Guia de Solicitação de Dados Policiais e Governamentais Oracle Cloud

Este guia oferece orientação geral e prática para agentes da autoridade, procuradores e investigadores governamentais que necessitem de dados detidos pela ou através da Oracle Cloud Infrastructure (OCI). Não constitui aconselhamento jurídico. O processo deve ser sempre obtido e notificado ao abrigo da autoridade legal da sua própria jurisdição, e os passos abaixo são um quadro inicial, não um substituto para o aconselhamento jurídico da sua agência ou para a orientação atual da própria Oracle.

A distinção entre processador e controlador

Tal como a AWS, o Microsoft Azure e a Google Cloud, a Oracle Cloud Infrastructure é uma plataforma de infraestrutura como serviço empresarial. O cliente empresarial que opera a tenancy da OCI é o controlador de dados: decide que dados recolher, como são processados e em que região são armazenados. A Oracle é o processador de dados, alojando esses dados de acordo com as instruções do cliente. A Oracle afirma que, enquanto fornecedora de nuvem, geralmente não tem visibilidade sobre o conteúdo que os clientes armazenam nos seus serviços na nuvem.

A consequência prática para os investigadores: se procura o conteúdo que uma organização cliente armazena na OCI (bases de dados, dados de aplicações, ficheiros, caixas de correio alojadas nas suas instâncias), o cliente é quase sempre o alvo certo e melhor. A política declarada da Oracle é envidar esforços razoáveis para redirecionar a autoridade requerente para o cliente, uma vez que o cliente está na melhor posição para identificar e produzir os seus próprios dados. Quando o suspeito é um indivíduo ou organização que é, ele próprio, um cliente da Oracle, notifique esse cliente diretamente.

O que a Oracle detém diretamente

A Oracle retém os registos criados pela relação comercial com o titular da conta, em vez do conteúdo armazenado pelo cliente. Em termos gerais, isto significa:

• Conta na nuvem / identidade do subscritor: a organização ou pessoa registada, contactos e detalhes do administrador.
• Registos de faturação e pagamento, e histórico de subscrição / encomenda de serviço.
• Certos registos de serviço e operacionais ligados à tenancy que a Oracle gera como fornecedora (a disponibilidade e retenção variam consoante o serviço).

A Oracle não publica um inventário de dados granular, campo a campo, para as autoridades policiais, e o seu material público sobre aplicação da lei é comparativamente escasso. Trate as categorias acima como o envelope realista do que a própria Oracle pode produzir, e seja específico no seu pedido sobre os identificadores de conta (OCID da tenancy, e-mail da conta, número da encomenda) que pode fornecer.

Limiares legais dos EUA

A Oracle é uma empresa dos EUA, pelo que a divulgação de registos às autoridades policiais é geralmente analisada ao abrigo do Stored Communications Act (SCA) dos EUA. Como guia de trabalho, o SCA escala o instrumento legal à sensibilidade dos dados:

• Subpoena (administrativa ou de grande júri): geralmente utilizada para registos básicos de subscritor e faturação.
• Ordem judicial (frequentemente uma ordem "2703(d)"): para registos transacionais e de registo que não sejam conteúdo.
• Mandado de busca baseado em causa provável: para conteúdo armazenado. Na prática, a Oracle redirecionará normalmente os pedidos de conteúdo para o cliente, independentemente disso.

A Oracle afirma que avalia cada pedido caso a caso para confirmar se é legalmente válido e vinculativo, e resistirá ou contestará pedidos que não o sejam. As agências nacionais dos EUA devem apresentar um processo válido; o instrumento preciso é uma questão para o seu procurador.

Preservação vs. produção

A preservação e a produção são passos distintos. Um pedido de preservação solicita à Oracle que retenha os registos existentes para que não se percam devido a eliminação de rotina enquanto obtém o processo legal; não obriga, por si só, à divulgação. A produção é a entrega obrigatória de registos ao abrigo de uma subpoena, ordem ou mandado. O relatório de transparência da Oracle reconhece os pedidos de preservação como uma categoria. Envie um pedido de preservação precocemente, com identificadores de conta precisos e um âmbito claro, e siga depois com o instrumento compulsório apropriado.

Política de notificação ao cliente

A política declarada da Oracle é informar prontamente o cliente afetado de um pedido e, no caso de conteúdo, redirecionar a autoridade para esse cliente, a menos que a Oracle esteja proibida por lei de dar notificação. Quando necessita de não divulgação para proteger uma investigação criminal, deve obter a proibição legal apropriada (por exemplo, uma ordem de não divulgação que acompanhe o seu processo). A Oracle declarou que, se estiver impedida de notificar o cliente, solicitará à autoridade requerente que renuncie a essa proibição, pelo que deve incluir a base legal para o sigilo no seu pedido, em vez de assumir a confidencialidade por defeito.

Autoridades policiais estrangeiras e MLAT

Como a Oracle está sediada nos EUA, as agências fora dos Estados Unidos geralmente não podem obrigar a Oracle diretamente. A via tradicional é um pedido de Tratado de Assistência Jurídica Mútua (MLAT) ou carta rogatória canalizada através do Departamento de Justiça dos EUA, que é analisado por um tribunal dos EUA. Uma alternativa mais rápida existe apenas quando está em vigor um acordo CLOUD Act bilateral elegível (por exemplo, o acordo EUA-Reino Unido, em vigor desde outubro de 2022). A Oracle declarou que o CLOUD Act não altera a forma como trata os pedidos de divulgação. Para implementações europeias, a EU Sovereign Cloud da Oracle tem equipas jurídicas da UE dedicadas que analisam cada pedido de acesso ao abrigo da lei da UE aplicável. Os investigadores estrangeiros devem ainda considerar se a organização cliente relevante na sua própria jurisdição pode produzir os dados diretamente, o que muitas vezes evita totalmente o atraso do MLAT.

Fluxo de trabalho sugerido

1. Identifique se necessita de registos ao nível da conta (Oracle) ou de conteúdo armazenado (quase sempre o cliente). Sempre que possível, notifique a organização cliente diretamente.
2. Reúna identificadores precisos: OCID da tenancy/conta, e-mail registado, nome da organização, números de encomenda ou fatura, e os dados exatos e o intervalo de datas pretendido.
3. Envie um pedido de preservação imediatamente para impedir a eliminação de rotina enquanto obtém o processo.
4. Obtenha o instrumento legal correto para a categoria de dados (subpoena, ordem judicial ou mandado), e uma ordem de não divulgação se for necessário sigilo.
5. Notifique o processo legal válido à Oracle através dos seus canais legais; as agências estrangeiras encaminham via MLAT ou um acordo CLOUD Act elegível.
6. Espere que a Oracle valide o pedido, notifique o cliente, a menos que legalmente proibido, e que, para conteúdo, o redirecione para o cliente.

Quem detém o quê, e como obtê-lo

Perguntas frequentes

Posso obter os dados de um cliente diretamente da Oracle? Normalmente não para conteúdos armazenados. A Oracle trata esse conteúdo como sendo do cliente e, geralmente, redirecioná-lo-á para o cliente, que o controla e pode aceder ao mesmo. A Oracle fornecerá registos de conta, faturação e subscrição que detém diretamente mediante um processo válido.

A Oracle informará o cliente sobre o meu pedido? Sim, por predefinição. A política da Oracle é notificar o cliente afetado, a menos que tal seja legalmente proibido. Se necessitar de sigilo, obtenha uma ordem de não divulgação e apresente-a juntamente com o seu processo.

Estou fora dos Estados Unidos. Como posso obrigar a Oracle? Geralmente através de um pedido MLAT ou carta rogatória via DOJ dos EUA, ou um acordo CLOUD Act elegível onde este esteja em vigor. Muitas vezes, o caminho mais rápido é notificar a organização do cliente relevante na sua própria jurisdição.

Um pedido de preservação significa que receberei os dados? Não. A preservação apenas impede que os registos sejam eliminados. Ainda necessita de uma subpoena, ordem judicial ou mandado para obrigar à produção dos mesmos.

Guias relacionados

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Microsoft 365 and Google Workspace: an investigator's guide to SaaS audit logs
• Cloudflare law enforcement data request: police & government guide

Para o diretório completo de portais de pedidos de autoridades policiais das plataformas, consulte o nosso centro de portais LERS.

Imagem de destaque: Um grande centro de dados empresarial. · Crédito: Hugovanmeijeren · Wikimedia Commons · CC BY-SA 3.0 · fonte