conteúdos mais antigos varia consoante o serviço e a forma como a conta foi utilizada, e alguns dados podem ter sido eliminados ou expirado antes da chegada de um pedido. Como a retenção não é garantida, um pedido de preservação apresentado precocemente é a única forma fiável de impedir que registos relevantes sejam perdidos enquanto o processo legal é preparado.

Notificação do utilizador. A política padrão da Microsoft é dar aviso prévio aos utilizadores consumidores cujos dados são solicitados por uma agência de aplicação da lei, a menos que tal seja proibido por lei ou ordem judicial, ou a menos que o aviso seja contraproducente — por exemplo, em casos que envolvam exploração infantil, uma ameaça iminente de danos ou uma conta comprometida (pirateada). Quando necessitar que o aviso seja suprimido, obtenha uma ordem de não divulgação (ao abrigo da 18 U.S.C. § 2705(b) para processos nos EUA) e apresente-a juntamente com o seu pedido. Para dados empresariais, a Microsoft notifica a organização afetada, a menos que tal seja proibido.

Como submeter um pedido

1. Registe-se no portal. Crie uma conta no Portal de Pedidos das Autoridades Policiais da Microsoft em leportal.microsoft.com utilizando um domínio de e-mail oficial do governo ou das autoridades policiais. A Microsoft verifica os requerentes antes de conceder acesso, e tanto o pedido como a resposta da Microsoft são trocados através deste canal seguro.
2. Apresente primeiro um pedido de preservação. Submeta um pedido de preservação ao abrigo da 18 U.S.C. § 2703(f) o mais cedo possível, antes de o seu processo legal formal estar pronto. Um pedido 2703(f) instrui a Microsoft a preservar uma cópia instantânea (snapshot) dos registos existentes durante 90 dias, renovável por mais um período de 90 dias mediante um pedido de extensão claramente assinalado. A preservação congela as provas enquanto um mandado ou ordem judicial é obtido.
3. Submeta o seu processo legal. Carregue a intimação (subpoena), a ordem judicial 2703(d) ou o mandado de busca como um documento assinado e datado que nomeie a Microsoft Corporation como custodiante dos registos, identifique a conta alvo através de um identificador válido e especifique os dados precisos solicitados e o intervalo de datas. A equipa de conformidade da Microsoft rejeita processos que sejam inválidos, indevidamente notificados, jurisdicionalmente demasiado abrangentes ou não assinados, por isso seja específico e preciso.
4. Questões de CSAM e NCMEC. A Microsoft comunica casos aparentes de exploração sexual infantil ao CyberTipline do National Center for Missing & Exploited Children (NCMEC) e foi pioneira na tecnologia de deteção PhotoDNA. Se a sua investigação teve origem num relatório do CyberTipline, mencione o número do relatório para que a Microsoft possa definir o âmbito da sua produção com precisão, e assinale o assunto como exploração infantil para que a exceção relevante à notificação do utilizador seja aplicada.

Pedidos de divulgação de emergência

Sempre que exista uma emergência de boa-fé que envolva uma ameaça iminente de morte ou lesões físicas graves, a Microsoft pode divulgar voluntariamente registos de conta sem um processo legal formal, em conformidade com a 18 U.S.C. § 2702(b)(8) para conteúdos e 2702(c)(4) para registos que não sejam conteúdos. A Microsoft considera pedidos de emergência de agências de aplicação da lei de todo o mundo; exemplos comuns são ameaças de suicídio, raptos e outras ameaças de violência iminente.

Um pedido de emergência deve provir de um agente da autoridade juramentado utilizando um domínio de e-mail oficial das autoridades policiais, deve ser submetido em papel timbrado oficial e assinado, e deve:

• identificar a conta alvo através de um identificador válido (o e-mail da conta Microsoft, gamertag Xbox ou nome de utilizador Skype), com qualquer número de telefone associado;
• descrever a natureza e a atualidade da emergência da forma mais específica possível, incluindo quem está em risco;
• especificar as informações solicitadas e explicar como estas ajudarão a prevenir ou resolver a emergência.

A Microsoft divulga apenas os dados limitados necessários para resolver a emergência; qualquer informação para além disso requer o processo legal apropriado. Fazer-se passar por um agente da autoridade para obter dados é um crime nos Estados Unidos e noutros locais.

Para a Índia: base legal e processo

A Microsoft é uma entidade dos EUA, pelo que as autoridades indianas não podem notificar diretamente processos legais dos EUA à mesma. Os instrumentos nacionais estabelecem a autoridade para exigir dados; o mecanismo transfronteiriço determina se a Microsoft os produzirá.

• IT Act, 2000 — Secção 69: Autoriza o Governo Central ou Estadual a ordenar a interceção, monitorização ou desencriptação de informações no interesse da soberania, segurança, ordem pública ou prevenção de crimes. Tais diretrizes vinculam os intermediários que operam na Índia; a conformidade para conteúdos armazenados nos EUA permanece sujeita à via transfronteiriça.
• IT Rules, 2021 — Regra 3 (Diretrizes para Intermediários): Os intermediários significativos de redes sociais devem nomear uma pessoa de contacto nodal disponível 24 horas por dia para coordenação com as autoridades policiais e reter certos registos durante pelo menos 180 dias. Utilize este canal para a coordenação de primeiro nível e escale para a via do tratado para registos de subscritores e conteúdos detidos nos Estados Unidos.
• BNSS, 2023 — Secção 94: Capacita um tribunal ou um oficial responsável por uma esquadra de polícia a emitir uma intimação (incluindo em formato eletrónico) para a produção de documentos e registos eletrónicos. Este é o mecanismo de produção nacional, e é referenciado dentro de um pedido de tratado a um fornecedor dos EUA.
• Tratado de Assistência Jurídica Mútua (MLAT): Para registos de subscritores e conteúdos, o caminho é: o agente de investigação redige o pedido, a Autoridade Central do Ministério do Interior (MHA) analisa e transmite-o, e o Gabinete de Assuntos Internacionais do Departamento de Justiça dos EUA (OIA) obriga a Microsoft através de um processo judicial dos EUA. Um acordo executivo ao abrigo do CLOUD Act ou cartas rogatórias podem estar disponíveis como alternativas, quando aplicável.

Os investigadores indianos devem apresentar um pedido de preservação através do portal imediatamente, antes que o processo mais lento do tratado decorra, e podem submeter um pedido de divulgação de emergência diretamente quando a vida estiver em risco iminente.

O que irá precisar

• Um domínio de e-mail oficial do governo ou das autoridades policiais para se registar no Portal de Pedidos das Autoridades Policiais da Microsoft (domínios privados são rejeitados);
• Pelo menos um identificador válido: o e-mail da conta Microsoft (Outlook.com, Hotmail, Live ou MSN), a gamertag Xbox ou um nome de utilizador Skype — nunca apenas um nome de exibição;
• O intervalo de datas alvo, indicado claramente com o mês por extenso, e a consciência de que os registos de log são devolvidos em UTC;
• O instrumento legal apropriado — uma intimação (subpoena) para informações de subscritor, uma ordem judicial 2703(d) para registos transacionais ou um mandado de busca para conteúdos;
• Um pedido de preservação apresentado primeiro, ao abrigo da 18 U.S.C. § 2703(f), antes que os registos expirem ou sejam eliminados;
• Para alvos empresariais: processo notificado à organização que administra o inquilino (tenant) do Microsoft 365 ou Azure, não à Microsoft; para o LinkedIn ou GitHub: um pedido através dos canais separados das autoridades policiais desses serviços;
• Para casos de CSAM: o número de referência do CyberTipline do NCMEC;
• Para agências indianas que procuram conteúdos: um pedido MLAT através da Autoridade Central do MHA, mais um pedido de preservação paralelo apresentado de imediato.

Para um diretório completo de portais de pedidos das autoridades policiais em todas as principais plataformas, visite o nosso centro de portais LERS ou o guia LERS plataforma por plataforma.

Veja também: Microsoft Preservation and Emergency Requests: Police Template.