Guia de solicitações de dados policiais e governamentais OVHcloud

Este guia oferece orientação profissional geral para agentes da autoridade, procuradores e investigadores de cibercrime que procuram obter dados da OVHcloud. Não constitui aconselhamento jurídico. Pressupõe que está a agir ao abrigo da autoridade legal adequada na sua própria jurisdição e que utilizará o canal legal apropriado ao seu caso. Os procedimentos, pontos de contacto e práticas de retenção alteram-se, pelo que deve confirmar sempre os requisitos atuais diretamente com a OVHcloud e com os seus próprios consultores jurídicos antes de se basear neles.

Por que a OVHcloud é diferente dos fornecedores dos EUA

A OVHcloud é uma das maiores empresas de cloud e alojamento da Europa, fornecendo servidores dedicados, servidores privados virtuais (VPS) e infraestrutura de cloud pública e privada (IaaS). A sua empresa-mãe é francesa e está sediada em Roubaix, com centros de dados em toda a França, no resto da Europa e em todo o mundo. Isto é importante para os investigadores porque o regime jurídico que protege e rege os dados dos clientes é principalmente o direito francês e da UE: o Regulamento Geral sobre a Proteção de Dados (RGPD), o Código de Processo Penal francês e estatutos franceses relacionados.

Com a maioria dos grandes fornecedores de alojamento dos EUA, a polícia estrangeira está habituada a um portal de autoridade de autoatendimento e a um vocabulário familiar de intimações, ordens judiciais ou mandados, por vezes apoiados por acordos executivos do CLOUD Act. A subsidiária da OVHcloud nos EUA opera dentro desse quadro para os dados que controla nos Estados Unidos. No entanto, para os dados de clientes alojados na União Europeia, a OVHcloud aplica as regras da UE e francesas e opôs-se publicamente à divulgação direta a autoridades fora da UE fora dos canais legais internacionais formais. França também possui um estatuto de bloqueio (Loi 68-678) que restringe as empresas francesas de entregar dados sensíveis a autoridades estrangeiras, exceto através de processos de assistência jurídica internacional reconhecidos. A consequência prática: normalmente não pode simplesmente enviar a sua ordem nacional para a OVHcloud e esperar a produção. Normalmente, precisará de um instrumento da UE ou de um pedido de assistência jurídica mútua.

O que a OVHcloud detém

Como fornecedor de infraestrutura, a OVHcloud detém dados ao nível da conta e da infraestrutura, em vez do conteúdo do que os clientes executam nos seus servidores. O que é genuinamente útil numa investigação depende do serviço e das realidades de retenção.

Canal de abuso vs. requisição legal

A OVHcloud opera dois caminhos distintos, e usar o errado é uma perda de tempo.

• Canal de abuso. A OVHcloud publica um formulário público de abuso para denunciar atividades ilegais ou abusivas alojadas na sua rede: phishing, distribuição de malware, fraude, queixas de direitos de autor e material de abuso sexual infantil. Esta é a via correta para que conteúdos prejudiciais sejam alvo de ação ou removidos, e para sinalizar um servidor para a atenção do fornecedor. Não é uma via para obter a identidade ou registos do subscritor, e quaisquer dados informais que produza raramente cumprirão os padrões probatórios.
• Requisição legal formal. Para obter dados de clientes como prova, precisa de um pedido legal válido e vinculativo apresentado através do canal adequado. Dentro de França, isto é tipicamente uma requisição judicial (requisition judiciaire) emitida ao abrigo do Código de Processo Penal. A prática declarada da OVHcloud é não divulgar dados de clientes sem uma ordem legal devidamente apresentada, válida e vinculativa.

Vias legais por país requerente

O instrumento correto depende de onde se situa a autoridade investigadora.

• Autoridades francesas. Apresente uma requisição judicial (requisition judiciaire) ou ordem judicial relevante ao abrigo do Código de Processo Penal francês diretamente através do processo legal francês.
• Outros Estados-Membros da UE. Utilize uma Ordem de Investigação Europeia (OIE) ao abrigo da Diretiva 2014/41/UE, executada através da autoridade francesa competente. O pacote de provas eletrónicas da UE introduz adicionalmente a Ordem Europeia de Produção e a Ordem Europeia de Preservação para provas eletrónicas transfronteiriças entre Estados-Membros; confirme o que está em vigor e operacional para o seu caso.
• Autoridades fora da UE. Utilize um pedido de tratado de assistência jurídica mútua (MLAT) ou uma carta rogatória encaminhada para a autoridade central francesa. França sinalizou que irá acelerar os pedidos de MLAT devidamente encaminhados. Enviar uma ordem nacional diretamente para a OVHcloud para dados alojados na UE será provavelmente recusado, e o estatuto de bloqueio de França desencoraja a divulgação direta fora destes canais.
• Dados controlados pela entidade dos EUA. Onde os dados são genuinamente detidos pela subsidiária da OVHcloud nos EUA, aplica-se o processo legal dos EUA, com dados não relacionados com o conteúdo disponíveis através de uma intimação dos EUA e conteúdo através de um mandado de busca dos EUA; acordos executivos do CLOUD Act (reconhecidos com um pequeno número de países) também podem aplicar-se. Não assuma que isto cobre dados alojados na UE.

Preservação e limites de retenção da UE

O processamento de dados pessoais pela OVHcloud para fins de aplicação da lei enquadra-se no RGPD e no quadro mais amplo de proteção de dados da UE. Crucialmente, o direito da UE já não permite a retenção generalizada e indiscriminada de dados de ligação. O Tribunal de Justiça da União Europeia (TJUE), nos casos Tele2 Sverige/Watson (2016) e La Quadrature du Net (2020 e 2024), decidiu que a retenção geral e indiscriminada de dados de tráfego e localização é ilegal, com exceções restritas (por exemplo, uma ameaça genuína à segurança nacional) e uma posição mais permissiva sobre a retenção de endereços IP para acesso pelas autoridades policiais. O efeito prático para os investigadores é que os registos de ligação podem ser mantidos por períodos mais curtos, ou sob condições mais restritas, do que poderia esperar de fornecedores mais antigos ou jurisdições fora da UE.

Pedidos de emergência

A OVHcloud reconhece situações de emergência, tais como a convicção de boa-fé de que existe um risco de danos corporais iminentes ou ameaça à vida. Em emergências genuínas, contacte o fornecedor através do seu canal de emergência ou de abuso designado, identifique claramente a emergência, a base legal e os dados específicos necessários, e dê seguimento com o instrumento formal adequado. A divulgação de emergência é uma exceção, não um substituto para o canal legal correto, e deve ser reservada para cenários reais de ameaça à vida.

Fluxo de trabalho passo a passo

1. Confirme se a OVHcloud é o fornecedor correto. Verifique o WHOIS, a alocação RIPE/ARIN e o DNS reverso para confirmar se o IP, o intervalo de IP ou o servidor estão na OVHcloud e não num revendedor ou cliente a jusante.
2. Determine os identificadores. Registe o endereço IP exato, a porta quando relevante, o nome do anfitrião do servidor ou o identificador do serviço, e os carimbos de data/hora precisos com o fuso horário. A especificidade conduz a uma resposta mais rápida e precisa.
3. Decida entre conteúdo e não conteúdo. Separe os dados do assinante e da conta de qualquer conteúdo armazenado e considere se o conteúdo é detido pela OVHcloud ou pelo cliente numa máquina autogerida.
4. Envie um pedido de preservação antecipadamente. Tendo em conta os limites de retenção da UE, peça à OVHcloud para preservar os dados relevantes enquanto prepara o seu instrumento formal.
5. Escolha o canal legal correto. Autoridade francesa: requisição judicial. Autoridade da UE: EIO ou Ordem Europeia de Produção. Autoridade não pertencente à UE: MLAT ou carta rogatória. Dados detidos nos EUA: processo dos EUA.
6. Apresente através desse canal e acompanhe-o. Encaminhe o instrumento para a autoridade francesa ou da UE competente quando necessário, faça referência ao seu pedido de preservação e registe a receção e quaisquer números de referência.
7. Planeie a notificação do cliente. A OVHcloud pode notificar o cliente, a menos que tal seja proibido por lei; se o sigilo for importante, certifique-se de que a sua ordem judicial inclui uma disposição de não divulgação exequível.

Perguntas frequentes

Posso simplesmente usar o formulário de abuso da OVHcloud para obter a identidade do titular da conta? Não. O formulário de abuso destina-se a denunciar conteúdos ilegais ou abusivos e a obter a sua resolução. A identidade do assinante, a atribuição de IP e os registos requerem um pedido legal formal através do canal judicial correto.

Sou um investigador fora da UE. Posso enviar o meu mandado nacional diretamente para a OVHcloud? Geralmente não para dados alojados na UE. Normalmente, necessitará de um pedido MLAT ou de uma carta rogatória encaminhada através dos canais legais franceses. O estatuto de bloqueio de França e as regras da UE desencorajam a divulgação direta a autoridades estrangeiras fora desses canais.

Porque é que a OVHcloud pode deter menos registos de ligação do que o esperado? A legislação da UE, moldada pelas decisões do TJUE, restringe a retenção geral e indiscriminada de dados de tráfego. Os períodos de retenção podem ser mais curtos e restritos do que em algumas jurisdições fora da UE, por isso solicite a preservação rapidamente.

A OVHcloud informará o cliente sobre o meu pedido? Frequentemente sim, a menos que seja proibido por lei. Se a sua investigação exigir confidencialidade, certifique-se de que o seu instrumento legal contém uma obrigação de não divulgação exequível.

Guias relacionados

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Cloudflare law enforcement data request: police and government guide
• MLAT vs LERS vs Interpol: which channel, when

Para o diretório completo de portais de pedidos de aplicação da lei de plataformas, consulte o nosso LERS portal hub.

Imagem de destaque: Uma sala de servidores de centro de dados. · Crédito: Christopher Bowns · Wikimedia Commons · CC BY-SA 2.0 · fonte